Patiëntgegevens onder EHDS en de Data Act: een nieuw evenwicht zonder eigendom
Joris Bijvoets, CIPP/E (AVG Compleet B.V.)
AVG Compleet kennisbank, 23 augustus 2026
Dit artikel is deel 6 van 6 in de reeks Persoonsgegevens, eigendom en zeggenschap. De zes blogs bouwen inhoudelijk op elkaar voort en kunnen daarom het beste in volgorde worden gelezen. Begin bij deel 1.
Drie nieuwe verordeningen, één vraag
Tussen mei 2022 en maart 2025 heeft de Europese Unie drie verordeningen vastgesteld die de positie van data in de digitale economie fundamenteel hervormen: de Data Governance Act (Verordening (EU) 2022/868), de Data Act (Verordening (EU) 2023/2854) en de European Health Data Space (Verordening (EU) 2025/327, gepubliceerd in het Publicatieblad op 5 maart 2025). Voor de functionaris voor gegevensbescherming (FG) bij een zorgaanbieder, en breder voor iedereen die met patiëntgegevens werkt, is dat geen marginale ontwikkeling. Het kader waarin het EPD, de verwerkersovereenkomst met de cloudleverancier en de governance van wetenschappelijk onderzoek functioneren, is er wezenlijk anders door geworden.
Wat in deze nieuwe kaders opvallend afwezig is, is het vocabulaire van het eigendomsrecht. Geen van de drie verordeningen spreekt over een “eigenaar van data” of over een verkoopbaar persoonsgegeven. De Uniewetgever koos consequent voor een ander begrippenkader: toegang, gebruik, deling, opt-out, vergunning, toezicht. Daarin is de lijn herkenbaar die de AVG in 2016 al inzette: persoonsgegevens worden behandeld als voorwerp van grondrechtelijke bescherming, niet als handelswaar (Bijvoets, 2026a).
Voor de FG-praktijk schept dat om te beginnen duidelijkheid: de oude vraag “van wie zijn de patiëntgegevens?” krijgt een preciezer antwoord. Zij worden in het geldende recht niet als eigendom in civielrechtelijke zin behandeld, maar als object van een gelaagde toegangs- en gebruiksstructuur waarin primair en secundair gebruik elk eigen waarborgen kennen. Tegelijk neemt de complexiteit toe: de regels stapelen zich op (AVG, WGBO, UAVG, EHDS, Data Act, Data Governance Act) en de uitwerking van de EHDS in nationaal recht is nog gaande. Dit blog schetst die lagen, met de FG-rol als kompas.
De drie verordeningen in vogelvlucht
De Data Governance Act schiep in 2022 de Europese infrastructuur voor het delen van gegevens: tussenpersonen (“data intermediation services”), regels voor altruïstisch gegevensgebruik (“data altruism”) en publieke gegevensruimten. De verhouding tot persoonsgegevens is bescheiden: de DGA voegt geen rechtsgrondslag voor verwerking toe en is uitdrukkelijk een aanvulling op de AVG (art. 1 lid 3 DGA). Voor de FG is de DGA vooral relevant bij data-altruïsme-regelingen en bij het beoordelen van gegevenstussenpersonen.
De Data Act, vastgesteld op 13 december 2023 en grotendeels van toepassing sinds 12 september 2025, regelt de toegang tot en het gebruik van gegevens die worden gegenereerd door “verbonden producten”: Internet of Things-apparaten, voertuigen, slimme systemen en medische devices die zelf data produceren. Twee kernrechten staan centraal: het recht van de gebruiker om bij de fabrikant zijn data op te vragen (en aan een derde te laten verstrekken), en regels rond data-overdracht bij het overstappen tussen clouddiensten. De ontwerpplicht uit art. 3 lid 1 Data Act geldt volgens art. 50 lid 2 voor verbonden producten en gerelateerde diensten die na 12 september 2026 in de Unie op de markt zijn gebracht.
Voor persoonsgegevens herhaalt de Data Act expliciet dat de AVG voorrang behoudt: bevat de gevraagde dataset persoonsgegevens, dan blijven de AVG-rechtsgronden en betrokkenenrechten onverkort gelden (art. 1 lid 5 Data Act). De Data Act creëert dus geen nieuw eigendomsregime over persoonsgegevens. Wat hij wél regelt, is verwant aan het idee achter art. 20 AVG, maar dan uitgewerkt in een eigen, breder toegangs- en delingsregime voor door apparaten gegenereerde gegevens (zie over de begrenzing van het AVG-recht Bijvoets, 2026b).
