Antwoord schriftelijke vragen : Antwoord op vragen van de leden Vliegenthart, Kathmann en Moorman over de bescherming van lichamelijke integriteit in de digitale wereld

Antwoord van Minister Hermans (Volksgezondheid, Welzijn en Sport) en de Staatssecretaris
van Justitie en Veiligheid (ontvangen 2 juni 2026). Zie ook Aanhangsel Handelingen,
vergaderjaar 2025–2026, nr. 1815.

Vraag 1

Bent u bekend met het bericht «Opinie: Bescherm de lichamelijke integriteit van vrouwen,
ook in de digitale wereld»?1

Antwoord 1

Ja, het kabinet is hiermee bekend.

Vraag 2

Kunt u het onderzoek van Investico, waaruit is gebleken dat alle grote Nederlandse
drogisten, zoals Kruidvat, Etos en Trekpleister, (gevoelige) informatie over de vruchtbaarheid
en seksuele gezondheid van klanten delen met Amerikaanse en Chinese techbedrijven,
voorzien van een kabinetsreactie?2

Antwoord 2

Het kabinet vindt het zorgelijk en neemt de signalen over het mogelijk delen van (gevoelige)
informatie dan ook serieus. Alleen het beoordelen van specifieke situaties is aan
de toezichthoudende autoriteiten, in Nederland is dat de Autoriteit Persoonsgegevens
(AP). Het kabinet kan hierover geen uitspraken doen. Een kabinetsreactie hierover
ligt dan ook niet in de rede.

Vraag 3

Kunt u specifiek maken welke persoonsgegevens door de onderzochte apps en drogisten
worden doorverkocht? Is hier sprake van medische gegevens, die enkel met een wettelijke
grondslag of na uitdrukkelijke toestemming verwerkt mogen worden?

Antwoord 3

Zoals in het antwoord op vraag 2 is aangegeven, is een dergelijke beoordeling niet
aan het kabinet, maar aan de toezichthoudende autoriteit.

Vraag 4

Voldoet de gegevensverwerking door de gezondheidsapps en de drogisten aan de nationale
privacywetgeving? Zo ja of nee? Kunt u dit op basis van onderzoek onderbouwen?

Antwoord 4

In zijn algemeenheid merkt het kabinet op dat de verwerking van bijzondere categorieën
van persoonsgegevens, waartoe gezondheidsgegevens behoren, verboden is tenzij er een
uitzonderingsgrond van toepassing is, bijvoorbeeld wanneer uitdrukkelijke toestemming
is gegeven. Het Hof van Justitie van de Europese Unie (HvJEU) heeft geoordeeld dat
het begrip «bijzondere persoonsgegevens» in dit soort gevallen ruim dient te worden
uitgelegd. Daaronder vallen ook persoonlijke gegevens die bij het online bestellen
van geneesmiddelen worden ingevoerd, zoals namen en adressen. Of hier gehandeld wordt
in strijd met de Algemene Verordening Gegevensbescherming (AVG) is, zoals eerder al
in het antwoord op vraag 2 is aangegeven, aan de toezichthoudende autoriteiten, de
AP.

Vraag 5

Zijn de Autoriteit Persoonsgegevens (AP) en de Autoriteit Consument & Markt (ACM)
op de hoogte van de mogelijk illegale handel in gezondheidsgegevens? Zo ja, wordt
hier naar uw weten nader onderzoek naar gedaan? Zo nee, bent u bereid dit in samenwerking
met de toezichthouders wel te doen?

Antwoord 5

De AP heeft desgevraagd laten weten zich bewust te zijn van de grootschalige dataverzameling
en datahandel op het internet. Datahandel (in brede zin) is van 2020 tot 2023 een
van de strategische aandachtsgebieden geweest van de AP. Ook nu besteedt de AP nog
de nodige aandacht aan datahandel. Zo controleert de AP sinds 2024, en nu nog steeds,
strenger op cookiebanners. De AP controleert of websites op de juiste manier toestemming
vragen voor cookies en andere volgsoftware en pakt misleidende cookiebanners aan.

