Home
Kamerstukken

Nota n.a.v. het (nader/tweede nader/enz.) verslag : Nota naar aanleiding van het verslag

36 825 Wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88)

Nr. 7
NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 24 april 2026

Inhoudsopgave

Algemeen deel

Inleiding

1.1.

Aanleiding wetsvoorstel

1.2.

Categorieën van gezondheidsinformatie

1.3.

Doel wetsvoorstel

Implementatiewetgeving

2.1.

European Health Data Space

Hoofdlijnen van het wetsvoorstel

3.1.

Probleemomschrijving

3.2.

Oplossingsrichting

3.3.

Instrumentkeuze

3.4.

Reikwijdte wetsvoorstel

Verhouding tot hoger recht

4.1.

Bescherming persoonlijke levenssfeer en gegevensbescherming

4.2.

EVRM

4.3.

Grondwet (Gw)

4.4.

EHDS-verordening

Verhouding tot nationale regelgeving

5.1.

Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)

5.2.

Wet op de geneeskundige behandelingsovereenkomst (WGBO) en Wet op de beroepen in de
individuele gezondheidszorg (Wet BIG)

5.3.

Wet aanvullende bepalingen Burgerservicenummer (Wabb)

5.4.

Wet elektronische gegevensuitwisseling in de zorg (Wegiz)

5.5.

Verhouding met andere nationale programma’s en initiatieven

Effecten van het Wetsvoorstel

6.1.

Gevolgen voor zorgaanbieders en zorgverleners F

6.2.

Gevolgen voor burgers

6.3.

Gevolgen voor IT-leveranciers en -dienstverleners

6.4.

Gevolgen voor de overheid

6.5.

Gevolgen voor de gegevensbescherming (DPIA)

6.6.

Effecten op de arbeidsmarkt

6.7.

Fraude

Financiële gevolgen en regeldruk

7.1.

Overheid

7.2.

Zorgaanbieders

7.3.

Cliënten

7.4.

Effecten regeldruk

Uitvoering

Toezicht en handhaving

10.

Advies en consultatie

10.1.

Internetconsultatie

10.2.

Uitvoeringstoets CIBG

10.3.

Toets Autoriteit Persoonsgegevens

10.4.

Toets Adviescollege toetsing regeldruk (ATR)

II.

Artikelsgewijze toelichting

Met interesse heb ik kennisgenomen van het verslag van de vaste commissie voor Volksgezondheid,
Welzijn en Sport over het onderhavige wetsvoorstel. Ik dank de fracties van VVD, GroenLinks-PvdA,
CDA, SGP en SP. Het heeft mij verheugd dat de commissie, onder het voorbehoud dat
de gestelde vragen en gemaakte opmerkingen voldoende zullen worden beantwoord, de
openbare behandeling van het wetsvoorstel genoegzaam voorbereid acht. Hieronder zal
ik nader ingaan op de gestelde vragen. Dit doe ik in de volgorde van het door de commissie
uitgebrachte verslag. In deze nota zijn de vragen en opmerkingen uit het verslag integraal
opgenomen in cursieve tekst en de beantwoording daarvan in gewone typografie.

I. Algemeen deel

1. Inleiding

De leden van de D66-fractie hebben met interesse kennisgenomen van het wetsvoorstel Wijziging van de Wet aanvullende
bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24
van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van
de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88).
Genoemde leden hebben op dit moment geen vragen aan de regering.

De leden van de VVD-fractie hebben kennisgenomen van voornoemde wetsvoorstel. Genoemde leden hebben daarover nog
de volgende opmerking en vragen.

De leden van de GroenLinks-PvdA-fractie hebben kennisgenomen van de Wijziging van de Wet aanvullende bepalingen verwerking
persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees
Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van
patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88). Deze leden onderschrijven
het doel van betere zorggegevensuitwisseling wat ten goede komt aan betere zorg. De
huidige situatie waarbij het vaak niet mogelijk is om relevante gezondheidsgegevens
uit te wisselen is onwenselijk voor zowel patiënt als zorgverlener. De voorgenoemde
leden hebben nog een aantal vragen en opmerkingen.

De leden van de CDA-fractie hebben met interesse kennisgenomen van het wetsvoorstel. Zij hebben nog enkele vragen.

De leden van de JA21-fractie hebben kennisgenomen van de wijziging van de Wet aanvullende bepalingen verwerking
persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees
Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende
gezondheidszorg (PbEU 2011, L 88). Deze leden hebben geen verdere vragen of opmerkingen
aan de regering.

De leden van de BBB-fractie hebben kennisgenomen van de wijziging van de Wet aanvullende bepalingen verwerking
persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees
Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van
patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88). Genoemde leden
hebben geen vragen aan de regering.

De leden van de SGP-fractie hebben met belangstelling kennisgenomen van het wetsvoorstel. Zij constateren dat
de reikwijdte van de voorgestelde wetswijziging zich beperkt tot de borging van de
wettelijke taak en de grondslag voor een rechtmatige verwerking van persoonsgegevens
via het nationale contactpunt voor e-health (NCPeH-NL). Deze leden hebben hierover
nog een aantal vragen.

De leden van de SP-fractie hebben kennisgenomen van het wetsvoorstel en hebben hier nog enkele vragen en opmerkingen
over.

1.1. Aanleiding wetsvoorstel

De leden van de GroenLinks-PvdA-fractie lezen dat het gebrek aan interoperabiliteit tussen lidstaten zorgt voor obstakels.
Hoewel zij deze aanname volgen, vragen zij de regering om te kwantificeren of onderbouwen
hoe groot het verlies aan productiviteit en gezondheid in de huidige situatie is ten
opzichte van de situatie als systemen wel interoperabel zijn.

Het huidige gezondheidsinformatiestelsel schiet tekort in het aanpakken van zowel
de huidige als toekomstige uitdagingen binnen de zorg op het terrein van gegevensuitwisseling.
Voor het leveren van goede en doelmatige zorg die ook onnodige ziekenhuis opnames
voorkomt, is nationale en grensoverschrijdende elektronische gegevensuitwisseling
voor zorg en welzijn randvoorwaardelijk.

De te verwachten opbrengsten van verbeterde interoperabiliteit voor productiviteit
en gezondheid zijn naar verwachting groot, maar lastig te kwantificeren. In een impactanalyse
van de Europese Commissie wordt geschat dat MyHealth@EU, in een grensoverschrijdende
context, kan leiden tot 1,9 tot 2,8 miljard euro aan besparingen op het gebied van
interstatelijke uitwisseling van voorschriften (ePrescriptions) en dat 19 tot 75 miljoen
euro extra kan worden bespaard door alleen al de uitwisseling van medische beelden.1

De leden van de GroenLinks-PvdA-fractie lezen dat het Nederlandse contactpunt, gefaciliteerd vanuit de EU maar zonder Europeesrechtelijke
verplichting, sinds 2022 operationeel is en dat op dit moment elektronische recepten,
elektronische verstrekkingen en bepaalde patiëntsamenvattingen kunnen worden uitgewisseld.
Kan worden toegelicht in hoeverre het systeem functioneel is en in hoeverre het naar
behoren functioneert?

De aansluiting en uitwisseling van de categorieën gezondheidsinformatie vindt plaats
op basis van de Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart
2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende
gezondheidszorg (Richtlijn 2024/11/EU) en is op dit moment nog vrijwillig. Het Nederlandse
contactpunt (NCPeH-NL) is sinds 2022 operationeel en in beheer bij het CIBG. Het NCPeH-NL
ondersteunt de ontvangst van de patiëntsamenvatting vanuit een andere lidstaat voor
verstrekking aan een Nederlandse zorgaanbieder ten behoeve van de zorgverlening aan
een uit het buitenland afkomstige patiënt. Deze uitwisseling functioneert naar behoren
en kan op dit moment worden gedaan in twee Nederlandse ziekenhuizen die gebruik maken
van het NCPeH-NL. Er kan een patiëntsamenvatting worden opgevraagd van een patiënt
uit: Cyprus, Tsjechië, Estland, Spanje, Frankrijk, Kroatië, Ierland, Luxemburg, Letland,
Malta, Noorwegen en Portugal.

De Verordening betreffende de Europese ruimte voor gezondheidsgegevens (EHDS-verordening)2 verplicht het aanwijzen, inrichten en operationeel hebben van een nationaal contactpunt
per 26 maart 2029. Per die datum moet het NCPeH-NL patiëntsamenvattingen, elektronische
recepten en elektronische verstrekkingen kunnen uitwisselen. Mijn ministerie werkt
momenteel aan de uitbreiding van de dienstverlening van het NCPeH-NL, zodat patiëntsamenvattingen
van Nederlandse burgers bij huisartsen kunnen worden opgehaald en naar buitenlandse
zorgaanbieders kunnen worden verzonden met het oog op zorgverlening aan Nederlanders
in het buitenland. Livegang van deze uitwisseling kan plaatsvinden na de inwerkingtreding
van dit wetsvoorstel.

Binnen Nederland sluiten huidige informatiesystemen van zorgverleners ook niet altijd
goed op elkaar aan wat ten koste gaat van goede gegevensuitwisseling van zorgdossiers.
De leden van de GroenLinks-PvdA-fractie vragen of en in hoeverre e-health (NCPeH-NL) ook kan bijdragen aan goede gegevensuitwisseling
binnen Nederland? Zo nee, waarom niet? Welke lessen kunnen er worden getrokken uit
dit Europese systeem?

Het NCPeH-NL is een organisatorische en technische toegangspoort voor digitale grensoverschrijdende
uitwisseling van gezondheidsinformatie en speelt daarom niet direct een rol bij de
gegevensuitwisseling tussen zorgverleners in Nederland. Niettemin kan de deelname
met het NCPeH-NL aan de MyHealth@EU-infrastructuur bijdragen aan het verbeteren van
gegevensuitwisseling binnen Nederland. De uitwisseling van gegevens door het NCPeH-NL
via de MyHealth@EU-infrastructuur vindt namelijk plaats op basis van standaarden.
Door het gebruik van deze standaarden kan de dataschikbaarheid ook in Nederland worden
verbeterd. Daarnaast dienen voor het mogelijk maken van grensoverschrijdende gegevensuitwisseling
vanuit Nederland gegevens vanuit verschillende bronnen te worden samengebracht. Inspanningen
die in dit kader worden geleverd kunnen bijdragen aan de ontwikkeling van oplossingen
ter verdere verbetering van elektronische gegevensuitwisseling in Nederland.

De leden van de CDA-fractie vragen of de regering iets meer kan toelichten hoe de gegevensuitwisseling in internationaal
verband nu precies in de praktijk werkt, aangezien zij begrijpen dat het National
Contactpoint for Digital Health (NCPeH) al sinds 2022 operationeel is. Ook vragen
deze leden hoe vaak gebruik wordt gemaakt van NCPeH-NL door Nederlandse zorgverleners.

De technische implementatie voor het opvragen van gegevens uit het buitenland via
het NCPeH-NL door zorgverleners in Nederland is in 2022 voltooid en ondergebracht
bij het CIBG. In de praktijk kan vanaf dat moment een patiëntsamenvatting van een
cliënt uit een andere lidstaat opgevraagd worden ten behoeve van de zorgverlening
in Nederland. De Nederlandse zorgverlener kan hiervoor gebruik maken van het NCPeH-NL
portaal. Het NCPeH-NL verstuurt de aanvraag naar het betreffende contactpunt in de
andere lidstaat en ontvangt, indien beschikbaar, een patiëntsamenvatting van de cliënt.
In paragraaf 3.2.3 van de memorie van toelichting is een uitgebreide toelichting op
alle processtappen beschreven.

De aansluiting op MyHealth@EU voor het opvragen van gegevens uit het buitenland vond
initieel in een pilot plaats met twee Nederlandse ziekenhuizen (Saxenburgh Medisch
Centrum en ZorgSaam Ziekenhuis De Honte). Zorgverleners uit deze ziekenhuizen kunnen
via het NCPeH-NL patiëntsamenvattingen opvragen van cliënten uit twaalf lidstaten.
De zorgverleners uit deze twee ziekenhuizen hebben het NCPeH-NL tot dusver drie keer
bevraagd.

De hiervoor beschreven uitwisseling vindt plaats op basis van toestemming. Allereerst
gaat het hier om de toestemming van de cliënt uit een andere lidstaat aan de zorgverlener
in Nederland om zijn (gezondheids)gegevens met het NCPeH-NL te delen teneinde een
patiëntsamenvatting op te vragen. Dit is de grondslag voor doorbreking van het medisch
beroepsgeheim. Daarnaast betreft het de toestemming aan het NCPeH-NL om die gegevens
te mogen verwerken en te delen met het nationale contactpunt in de andere lidstaat.
Hoewel de grondslag toestemming vanwege de ongelijke machtsverhouding tussen burger
en overheid niet de meest ideale is, wordt deze – in afwachting van een wettelijke
taak voor het NCPeH-NL en de grondslag om in dat kader (gezondheids)gegevens te mogen
verwerken – tijdelijk acceptabel geacht, omdat de uitwisseling via het NCPeH-NL op
dit moment in zeer beperkte mate plaatsvindt. Met dit wetsvoorstel worden die wettelijke
taak en grondslag voor het NCPeH-NL gecreëerd om (gezondheids)gegevens te mogen verwerken.
De hiervoor beschreven toestemming aan het NCPeH-NL is dan dus niet langer vereist.
De toestemming van de cliënt aan de Nederlandse zorgaanbieder om gegevens te mogen
delen met het NCPeH-NL blijft wel vereist.

Er kunnen op dit moment nog geen gegevens over cliënten uit Nederland via het NCPeH-NL
worden verzonden naar het buitenland. Ik werk momenteel aan de technische implementatie
hiervan. Voordat daadwerkelijke uitwisseling mogelijk is, is vereist dat de taak tot
het beheer van het NCPeH-NL en de grondslagen om in dat verband (gezondheids)gegevens
te mogen verwerken bij wet zijn geregeld. Het wetsvoorstel voorziet hierin.

De leden van de CDA-fractie vragen verder hoe ver andere Europese lidstaten hiermee zijn.