De grootste verandering voor de zorgsector zit in de EHDS-verordening. Zij beoogt twee dingen tegelijk: betere toegang tot en uitwisseling van elektronische gezondheidsgegevens voor de zorgverlening (primair gebruik), en gereguleerde toegang tot gezondheidsgegevens voor doelen buiten de zorg, zoals wetenschappelijk onderzoek, beleidsvorming en publieke gezondheidsmonitoring (secundair gebruik). De algemene toepassingsdatum is 26 maart 2027. Veel kernverplichtingen volgen echter later: primair gebruik voor de eerste prioritaire categorieën en hoofdstuk IV over secundair gebruik in hoofdzaak vanaf 26 maart 2029, verdere categorieën vanaf 26 maart 2031 en enkele beperkte onderdelen vanaf 2035 (art. 105 EHDS).
Primair gebruik: zeggenschap, geen eigendom
Voor het primair gebruik voorziet de EHDS vooral in rechten op toegang en op beperking (art. 3 en 8 EHDS): de patiënt kan inzage in zijn elektronische gezondheidsgegevens uitoefenen en kan aangeven welke specifieke gegevens hij niet of beperkt aan zorgverleners ter beschikking wil stellen. Een rechtstreeks werkend, uniform opt-outregime voor primair gebruik bevat de verordening niet; de continuïteit en kwaliteit van zorg laten een onbegrensde opt-out moeilijk toe. Wel kunnen lidstaten op grond van art. 10 EHDS zo’n opt-out nationaal invoeren, mits die omkeerbaar is. De Nederlandse wetgever heeft aangekondigd van die mogelijkheid gebruik te willen maken (Kamerbrief stand van zaken implementatie EHDS, 20 januari 2026).
Deze rechten zijn structureel anders dan eigendomsrechten. Zij berusten op zeggenschap (meedoen of niet, toegang verlenen of inperken), niet op vervreemding. Zij zijn herroepbaar en moeten worden gelezen naast de bestaande AVG-rechten (inzage, rectificatie, wissing) en WGBO-rechten (inzage, afschrift, aanvulling, vernietiging; zie Bijvoets, 2026d). Een eigendomsmodel zou de patiënt in staat stellen zijn dossier definitief af te staan in ruil voor een wederdienst; de EHDS voorziet daar niet in en sluit daarmee aan bij de bestaande benadering onder de AVG.
Een derde element verdient aparte aandacht: de zeggenschapsrechten kennen uitzonderingen ter bescherming van vitale belangen. Zo bepaalt art. 10 EHDS dat bij een nationale opt-out toegang mogelijk blijft wanneer de vitale belangen van de betrokkene of van een ander dat vereisen. Denk aan een patiënt die om afscherming heeft verzocht maar in een levensbedreigende situatie terechtkomt waarin de zorgverlener toch toegang tot bepaalde gegevens nodig heeft (P&I 2024/5). Lidstaten werken die uitzonderingsruimte in nationale wetgeving verder uit. De inrichting van het zorgproces kan dus niet volstaan met “patiënt heeft een beperking ingesteld, dus geen toegang”; er moet een procedure zijn voor vitale uitzonderingen, gecombineerd met logging die achteraf de toets der kritiek kan doorstaan.
Secundair gebruik: governance via vergunning
Voor secundair gebruik kiest de EHDS een stelsel dat niet leunt op toestemming per individu. Gegevens komen in geanonimiseerde vorm beschikbaar wanneer het doel daarmee kan worden bereikt; alleen wanneer de gebruiker aantoont dat dat niet kan, wordt met gepseudonimiseerde gegevens gewerkt (art. 66 EHDS), binnen een beveiligde verwerkingsomgeving (art. 73 EHDS). Beschikbaarstelling gebeurt bovendien alleen voor limitatief omschreven doelen en nadat een nationale Health Data Access Body (HDAB) daarvoor een vergunning heeft verleend (art. 53 en 68 EHDS). Daarnaast geeft art. 71 EHDS betrokkenen een recht om bezwaar te maken tegen secundair gebruik van hun gezondheidsgegevens; de precieze modaliteiten worden nader in nationale wetgeving uitgewerkt (P&I 2025/3).