De AP en de ACM doen geen mededelingen over individuele zaken en eventuele lopende
onderzoeken.

Vraag 6

Wat is uw oordeel over het gebruik van tracking cookies bij online webshops, waardoor
mogelijk gevoelige informatie over het koopgedrag van klanten aan derden wordt doorverkocht?
Is dit mogelijk in strijd met de privacywetgeving?

Antwoord 6

Het kabinet deelt de opvatting dat het gebruik van tracking cookies in bepaalde gevallen
problematisch kan zijn, bijvoorbeeld waar gebruikers als gevolg van dark patterns,
informatie-overload en consentmoeheid toestemming geven terwijl deze mogelijk afwijkt
van hun werkelijke voorkeuren. Voor de volledigheid wordt hierbij ook verwezen naar
de kabinetsreactie op het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.

Het gebruik van tracking cookies bij online webshops is onderworpen aan voorwaarden
uit de toepasselijke privacyregelgeving, met name AVG en de e-privacyrichtlijn, die
in Nederland is geïmplementeerd in de Telecommunicatiewet. Voor het plaatsen van dergelijke
cookies is daarom geïnformeerde en ondubbelzinnige toestemming van de gebruiker vereist.
Wanneer het gaat om gevoelige persoonsgegevens geldt een versterkt, expliciet toestemmingsvereiste.
De beoordeling of sprake is van strijdigheid met de geldende privacyregelgeving is
aan de toezichthouder.

Vraag 7

Kunt u expliciet benoemen welke acties u nationaal en in Europees verband neemt om
tracking cookies zo veel mogelijk te beperken en het informatie- en toestemmingsrecht
van burgers over wat er met hun gegevens gebeurt te versterken?

Antwoord 7

Het kabinet zet zich nationaal en Europees in om op het gebied van tracking cookies
onder meer de informatie- en toestemmingsrechten van burgers te versterken. Zo staat
het kabinet positief tegenover de in de Digitale Omnibus voorgestelde automatische
gecentraliseerde consentopties, waarmee gebruikers meer controle over hun gegevens
krijgen. De onderhandelingen over dit voorstel lopen nog. Voor een weergave van de
overige door het kabinet te nemen acties wordt verwezen naar de kabinetsreactie op
het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.

Vraag 8

Indien blijkt dat gezondheidsapps en drogisten in strijd met de wet medische gegevens
van personen hebben verwerkt, welke gevolgen heeft dit voor deze bedrijven?

Antwoord 8

Onder de AVG is het verwerken van medische gegevens, die gelden als bijzondere categorieën
van persoonsgegevens, verboden tenzij op dat verbod een uitzondering van toepassing
is. Het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen
in de private sector is, als gezegd, een taak van de onafhankelijke toezichthouder,
de AP. Zij beschikt over een eigen repertoire aan bevoegdheden en handhavingsinstrumenten.
Zo kan de AP onderzoek instellen naar de naleving van de gegevensbeschermingswetgeving,
boetes en dwangsommen opleggen, alsook stopzetting van gegevensverwerkingen gelasten.
Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden
het meest geëigend is.

Vraag 9

Deelt u de analyse van de indieners dat de lichamelijke integriteit van personen in
een digitale wereld ook vraagt om toereikende privacybescherming? Is dit momenteel
juridisch goed genoeg beschermd?

Antwoord 9

Het kabinet onderschrijft dit belang volledig. Alleen beschikt het kabinet niet over
aanknopingspunten dat de gegevensbeschermingswetgeving lacunes vertoont.

Vraag 10

Bent u bereid om aanvullende stappen te nemen om de medische gegevens van personen
die gezondheidsapps gebruiken of gezondheidsproducten kopen bij drogisten beter te
beschermen? Zo ja, hoe gaat u dit doen?

Antwoord 10

Bij de verwerking van persoonsgegevens is de AVG van toepassing. Het is aan de verwerkingsverantwoordelijke
om te voldoen aan de kaders die in de AVG worden gesteld aan de verwerking van persoonsgegevens
en aan de strengere eisen die worden gesteld aan de verwerking van bijzondere persoonsgegevens,
zoals medische gegevens. Het is aan de AP om toezicht te houden op de naleving van
de AVG.