Van de dertig lidstaten3 die deel mogen nemen aan het MyHealth@EU-netwerk, zijn dertien andere landen live
met een nationaal contactpunt voor één of meer categorieën gezondheidsinformatie.
Dat zijn Cyprus, Tsjechië, Estland, Spanje, Frankrijk, Kroatië, Ierland, Luxemburg,
Letland, Malta, Noorwegen, Portugal en Griekenland. Van de andere zeventien lidstaten
wordt verwacht dat zij in de komende drie jaar live gaan met een nationaal contactpunt.
De EHDS-verordening stelt namelijk 26 maart 2029 als deadline voor het aanwijzen,
inrichten en operationeel hebben van een nationaal contactpunt. Dan moeten alle lidstaten
zijn aangesloten op het MyHealth@EU-netwerk en elektronische recepten, elektronische
verstrekkingen en patiëntsamenvattingen grensoverschrijdend kunnen uitwisselen. Het
grootste deel van de nog niet aangesloten lidstaten heeft momenteel een programma
lopen om een nationaal contactpunt in te richten.

De leden van de SGP-fractie vragen de regering nader toe te lichten wat precies wordt bedoeld met grensoverschrijdende
zorg. Zijn dat bijvoorbeeld ook behandelingen door private zorgverleners? De focus
van het voorstel lijkt vooral gelegen in acute en spoedeisende zorg. Gaat grensoverschrijdende
zorg ook over geplande zorg, zoals een operatie of andere behandeling?

Onder grensoverschrijdende gezondheidszorg wordt verstaan de gezondheidszorg die in
een andere lidstaat wordt verleend of voorgeschreven, waarbij als gezondheidszorg
worden gezien de diensten die worden verstrekt om de gezondheidstoestand van een cliënt
te beoordelen, te behouden of te herstellen, waaronder begrepen het voorschrijven
en het verstrekken van geneesmiddelen en medische hulpmiddelen. Het moet dan gaan
om dienstverlening door een arts, verpleegkundige, tandarts, verloskundige, apotheker,
een andere beroepsbeoefenaar die werkzaamheden in de gezondheidszorg verricht die
behoren tot een gereglementeerd beroep4 of iemand die krachtens de wetgeving van de lidstaat waar de behandeling plaatsvindt
als zorgverlener wordt aangemerkt. Dit betekent dat grensoverschrijdende zorg ziet
op zowel geplande als ongeplande zorg en – afhankelijk van de wetgeving in de betrokken
lidstaat – tevens betrekking kan hebben op behandelingen bij private zorgverleners.

Gelet op het feit dat het op dit moment mogelijk is via het NCPeH-NL patiëntsamenvattingen
uit andere lidstaten op te vragen en er wordt gewerkt aan de mogelijkheid patiëntsamenvattingen
naar andere lidstaten te versturen, ligt de nadruk op dit moment en in de nabije toekomst
inderdaad op de acute zorg.

1.2. Categorieën van gezondheidsinformatie

De leden van de GroenLinks-PvdA-fractie lezen dat in eerste instantie alleen elektronische recepten, verstrekkingen en patiëntensamenvattingen
uitgewisseld worden via het MyHealth@EU-netwerk. Kan de regering duidelijker uitleggen
welke informatie in een samenvatting staan?

De patiëntsamenvatting is een set gegevens met essentiële en begrijpelijke informatie
over de gezondheid van de cliënt die nodig is om veilige en betrouwbare gezondheidszorg
te geven. De informatie in de patiëntsamenvatting is vooral bedoeld om zorgverleners
te ondersteunen bij het verlenen van ongeplande (spoed)zorg, maar kan ook worden gebruikt
voor geplande zorg. De specificaties van de patiëntsamenvatting zijn op Europees niveau
vastgesteld in de Patient Summary Guidelines (meest actuele versie, 3.4 van november 2024).5

De richtlijnen geven een opsomming van de essentiële patiëntgegevens die in een patiëntsamenvatting
kunnen worden opgenomen, waarbij een aantal gegevens verplicht is. Voor het samenstellen
van de Nederlandse patiëntsamenvatting heb ik aansluiting gezocht bij de gegevens
uit een bestaande informatiestandaard, te weten de Spoedsamenvatting uit de informatiestandaard
Acute Zorg. De gegevens uit de Spoedsamenvatting komen voor een groot deel overeen
met de gegevens uit de Patient Summary Guidelines. Parallel hieraan werk ik toe naar een volledige patiëntsamenvatting die voldoet
aan de Europese vereisten. In de informatiestandaard voor de Spoedsamenvatting staan
de volgende gegevens opgenomen:

– allergieën en intoleranties;

– contra-indicaties voor medicatie;

– medische aandoeningen: lijst van actuele aandoeningen en diagnoses en overige relevante
aandoeningen;

– voorgeschreven medicatie: actuele voorgeschreven medicatie en overige relevante medicatie;

– gegevens patiënt: burgerservicenummer, voornamen, achternaam, geboortedatum, geslacht,
adres;

– gegevens zorgverlener: voornamen, achternaam, adres, telefoonnummer, e-mailadres;

– laboratoriumuitslagen en meet-uitslagen.

De leden van de GroenLinks-PvdA-fractie vragen hoe in de samenvattingen de principes van dataminimalisatie en doelbinding
worden toegepast, zodat alleen de puur noodzakelijke informatie wordt uitgewisseld
voor een helder afgekaderd doel? Krijgt een tandarts bijvoorbeeld alleen de informatie
te zien die relevant is voor het werk binnen diens specifieke behandelrelatie, zoals
gegevens over eerder verleende mondzorg?

De bestaande wettelijke kaders, zoals de Algemene Verordening Gegevensbescherming
(AVG), blijven onverkort gelden. Dit betekent dat zorgaanbieders en zorgverleners
in alle lidstaten zich moeten houden aan de AVG-beginselen zoals doelbinding en dataminimalisatie.
Een zorgverlener mag op basis hiervan gezondheidsgegevens alleen verwerken voor zover
dat noodzakelijk is voor de behandeling van de cliënt. Daarnaast moet de informatie
die wordt verwerkt voor dit doel beperkt blijven tot alleen die informatie die nodig
is voor de behandeling. Dit wetsvoorstel verandert niets aan deze bestaande waarborgen.

De patiëntsamenvatting bevat basisinformatie die essentieel is voor zorgaanbieders
in een andere lidstaat om veilig en verantwoorde zorg te kunnen bieden. Zoals eerder
vermeld wordt voor de Nederlandse patiëntsamenvatting aansluiting gezocht bij een
bestaande informatiestandaard, te weten de Spoedsamenvatting uit de informatiestandaard
Acute Zorg. Deze standaard bevat gegevens waarvan door betrokkenen uit het Nederlandse
zorgveld wordt geacht dat dit noodzakelijke gegevens zijn in geval van een ongeplande
(spoed)behandeling. Daarmee wordt aangesloten bij het beginsel van dataminimalisatie.
De gegevens uit de Spoedsamenvatting komen voor een groot deel overeen met de gegevens
uit de Europese patiëntsamenvatting.

In het door de leden geschetste voorbeeld zal de tandarts dus een patiëntsamenvatting
ontvangen waarin gegevens staan die noodzakelijk worden geacht ingeval van een ongeplande
(spoed)behandeling, hetgeen meer zal omvatten dan enkel gegevens aangaande mondzorg.

De leden van de CDA-fractie vragen met welke categorieën gezondheidsgegevens het MyHealth@EU-netwerk wordt uitgebreid
en wanneer. Ook vragen zij wat precies het stappenplan hierin is voor Nederland. Deze
leden vragen verder waarom ePrescription/eDispensation nog niet door Nederland is
geïmplementeerd en wanneer dit naar verwachting wel is geregeld.

Het MyHealth@EU-netwerk ondersteunt de uitwisseling van de categorieën gezondheidsinformatie
patiëntsamenvattingen (Patient summary), elektronische recepten (ePrescription) en
elektronische verstrekkingen (eDispensation) en lab uitslagen (Lab Results). Vanaf
oktober 2026 zullen ook de categorieën ontslagverslagen (Hospital Discharge Report)
en beeld (Image Reports) worden opgenomen.

In 2018 is bij het inrichten van het NCPeH-NL besloten om in eerste instantie alleen
aan te sluiten voor het ontvangen van de patiëntsamenvatting vanuit een andere lidstaat
voor verzending naar een Nederlandse zorgaanbieder. Hierna is in 2020 is met een behoeftepeiling
in het zorgveld onderzocht aan welke categorie gezondheidsinformatie voor grensoverschrijdende
gegevensuitwisseling het meest expliciete behoefte was. Het verzenden van de patiëntsamenvatting
van Nederlandse burgers aan zorgaanbieders in het buitenland kwam hieruit naar voren.
Dit vanwege het belang van de daarin opgenomen gegevens voor de kwaliteit in een groot
aantal situaties. Daarom is gekozen eerst de verzending van patiëntsamenvattingen
naar andere lidstaten te implementeren. Binnen mijn ministerie wordt gewerkt aan de
realisatie hiervan. Livegang van deze uitwisseling kan plaatsvinden na inwerkingtreding
van dit wetsvoorstel.

Daarnaast ben ik bezig met een verkenning voor wat er nodig is om de elektronische
recepten en elektronische verstrekkingen (ePrescription/eDispensation) te realiseren.
Deze categorieën wil ik bij het nationaal contactpunt gerealiseerd hebben voor de
deadline van de EHDS-verordening op 26 maart 2029. Per die datum moeten patiëntsamenvattingen,
elektronische recepten en verstrekking verplicht via het NCPeH-NL kunnen worden uitgewisseld.
De verplichtingen om ook labuitslagen, medische beelden en ontslagverslagen via het
NCPeH-NL uit te kunnen wisselen treedt op 26 maart 2031 in werking.

1.3. Doel wetsvoorstel

De leden van de GroenLinks-PvdA-fractie lezen dat het wetsvoorstel grensoverschrijdende zorg omvat. Kan nader worden toegelicht
wat onder grensoverschrijdende zorg valt? Vallen bijvoorbeeld privéklinieken daar
ook onder?

Onder grensoverschrijdende gezondheidszorg wordt verstaan de gezondheidszorg die in
een andere lidstaat wordt verleend of voorgeschreven, waarbij als gezondheidszorg
worden gezien de diensten die worden verstrekt om de gezondheidstoestand van een cliënt
te beoordelen, te behouden of te herstellen, waaronder begrepen het voorschrijven
en het verstrekken van geneesmiddelen en medische hulpmiddelen. Het moet dan gaan
om dienstverlening door een arts, verpleegkundige, tandarts, verloskundige, apotheker,
een andere beroepsbeoefenaar die werkzaamheden in de gezondheidszorg verricht die
behoren tot een gereglementeerd beroep6 of iemand die krachtens de wetgeving van de lidstaat waar de behandeling plaatsvindt
als zorgverlener wordt aangemerkt. Een behandeling bij een privékliniek in een andere
lidstaat kan daar – afhankelijk van de wetgeving in die lidstaat – dus ook onder vallen.

Dit wetsvoorstel kan in potentie leiden tot betere zorg en tot lagere zorgkosten van
patiënt en zorgverlener. De leden van de GroenLinks-PvdA-fractie vragen of er een grondslag voor zorgverleners is om zorg te weigeren dan wel extra
kosten in rekening te brengen voor een patiënt die weigert zorggegevens te delen.
Deze vorm van impliciete dwang/nudging achten de leden van de GroenLinks-PvdA-fractie
onwenselijk. Hoe kijkt de regering hier tegenaan?

Als dit mogelijk is, wordt hier dan transparant over gecommuniceerd zodat patiënten
dit in overweging kunnen nemen bij het eventueel kiezen voor een opt-out?

Net als bij gegevensuitwisseling tussen zorgaanbieders binnen de eigen landsgrenzen,
hebben zorgaanbieders geen mogelijkheid om zorg te weigeren of extra kosten in rekening
te brengen wanneer een cliënt geen toestemming heeft gegeven om zijn gegevens over
de grens te delen. Voor de zorgaanbieder zal daartoe ook geen aanleiding bestaan,
omdat de met de zorg gemoeide kosten ingevolge Richtlijn 2011/24/EU door de zorgverzekeraar
van de cliënt dienen te worden vergoed.

Onder de EHDS-verordening is toestemming voor het delen van gegevens via het NCPeH-NL
in principe niet langer vereist. Deze verordening voorziet echter in een mogelijkheid
voor lidstaten om op dit punt in nationale wetgeving een opt-out te regelen. Bij de
uitwerking in nationale regelgeving zullen burgers goed worden geïnformeerd over de
mogelijkheid van een opt-out gebruik te maken en welke gevolgen dat heeft. Aldus kan
iedereen die een opt-out overweegt een weloverwogen keuze maken. Ook in dat geval
geldt dat het inroepen van een opt-out geen consequenties heeft voor de toegang tot
zorg.

2. Implementatiewetgeving

De leden van de CDA-fractie lezen dat de dienstverlening door NCPeH-NL op dit moment beperkt is. Zij vragen wat
dit precies betekent.

Dit betekent dat het momenteel alleen mogelijk is om patiëntsamenvattingen op te halen
voor EU-burgers die in Nederland zorg nodig hebben waarvan de lidstaat ook is aangesloten
op MyHealth@EU. Dit betreft dus 13 lidstaten. Verder is de dienstverlening beperkt
omdat momenteel slechts twee Nederlandse ziekenhuizen toegang hebben tot het NCPeH-NL.
De Nederlandse aansluiting op MyHealth@EU vond namelijk initieel plaats met twee Nederlandse
ziekenhuizen in een pilot.

2.1. European Health Data Space

De leden van de GroenLinks-PvdA-fractie begrijpen dat aansluiting op het NCPeH-NL via de EHDS pas later verplicht wordt. Acht
de regering dit wetsvoorstel dan niet prematuur? Kan worden toegelicht in hoeverre
dit wetsvoorstel een noodzakelijke tussenstap is voor de EHDS-verordening?

De regering acht dit wetsvoorstel niet prematuur. Het voldoen aan de verplichtingen
uit de EHDS-verordening is een omvangrijke en complexe opgave voor de komende jaren.
Juist daarom hebben mijn ambtsvoorgangers en ik hier nu op ingezet, zodat er voldoende
tijd is om noodzakelijke voorbereidingen te treffen en tot een zorgvuldige uitvoering
te komen per 2029.