Lidstaten mogen in nationale wetgeving uitzonderingen op dat bezwaarrecht opnemen, onder de strikte voorwaarden die de verordening daaraan stelt, zoals een taak in het algemeen gezondheidsbelang (art. 71 lid 4 EHDS; P&I 2024/5). Aanvullende waarborgen kunnen gelden voor bijzonder gevoelige categorieën, zoals genetische gegevens en gegevens uit wellnessapps (een categorie die de verordening zelf afzonderlijk benoemt). Wat onder die aanvullende waarborgen valt, is open voor nationale invulling; de Nederlandse uitwerking is op het moment van schrijven niet afgerond.
Voor de FG bij een zorgaanbieder zijn er twee praktische aandachtspunten. Ten eerste: volgens berichtgeving in P&I verkennen bestaande databronhouders in het Nederlandse landschap (denk aan Vektis, Dutch Hospital Data, het Nivel en het Integraal Kankercentrum Nederland) samen met VWS hoe de regie rond de toekomstige HDAB wordt belegd; voor de individuele zorginstelling is de vraag hoe haar interne registratie zich daartoe gaat verhouden (P&I 2025/6). Ten tweede: secundair gebruik vraagt om datageschiktheid, niet alleen om databeschikbaarheid. Een EPD dat niet gestandaardiseerd is gecodeerd, levert geen bruikbare datasets op; zonder die kwaliteit is een HDAB-vergunning betekenisloos.
De verhouding tot AVG en WGBO
Zet de EHDS de AVG opzij? Nee. De EHDS laat de AVG gelden, maar bevat specifieke regels voor toegang tot en gebruik van gezondheidsgegevens die binnen haar toepassingsbereik naast de AVG functioneren. De EHDS creëert daarbij zelf wettelijke verplichtingen, taken van algemeen belang en waarborgen. Voor bijzondere persoonsgegevens kan, afhankelijk van doel en rechtskader, art. 9 lid 2 sub g, h, i of j AVG relevant zijn; in Nederland spelen onder meer art. 24 en 30 UAVG mee. De WGBO blijft van toepassing op de behandelingsovereenkomst en de daaruit voortvloeiende dossierplicht (art. 7:454 BW), evenals het medisch beroepsgeheim (art. 88 Wet BIG; art. 7:457 BW).
Een veelvoorkomend misverstand is dat de HDAB-vergunning automatisch voor iedere actor de volledige AVG-grondslag vormt. De EHDS is zelf wel degelijk deel van het normatieve fundament: de beschikbaarstellingsplicht van de datahouder kan aansluiten bij art. 6 lid 1 sub c AVG en de taak van de HDAB bij art. 6 lid 1 sub e (vgl. overweging 52 EHDS). De gebruiker moet bij de aanvraag niettemin zijn toepasselijke art. 6-grondslag aantonen. De data permit is dus een noodzakelijke EHDS-toegangsvoorwaarde, maar niet zonder meer de volledige grondslag van de gebruiker (Bijvoets, 2026e).
Voor de FG levert dit een operationele check op. Bij secundair gebruik moet de organisatie kunnen aantonen welke AVG-rechtsgrond zij hanteert, welke uitzondering op het verwerkingsverbod van art. 9 lid 1 AVG van toepassing is, en hoe het EHDS-regime (HDAB-vergunning, bezwaarregistratie, eventuele lidstatelijke uitzondering) daarbij is verankerd. In de DPIA en het verwerkingsregister verdient die gelaagdheid expliciete vermelding.
Wat ontbreekt: het eigendomsbegrip
De EHDS-verordening kent het begrip “eigenaar van data” niet. Zij spreekt over een houder van gezondheidsgegevens (health data holder), een gebruiker van gezondheidsgegevens (health data user) en de betrokkene (de patiënt). De houder is de zorgaanbieder of een andere entiteit die de gegevens in de praktijk beheert; de gebruiker is de onderzoeksinstelling of beleidsmaker die er op grond van een vergunning toegang toe krijgt; de betrokkene is de natuurlijke persoon op wie ze betrekking hebben. Geen van deze rollen omvat eigendom (Bijvoets, 2026e).
Hetzelfde geldt voor de Data Act. Wie art. 1 en art. 4 Data Act leest, treft “user”, “data holder”, “third party” en “recipient” aan; een eigendomsbegrip voor data hanteert de verordening niet. De civielrechtelijke kwalificatie van data is in de EU-lidstaten bovendien niet eenduidig, en een eigendomsregime over data is in de literatuur veelvuldig bekritiseerd (vgl. Purtova, 2017; Bijvoets, 2026a). De Data Act sluit daarbij aan door uitsluitend in termen van toegangsrechten te spreken.
Voor de zorgcontext betekent dit dat patiëntgegevens onder de EHDS niet als eigendom worden toebedeeld: niet aan de patiënt, niet aan de zorgaanbieder en niet aan een nationale gegevensbank. Zij worden behandeld als voorwerp van een gereguleerde toegangsketen, waarin elke schakel (patiënt, hulpverlener, zorginstelling, HDAB, gebruiker) eigen rechten en plichten heeft. Voor de juridische kwalificatie biedt dat in de praktijk meer houvast dan een eigendomsmodel.
Wat verandert er voor de FG-praktijk?
De FG-praktijk verandert onder meer op de volgende punten.
Verwerkingsregister. Breng eerst de feitelijke verwerkingshandelingen en doelen in kaart. Secundair gebruik kan een afzonderlijke verwerkingsactiviteit zijn of een bestaande registratie wezenlijk wijzigen. Beoordeel daarom per proces of een aparte vermelding dan wel actualisatie van het register onder art. 30 AVG nodig is; leg in elk geval doel, grondslag, categorieën, ontvangers en bewaartermijnen controleerbaar vast.
DPIA. Beoordeel vóór de invoering of de nieuwe of gewijzigde verwerking waarschijnlijk een hoog risico oplevert en actualiseer een bestaande DPIA wanneer het risicobeeld verandert (art. 35 AVG). Bij grootschalige verwerking van gezondheidsgegevens zal een DPIA vaak verplicht zijn. Besteed daarin expliciet aandacht aan pseudonimisering en anonimisering, logging, beveiligde verwerkingsomgevingen en bezwaarprocedures.
Rollen en contracten. Een onderzoeks- of analysepartner is niet automatisch verwerker. Bepaal eerst wie doelen en middelen vaststelt: verwerkingsverantwoordelijke, gezamenlijke verwerkingsverantwoordelijke of verwerker. Alleen in het laatste geval is art. 28 AVG en een verwerkersovereenkomst de juiste route; bij gezamenlijke verantwoordelijkheid hoort een regeling volgens art. 26. Veranker daarnaast de data permit, beveiligingsvoorwaarden, bezwaarverwerking en toegestane doeleinden.
Communicatie naar de patiënt. Het bezwaarrecht is alleen effectief wanneer de patiënt het kent. Heldere informatie over primair en secundair gebruik (art. 13-14 AVG, aangevuld met de EHDS-transparantievoorzieningen) verdient een herkenbare plaats in de patiëntencommunicatie. Een tekortkoming kan strijd met de transparantieverplichtingen opleveren, maar leidt niet automatisch in iedere casus tot onrechtmatigheid van alle secundaire verwerking: art. 14 lid 5 AVG kent uitzonderingen en de EHDS bouwt eigen informatie-infrastructuur. Leg vast welke informatieplicht, uitzondering en waarborg per gegevensstroom geldt.
Governance. Onder de EHDS moet de zorgaanbieder zich verhouden tot nieuwe actoren: de nationale HDAB, gebruikers van secundaire data en eventueel een data-altruïsme-organisatie onder de DGA. Wijs bestuurlijk eigenaarschap, besluitvorming en toezichtslijnen toe. De FG adviseert en houdt onafhankelijk toezicht overeenkomstig art. 38-39 AVG; de verantwoordelijkheid voor doelen, middelen, risicoacceptatie en naleving blijft bij de verwerkingsverantwoordelijke en het bestuur.
Slot
De drie nieuwe Europese kaders (DGA, Data Act, EHDS) zijn allesbehalve een terugkeer naar het eigendomsdebat over data. Zij werken juist uit wat het betekent om gegevens beschikbaar te maken zonder ze aan iemand in eigendom toe te wijzen. Voor de zorgsector is de EHDS daarvan het meest verstrekkende voorbeeld: het regime van primair en secundair gebruik, met beperkingsrechten, bezwaar, HDAB-vergunningen en lidstatelijke uitzonderingen, vormt een complexe architectuur die zorg, onderzoek en bescherming in samenhang beoogt te reguleren, en waarin patiëntgegevens bruikbaar worden zonder verhandelbaar te worden.
Voor de FG-praktijk bevestigt dit kader de AVG-grondbeginselen: zeggenschap loopt via betrokkenenrechten, rechtmatigheid via rechtsgrondslagen, en bescherming via governance in plaats van bezit. De uitwerking is gelaagd en de Nederlandse implementatie van de EHDS is nog niet voltooid. De komende periode vraagt om tijdig, onafhankelijk advies en toezicht van de FG bij rolbepaling, DPIA-actualisatie, het verwerkingsregister en de praktische inrichting van bezwaarprocedures.
Het oude wantrouwen tegen de “data is the new oil”-metafoor wordt door de EHDS niet weggenomen maar bevestigd. Patiëntgegevens worden niet als eigendom toebedeeld. Zij vormen het voorwerp van een gereguleerde toegangs- en gebruiksarchitectuur waarin patiënt, zorgaanbieder en samenleving ieder een rol vervullen. De FG adviseert en monitort binnen die architectuur; de organisatie zelf moet rechtmatigheid, transparantie en controleerbaarheid realiseren en aantonen.
Bronnen
- Bijvoets, J. (2026a) Persoonsgegevens zijn geen eigendom: waarom de AVG kiest voor zeggenschap. AVG Compleet. Available at: https://avg-compleet.nl/persoonsgegevens-zijn-geen-eigendom/.
- Bijvoets, J. (2026b) Dataportabiliteit onder de AVG: zeggenschap zonder eigendom. AVG Compleet. Available at: https://avg-compleet.nl/dataportabiliteit-onder-de-avg/.
- Bijvoets, J. (2026d) Patiëntgegevens, WGBO en AVG: waarom het medisch dossier geen verkoopbaar bezit is. AVG Compleet. Available at: https://avg-compleet.nl/patientgegevens-wgbo-en-avg/.
- Bijvoets, J. (2026e) De European Health Data Space: waarom ook de nieuwste EU-datawet geen eigenaar kent. AVG Compleet. Available at: https://avg-compleet.nl/de-european-health-data-space/.
- Burgerlijk Wetboek, Boek 7, art. 7:454 en 7:457 (Wet op de geneeskundige behandelingsovereenkomst).
- Minister van VWS, Stand van zaken implementatie European Health Data Space Verordening (Kamerbrief), 20 januari 2026, Kamerstukken II 2025/26, 27 529. Beschikbaar via zoek.officielebekendmakingen.nl.
- P&I 2024/5 ‘Het Kamerlid, de ministers en de EHDS’ (over zeggenschapsrechten en uitzonderingen bij primair en secundair gebruik).
- P&I 2025/3 ‘Actualiteiten’ (over de Nederlandse opt-out-keuze en de positionering van de HDAB).
- P&I 2025/6 ‘Actualiteiten’ (over EHDS-databeschikbaarheid en -datageschiktheid; brief Vektis-DHD-Nivel-IKNL).
- Purtova, N. (2017) ‘Do Property Rights in Personal Data Make Sense after the Big Data Turn? Individual Control and Transparency’, Journal of Law and Economic Regulation, 10(2), pp. 64-78.
- Uitvoeringswet Algemene Verordening Gegevensbescherming, art. 24 en 30.
- Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming), met name art. 6, 9, 13-14, 26, 28, 30, 35 en 38-39.
- Verordening (EU) 2022/868 (Data Governance Act), PbEU 2022/L 152, met name art. 1 lid 3.
- Verordening (EU) 2023/2854 (Data Act), PbEU L 2023/2854, 22 december 2023, met name art. 1 lid 5, art. 3 lid 1 en art. 50.
- Verordening (EU) 2025/327 van het Europees Parlement en de Raad van 11 februari 2025 betreffende de Europese ruimte voor gezondheidsgegevens (EHDS-verordening), PbEU L 2025/327, 5 maart 2025, met name art. 66, 68, 71, 73 en 105 en overweging 52.
- Wet op de beroepen in de individuele gezondheidszorg, art. 88.
