De European Health Data Space

Dit artikel is deel 5 van 6 in de reeks Persoonsgegevens, eigendom en zeggenschap. De zes blogs bouwen inhoudelijk op elkaar voort en kunnen daarom het beste in volgorde worden gelezen. Begin bij deel 1.

is Bijvoets, CIPP/E (AVG Compleet B.V.)

AVG Compleet kennisbank, 12 augustus 2026

De European Health Data Space (EHDS) wordt vaak gepresenteerd als een doorbraak voor de burger: eindelijk regie over je eigen gezondheidsgegevens, overal in Europa beschikbaar, met één druk op de knop te delen of af te schermen. In dat enthousiasme klinkt een oud idee door: dat de patiënt straks “de baas” wordt over zijn data, alsof het een bezit is dat hij beheert, meeneemt of in het uiterste geval te gelde maakt. Wie de verordening leest, vindt dat beeld er niet in terug. De EHDS biedt geen aanknopingspunt voor een eigendomsrecht op gezondheidsgegevens. Zij regelt iets anders: gereguleerde toegang tot en gebruik van gezondheidsgegevens, via rechten, plichten, vergunningen en infrastructuur, ingebed in het grondrechtenkader van de AVG.

Wat de EHDS is

De EHDS-verordening, Verordening (EU) 2025/327 van 11 februari 2025, werd op 5 maart 2025 in het Publicatieblad van de EU gepubliceerd. Zij is het meest verstrekkende onderdeel van een bredere Europese datastrategie, waartoe ook de Data Governance Act (Verordening (EU) 2022/868) en de Data Act (Verordening (EU) 2023/2854) behoren. De algemene toepassingsdatum is 26 maart 2027, maar veel inhoudelijke verplichtingen zijn uitgesteld. De rechten en infrastructuur voor primair gebruik gelden voor de eerste prioritaire categorieën vanaf 26 maart 2029 en voor verdere categorieën vanaf 26 maart 2031; hoofdstuk IV over secundair gebruik wordt in hoofdzaak vanaf 26 maart 2029 toegepast. Enkele beperkte onderdelen volgen pas in 2035 (art. 105 EHDS). “De EHDS geldt vanaf 2027” is dus juridisch juist, maar voor de implementatieplanning te grof.

De verordening regelt twee dingen tegelijk. Het primair gebruik betreft de verwerking van elektronische gezondheidsgegevens voor zorgverlening aan de natuurlijke persoon op wie ze betrekking hebben, inclusief daarmee samenhangende administratieve en vergoedingsprocessen. Het secundair gebruik betreft het beschikbaar maken van gezondheidsgegevens voor doelen buiten de zorg: wetenschappelijk onderzoek, beleidsvorming, publieke gezondheidsmonitoring. Voor beide sporen kiest de EHDS consequent voor de taal van toegang, deling, opt-out en vergunning. Het woord “eigenaar” komt er niet in voor.

Primair gebruik: toegang en beperking, geen beschikkingsmacht

Voor het primair gebruik introduceert de EHDS onder meer een gemeenschappelijk Europees formaat voor elektronische patiëntendossiers, eisen aan interoperabiliteit, logging en de veiligheid van EPD-systemen, en rechten van de patiënt op toegang tot zijn gegevens en op het beperken van die toegang voor specifieke gegevens.

Dat zijn zeggenschapsrechten, geen eigendomsrechten. De patiënt kan inzage uitoefenen en aangeven welke gegevens hij niet of beperkt met zorgverleners wil delen, maar hij verwerft geen exclusieve beschikkingsmacht over een afgebakend object.

De verordening bevat geen rechtstreeks werkend, uniform opt-outregime voor primair gebruik; wel rechten om toegang te beperken, en de mogelijkheid voor lidstaten om zo’n opt-out nationaal in te voeren (art. 10 EHDS), mits die omkeerbaar is en toegang bij vitale belangen mogelijk blijft. De Nederlandse wetgever heeft aangekondigd van die mogelijkheid gebruik te willen maken; voor secundair gebruik voorziet de verordening zelf in een bezwaarrecht (art. 71 EHDS), waarvan de modaliteiten nationaal worden uitgewerkt (Kamerbrief stand van zaken implementatie EHDS, 20 januari 2026; zie ook P&I 2025/3).