Het realiseren van uitwisselingen van categorieën gezondheidsinformatie via het NCPeH-NL
en het doorlopen van de benodigde test- en toelatingsprocedures bij MyHealth@EU neemt
meerdere jaren in beslag. Nederland heeft zich daarom onder Richtlijn 2011/24/EU al
in 2018 gecommitteerd aan de vrijwillige aansluiting op het MyHealth@EU-netwerk en
het inrichten van een nationaal NCPeH voor het ontvangen van gegevens uit het buitenland.
Daarnaast is in 2023 gecommitteerd aan uitbreiding van de dienstverlening van het
NCPeH-NL met het versturen van de patiëntsamenvatting van Nederlandse burgers aan
andere lidstaten. Voor de grensoverschrijdende gegevensuitwisseling via het NCPeH-NL
zijn grondslagen in nationale wetgeving nodig. Door zich te in 2018 en 2023 committeren
aan het MyHealth@EU-netwerk kon Nederland bovendien profiteren van een financiële
bijdrage van de Europese Commissie aan de totstandkoming van het NCPeH-NL. Als voorwaarde
voor toekenning van deze financiële middelen moet reeds vóór de inwerkingtreding van
de verplichtingen uit de EHDS-verordening worden voldaan aan specifieke (contractuele)
verplichtingen rondom interoperabiliteit en de dienstverlening van het NCPeH-NL. Dit
wetsvoorstel is noodzakelijk om aan deze verplichtingen te kunnen voldoen.

In maart 2029 moet ingevolge de EHDS-verordening het Nederlandse contactpunt operationeel
zijn en moet het contactpunt patiëntsamenvattingen, elektronische recepten en elektronische
verstrekkingen kunnen uitwisselen. Dat vraagt om inspanning de komende jaren. Ik wil
daarom blijven inzetten op de implementatie van de Richtlijn 2011/24/EU door met dit
wetsvoorstel een wettelijke taak en een verwerkingsgrondslag voor het Nederlandse
contactpunt te creëren. Zonder dit wetsvoorstel kan het contactpunt namelijk niet
voorafgaand aan de verplichtingen uit de EHDS-verordening operationeel zijn voor de
gegevensuitwisseling richting andere lidstaten. Juist door dit wetsvoorstel krijgen
veldpartijen alvast de mogelijkheid om ervaring op te doen met grensoverschrijdende
gegevensuitwisseling via het NCPeH-NL wat vervolgens weer bijdraagt aan een correcte
toepassing van de EHDS en het voldoen aan de daaruit voortvloeiende verplichtingen.
Tevens biedt het veldpartijen meer tijd om zich voor te bereiden op de verplichtingen
uit de EHDS-verordening. Wanneer niet tijdig aan de verplichtingen uit de EHDS-verordening
wordt voldaan, kan dat leiden tot sancties en boetes vanuit de Europese Commissie.

De leden van de GroenLinks-PvdA-fractie vragen of een tijdspad kan worden geschetst inclusief informatiemomenten en besluitvormingsmomenten
ten aanzien van de EHDS-verordening?

Ik heb uw Kamer bij brief van 20 januari 2026 hierover geïnformeerd.7 Deze brief heeft uw vragen gekruist.

De verplichtingen uit de EHDS-verordening zijn op verschillende momenten van toepassing,
te weten 26 maart 2027, 26 maart 2029 en 26 maart 2031. Er is gekozen voor een stapsgewijze
invoering van de EHDS-verordening die aansluit op de momenten waarop de onderdelen
uit de verordening ook daadwerkelijk van toepassing zullen zijn. Ik heb besloten om
middels een stelselwet een geheel nieuw wettelijk kader in te richten waarin alle
verplichte onderdelen van de EHDS-verordening nader worden ingevuld en uitgevoerd,
beleidsruimte rondom de opt-out het primaire gebruik wordt ingevuld en de bestaande
nationale elementen zoals uit de Wet elektronische gegevensuitwisseling in de zorg
(Wegiz) en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg wordt
opgenomen. Op deze manier verbind ik de Europeesrechtelijke verplichtingen aan de
nationale visie en strategie en de nationale vereisten voor het nationale gezondheidsinformatiestelsel.

In het eerste deel van de uitvoeringwetgeving voor de EHDS-verordening (tranche 1)
zal hoofdzakelijk de aanwijzing van autoriteiten worden geregeld. Daarnaast is ervoor
gekozen om in de eerste tranche ook het systeem van derdencertificering van elektronische
patiëntendossiersystemen (EPD-systemen), zoals nu vastgelegd in de Wegiz, te vervangen
door een systeem van zelfbeoordeling, zodat lopende Wegiz-trajecten beter aansluiten
op de komende EHDS verplichtingen. Momenteel wordt gewerkt aan een wetsvoorstel waarvan
het voornemen is dat deze in de eerste helft van 2026 in internetconsultatie gaat.

Parallel aan het uitwerken van tranche 1 ben ik ook al gestart met de voorbereidingen
voor het tweede deel van de uitvoeringswet EHDS-verordening (tranche 2). Momenteel
vindt er een inventarisatie plaats van de onderwerpen die zullen worden meegenomen
in tranche 2. De betreffende bepalingen van de EHDS-verordening worden vanaf 26 maart
2029 van toepassing, zodat de noodzakelijke uitvoeringswetgeving ook op dat moment
in werking moet treden.

Parallel aan de uitwerking in tranches zal in voorbereidingswetgeving gewerkt worden
aan onder meer grondslagen voor gegevensuitwisseling die vóór inwerkingtreding van
de EHDS-verordening nodig zijn om de randvoorwaardelijke elementen op tijd gereed
te hebben.

3. Hoofdlijnen van het wetsvoorstel

3.1. Probleemomschrijving

De leden van de GroenLinks-PvdA-fractie hebben vragen over de aannames die worden gemaakt over de verwachte voordelen van
betere gegevensuitwisseling. Zo stelt de regering dat zorgkosten onnodig oplopen door
gebrekkige informatievoorziening over een patiënt en dat er veel tijd wordt verloren
met administratieve handelingen. Kan de regering deze aannames onderbouwen? Hoe veel
onnodige kosten en werkdruk worden nu geleverd door het gebrek aan goede gegevensuitwisseling,
en wat zijn de verwachte opbrengsten als deze wetgeving nationaal en Europees worden
ingevoerd?

Het huidige gezondheidsinformatiestelsel schiet tekort in het aanpakken van zowel
de huidige als toekomstige uitdagingen binnen de zorg. Voor het leveren van goede
en doelmatige zorg, die ook onnodige ziekenhuis opnames voorkomt, is landelijke elektronische
gegevensuitwisseling voor zorg en welzijn randvoorwaardelijk.

Hiermee wordt bereikt dat er minder vermijdbare fouten worden gemaakt. Zo belanden
in Nederland elke dag ongeveer 75 mensen in het ziekenhuis door een medicatie-incident
dat voorkomen had kunnen worden door goede landelijke gegevensuitwisseling.8

Daarom is een goed ingericht, landelijk gezondheidsinformatiestelsel noodzakelijk
voor het aanpakken van zowel de huidige als toekomstige uitdagingen binnen de zorg.
In 2023 heef mijn ministerie samen met veldpartijen, de Nationale Visie en Strategie
op het gezondheidsinformatiestelsel opgesteld. Hiermee neemt VWS de regie op de totstandkoming
van een toekomstbestendig gezondheidsinformatiestelsel in Nederland.

Op basis van verschillende Maatschappelijke Kosten en Baten-analyses (MKBA’s)9 die in 2021 en 2022 zijn uitgevoerd worden potentiële besparingen als minder zorgkosten
en tijdsbesparingen geïdentificeerd. Denk hierbij aan:

• meermaals overtypen van dezelfde gegevens overbodig wordt;

• cliënten niet steeds hun klachten opnieuw hoeven uit te leggen;

• medische onderzoeken niet onnodig herhaald hoeven te worden;

• zorgverleners meer tijd overhouden om zorg te verlenen en minder administratieve taken
hoeven uit te voeren, waardoor het bijdraagt aan het terugdringen van het arbeidstekort.

Op basis van deze MKBA’s, gericht op een aantal specifieke uitwisselingen onder de
Wegiz, lijken de totale besparingen op te lopen tot € 340 miljoen per jaar, structureel
vanaf 2029. De verwachting is dat deze besparingen verder oplopen zodra dit onder
de EHDS-verordening breder wordt toegepast.

Daarnaast dragen verbeterde gegevensuitwisseling en databeschikbaarheid, naast besparingen,
bij aan een verbetering van werkplezier, een vermindering van werkdruk en bovenal
tot betere kwaliteit van zorg.

3.2. Oplossingsrichting

De leden van de VVD-fractie lezen dat grensoverschrijdende uitwisseling van medische gegevens, waar beschikbaar,
vaak leidt tot verwarring omdat zorgverleners verschillende taalstandaarden gebruiken.
Kan de regering aangeven wat de stand van zaken is van de Europese standaardisering
van taal? Is de gegevensuitwisseling zoals beoogd door NCPeH-NL in dit licht bruikbaar
voor zorgverleners?

Ondanks de verschillen tussen lidstaten op het gebied van taal en techniek, is de
gegevensuitwisseling zoals beoogd door het NCPeH-NL bruikbaar voor zorgverleners.
De uitwisseling tussen contactpunten van lidstaten vindt plaats via een Europees uitwisselformat
conform de richtlijnen en waarvan de documentopmaak is gebaseerd op overeengekomen
standaarden. Voor de patiëntsamenvatting zijn dit de Patient Summary Guidelines (meest actuele versie, 3.4 van november 2024). Zorgaanbieders kunnen de gegevens
aanleveren aan het contactpunt zoals zij dat ook voor nationale uitwisseling doen.
Het nationaal contactpunt van het land waar de gegevens zijn opgeslagen vertaalt indien
nodig de gegevens naar dit uitwisselformaat. Wanneer het NCPeH-NL elektronische gezondheidsgegevens
uit een andere lidstaat ontvangt, vertaalt het NCPeH-NL dit vervolgens op eenzelfde
wijze naar het Nederlandse coderingen zodat de gegevens bruikbaar zijn voor Nederlandse
zorgaanbieders. De gehele verwerking neemt enkele seconden in beslag.

Met de EHDS-verordening wordt gewerkt aan Europese standaardisering van taal door
het verplichtstellen van gestandaardiseerde uitwisseling van enkele categorieën gezondheidsgegevens.
De vrijwillige richtlijnen die nu worden gebruikt voor uitwisseling via MyHealth@EU
worden herschreven en zullen als verplichte technische specificaties meegenomen worden
in de EHDS-verordening. Deze verplichtingen zullen gefaseerd in werking treden. Vanaf
maart 2029 gelden de verplichtingen voor patiëntsamenvattingen, elektronische recepten
elektronische verstrekkingen. De verplichtingen om ook lab uitslagen, medische beelden
en ontslagverslagen via het NCPeH-NL uit te kunnen wisselen treedt op 26 maart 2031
in werking.

De leden van de GroenLinks-PvdA-fractie hebben, naar aanleiding van de paragraaf 3.2.1. «Werking MyHealth@EU», vragen over
de gegevens die nodig zijn om unieke cliënten te identificeren. Deze worden per lidstaat
bepaald, omdat er verscheidenheid is in hoe burgers tussen landen worden geïdentificeerd.
Zijn er, naast dat het een wettelijk identificatienummer moet zijn, minimumeisen waar
dergelijke identificerende gegevens aan moeten voldoen? Is het Burgerservicenummer
(BSN) voor Nederland de enige mogelijkheid of zijn er ook andere gegevens die hadden
kunnen voldoen?

Op basis van de MyHealth@EU-vereisten dient een cliënt geïdentificeerd te worden aan
de hand van een persoonlijk identificatienummer om toegang te kunnen krijgen tot de
medische gegevens van de cliënt. Verschillende identificatienummers kunnen hiervoor
worden gebruikt, bijvoorbeeld het nummer van de nationale identiteitskaart, het paspoortnummer,
het nummer van de zorgverzekeringskaart of het social security number. Welk nummer wordt gebruikt is afhankelijk van de nationale wet- en regelgeving van
een lidstaat. In Nederland wordt hiervoor het Burgerservicenummer (BSN) gebruikt.
Op basis van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg
is het binnen Nederland een verplichting om cliënten in de zorg te identificeren aan
de hand van BSN. Ingevolge die wet wordt ook voor het uitwisselen van patiëntgegevens
tussen zorgaanbieders het BSN van de patiënt gebruikt. Voor het ophalen van gegevens
bij zorgaanbieders in Nederland, dient het NCPeH-NL daarom het BSN te gebruiken en
zijn andere identificerende nummers geen optie.

Naar aanleiding van paragraaf 3.2.2. «Scenario A. Opvragen gezondheidsinformatie door
zorgaanbieder in een andere lidstaat», stellen de leden van de GroenLinks-PvdA-fractie de volgende vragen. Genoemde leden lezen dat er een patient information notice (PIN)
is opgesteld, een formulier ter informatie voor patiënten van wie de gegevens worden
geraadpleegd. Is deze PIN gecontroleerd op (digitale) toegankelijkheid en leesbaarheid
voor verschillende doelgroepen? Zijn hiervoor toegankelijkheidsexperts en ervaringsdeskundigen
geraadpleegd?

Het Patient Information Notice (PIN)-formulier geeft een toelichting op de nationale
wet- en regelgeving inzake gegevensverwerking in het land waar de behandeling plaatsvindt.
Voordat een zorgverlener gegevens via MyHealth@EU raadpleegt, ontvangt een cliënt
dit formulier. Voordat een zorgverlener gegevens via MyHealth@EU raadpleegt, ontvangt
een cliënt dit formulier. Iedere lidstaat stelt een dergelijk formulier in alle talen
beschikbaar, gebaseerd op een gestandaardiseerd format vanuit MyHealth@EU. Het CIBG
is als beheerder van het NCPeH-NL verantwoordelijk voor het opstellen van het PIN-formulier
over de gegevensverwerking in Nederland. Bij het opstellen hiervan is rekening gehouden
met zowel de juridische correctheid als de toegankelijkheid en begrijpelijkheid voor
verschillende doelgroepen. Voor publicatie wordt het formulier getoetst op digitale
toegankelijkheid. De formulieren die beschikbaar zijn worden door Europese Commissie
gepubliceerd.10

Tevens hebben de leden van de GroenLinks-PvdA-fractie vragen over de organisatie van
de online toestemmingsvoorziening. Deze moet controleren of patiënten toestemming
hebben gegeven of dat zij de opt-out hebben gekozen. Hoe wordt het gegeven of iemand
voor de opt-out heeft gekozen bijgehouden? Bestaat er geen risico dat er een register
wordt bijgehouden waarvanuit alle mensen die een opt-out hebben gekozen herleidbaar
zijn?

In de huidige situatie moeten burgers uitdrukkelijk toestemming geven voor het beschikbaar
stellen van gezondheidsgegevens voor de Europese uitwisseling. Er is momenteel dus
nog geen sprake van een opt-out.

Onder de EHDS-verordening zal toestemming niet langer een vereiste zijn. Wel hebben
lidstaten de mogelijkheid om in hun nationale wetgeving te regelen dat hun burgers
op dit punt gebruik kunnen maken van een opt-out, alsook van het recht op beperking
van toegang. Mijn ambtsvoorganger heeft uw Kamer in juli 2024 laten weten gebruik
te willen maken van deze mogelijkheid.11 Zoals nader toegelicht aan uw Kamer in de brief van januari 2026, wordt op dit moment
gewerkt aan de uitwerking van de opt-out en het recht op beperking van toegang12, met inachtneming van de noodzakelijke waarborgen. Uw Kamer wordt hierover na de
zomer nader geïnformeerd.

De leden van de GroenLinks-PvdA-fractie lezen dat er per algemene maatregel van bestuur (AMvB) nader wordt uitgewerkt welke
gegevens worden bewaard (zoals die noodzakelijk zijn voor logging) en welke bewaartermijnen
hiervoor gelden. Kan hier nader op in worden gegaan?

Op basis van het voorgestelde artikel 15s, eerste lid, van het wetsvoorstel bewaart
het NCPeH-NL de persoonsgegevens die het verwerkt niet langer dan de duur van de sessie
waarin het verzoek om gegevens en de verwerking en verstrekking van gegevens plaatsvindt.
De loggegevens worden op basis van het tweede lid van die bepaling voor vijf jaar
bewaard. In een algemene maatregel van bestuur (AMvB) bij het wetsvoorstel wordt nader
geconcretiseerd welke gegevens de logging omvat. De voor de logging noodzakelijke
gegevens worden bewaard ten behoeve van de onweerlegbaarheid van gegevensuitwisseling
en voor beveiligingsdoeleinden (zoals het voorkomen en opsporen van misbruik). Door
vast te leggen wie, wanneer en welke soort informatie heeft opgevraagd, kan later

worden gecontroleerd wie de gegevens heeft verwerkt. Dit versterkt de transparantie
en integriteit van het systeem en waarborgt verantwoording, zonder dat medisch inhoudelijke
gegevens zelf worden opgeslagen.

In de conceptversie van de AMvB is uitgewerkt dat de volgende gegevens vijf jaar worden
bewaard:

a. het burgerservicenummer van de cliënt uit Nederland dan wel het nationale identificatienummer
van de cliënt uit een andere lidstaat;

b. een indicatie van de behandelrelatie;

c. de datum en de tijd van de opvraging;

d. de identificatiegegevens van de opvragende zorgverlener;

e. de uitwisselingsgebeurtenis;13

f. welk nationaal contactpunt in de andere lidstaat het betreft;

g. de technische verkeersgegevens van de uitwisseling.14

De leden van de GroenLinks-PvdA-fractie vragen of deze regels gaan gelden voor zorggegevens van Nederlanders in andere landen?

De in het wetsvoorstel opgenomen verplichtingen rondom het bewaren van gegevens gelden
uitsluitend voor het NCPeH-NL. Het is niet mogelijk om bij nationale wetgeving bewaartermijnen
vast te stellen voor de verwerking van (gezondheids)gegevens door nationale contactpunten
in andere lidstaten. Desalniettemin geldt op basis van de AVG dat persoonsgegevens
niet langer dan noodzakelijk mogen worden bewaard. Nu de AVG rechtstreeks van toepassing
is in de andere lidstaten, zijn de andere lidstaten ook gehouden om ervoor zorgen
dat hun nationale contactpunt aan deze eis voldoet. De cliënt wordt door de behandelend
zorgverlener geïnformeerd over de nationale wetgeving met behulp van een formulier,
bekend als de patiënt information notice (PIN). De behandelend zorgverlener vraagt
als de patiënt bij bewustzijn is eerst toestemming om gegevens op te vragen via de
MyHealth@EU infrastructuur.

De leden van de GroenLinks-PvdA-fractie vragen wat de waarborgen zijn dat deze regels in andere landen ook echt worden uitgevoerd?
De leden benadrukken het belang van transparante besluitvorming over de gekozen bewaartermijn.

De AVG biedt waarborgen om er onder andere voor te zorgen dat alleen noodzakelijke
persoonsgegevens worden verwerkt en niet langer worden bewaard dan strikt nodig. Voorbeelden
hiervan zijn onder meer de beginselen van dataminimalisatie, doelbinding en opslagbeperking.

De AVG is rechtstreeks van toepassing in alle EU-lidstaten, waardoor een uniform juridisch
kader geldt voor de verwerking van persoonsgegevens, ook bij grensoverschrijdende
uitwisseling. Lidstaten moeten daarom hun nationale contactpunten zo inrichten dat
deze verwerking in overeenstemming is met de AVG. Op juiste toepassing hiervan wordt
toegezien en gehandhaafd door nationale toezichthouders. Daarnaast voorziet de AVG
in een handhavings- en samenwerkingsmechanisme ter waarborging van de naleving van
de verordening bij grensoverschrijdende verwerking van persoonsgegevens. Naast de
waarborgen op grond van de AVG, moeten de lidstaten ook voldoen aan het MyHealth@EU-afsprakenstelsel
die onder andere eisen stelt aan informatieveiligheid en datasets voorschrijft. De
lidstaten worden hierop middels nalevingscontroles actief getoetst door de Europese
Commissie.

De leden van de GroenLinks-PvdA-fractie vragen aan de regering om duidelijk uit te leggen op basis van welke afwegingen zij
tot een proportionele bewaartermijn gaat komen.

Benadrukt moet worden dat, op basis van artikel 15s, eerste lid, van het wetsvoorstel,
het NCPeH-NL de persoonsgegevens die het verwerkt niet langer bewaart dan de duur
van de sessie waarin het verzoek om en de verwerking en verstrekking van gegevens
plaatsvindt. Wel worden op basis van het tweede lid de loggegevens voor vijf jaar
bewaard. Zoals ook opgenomen in de artikelsgewijze toelichting bij dit artikel, worden
de loggegevens bewaard teneinde op een later moment de rechtmatigheid van een opvraging
te kunnen controleren en misbruik kan worden opgespoord.

De gekozen bewaartermijn van vijf jaar sluit aan bij proces 10.40 van de Concernbrede
selectielijst van het Ministerie van Volksgezondheid, Welzijn en Sport15, alsook bij de termijn die op grond van het Besluit vaststelling bewaartermijn logging
en het Besluit elektronische gegevensverwerking door zorgaanbieders geldt voor logging
door zorgaanbieders.

Gelet op het doel van de logging, het beperkte aantal gegevens en de aansluiting bij
bestaande termijnen, wordt deze bewaartermijn proportioneel en noodzakelijk geacht.

De leden van de GroenLinks-PvdA-fractie vragen waarom voor dit vraagstuk niet is gekozen om de AMvB te voorzien van een voorhang?

Het wetsvoorstel voorziet in de toevoeging van een hoofdstuk in de Wet aanvullende
bepalingen verwerking persoonsgegevens in de zorg. Uit artikel 17b van deze wet volgt
dat de voordracht van een krachtens deze wet vast te stellen AMvB niet eerder wordt
gedaan dan twee weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd.
Dit betekent dat voor de AMvB een voorhangprocedure zal worden gevolgd. Dat zal naar
verwachting voor het zomerreces gebeuren.

De leden van de GroenLinks-PvdA-fractie lezen in paragraaf 3.2.5. «Waarborgen», dat de eisen die worden gesteld aan identificatie-
en autorisatiemiddelen per AMvB worden uitgewerkt. Waarom is gekozen voor afkadering
in lagere regelgeving?

Eisen aan identificatie en autorisatie zijn technisch van aard en aan wijzigingen
onderhevig. Vanuit het oogpunt van flexibiliteit en snelheid is ervoor gekozen deze
eisen op het niveau van een AMvB te regelen. Een dergelijk wijziging zal worden voorgehangen
bij uw Kamer.

De leden van de GroenLinks-PvdA-fractie vragen of op het moment dat deze wet is aangenomen, het dan mogelijk is om gegevens
uit te wisselen met landen die hun NCPeH momenteel op vrijwillige basis organiseren,
zolang niet per AMvB is vastgesteld welke betrouwbaarheidsniveau wordt verwacht voor
het identificeren en autoriseren?

Vooropgesteld wordt dat de aansluiting met een nationaal contactpunt op het MyHealth@EU-netwerk
op grond van de Richtlijn voor alle deelnemende lidstaten vrijwillig is. Zodra het
voorliggende wetsvoorstel in werking treedt, zal ook de AMvB in werking treden. Daarin
zal het betrouwbaarheidsniveau voor identificatie en autorisatie voor de toegang van
zorgaanbieders in Nederland tot het NCPeH-NL worden vastgesteld, te weten het niveau
hoog als bedoeld in de Electronic IDentification And trust Services-verordening (eIDAS-verordening).

Een zorgaanbieder die aan de toegangsvereisten voldoet, kan ten behoeve van zorg aan
een cliënt uit het buitenland via het NCPeH-NL gegevens over deze cliënt opvragen.
Een zorgaanbieder in een andere lidstaat die ten behoeve van zorg aan een cliënt uit
Nederland gegevens over deze cliënt wil opvragen via het nationaal contactpunt in
die lidstaat, zal moeten voldoen aan de eisen die in die lidstaat voor identificatie
en autorisatiegelden gelden.

Voorts hebben de leden van de GroenLinks-PvdA-fractie vragen over hoe onrechtmatige opvragen worden ondervangen. Het loggen van gegevens
maakt herleidbaar wie wanneer gegevens heeft opgevraagd. Kan de regering nader toelichten
hoe de NCPeH’s worden geacht te monitoren op oneigenlijk gebruik? Welke technische
middelen zetten zij hiervoor in?

Zoals in paragraf 3.2.5 van de memorie van toelichting al uiteen is gezet, gelden
op Europees niveau technische en operationele vereisten zodat alle belanghebbenden
zekerheid hebben over de veiligheid en betrouwbaarheid van MyHealth@EU en erop kunnen
vertrouwen dat de lidstaten hun nationaal contactpunt op correcte wijze inrichten.
De leden vragen welke technische middelen worden ingezet om te monitoren op oneigenlijk
gebruik. In de software is misbruikdetectie ingebouwd om oneigenlijk gebruik te monitoren.
Een indicatie van oneigenlijk gebruik is bijvoorbeeld de ontvangst van een groot aantal
aanvragen voor één of meerdere cliënten. De software monitort daarom of voor één of
meerdere cliënten een onverwacht aantal aanvragen wordt gedaan vanuit één of meerdere
zorgaanbieders. Wanneer er een vermoeden bestaat van oneigenlijk gebruik kan de toegang
(tijdelijk) worden geblokkeerd. Naast de technische waarborgen om op oneigenlijk gebruik
te monitoren zijn er ook juridische kaders (AVG) over het verwerken van persoonsgegevens
waarbinnen een zorgaanbieder dient te handelen.

Lidstaten worden door een onafhankelijke externe partij op de verschillende criteria
getoetst voordat zij mogen aansluiten op het MyHealth@EU-netwerk. Na aansluiting worden
de contactpunten structureel getoetst of zij nog steeds voldoen aan de eisen en hoe
zij waarborgen hebben ingebouwd. Mocht blijken dat de afspraken niet worden nageleefd,
dan kan worden overgegaan op sanctionerende maatregelen, waarbij in het uiterste geval
lidstaten kunnen worden afgesloten van de Europese infrastructuur.

De leden van de GroenLinks-PvdA-fractie verwijzen naar de rol van NCPeH’s in het ondervangen van mogelijke misstanden. Specifiek
verwijzen zij naar misstanden in de jeugdzorg, zoals beschreven in het artikel «Tom
(17) werd uitgebuit door gastgezin in Frankrijk met «sadistische» moeder: «Hij werd
geslagen en kreeg nauwelijks te eten» (Telegraaf, december 2025)16. Is de Minister bekend met dit verhaal? Is hij bekend met meer van dit soort misstanden,
ontvangt hij vaker signalen over misbruik van kinderen bij jeugdhulp in het buitenland?

Ja, ik ben bekend met dit verhaal en heb hierover ook schriftelijke vragen vanuit
uw Kamer ontvangen, die ik op 12 maart 2026 heb beantwoord. Voor beantwoording van
de vragen van de leden van de Groenlinks-PvdA-fractie verwijs ik naar die brief.17

In gevallen als deze zijn alle aanwijzingen van mishandeling, bijvoorbeeld als die
bij een huisartsbezoek worden gesignaleerd, van waarde om misstanden aan te pakken.
De leden van de GroenLinks-PvdA-fractie vragen of er mogelijkheden zijn om aanvullend toezicht te organiseren voor Nederlandse
kinderen in gastgezinnen via het NCPeH, zodat ouders bijvoorbeeld medische gegevens
van hun uitwonende minderjarige kinderen kunnen opvragen die buiten Nederland wonen
en worden behandeld?