Vraag 11

Hoeveel vrouwen in Nederland maken gebruik van zogeheten «cyclusapps», in het bijzonder
van Flo en Clue? Kunt u aangeven of de wijze waarop zij geïnformeerd worden bij het
gebruik van deze apps en het delen van hun gegevens, conform de huidige wet- en regelgeving
is?

Antwoord 11

Uit het onderzoek van Rutgers over het gebruik van natuurlijke methoden om een zwangerschap
te voorkomen onder de vrouwen van 18 tot en met 29 jaar is gebleken dat 37% van de
groep gebruikmaakt van een cyclusapp om hun menstruatie bij te houden, waarvan Flo
het vaakst werd benoemd3. Cyclusapps moeten zich bij de verwerking van (bijzonder) persoonsgegevens houden
aan de kaders die worden gesteld in de AVG, indien zij zijn gevestigd in de EU. Cyclusapps
die buiten de EU zijn gevestigd, dienen ook aan de AVG te voldoen, indien zij diensten
of goederen aanbieden in de EU. Zowel Clue, die is gevestigd in Duitsland, als Flo,
die is gevestigd in het Verenigd Koninkrijk en de Verenigde Staten, moeten daarmee
voldoen aan de AVG.

Vraag 12

Welke mogelijke hiaten ziet u in de bestaande wet- en regelgeving in het effectief
optreden tegen het onrechtmatig bewaren en/of delen van gevoelige informatie over
bijvoorbeeld miskramen, seksuele activiteit, etcetera met derde partijen, mogelijk
voor commerciële doeleinden?

Antwoord 12

Zoals volgt uit de antwoorden op vragen 10 en 11, is er geen blijk van hiaten in de
wet- en regelgeving. Het komt eerder aan op de naleving daarvan. Het doen van onderzoek
daarnaar, is als gezegd, een taak van de onafhankelijke toezichthouder.

Vraag 13

Deelt u de zorgen dat het doorverkopen van medische gegevens van vrouwen kan zorgen
tot ongewenste profilering, agressieve gerichte advertenties, of zelfs het opstellen
van dataprofielen van de medische geschiedenis van vrouwen?

Antwoord 13

Het kabinet vindt het uiterst belangrijk dat de gegevens van vrouwen niet ten onrechte
gebruikt worden voor zaken als ongewenste profilering, agressieve gerichte advertenties
of het opstellen van dataprofielen. Het kabinet vindt het dan ook van belang dat de
onafhankelijke toezichthouder hier scherp op is. In elk geval, zoals eerder al genoemd
is, is het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen
in de private sector een taak van de onafhankelijke toezichthouder, namelijk de AP.
Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden
het meest geëigend is.

Vraag 14

Heeft u indicaties voor welke doeleinden de doorverkochte medische gegevens van vrouwen,
die zien op hun gezondheid en seksualiteit, worden gebruikt? Is dit in overeenstemming
met het doel waarmee de data in eerste instantie met bedrijven is gedeeld?

Antwoord 14

Desgevraagd heeft het Centrale Bureau Drogisterijbedrijven aan het kabinet laten weten
dat er geen persoonlijke gegevens doorverkocht worden. De online drogisterijen hebben
privacyverklaringen op hun websites waarin is opgenomen welke gegevens worden verwerkt.
Aangezien dit per drogisterij kan verschillen, wordt voor nadere informatie verwezen
naar de betreffende websites. Wanneer een gebruiker niet noodzakelijke cookies weigert,
worden alleen functionele cookies geplaatst die nodig zijn om de website goed te laten
werken. Zonder toestemming worden bovendien geen persoonsgegevens van individuele
klanten gedeeld met externe partijen zoals Google of Facebook.

Als gezegd is het beoordelen of specifieke situaties in overeenstemming zijn met de
AVG aan de bevoegde toezichthoudende autoriteiten; in Nederland is dat de AP.

Vraag 15

Kunt u deze vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Antwoord 15

De vragen zijn zo snel als mogelijk afzonderlijk beantwoord.