Veelzeggend is bovendien dat de zeggenschapsrechten uitzonderingen kennen ter bescherming van vitale belangen. Denk aan een patiënt die om afscherming heeft verzocht maar in een levensbedreigende situatie terechtkomt waarin de zorgverlener toch toegang nodig heeft. De patiënt krijgt dus geen exclusieve beschikkingsmacht, maar een begrensd recht om toegang te beperken, ingebed in patiëntveiligheid, zorgcontinuïteit, logging en nationale uitvoeringsregels (P&I 2024/5). Zeggenschap binnen randvoorwaarden is iets wezenlijk anders dan de vrije beschikkingsmacht die met eigendom wordt geassocieerd.

Op één punt gaat de EHDS zelfs verder dan artikel 20 AVG. Waar het AVG-portabiliteitsrecht beperkt is tot gegevens die de betrokkene zelf heeft verstrekt (WP242 rev.01; Bijvoets, 2026b), kent art. 7 EHDS een eigen recht op dataportabiliteit voor elektronische gezondheidsgegevens. Het gemeenschappelijke Europese EPD-uitwisselingsformaat wordt geregeld in art. 15. Volgens overweging 15 kan dit regime ook elektronische gezondheidsgegevens omvatten die door inferentie zijn verkregen, zoals een diagnose. Dat zelfs dit ruimere mobiliteitsrecht niet als eigendom is vormgegeven, maar als gereguleerde overdracht binnen een zorginfrastructuur, onderstreept de keuze van de wetgever: meer mobiliteit betekent hier niet meer bezit.

Secundair gebruik: governance via vergunning, geen toestemmingsmarkt

Voor het secundair gebruik kiest de EHDS een stelsel dat niet primair leunt op individuele toestemming, en evenmin op verkoop of vermogensrechtelijke overdracht, maar op vergunningverlening en wettelijke waarborgen. Gezondheidsgegevens worden in beginsel in geanonimiseerde vorm beschikbaar gesteld; alleen wanneer het doel van de gebruiker dat aantoonbaar vereist, gebeurt dat in gepseudonimiseerde vorm (art. 66 EHDS), binnen een beveiligde verwerkingsomgeving, en steeds pas nadat een nationale Health Data Access Body (HDAB) daarvoor een vergunning heeft verleend. Die vergunning mag bovendien uitsluitend worden verleend voor limitatief omschreven doelen: publieke gezondheid, beleid, statistiek, onderwijs, wetenschappelijk onderzoek, innovatie en verbetering van de zorgverlening. Gebruik voor marketing, voor schadelijke of discriminatoire beslissingen en voor nadelige verzekerings- of kredietbesluiten is uitdrukkelijk verboden.

Daarnaast geeft de verordening betrokkenen zelf een recht om bezwaar te maken tegen secundair gebruik van hun gezondheidsgegevens; nationale wetgeving werkt de modaliteiten daarvan nader uit.

Binnen dit stelsel kan de patiënt zijn gegevens niet aan een onderzoeksinstelling “verkopen”, en kan de onderzoeksinstelling ze niet “kopen”. Ook eventuele vergoedingen binnen het stelsel zijn geen koopprijs voor de gegevens, maar kostenvergoedingen voor het beschikbaar maken ervan, die in verhouding tot die kosten moeten staan. Wat tot stand komt is geen transactie tussen eigenaar en koper, maar een vergunde, aan voorwaarden gebonden toegang onder publiek toezicht. Aanvullende waarborgen kunnen gelden voor bijzonder gevoelige categorieën, zoals genetische gegevens of gegevens uit wellness-apps. Het beeld is dat van een gereguleerde keten, niet van een markt.

Drie rollen, geen eigenaar

Het scherpst blijkt de keuze van de Uniewetgever uit de begrippen die de verordening wél hanteert. De EHDS kent een houder van gezondheidsgegevens (health data holder): degene die op grond van Unierecht of nationaal recht bevoegd of verplicht is elektronische gezondheidsgegevens te verwerken of beschikbaar te maken, in de praktijk meestal de zorgaanbieder. Daarnaast een gebruiker van gezondheidsgegevens (health data user): de onderzoeksinstelling of beleidsmaker die voor secundair gebruik toegang krijgt op grond van een vergunning (data permit). En ten slotte de betrokkene: de natuurlijke persoon op wie de gegevens betrekking hebben. Geen van deze rollen omvat eigendom.