Ik begrijp de zorgen van de leden over misstanden in jeugdzorg, en in het bijzonder
over situaties waarin kinderen in het buitenland verblijven en zorg krijgen. Het MyHealth@EU-netwerk
is echter niet ingericht voor de situatie die de leden beschrijven, waarbij ouders
medische gegevens kunnen opvragen over hun minderjarige kind. Het NCPeH-NL is ervoor
bedoeld zorgaanbieders in staat te stellen gegevens op te vragen over een cliënt uit
een andere lidstaat met wie zij op dat moment een behandelrelatie hebben Anders dan
wordt aangenomen, is er geen rol weggelegd voor het NCPeH-NL in het ondervangen van
mogelijke misstanden.

De leden van de GroenLinks-PvdA-fractie vragen hoe wordt gewaarborgd dat persoonlijke gegevens niet in handen komt van Europese
staten met verkeerde intenties, zoals Europese landen met antidemocratische tendensen?

Samenwerking binnen de Europese Unie is gebaseerd op wederzijds vertrouwen, en vindt
tegelijkertijd plaats binnen de geldende juridische kaders.

Tevens geldt dat binnen het MyHealth@EU-stelsel onderlinge afspraken zijn gemaakt
tussen alle lidstaten. Deze afspraken hebben onder meer betrekking op de juridische
en organisatorische inrichting, informatieveiligheid, dienstverlening en semantische
en technische interoperabiliteit van het nationale contactpunt. Lidstaten worden voorafgaand
aan de aansluiting op het MyHealth@EU-netwerk door middel van compliance checks getoetst
op deze eisen. Na aansluiting vinden er ook structurele nalevingstoetsen plaats. Mocht
blijken dat de afspraken niet worden nageleefd, dan kan worden overgegaan op sanctionerende
maatregelen, waarbij in het uiterste geval lidstaten kunnen worden afgesloten van
de Europese infrastructuur.

De leden van de CDA-fractie lezen dat een Nederlandse zorgaanbieder die een opvraging wil doen, alleen toegang
tot het NCPeH-NL heeft wanneer hij beschikt over een Europees erkend identificatie-
en autorisatiemiddel met het betrouwbaarheidsniveau hoog. Zij vragen in hoeverre Nederlandse
zorgaanbieders aan dit vereiste voldoen, of dat er ook nog (veel) zorgaanbieders zijn
dit werken met inlogmiddelen met lagere betrouwbaarheidsniveaus, zoals het niveau
substantieel.

Voor toegang tot het NCPeH-NL geldt dat zorgmedewerkers moeten beschikken over een
goedgekeurd inlogmiddel met een hoog betrouwbaarheidsniveau (eIDAS Hoog).

Op dit moment is de UZI-pas het authenticatiemiddel dat voldoet aan het betrouwbaarheidsniveau
hoog. Daarmee voldoen Nederlandse zorgaanbieders die werken met de UZI-pas aan de
gestelde eisen voor toegang tot het NCPeH-NL. Zorgaanbieders die een inlogmiddel op
een lager betrouwbaarheidsniveau gebruiken voldoen niet.

Na de inwerkingtreding van het wetsvoorstel DIAZ, dat nu bij u voorligt, zullen alle
zorgaanbieders die willen inloggen op het NCPeH-NL hiervoor een Dezi-middel moeten
gebruiken. De UZI-middelen komen immers te vervallen. Dezi-middelen zijn goedgekeurde
inlogmiddelen, op betrouwbaarheidsniveau hoog, die zijn erkend en genotificeerd onder
eIDAS, erkend onder de Wet digitale overheid, gecertificeerd op basis van de NEN7518
en PKIoverheid18.

Alle medewerkers die toegang zullen verkrijgen tot het NCPeH-NL vallen gezien hun
werkzaamheden onder het wetsvoorstel DIAZ. Kortom: zij zullen dan ook voor het uitvoeren
van hun overige werkzaamheden moeten beschikken over een goedgekeurd inlogmiddel op
het betrouwbaarheidsniveau hoog. Dit brengt met zich mee dat er geen zwaardere verplichting
op hen zal komen te rusten als gevolg van dit dit wetsvoorstel, nu die verplichting
al zal gelden op grond van het wetsvoorstel DIAZ.

De leden van de SP-fractie begrijpen dat een BSN en geboortedatum nodig zijn om gegevens op te vragen. Betekent
dit dat bij een datalek waarbij het BSN en de geboortedatum van mensen worden gelekt
kwaadwillenden ook toegang kunnen krijgen tot medische gegevens? Welke aanvullende
veiligheidswaarborgen zijn hiervoor ingebouwd?

Voor het opvragen van gegevens over een patiënt uit Nederland zijn inderdaad het BSN
en de geboortedatum van de patiënt vereist. Een kwaadwillende die ten gevolge van
een datalek de beschikking over het BSN en de geboortedatum van een burger uit Nederland
heeft verkregen, heeft echter niet zomaar toegang tot medische gegevens van deze burger.
Om de veiligheid van gegevens van cliënten te waarborgen zijn technische en organisatorische
waarborgen ingericht, zoals authenticatie, autorisatie, cryptografische bevestiging
van de behandelrelatie, logging en monitoring van opvragingen.

Alleen zorgverleners kunnen dus gegevens via het nationaal contactpunt van hun land
opvragen. De behandelend zorgverlener uit een andere lidstaat die gegevens nodig heeft
van een Nederlandse cliënt moet zich, in overeenstemming met nationale regelgeving,
daarvoor identificeren bij het contactpunt in die lidstaat (authenticatie). Dit gebeurt
doorgaans via een combinatie van gebruikersnaam/wachtwoord en een sterke vorm van
authenticatie, zoals een smartcard of een mobiele applicatie. Daarnaast zijn binnen
Europa afspraken gemaakt over het type zorgverlener dat via de MyHealth@EU-infrastructuur
elektronische gezondheidsgegevens mag opvragen (autorisatie). Daarbij geldt dat een
zorgverlener alleen gegevens mag opvragen wanneer sprake is van een behandelrelatie
met de cliënt, die door de zorgverlener bij het opvragen van de gegevens moet worden
bevestigd.

Door de vereisten voor authenticatie en autorisatie is het niet mogelijk dat een willekeurige
persoon bij een nationaal contactpunt kan inloggen en gegevens over een burger uit
Nederland kan opvragen. Alleen een zorgverlener in het buitenland die aan deze vereisten
voldoet en de beschikking heeft over het BSN en de geboortedatum van een patiënt uit
Nederland, zou daartoe in staat zijn. Zorgverleners in Nederland kunnen dit niet,
aangezien zij via het NCPeH-NL enkel gegevens van burgers uit een andere lidstaat
kunnen ophalen. Mocht een zorgverlener in een andere lidstaat toch onbevoegd gegevens
opvragen, dan gelden de waarborgen dat alle bevragingen worden gelogd en gemonitord.
Door middel van logging kan worden achterhaald wie een bepaalde opvraging heeft gedaan
en door middel van monitoring worden ongebruikelijke opvragingen, zoals bijvoorbeeld
een groot aantal opvragingen vanuit één zorgaanbieder, gedetecteerd. Wanneer er een
vermoeden is van oneigenlijk gebruik kan de toegang (tijdelijk) worden geblokkeerd.

Indien een lidstaat zich niet houdt aan de Europese afspraken, bestaat tot slot de
waarborg dat het nationaal contactpunt van die lidstaat door de Europese Commissie
wordt afgesloten. Tevens kan het NCPeH-NL op landcode bepalen of bevragingen vanuit
een bepaalde lidstaat worden stopgezet.

De leden van de SP-fractie vragen hoe het geven van toestemming door de patiënt voor uitwisseling via MyHealth@EU
zal worden ingericht. Is hier actieve toestemming voor deelname aan MyHealth@EU van
tevoren voor nodig of zal er worden gewerkt met een opt-out systeem? Of wordt er gewerkt
met een systeem waarbij mensen op het moment dat uitwisseling noodzakelijk is toestemming
kunnen geven voor het opvragen van specifieke gegevens?

In de huidige situatie moeten burgers uitdrukkelijke toestemming geven voor het beschikbaar
stellen van gezondheidsgegevens. Dat geldt ook voor het beschikbaar stellen van gezondheidsgegevens
aan het NCPeH-NL. Deze toestemming wordt geregistreerd en geraadpleegd een onlinetoestemmingsvoorziening.19 In de OTV zal een aparte toestemmingsvraag worden gesteld voor de Europese uitwisseling,
waarbij de burger een «Europees vinkje» kan zetten om gegevens beschikbaar stellen
aan zorgverleners in andere lidstaten. Bij het registreren van de toestemming zal
de burger goed worden geïnformeerd over wat deze toestemming precies inhoudt, zodat
het de burger zonder meer duidelijk is welke gegevens met wie kunnen worden uitgewisseld.
Ook wordt de burger hierbij geïnformeerd over zijn rechten, zoals het recht om toestemming
te weigeren of op elk gewenst moment in te trekken. Daarnaast is het mogelijk om toestemming
te geven voor een bepaalde periode, bijvoorbeeld wanneer een burger voor twee weken
op vakantie gaat. Na deze periode «vervalt» de toestemming en zijn de gegevens niet
meer op te vragen.

Bij het opvragen van gegevens in het land van behandeling geldt de lokale wetgeving
van het land waar de opvragende zorgaanbieder is gevestigd.

De behandelend zorgverlener vraagt als de patiënt bij bewustzijn is eerst toestemming
te geven om gegevens op te vragen via de MyHealth@EU-infrastructuur. Daarnaast informeert
hij de cliënt over MyHealth@EU en de lokale wetgeving. Hiervoor is een uniform formulier
ontwikkeld, bekend als de patiënt information notice (PIN). Ook worden cliënten middels
dit formulier geïnformeerd over hun rechten en de verwerking van hun persoonsgegevens.

Er is nu nog geen sprake van een opt-out, maar de mogelijkheid daartoe zal in de toekomst
op basis van de EHDS-verordening worden geïntroduceerd. Lidstaten krijgen dan de keuze
of zij voor hun burgers een opt-out recht in nationale wetgeving opnemen. Daarnaast
voorziet de verordening in het recht op het beperken van de toegang van zorgverleners
tot elektronische gezondheidsgegevens. Mijn ambtsvoorganger heeft uw Kamer in juli
2024 geïnformeerd gebruik te willen maken van de mogelijkheid om het opt-out recht
voor primair gebruik te introduceren in ons nationale stelsel.20 Ik onderschrijf dit besluit. Op dit moment wordt gewerkt aan de uitwerking van de
opt-out en het recht op beperking van toegang, met inachtneming van de noodzakelijke
waarborgen.21 Daarbij zal worden gekeken naar hoe de opt-out betrekking kan hebben op de uitwisseling
via het NCPeH-NL.

De leden van de SP-fractie vragen daarnaast hoe de gegevensuitwisseling zal plaatsvinden. Moeten de zorgaanbieders
waar de patiëntgegevens zich bevinden die altijd beschikbaar stellen via het nationaal
contactpunt, voor het geval dat deze worden opgevraagd? Of moeten zij deze actief
beschikbaar stellen op het moment dat deze worden opgevraagd?

Zorgaanbieders hoeven gegevens niet actief te verstrekken op het moment dat deze worden
opgevraagd. In de Nederlandse architectuur worden zorgaanbieders gekoppeld aan een
elektronisch uitwisselingssysteem (EUS). Door deze koppeling zijn de elektronische
gezondheidsgegevens door het NCPeH-NL op te halen, mits de cliënt in een online toestemmingsvoorziening
toestemming voor Europese uitwisseling heeft geregistreerd. Wanneer er geen toestemming
is geregistreerd wordt dit aan de opvragende zorgaanbieder teruggekoppeld en blijft
de uitwisseling van gegevens achterwege.

3.1 Instrumentkeuze

Geen opmerkingen of vragen van de fracties.

3.2 Reikwijdte wetsvoorstel

De leden van de GroenLinks-PvdA-fractie zijn benieuwd hoe gegevensuitwisseling met landen, waarin geen opt-out mogelijkheid
bestaat voor patiënten, is georganiseerd.

Ik interpreteer deze vraag vanuit het perspectief van een Nederlandse burger die zijn
opt-out recht heeft ingeroepen onder de nieuwe situatie waarbij binnen de EHDS-systematiek
in Nederland een opt-out van toepassing is. De opt-out is dan van toepassing op alle
elektronische gezondheidsgegevens die binnen Nederland worden verwerkt. Als een burger
gebruik heeft gemaakt van het recht op opt-out, zijn de gegevens niet beschikbaar
voor zorgaanbieders in andere lidstaten, ook als er in de andere lidstaat géén opt-out
mogelijkheid bestaat. In geval van een behandeling van een Nederlandse cliënt in een
andere lidstaat kan de behandelend zorgverlener elektronische gezondheidsgegevens
verwerken in een medisch dossier. Die gegevens vallen in dat geval onder de wetgeving
van die lidstaat.

De leden van de GroenLinks-PvdA-fractie vragen of Nederland heeft gepleit om de opt-out mogelijkheid de Europese standaard
te maken? Welke andere lidstaten hebben een opt-out mogelijkheid? Heeft het nadelen
dat niet alle landen deze mogelijkheid zullen hebben?

Nederland heeft gepleit voor optimale zeggenschap van burgers over de uitwisseling
van de zorggegevens die op hen betrekking hebben. Tijdens de onderhandelingen op de
EHDS-verordening heeft dit geleid tot de mogelijkheid voor lidstaten om in nationale
wetgeving een opt-out te regelen voor het beschikbaarstellen van elektronische gezondheidsgegevens
voor primair gebruik De opt-out een Europese standaard maken is nooit de inzet geweest
van Nederland, omdat dit een onhaalbare zaak is. Er zijn namelijk ook lidstaten, zoals
Estland, die in hun huidig gezondheidsinformatiestelsel uitgaan van databeschikbaarheid
en daarbij geen opt-out mogelijkheid hebben. Er is nog niet definitief bekend welke
lidstaten van de opt-out mogelijkheid gebruik zullen maken. In België geldt momenteel
een opt-out en Duitsland werkt aan de invoering ervan.

Verder vragen de leden van de GroenLinks-PvdA-fractie of het nadelen heeft dat niet alle landen een opt-out mogelijkheid zullen hebben.

Het ontbreken van een mogelijkheid tot opt-out in een andere lidstaat heeft alleen
gevolgen voor de gegevens die in dat land zijn opgeslagen. Indien er elektronische
gezondheidsgegevens van Nederlanders in andere EU-lidstaten zijn opgeslagen, dan is
het afhankelijk van de lidstaat of er een opt-out recht bestaat voor die gegevens.
Het overgrote deel van de elektronische gezondheidsgegevens van Nederlanders bevinden
zich bij Nederlandse zorgaanbieders. De situatie waarin gegevens van een Nederlandse
burger worden opgevraagd terwijl deze zijn opgeslagen in een lidstaat zonder opt-out
mogelijkheid, zal daarom naar verwachting slechts sporadisch voorkomen. Mijn ambtsvoorganger
heeft uw Kamer in juli 2024 geïnformeerd gebruik te willen maken van de mogelijkheid
om een opt-out recht voor primair gebruik te introduceren in ons nationale stelsel.22 De opt-out die Nederland kan invoeren zal van toepassing zijn op al deze elektronische
gezondheidsgegevens. Wanneer een Nederlandse burger gebruik heeft gemaakt van de opt-out
kunnen deze gegevens dus niet door zorgverleners vanuit een andere lidstaat worden
opgevraagd.

De leden van de GroenLinks-PvdA-fractie vragen of de regering problemen voorziet in de gegevensuitwisseling tussen landen
die andere mate van nationale privacybescherming kennen?

De AVG biedt binnen heel Europa waarborgen om er onder andere voor te zorgen dat alleen
noodzakelijke persoonsgegevens worden verwerkt en niet langer worden bewaard dan strikt
nodig. Dus ook in geval van grensoverschrijdende uitwisseling. Dit betekent dat moet
worden voldaan aan vergelijkbare regels en daarmee een gelijkwaardig niveau van privacybescherming,
ook bij de verwerking van persoonsgegevens van een cliënt uit Nederland. Op juiste
toepassing hiervan wordt toegezien en gehandhaafd door nationale toezichthouders.

Tevens geldt dat binnen het MyHealth@EU-stelsel onderlinge afspraken zijn gemaakt
tussen alle lidstaten. Deze afspraken hebben onder meer betrekking op de juridische
en organisatorische inrichting, informatieveiligheid, dienstverlening en semantische
en technische interoperabiliteit van het nationale contactpunt. Lidstaten worden voorafgaand
aan de aansluiting op het MyHealth@EU-netwerk door middel van nalevingstoetsen door
de Europese Commissie op deze eisen getoetst. Na aansluiting op het netwerk vinden
er ook nog nalevingstoetsen plaats. Mocht blijken dat de afspraken niet worden nageleefd,
dan kan worden overgegaan op sanctionerende maatregelen, waarbij in het uiterste geval
lidstaten kunnen worden afgesloten van de Europese infrastructuur.

De leden van de GroenLinks-PvdA-fractie lezen dat er in Nederland een mogelijkheid tot opt-out op de beschikbaarheid van gegevens
is. Kan nader worden toegelicht hoe deze opt-out in zijn werking gaat? Hoe zorgt de
regering ervoor dat mensen zich actief kunnen beroepen op dit recht?

Ik wil benadrukken dat in de huidige situatie burgers uitdrukkelijke toestemming moeten
geven voor het beschikbaar stellen van gezondheidsgegevens voor de Europese uitwisseling.
Er is momenteel dus nog geen sprake van een opt-out.

Onder de EHDS-verordening zal toestemming voor de beschikbaarstelling van bepaalde
categorieën elektronische gezondheidsgegevens niet langer een vereiste zijn. De EHDS-verordening
biedt wel mogelijkheden om de uitwisseling via de Europese infrastructuur te beperken
via een tweetal rechten: het recht op opt-out voor primair gebruik en het recht op
beperken van toegang. De opt-out ziet op het niet ter beschikking stellen van gezondheidsgegevens
voor primair gebruik. Het recht beperken van toegang ziet op de mogelijkheid van een
specifieke zorgverlener en zorgaanbieder op inzage in de gezondheidsgegevens te beperken.
De EHDS-verordening biedt bij beide rechten de mogelijkheid voor gelaagdheid (onderscheid
op details). Bovendien kunnen lidstaten zorgaanbieders het recht geven om in uiterste
noodsituaties (vitaal belang) een ingeroepen beperkingsrecht buiten beschouwing te
laten en alsnog noodzakelijke gezondheidsgegevens voor de zorgverlening op te vragen
via de Europese infrastructuur.

De cliënt kan zijn beperkingsrechten uitoefenen in de toegangsdienst voor burgers
die de EHDS-verordening verplicht stelt in elke lidstaat. De keuzes van de cliënt
worden daarin onmiddellijk verwerkt. Voor het inzien van de gezondheidsdata van de
cliënt raadpleegt de zorgverlener een toegangsdienst voor zorgverleners. Daarin is
voor de zorgverlener niet te zien of de cliënt van zijn beperkingsrechten gebruik
heeft gemaakt.

Zoals nader toegelicht aan uw Kamer in de brief van januari 2026, wordt op dit moment
gewerkt aan de uitwerking van de opt-out en het recht op beperking van toegang, met
inachtneming van de noodzakelijke waarborgen. Uw Kamer wordt na de zomer nader geïnformeerd
over op welke wijze de rechten in de Nederlandse toegangsdienst voor burgers worden
geborgd. Uiteraard zullen zowel burgers als zorgprofessionals tijdig en goed worden
geïnformeerd over de invoering, mogelijke keuzes en gevolgen daarvan. Onder de EHDS-verordening
zal de nog in te richten Autoriteit omtrent Digitale Gezondheid deze taak op zich
nemen.

De leden van de CDA-fractie vragen de regering nader toe te lichten hoe het geven van toestemming precies werkt.
Zij vragen waaruit het volgt dat toestemming van de cliënt nodig is voor uitwisseling
van gegevens. Ook vragen zij of het klopt dat toestemming van de cliënt alleen kan
op basis van een papieren of online formulier. Zij vragen of bijvoorbeeld mondelinge
toestemming van de cliënt ook voldoende is. Zij vragen wat de regels zijn als de cliënt
niet bij bewustzijn is en sprake is van spoed.

Zolang de verplichtingen uit de EHDS-verordening nog niet van toepassing zijn, is
toestemming van een cliënt voor Europese grensoverschrijdende gegevensuitwisseling
om verschillende redenen nodig. Allereerst heeft een zorgverlener op grond van de
Wet geneeskundige behandelingsovereenkomst (WGBO) en de Wet op de beroepen in de individuele
gezondheidszorg een medisch beroepsgeheim. Dit betekent dat de zorgverlener niet zomaar
medische gegevens mag delen met anderen dan de cliënt. Voor doorbreking van het medisch
beroepsgeheim is in beginsel toestemming van de cliënt nodig, die in deze situatie
altijd uitdrukkelijk en schriftelijk dient te zijn gegeven.

Verder is de gegevensuitwisseling via het NCPeH-NL op dit moment zo ingericht dat
gegevens over cliënten uit Nederland beschikbaar worden gesteld via een zogenoemd
elektronisch uitwisselingssysteem (EUS). Met een EUS kunnen gegevens worden opgehaald
zonder dat daarvoor een actieve handeling van de zorgaanbieder nodig is. Uit de Wet
aanvullend bepalingen verwerking

persoonsgegevens in de zorg volgt dat een zorgaanbieder alleen langs deze weg gegevens
beschikbaar mag stellen als de cliënt hiervoor uitdrukkelijk toestemming heeft gegeven.

Om het uitwisselen van gegevens via het NCPeH-NL met een zorgverlener in het buitenland
mogelijk te maken, is vereist dat een burger de hiervoor genoemde toestemmingen voorafgaand
aan een uitwisseling registreert in een online toestemmingsvoorziening door het aankruisen
van een «Europees vinkje». Toestemming kan op ieder moment worden vastgelegd en ook
weer worden ingetrokken. Ook is het ook mogelijk om toestemming te geven voor een
bepaalde periode, bijvoorbeeld voor de duur van een vakantie in het buitenland. Voor
burgers die digitaal minder vaardig zijn, bestaat een functionaliteit waarbij zorgverleners
burgers kunnen ondersteunen bij het registeren van de toestemming in de online toestemmingsvoorziening.
In dat geval geeft de burger mondeling toestemming aan de zorgverlener om namens hem
te registreren dat zijn gegevens via een EUS met het NCPeH-NL mogen worden gedeeld.

Wanneer het NCPeH-NL een opvraging ontvangt van een zorgaanbieder uit een andere lidstaat,
controleert het NCPeH-NL eerst of er toestemming is geregistreerd. Is dat niet het
geval, dan koppelt het NCPeH-NL dit terug aan de opvragende zorgaanbieder. Als er
wél toestemming is geregistreerd door de Nederlandse cliënt, worden de bronsystemen
bevraagd. Deze systematiek vereist een centraal vastgelegde toestemming. Het is daarom
niet mogelijk om, op het moment van behandeling in een andere lidstaat, mondeling
toestemming te geven voor de bevraging van Nederlandse bronsystemen door het NCPeH-NL.
Wel is het mogelijk om ter plaatse in te loggen bij de OTV en de toestemming alsnog
te registeren. Indien een cliënt buiten bewustzijn is, zal dat uiteraard niet gaan
en in geval van een spoedsituatie zal daar mogelijk geen tijd voor zijn, zodat dan
geen gegevens kunnen worden opgevraagd.

Ook vragen de leden van de CDA-fractie wat het verschil is tussen een online toestemmingsvoorziening (OTV) en elektronisch
uitwisselingssysteem (EUS).

Het verschil tussen een OTV en een EUS is dat een OTV uitsluitend ziet op het vastleggen
en beheren van toestemming, terwijl een EUS het technische systeem is waarmee gegevens
kunnen worden geraadpleegd.

De leden van de SP-fractie vragen of de regering kan aangeven welke gegevens precies zullen mogen worden gedeeld
via de nationale contactpunten. Kan het hierbij gaan om alle soorten medische gegevens,
of enkel om specifieke vormen?

Via MyHealth@EU kunnen niet alle gegevens uit een patiëntendossier worden gedeeld,
maar uitsluitend bepaalde categorieën gezondheidsinformatie. Momenteel ondersteunt
MyHealth@EU de uitwisseling van de volgende categorieën: patiëntsamenvattingen, elektronische
recepten (ePrescription) en verstrekkingen (eDispensation) en lab uitslagen (Lab Results).
Vanaf oktober 2026 zullen ook de categorieën ontslagverslagen (Hospital Discharge
Report) en beeld (Image Reports) worden opgenomen. Welke gegevens in Nederland onder
een bepaalde categorie vallen, zal – tot de verplichtingen uit de EHDS-verordening
van toepassing worden – steeds bij AMvB worden uitgewerkt.

Op dit moment ondersteunt het NCPeH-NL alleen het opvragen van patiëntsamenvattingen
van patiënten uit andere lidstaten ten behoeve van zorg in Nederland. Mijn ministerie
werkt aan de mogelijkheid om via het NCPeH-NL ook patiëntsamenvattingen van Nederlandse
patiënten op te vragen ten behoeve van zorg in een andere lidstaat.

De leden van de SP-fractie vragen hoe wordt gewaarborgd dat er geen gegevens worden opgevraagd die niet nodig
zijn voor het beoogde doel?

Allereerst wil ik benadrukken dat zorgverleners niet zomaar inzage hebben in het volledige
medische dossier van een Nederlandse burger. Via het MyHealth@EU-netwerk kunnen zorgverleners
uitsluitend vooraf vastgestelde categorieën gezondheidsinformatie opvragen. Om de
veiligheid van gegevens van cliënten te waarborgen zijn binnen het NCPeH-NL technische
en organisatorische waarborgen ingericht, zoals authenticatie, autorisatie, cryptografische
bevestiging van de behandelrelatie, logging en monitoring van opvragingen. Daarnaast
geldt dat zorgaanbieders gehouden zijn aan de bepalingen uit de AVG, die onder meer
vereist dat gegevens alleen voor welbepaalde, uitdrukkelijke en gerechtvaardigde doeleinden
worden opgevraagd (doelbinding) en ook alleen voor zover dat noodzakelijk is. Als
waarborg voor consequente toepassing van de AVG zijn lidstaten verplicht om een toezichthouder
aan te wijzen. Daarnaast voorziet de AVG aanvullend op het toezicht door nationale
autoriteiten in een handhavings- en samenwerkingsmechanisme ter waarborging van de
naleving van de verordening.

4. Verhouding tot hoger recht

4.1. Bescherming persoonlijke levenssfeer en gegevensbescherming

De leden van de SGP-fractie vragen naar aanleiding van paragraaf 4.4.1. Grondslagen in de EHDS, hoe het tijdspad
voor de implementatiewetgeving van de European Health Data Space (EHDS) eruitziet.
Wanneer verwacht de regering de tranches bij de Kamer in te dienen? Kan de regering
daarbij aangeven welke aspecten in welke tranche worden geregeld?

Mijn ambtsvoorganger heeft uw Kamer bij brief van 20 januari 2026 hierover geïnformeerd.23 Deze brief heeft uw vragen gekruist.

De verplichtingen uit de EHDS-verordening zijn op verschillende momenten van toepassing,
te weten 26 maart 2027, 26 maart 2029 en 26 maart 2031. Er is gekozen voor een stapsgewijze
invoering van de EHDS-verordening die aansluit op de momenten waarop de onderdelen
uit de verordening ook daadwerkelijk van toepassing zullen zijn. Ik heb besloten om
middels een stelselwet een geheel nieuw wettelijk kader in te richten waarin alle
verplichte onderdelen van de EHDS-verordening worden geïmplementeerd, beleidsruimte
rondom de opt-out het primaire gebruik wordt ingevuld en de bestaande nationale elementen
zoals uit de Wegiz en de Wet aanvullende bepalingen verwerking persoonsgegevens in
de zorg wordt opgenomen. Op deze manier verbind ik de Europeesrechtelijke verplichtingen
aan de nationale vereisten voor het nationale gezondheidsinformatiestelsel.

In het eerste deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche 1)
zullen hoofdzakelijk de aanwijzingen van autoriteiten worden geregeld. Daarnaast is
ervoor gekozen om in de eerste tranche ook het systeem van derdencertificering van
elektronische patiëntendossiersystemen (EPD-systemen), zoals nu vastgelegd in de Wegiz,
te vervangen door een systeem van zelfbeoordeling, zodat lopende Wegiz-trajecten en
daaruit volgende algemene AMvB’s beter aansluiten op de komende EHDS verplichtingen.
Momenteel wordt gewerkt aan een wetsvoorstel waarvan het voornemen is dat deze in
de eerste helft van 2026 in internetconsultatie gaat. De Tweede Kamer zal dan naar
verwachting in het eerste kwartaal van 2027 het wetsvoorstel ontvangen.

Parallel aan het uitwerken van tranche 1 ben ik ook al gestart met de voorbereidingen
voor het tweede deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche
2). Momenteel vindt er een inventarisatie plaats van de onderwerpen die zullen worden
meegenomen in tranche 2. De betreffende bepalingen van de EHDS-verordening worden
vanaf 26 maart 2029 van toepassing, zodat de noodzakelijke uitvoeringswetgeving ook
op dat moment in werking moet treden.

De leden van de SGP-fractie vragen of de regering nader kan toelichten hoe de reikwijdte van de inzage tot het
patiëntdossier zal worden geregeld. Wordt dit juridisch afgebakend zodat zorgprofessionals
die geen betrokkenheid hebben bij onderdelen of categorieën van het persoonsdossier
daar ook geen toegang toe krijgen?

Indien een zorgverlener een categorie gegevens opvraagt is het afhankelijk van de
toestemming van de Nederlandse cliënt en de beschikbare informatie of de opvragende
zorgverlener gegevens ontvangt. Op basis van het wetsvoorstel en de bijbehorende AMvB
zal eerst alleen de uitwisseling van de patiëntsamenvatting mogelijk worden gemaakt.
Op een later moment volgt de categorie elektronische recepten (ePrescription)/elektronische
verstrekkingen (eDispensation).

Binnen het stelsel van MyHealth@EU gelden technische en organisatorische waarborgen.
Dit zijn waarborgen op het gebied van authenticatie, autorisatie, cryptografische
bevestiging van de behandelrelatie, logging en monitoring van de opvragingen. Deze
waarborgen zorgen ervoor dat uitsluitend bevoegde zorgverleners met een bestaande
zorgrelatie medische gegevens kunnen opvragen. Door middel van tussentijdse nalevingscontrole
worden lidstaten getoetst op de naleving van deze waarborgen.

De leden van de SGP-fractie vinden het spijtig dat vanwege de EHDS-verplichtingen er voor het opvragen van categorieën
van gezondheidsinformatie van de patiënt via het NCPeH-NL door de behandelende zorgverleners
in andere EU-landen in de toekomst geen toestemming meer is vereist. De leden van
de SGP-fractie vinden het goed dat de regering gebruikmaakt van de mogelijkheid om
de opt-out in nationale wetgeving te regelen. Kan de regering aangeven wat eventuele
gevolgen kunnen zijn als een patiënt ervoor kiest om geen toestemming te geven voor
de uitwisseling van (bijzondere) persoonsgegevens?

De EHDS-verordening biedt voor lidstaten de mogelijkheid om in nationale wetgeving
een recht op opt-out voor primair gebruik op te nemen. Dat recht opt-out strekt ertoe
dat burgers de mogelijkheid krijgen te verhinderen dat elektronische gezondheidsgegevens
(die binnen de reikwijdte van de EHDS-verordening vallen) vanuit de bron beschikbaar
worden gesteld via de zogenoemde toegangsdienst voor gezondheidswerkers. Het gevolg
is dat zorgaanbieders elektronische gezondheidsgegevens niet kunnen uitwisselen via
de digitale infrastructuur (tenzij de burger de opt-out weer intrekt). Als een client
uit Nederland gebruik heeft gemaakt van de opt-out, dan zal een zorgverlener in een
andere lidstaat geen informatie over deze client kunnen opvragen. Indien die zorgverlener
ten behoeve van de behandeling van deze cliënt bepaalde informatie nodig denkt te
hebben, bijvoorbeeld over bepaalde allergieën, dan zal de zorgverlener de cliënt hier
persoonlijk naar moeten vragen. Ook kan het zijn dat er onderzoeken moeten gedaan,
die anders niet nodig zouden zijn geweest.

De leden van de SP-fractie vragen welke maatregelen getroffen zullen worden om het lekken van medische gegevens
via dit systeem te voorkomen. Welke technische en procedurele veiligheidswaarborgen
zijn er ingebouwd om te voorkomen dat medische persoonsgegevens in de verkeerde handen
vallen?

Vanwege de gevoeligheid van persoonlijke elektronische gezondheidsgegevens is het
van belang om voldoende waarborgen te bieden, zowel op het niveau van de Europese
Unie als op nationaal niveau, om een hoge mate van gegevensbescherming, beveiliging,
vertrouwelijkheid en ethisch gebruik te garanderen. Zoals in paragraaf 3.2.5 van de
memorie van toelichting is opgenomen gelden op Europees niveau technische en operationele
vereisten, zodat alle belanghebbenden zekerheid hebben over de veiligheid en betrouwbaarheid
van MyHealth@EU en erop kunnen vertrouwen dat de onderliggende nationale infrastructuren
ook op correcte wijze worden ingezet. In de technische software zit misbruikdetectie
ingebouwd om misbruik te monitoren. Lidstaten worden door een onafhankelijke externe
partij op de verschillende criteria getoetst voordat zij mogen aansluiten op het MyHealth@EU-netwerk.
Na aansluiting zal periodiek worden gecontroleerd of nog aan die criteria wordt voldaan.
Mocht blijken dat de afspraken niet worden nageleefd, dan kan worden overgegaan tot
sanctionerende maatregelen, waarbij in het uiterste geval lidstaten kunnen worden
afgesloten van de Europese infrastructuur. Naast technische en operationele waarborgen
zijn de lidstaten en hun inwoners gehouden aan de bepalingen uit de AVG, die onder
meer vereist dat gegevens alleen voor welbepaalde, uitdrukkelijke en gerechtvaardigde
doeleinden worden opgevraagd (doelbinding) en ook alleen voor zover dat noodzakelijk
is. Als waarborg voor consequente toepassing van de AVG zijn lidstaten verplicht om
een toezichthouder aan te wijzen. Daarnaast voorziet de AVG in een handhavings- en
samenwerkingsmechanisme ter waarborging van de naleving van de verordening.

4.2. EVRM

De leden van de GroenLinks-PvdA-fractie merken op dat patiënten altijd goed op de hoogte moeten zijn van hun rechten, en dat
de beperking op hun privacyrecht door het uitwisselen van gezondheidsgegevens goed
wordt uitgelegd. Hierbij merken deze leden echter op dat er in het buitenland sprake
kan zijn van een taalbarrière. Hoe zorgt de regering ervoor dat een taalbarrière de
informatievoorziening richting patiënten niet belemmert?

Ik ben het met de leden eens dat cliënten goed op de hoogte moeten zijn van hun rechten.
Om te voorkomen dat een taalbarrière de informatievoorziening richting cliënten belemmert,
krijgen cliënten in het buitenland een informatiedocument over grensoverschrijdende
uitwisseling van elektronische gezondheidsgegevens uitgereikt, de Patient Information Notice. Dit formulier is in alle talen beschikbaar en wordt uitgereikt door de zorgaanbieder
in het buitenland. Het formulier licht toe hoe de gegevens en informatie van de patiënt
worden verwerkt en welke regels daarvoor gelden in het betreffende land van behandeling,
welke rechten de cliënt heeft en waar de cliënt terecht kan voor aanvullende informatie
en vragen. Dit is onderdeel van de afspraken en werkwijze binnen MyHealth@EU.

De regering stelt ook dat er per AMvB aanvullende uitwerking volgt over hoe persoonsgegevens
worden verwerkt. De regering stelt dat de burger hiermee voldoende inzicht krijgt
over de gegevensverwerking. De leden van de GroenLinks-PvdA-fractie vragen hoe de regering dit voor zich ziet? Is de verwachting dat patiënten de AMvB
lezen?

De leden van de Groenlinks-PvdA-fractie refereren aan de beoordeling in de memorie
van toelichting of het wetsvoorstel zich verdraagt met het EVRM. In het kader van
die beoordeling dient onder meer te worden getoetst of een inbreuk op het recht op
privacy bij wet is voorzien en of burgers daaruit met voldoende precisie kunnen opmaken
welke op hun privéleven betrekking hebbende gegevens met het oog op de vervulling
van een bepaalde overheidstaak kunnen worden verzameld en vastgelegd, en onder welke
voorwaarden die gegevens met dat doel kunnen worden bewerkt, bewaard en gebruikt.
In het kader van deze toets is in de memorie van toelichting de conclusie getrokken
dat voor burgers bij raadpleging van de AMvB voldoende inzicht in de gegevensverwerking
is te verkrijgen.

Daarnaast worden burgers op verschillende manieren worden geïnformeerd over de wijze
waarop persoonsgegevens worden verwerkt. Zo vindt voorlichting plaats via het eerdergenoemde
PIN-formulier alsook bij het registreren van toestemmingen in de online toestemmingsvoorziening.

4.3. Grondwet

Geen opmerkingen of vragen van de fracties.

4.4. EHDS-verordening

De leden van de CDA-fractie begrijpen dat bij de implementatie van de EHDS-verordening de regels rondom toestemming
zullen veranderen. Zij vragen of de regering een update kan geven over de stand van
zaken met betrekking tot de implementatie.

Over de stand van zaken met betrekking tot het voldoen aan de verplichtingen uit de
EHDS-verordening is uw Kamer bij brief van januari 2026 geïnformeerd.24Zoals in deze brief toegelicht, is gekozen voor een stapsgewijze aanpak. Momenteel
wordt gewerkt aan een wetsvoorstel waarvan het voornemen is dat deze in de eerste
helft van 2026 in internetconsultatie gaat. De Tweede Kamer zal dan naar verwachting
in het eerste kwartaal van 2027 het wetsvoorstel ontvangen. Dit wetsvoorstel is het
eerste deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche 1). Parallel
aan het uitwerken van tranche 1 ben ik ook al gestart met de voorbereidingen voor
het tweede deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche 2).
Deze wetgeving dient uiterlijk op 26 maart 2029 in werking te treden volgens de deadline
die in de EHDS-verordening wordt genoemd. Momenteel vindt er een inventarisatie plaats
van de onderwerpen die zullen worden meegenomen in tranche 2. Het opt-out recht voor
primair gebruik en het recht op het beperken van de toegang zal hier onderdeel van
zijn.

5. Verhouding tot nationale regelgeving

5.1. Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)

Geen opmerkingen of vragen van de fracties.

5.2. Wet op de geneeskundige behandelingsovereenkomst (WGBO) en Wet op de beroepen
in de individuele gezondheidszorg (Wet BIG)

Geen opmerkingen of vragen van de fracties.

5.3. Wet aanvullende bepalingen Burgerservicenummer (Wabb)

Geen opmerkingen of vragen van de fracties.

5.4. Wet elektronische gegevensuitwisseling in de zorg (Wegiz)

Geen opmerkingen of vragen van de fracties.

5.5. Verhouding met andere nationale programma’s en initiatieven

Geen opmerkingen of vragen van de fracties.

6. Effecten van het Wetsvoorstel

6.1. Gevolgen voor zorgaanbieders en zorgverleners

De leden van de VVD-fractie lezen dat het inrichten van processen en het trainen van personeel voor gebruik van
NCPeH-NL een tijdelijke intensivering zal vormen van de werkdruk. Kan de regering
aangeven of zij verwacht dat dit weer het geval zal zijn als overgegaan wordt op het
systeem in lijn met de EHDS, of is dit echt eenmalig?

Het is de verwachting dat de zorgaanbieders die onder de richtlijn al vrijwillig aansluiten
op het contactpunt, geen dubbele regeldruk zullen ondervinden wanneer de EHDS-verordening
van toepassing is. Het inrichten van processen en het trainen van personeel vormt
eerder een voorbereiding op de EHDS-verordening, aangezien de richtlijn op de hier
aan de orde zijnde punten, inhoudelijk grotendeels overeenkomt met de EHDS-verordening.
Het voldoen aan de verplichtingen uit de EHDS-verordening is een omvangrijke en complexe
opgave voor de komende jaren. Juist daarom zet ik hier nu op in, zodat er voldoende
tijd is om noodzakelijke voorbereidingen te treffen en tot een zorgvuldige uitvoering
te komen. Door nu aan te sluiten hebben zorgaanbieders de mogelijkheid om zich over
een langere periode voor te bereiden op de komende verplichtingen uit de EHDS-verordening.

De leden van de GroenLinks-PvdA-fractie zijn benieuwd hoe de regering voor zich ziet dat zorgverleners en -aanbieders worden
getraind in de nieuwe systematiek. Vindt de regering dit een verantwoordelijkheid
van individuele medewerkers en aanbieders? Welke nationale voorzieningen gaat de regering
treffen om personeel bij te scholen en te informeren?

Het is natuurlijk van belang dat zorgaanbieders en hulpverleners voldoende geïnformeerd
worden over veranderingen die door de nieuwe regels voor hen ontstaan. Hoewel training
en scholing in beginsel een verantwoordelijkheid van iedere beroepsgroep zelf is,
ben ik van mening dat in dit geval het borgen van voldoende kennis en vaardigheden
bij zorgverleners vraagt om een gezamenlijke inspanning. Ik zal dan ook inzetten op
het beschikbaar stellen van duidelijke en toegankelijke informatie en het benutten
van bestaande landelijke voorzieningen voor kennisdeling, zowel in het kader van dit
wetsvoorstel als in het kader van de EHDS-verordening die vanaf maart 2029 nieuwe
verplichtingen met zich meebrengt.

6.2. Gevolgen voor burgers

De leden van de GroenLinks-PvdA-fractie maken zich zorgen over het doenvermogen van burgers. Hoe verwacht de regering dat
burgers hulp van zorgverleners kunnen vragen? Komen er nationale voorzieningen voor
burgers die extra ondersteuning nodig hebben?