De term “houder” moet daarbij niet goederenrechtelijk worden gelezen. Het gaat niet om bezit of eigendom in civielrechtelijke zin, maar om een functionele rol binnen de EHDS: degene die de gegevens beheert en ze onder voorwaarden moet kunnen ontsluiten.

Dat is geen toevallige woordkeuze. Een expliciet eigendomsmodel zou hebben vereist dat de verordening aanwijst wie als rechthebbende optreedt en welke exclusieve bevoegdheden daarbij horen; zo’n aanwijzing ontbreekt. De Uniewetgever verdeelt in plaats daarvan rechten en plichten over de schakels van een keten en laat de civielrechtelijke vraag “van wie zijn deze gegevens?” onbeantwoord, omdat het antwoord voor de werking van het stelsel niet nodig is. Hetzelfde patroon is zichtbaar in de Data Act, die toegang tot data van slimme apparaten regelt met begrippen als “gebruiker”, “datahouder” en “ontvanger”, en uitdrukkelijk geen eigendomsregime over de data creëert. In plaats van eigendomsrechten kiest de wetgever voor publiekrechtelijke toegangs- en gebruiksregels.

De EHDS zet de AVG niet opzij

Een hardnekkig misverstand is dat de EHDS de AVG vervangt, of dat een HDAB-vergunning op zichzelf voor iedere actor de volledige grondslag voor verwerking zou zijn. Beide kloppen niet. De EHDS laat de AVG gelden en creëert tegelijk eigen wettelijke verplichtingen, taken van algemeen belang en waarborgen. Zo kan de verplichting van de datahouder om gegevens beschikbaar te stellen aansluiten bij art. 6 lid 1 sub c AVG, terwijl de taak van de HDAB onder art. 6 lid 1 sub e kan vallen (vgl. overweging 52 EHDS). De gebruiker moet bij zijn aanvraag nog steeds de toepasselijke art. 6-grondslag aantonen. Voor bijzondere persoonsgegevens is, afhankelijk van doel en nationale of Unierechtelijke uitwerking, een uitzondering uit art. 9 lid 2 sub g, h, i of j nodig. Een data permit is daarmee een noodzakelijke EHDS-toegangsvoorwaarde, maar niet automatisch de volledige AVG-grondslag van de gebruiker.

Daarmee blijven ook de AVG-rechten van betrokkenen van belang, voor zover zij in de concrete verwerkingscontext toepasselijk zijn: inzage (art. 15), rectificatie (art. 16), wissing (art. 17) en bezwaar (art. 21 AVG), in de zorg vaak begrensd door wettelijke bewaarplichten en onderzoeksregimes. Daarnaast gelden de specifieke rechten uit de EHDS en, in Nederland, de patiëntrechten onder de WGBO (Bijvoets, 2026d). De EHDS introduceert kortom aanvullende regels naast de AVG, zonder die te vervangen.

Waarom dit de eigendoms-these bevestigt

In eerdere blogs op deze kennisbank liep telkens dezelfde lijn: persoonsgegevens zijn geen eigendom maar zeggenschap (Bijvoets, 2026a), dataportabiliteit is een begrensd mobiliteitsrecht en geen overdracht van bezit (Bijvoets, 2026b), persoonsgegevens lenen zich niet voor een handelswaar-benadering (Bijvoets, 2026c), en het medisch dossier wordt door de arts gehouden binnen een vertrouwensrelatie, niet door de patiënt bezeten (Bijvoets, 2026d).