Ik vind het zeer belangrijk dat iedereen kan meekomen in de maatschappij. Digitale
vaardigheden en ondersteuning zijn belangrijke aspecten in het kader van dit wetsvoorstel.
Daarom wordt ingezet op tijdige, begrijpelijke en toegankelijke informatievoorziening.
Burgers zullen actief worden geïnformeerd over de gevolgen van dit wetsvoorstel en
– in de toekomst – de EHDS-verordening en over de wijze waarop zij hun rechten kunnen
uitoefenen. Onder de EHDS-verordening zal de nog in te richten Autoriteit omtrent
Digitale Gezondheid deze taak op zich nemen.

De leden van de CDA-fractie lezen dat het wetsvoorstel iets van het doenvermogen van burgers vraagt, omdat zij
toestemming dienen vast te leggen voor internationale uitwisseling van gezondheidsgegevens.
Deze leden vragen of het geven van toestemming alleen mogelijk is op het moment dat
er een specifieke of urgente zorgvraag in het buitenland is, of dat dit altijd mogelijk
is dat wil zeggen dat je die toestemming ook uit voorzorg vast kunt leggen. Zo ja,
dan vragen deze leden hoe dit praktisch vorm krijgt en hoe burgers hierover geïnformeerd
worden.

Burgers kunnen hun toestemmingskeuze voor Europese uitwisseling op ieder moment vastleggen
in een online toestemmingsvoorziening. Dit kunnen zij uit voorzorg doen en voor een
bepaalde periode, voor bijvoorbeeld een aanstaande vakantie van drie weken. Het is
ook mogelijk voor burgers om de toestemmingskeuze nog ter plaatse te registeren in
geval van een ongeplande zorgbehoefte in het buitenland. De Nederlandse burger kan
dan inloggen en de toestemming registeren, waarna dit direct wordt verwerkt.

6.3. Gevolgen voor IT-leveranciers en -dienstverleners

Geen opmerkingen of vragen van de fracties.

6.4. Gevolgen voor de overheid

De leden van de GroenLinks-PvdA-fractie vragen naar aanleiding van paragraaf 6.4.1 «Gevolgen toezicht en handhaving», of
de Autoriteit Persoonsgegevens (AP) als toezichthouder straks het ministerie moet
controleren, aangezien het ministerie de verwerkingsverantwoordelijke is. Hoe gaat
de Minister helpen om de toezichthouder actief toegang te geven tot de informatie
die nodig is voor de AP om haar taak te vervullen?

De Autoriteit Persoonsgegevens (AP) is als zelfstandig bestuursorgaan met een eigen
rechtspersoonlijkheid een onafhankelijk toezichthouder. In de Uitvoeringswet Algemene
verordening gegevensbescherming zijn bepalingen opgenomen om de onafhankelijkheid
van de AP ten opzichte van de Minister te waarborgen.

Het is niet gebruikelijk dat verwerkingsverantwoordelijken de AP proactief toegang
geven tot hun systemen en informatie. Wanneer de AP in het kader van haar toezichthoudende
taak onderzoek verricht bij het NCPeH-NL, wordt uiteraard volledige medewerking verleend
en wordt alle voor het onderzoek benodigde informatie verstrekt.

De leden van de GroenLinks-PvdA-fractie hebben, naar aanleiding van paragraaf 6.4.2. «Gevolgen voor Caribisch Nederland»,
grote twijfels over de aanname dat er geen gevolgen zijn voor Caribisch Nederland.
Caribische Nederlanders afkomstig van Bonaire, St. Eustatius en Saba hebben momenteel
nog geen BSN. Hoe kunnen zij gebruik maken van de NCPeH als zij behandeld worden in
een Europese lidstaat? Raakt dit wetsvoorstel ook zorgaanbieders op de BES-eilanden,
en welke afspraken maakt de regering met deze organisaties om de uitvoering te bevorderen?

Sinds 11 november 2025 hebben de inwoners van Bonaire, Sint Eustatius en Saba een
burgerservicenummer. Het wetsvoorstel betreft evenwel de implementatie van Europees
recht, te weten artikel 14 van Richtlijn 2011/24/EU, dat niet op Caribisch Nederland
van toepassing is. Het wetsvoorstel geldt daarom uitsluitend voor Europees Nederland
en heeft daarmee geen gevolgen voor Caribisch Nederland en haar inwoners.

6.5. Gevolgen voor de gegevensbescherming (DPIA)

Geen opmerkingen of vragen van de fracties.

6.6. Effecten op de arbeidsmarkt

Geen opmerkingen of vragen van de fracties.

6.7. Fraude

Geen opmerkingen of vragen van de fracties.

7. Financiële gevolgen en regeldruk

7.1. Overheid

Geen opmerkingen of vragen van de fracties.

7.2. Zorgaanbieders

Geen opmerkingen of vragen van de fracties.

7.3. Cliënten

Geen opmerkingen of vragen van de fracties.

7.4. Effecten regeldruk

De leden van de CDA-fractie lezen dat de regeldrukeffecten van het wetsvoorstel pas duidelijk worden bij de uitwerking
van de AMvB’s. Zij vragen of de regering kan toelichten welke onderdelen precies in
de AMvB’s worden uitgewerkt en wat hier per onderdeel precies de reden van is. Deze
leden vragen ook hoe de regering de regeldrukeffecten gaat uitwerken bij de AMvB’s
en ook of het Adviescollege toetsing regeldruk (ATR) hier dan over zal adviseren.

De categorieën van gezondheidsinformatie die via de MyHealth@EU-infrastructuur kunnen
worden uitgewisseld, worden op grond van het wetsvoorstel nader uitgewerkt bij algemene
maatregel van bestuur. Dit betekent dat per categorie bij AMvB zal worden uitgewerkt
en inzichtelijk gemaakt welke gegevens daaronder worden uitgewisseld. Er is voor deze
systematiek gekozen omdat er nieuwe categorieën (kunnen) bijkomen en het onwenselijk
is om iedere keer opnieuw de wet aan te moeten passen om de uitwisseling van die categorieën
mogelijk te maken.

Momenteel kunnen via de MyHealth@EU-infrastructuur technisch gezien de volgende categorieën
worden uitgewisseld: patiëntsamenvattingen, elektronische recepten (ePrescription)
en verstrekkingen (eDispensation) en lab uitslagen (Lab Results). Vanaf oktober 2026
zullen ook de categorieën ontslagverslagen (Hospital Discharge Report) en beeld (Image
Reports) hieraan worden toegevoegd.

Op dit moment ondersteunt het NCPeH-NL alleen het opvragen van patiëntsamenvattingen
van cliënten uit andere lidstaten en wordt er gewerkt aan de mogelijkheid om patiëntsamenvattingen
van Nederlandse cliënten te delen. De AMvB die gelijktijdig met het wetsvoorstel in
werking zal treden zal zich daarom beperken tot de categorie patiëntsamenvattingen.
Daarbij zal ook de regeldruk worden getoetst en het Adviescollege toetsing regeldruk
(het ATR) om advies worden gevraagd.

Indien een nieuwe categorie voor uitwisseling mogelijk wordt gemaakt, zal daarvoor
een nieuwe AMvB worden vastgesteld. Ook die wordt weer voor toetsing aan de ATR voorgelegd.
Zodra de verplichtingen uit de EHDS-verordening van toepassing worden, zal uit de
verordening en de daarop gebaseerde uitvoeringshandelingen blijken welke gegevens
moeten worden uitgewisseld.

De systematiek waarbij voor iedere nieuwe categorie een nieuwe AMvB wordt vastgesteld,
komt dan te vervallen.

8. Uitvoering

De leden van de SGP-fractie vragen of het de bedoeling is dat alle zorgverleners in Nederland toegang krijgen
tot NCPeH-NL. Wordt bij de implementatie van NCPeH-NL prioriteit gegeven aan bepaalde
beroepsgroepen, zoals bijvoorbeeld de huisartsenzorg of acute zorg?

Het is niet de bedoeling dat alle zorgverleners automatisch toegang krijgen tot het
NCPeH-NL. Binnen Europa zijn er afspraken gemaakt over het type zorgverlener dat gebruik
mag maken van de MyHealth@EU-infrastructuur om elektronische gezondheidsgegevens op
te vragen. Dit is in MyHealth@EU-specificaties gedefinieerd volgens de rollen uit
de ISCO-08-standaard. Lidstaten koppelen dit aan nationale rollen en functies, conform
de geldende nationale regelgeving. Daarbij wordt geborgd dat toegang tot informatie
uitsluitend wordt verleend aan zorgverleners voor wie dit noodzakelijk is voor de
uitvoering van hun taken. De naleving van deze afspraken wordt getoetst door middel
van een onafhankelijke audit.

In Nederland zijn deze Europese afspraken vertaald naar de nationale situatie. In
eerste instantie is daarbij gekeken naar zorgverleners die in contact kunnen komen
met een cliënt afkomstig uit een andere lidstaat, zoals de ziekenhuiszorg, huisartsenzorg
en de acute zorg. De nadere uitwerking hiervan zal worden geregeld in de AMvB. Tijdens
de consultatieperiode hebben betrokken partijen uit het veld reacties gedeeld omtrent
de beroepsgroepen die toegang krijgen tot het NCPeH-NL. Ik neem deze opmerkingen zorgvuldig
in overweging bij de verdere vormgeving van de AMvB die naar verwachting voor de zomer
bij uw Kamer wordt voorgehangen.

9. Toezicht en handhaving

Geen opmerkingen of vragen van de fracties.

10. Advies en consultatie

10.1. Internetconsultatie

De leden van de CDA-fractie lezen dat koppeling met de persoonlijke gezondheidsomgeving (PGO) van een cliënt technisch
niet mogelijk is en ook verder gaat dan hetgeen de Richtlijn verlangt. Deze leden
vragen of de regering hier net als deze leden wel de meerwaarde van ziet en zo ja,
hoe de regering dit dan wil meenemen bij de implementatie van de EHDS. Deze leden
vragen welke technische mogelijkheden er zijn of wellicht komen om in meer of mindere
mate een koppeling met het PGO te maken.

In Nederland zijn er al oplossingen gereed, of in ontwikkeling, die burgers faciliteren
in de toegang tot de elektronische gezondheidsgegevens die over hen gaan. Zo zijn
er bijvoorbeeld Persoonlijke Gezondheidsomgevingen (PGO’s) en patiëntportalen die
burgers faciliteren in het inzien van hun dossier. Daarnaast wordt momenteel gewerkt
aan de ontwikkeling van MijnGezondheidsoverzicht. Dat is een generieke inzagefunctionaliteit
waarmee burgers op één plek inzage kunnen krijgen in de elektronische gezondheidsgegevens
die over hen gaan, waar deze zich ook in het Nederlandse zorgveld bevinden. Een goed
functionerend nationaal gezondheidsinformatiestelsel is randvoorwaardelijk voor het
ontsluiten van

gegevens richting de burger via een PGO of MGO. Landelijke programma’s, zoals het
landelijk dekkend netwerk van infrastructuren en eenheid van taal en techniek, dragen
hieraan bij.

Het NCPeH-NL is een organisatorische en technische toegangspoort voor digitale grensoverschrijdende
uitwisseling van categorieën gezondheidsinformatie voor primair gebruik. Het NCPeH-NL
staat enerzijds in verbinding met het Europese federatieve digitale netwerk MyHealth@EU
en anderzijds en met het gezondheidsinformatiestelsel. Het wetsvoorstel betreft een
implementatie van artikel 14 van Richtlijn 2011/24/EU, waarin het NCPeH bedoeld is
voor de uitwisseling tussen zorgaanbieders in andere lidstaten. Een koppeling van
het NCPeH-NL met een PGO valt buiten de reikwijdte van de Richtlijn 2011/24. Daarnaast
is het technisch ook nog niet mogelijk.

Het verstrekken van gegevens via het NCPeH-NL aan burgers door een koppeling met het
PGO kan mogelijk wel meerwaarde hebben. Ik onderzoek op dit moment of, en zo ja, hoe
burgers via het NCPeH-NL en het MedMij Afsprakenstelsel gegevens zouden kunnen opvragen
via een PGO. Daarnaast verken ik de mogelijkheden waarmee in Nederland de diensten
voor de rechten voor burgers uit de EHDS-verordening technisch kunnen worden vormgegeven.
Daarbij inventariseer ik wat ervoor nodig is om bestaande oplossingen, zoals PGO’s
en MijnGezondheidsoverzicht, te gebruiken bij het faciliteren van burgers in al hun
rechten uit de EHDS-verordening en de rol van het NCPeH-NL hierbij.

10.2. Uitvoeringstoets CIBG

Geen opmerkingen of vragen van de fracties.

10.3. Toets Autoriteit Persoonsgegevens

Geen opmerkingen of vragen van de fracties.

10.4. Toets Adviescollege toetsing regeldruk (ATR)

De leden van de SGP-fractie constateren dat de ATR het wetsvoorstel niet heeft geselecteerd voor een formeel advies
omdat er geen effecten zijn voor de regeldruk. De regeldrukeffecten van het wetsvoorstel
zullen pas concreet worden bij de uitwerking van de AMvB’s. Wordt de ATR daarom gevraagd
om een regeldruktoets uit te voeren voor alle AMvB’s?

Ja, steeds wanneer de uitwisseling van een nieuwe categorie gezondheidsgegevens mogelijk
wordt gemaakt, zal bij AMvB worden uitgewerkt welke gegevens het betreft en zal het
ATR worden geraadpleegd. De AMvB waarin de uitwisseling van patiëntsamenvattingen
wordt geregeld is reeds aan het ATR voorgelegd. Het ATR heeft de AMvB niet geselecteerd
voor een formeel advies omdat deze geen (omvangrijke) gevolgen voor de regeldruk heeft.

II. Artikelsgewijze toelichting

Geen opmerkingen of vragen van de fracties.

De Minister van Langdurige Zorg, Jeugd en Sport, W.R.C. Sterk

Download

Indieners

Indiener
W.R.C. Sterk, minister van Langdurige Zorg, Jeugd en Sport

Bijlagen

Bijlage Download bestand: Aanbiedingsbrief (DOCX)
Bijlage Download bestand: Beslisnota bij 36825 Nota naar aanleiding van het verslag inzake Wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88) (PDF)