De EHDS is de zwaarste test voor die these, en bevestigt haar. Juist nu de Uniewetgever de hele infrastructuur rond gezondheidsdata opnieuw inricht, met alle economische belangen die daarmee gemoeid zijn, ligt een eigendomsbenadering retorisch voor het grijpen. “Geef de burger zijn data terug” laat zich makkelijk vertalen naar een eigendomstitel. De wetgever heeft die stap niet gezet. Hij koos voor toegang, opt-out, vergunning en toezicht, dezelfde benadering die de AVG in 2016 al koos. Dat is geen tekortkoming van de verordening. Het is een keuze die past bij de aard van gezondheidsgegevens: relationeel, gelaagd en hoogstpersoonlijk. Zulke gegevens laten zich beter reguleren via vertrouwen en gereguleerde toegang dan via bezit en overdracht.

Conclusie

De European Health Data Space maakt gezondheidsgegevens breder toegankelijk dan ooit, voor de zorg én voor onderzoek. Maar zij maakt de patiënt nergens eigenaar. Zij geeft hem zeggenschapsrechten (toegang, beperking, bezwaar) en plaatst zijn gegevens in een keten van houders, gebruikers en toezichthouders, beheerst door de AVG en, in Nederland, door de WGBO en het beroepsgeheim. Wie een eigenaar zoekt in de meest ingrijpende Europese regeling voor gezondheidsdata, vindt er geen. En dat is precies de bevestiging waar deze serie naartoe werkte: ook in het tijdperk van Europese data spaces blijft de bescherming van gezondheidsgegevens geen kwestie van bezit, maar van grondrechten, vertrouwen en gereguleerde toegang.

Bronnen

• Article 29 Data Protection Working Party (2017) Guidelines on the right to data portability, WP242 rev.01, 5 April 2017 (endorsed by the European Data Protection Board, 25 May 2018). Available at: https://ec.europa.eu/newsroom/article29/items/611233, accessed on 12 August 2026.
• Bijvoets, J. (2026a) Persoonsgegevens zijn geen eigendom: waarom de AVG kiest voor zeggenschap. AVG Compleet. Available at: https://avg-compleet.nl/persoonsgegevens-zijn-geen-eigendom/.
• Bijvoets, J. (2026b) Dataportabiliteit onder de AVG: zeggenschap zonder eigendom. AVG Compleet. Available at: https://avg-compleet.nl/dataportabiliteit-onder-de-avg/.
• Bijvoets, J. (2026c) Waarom persoonsgegevens geen handelswaar mogen worden. AVG Compleet. Available at: https://avg-compleet.nl/waarom-persoonsgegevens-geen-handelswaar-mogen-worden/.
• Bijvoets, J. (2026d) Patiëntgegevens, WGBO en AVG: waarom het medisch dossier geen verkoopbaar bezit is. AVG Compleet. Available at: https://avg-compleet.nl/patientgegevens-wgbo-en-avg/.
• Burgerlijk Wetboek, Boek 5, art. 5:1; Boek 7, art. 7:454-7:464 (Wet op de geneeskundige behandelingsovereenkomst).
• Handvest van de grondrechten van de Europese Unie, PbEU 2012/C 326/02, art. 8 en 17.
• Minister van VWS, Stand van zaken implementatie European Health Data Space Verordening (Kamerbrief), 20 januari 2026, Kamerstukken II 2025/26, 27 529 (samenhangend EU-dossier 36 121); vervolgbrief 18 mei 2026, Kamerstukken II 2025/26, 27 529, nr. 360. Beschikbaar via zoek.officielebekendmakingen.nl.
• P&I 2024/5 ‘Het Kamerlid, de ministers en de EHDS’ (over zeggenschapsrechten en uitzonderingen bij primair en secundair gebruik).
• P&I 2025/3 ‘Actualiteiten’ (over de Nederlandse opt-out-keuze en de positionering van de HDAB).
• Verordening (EU) 2025/327 van het Europees Parlement en de Raad van 11 februari 2025 betreffende de Europese ruimte voor gezondheidsgegevens (EHDS-verordening), PbEU L 2025/327, 5 maart 2025, met name art. 7, 15, 66, 71 en 105 en overwegingen 15 en 52.
• Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming), met name art. 6, 9, 15-17 en 21.
• Verordening (EU) 2022/868 (Data Governance Act), PbEU 2022/L 152.
• Verordening (EU) 2023/2854 (Data Act), PbEU 2023.

Engelse versie

Download de Engelse versie van dit artikel (PDF)

Lees ook: