Reactie op commentaar Stichting Privacy First t.b.v. commissiedebat Digitale ontwikkelingen in de zorg

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202627 529Informatie- en Communicatietechnologie (ICT) inde ZorgNr. 363 BRIEF VAN DE MINISTER VAN LANGDURIGE ZORG, JEUGD ENSPORT Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 17 juni 2026De vaste commissie voor Volksgezondheid, Welzijn en Sport heeft eenbrief ontvangen van Stichting Privacy First te Amsterdam d.d. 11 mei 2026over «Commentaar Stichting Privacy First t.b.v. commissiedebat Digitaleontwikkelingen in de zorg d.d. 21 mei 2026» (zie bijgaande kopie). In deprocedurevergadering van 27 mei 2026 heeft de commissie besloten eenreactie van de Minister op deze brief te willen ontvangen. Hierbij geef ikonderstaand mijn reactie en kom ik zo tegemoet aan het verzoek van decommissie.Ik heb de brief van 11 mei 2026 waarin Stichting Privacy First (hiernaPrivacy First) aandacht vraagt voor de wijze waarop databeschikbaarheidin de zorg tot stand komt met belangstelling gelezen. De vragen dieworden gesteld over privacy, transparantie, digitale veiligheid enzeggenschap raken direct aan fundamentele publieke waarden in de zorg.Privacy First onderschrijft het belang van databeschikbaarheid, maar uit inde brief zorgen over de wijze waarop die databeschikbaarheid wordtvormgegeven. In de brief wordt gewaarschuwd voor de risico’s vanongerichte beschikbaarstelling van medische gegevens. Er wordtaandacht gevraagd voor een open en transparante governance, voor hetbehoud van zeggenschap bij de patiënt, voor de bescherming van hetmedisch beroepsgeheim van de zorgverlener en voor de risico’s voorprivacy en digitale veiligheid van grootschalige centrale voorzieningen.Ik ben het uiteraard volledig eens dat gegevensuitwisseling en databe-schikbaarheid in de zorg nooit los kunnen worden gezien van privacybe-scherming, informatiebeveiliging, zeggenschap en publiek vertrouwen. Erworden in de brief echter ook enkele aannames gedaan die niet strokenmet de laatste inzichten en stand van zaken binnen de projecten rondomgegevensbeschikbaarheid waar mijn ministerie aan werkt. Daarom acht ik kst-27529-363ISSN 0921 - 7371’s-Gravenhage 2026Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3631 het van belang om enkele beelden en conclusies uit de brief te nuancerenen op onderdelen te corrigeren.Privacy First schetst het risico dat grootschalige gecentraliseerdevoorzieningen zouden leiden tot een aantrekkelijk doelwit voor hackers,waarbij feitelijk «alles van iedereen» potentieel toegankelijk zou worden.Dat beeld herken ik niet. Het Landelijk Dekkend Netwerk (LDN) is geencentrale databank en ook geen voorziening waarin medische gegevensvan alle Nederlanders worden samengebracht. Medische gegevensblijven in beginsel bij de bron: bij de zorgaanbieder of organisatie waar dedata is geregistreerd en waar de data onder verantwoordelijkheid van debronhouder worden beheerd. Het LDN is bedoeld om, op basis van eenlandelijk afsprakenstelsel (LAS) en gecontroleerde toegang en inzage (degenerieke functies), mogelijk te maken dat gegevens uit die verschillendebronnen beschikbaar kunnen komen wanneer dat noodzakelijk is binnenhet zorgproces.Daarmee wordt het door Privacy First geschetste beeld van een«one-stop-shop» voor hackers niet onderschreven. Een aanval op eenfunctie of voorziening binnen het stelsel betekent niet dat alle medischegegevens van alle burgers op één plek beschikbaar zijn. Doordatgegevens bij de bron blijven, onder verantwoordelijkheid van debronhouder worden beheerd én toegang via landelijke afspraken engenerieke functies wordt begrensd, gecontroleerd, en herleidbaargemaakt, ontstaat een gelaagde beveiligingsstructuur. De landelijkeafspraken en generieke functies zoals uniforme beveiligingseisen(waaronder de NEN-7510), identificatie, authenticatie en autorisatie,toestemming, logging en toezicht zijn er specifiek op gericht de digitaleweerbaarheid van de zorg te vergroten. Zoals ik ook in mijn recenteKamerbrief1 over de voortgang van het Landelijk Dekkend Netwerk hebaangegeven: «Het gezondheidsinformatiestelsel wordt gerealiseerd op defundamenten regie, vertrouwen en databeschikbaarheid.» Burgers,patiënten, zorgverleners en zorgaanbieders moeten erop kunnenvertrouwen dat gezondheidsgegevens veilig, betrouwbaar, rechtmatig,proportioneel en transparant worden gebruikt. Zonder dat vertrouwen kandigitalisering in de zorg haar maatschappelijke doel niet waarmaken.Privacy First stelt daarnaast dat patiënten door digitale voorzieningenkunnen worden belast met keuzes die zij niet kunnen overzien. Ik neemhet doenvermogen van burgers en patiënten serieus. Tegelijkertijd vind ikhet te eenzijdig om daaruit te concluderen dat digitale regie in de zorg niethaalbaar of wenselijk zou zijn. In veel maatschappelijke domeinen nemenburgers inmiddels digitaal regie over zeer gevoelige informatie. Denk aanbankzaken, belastingzaken en pensioeninformatie. Ook daar gaat het omvertrouwelijke gegevens, financiële risico’s en afhankelijkheid van digitaleinfrastructuur. Dat vraagt om begrijpelijke informatie, veilige voorzie-ningen en goede ondersteuning, maar het uitgangspunt dat burgersdigitaal geen betekenisvolle regie kunnen voeren, deel ik niet. Daaromwordt gewerkt aan Persoonlijke Gezondheidsomgevingen (PGO’s) en aanverdere ontwikkeling van de MGO-functionaliteit (Mijn Gezondheidsom-geving), zodat patiënten en burgers beter inzicht krijgen in hun eigengezondheidsgegevens en beter in staat worden gesteld regie te nemen ente houden over hun gezondheid en de gegevens die daarbij horen. Ook iser een divers hulp- en ondersteuningsaanbod voor patiënten en burgersdie nog niet beschikken over voldoende kennis, vaardigheden of middelenom digitaal regie te kunnen voeren over het delen van hun gezondheids-gegevens. Te denken valt hierbij aan initiatieven zoals Alliantie DigitaalSamenleven, Helpdesk Digitale Zorg en het programma Digivitaler dat via1Kamerstukken II2025/26, 27 529, nr. 361Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3632 alle openbare bibliotheken beschikbaar kan worden gemaakt. Aanvullendis binnen de versnellingsagenda van de IZA/AZWA werkgroep HybrideZorg door Patiëntenfederatie Nederland het thema digitale vaardighedenbij patiënten en zorgverleners geprioriteerd.Privacy First stelt verder dat gerichte databeschikbaarheid in de zorg destandaard zou moeten zijn. In veel zorgprocessen ligt gerichte uitwisselingtussen specifieke zorgverleners voor de hand, bijvoorbeeld bij eenverwijzing of overdracht binnen een planbare zorgsituatie of bijvoorbeeldwanneer een patiënt meetwaarden wil delen met een specifieke behan-delaar. In andere situaties kan bredere beschikbaarheid noodzakelijk zijnom goede en veilige zorg te leveren, bijvoorbeeld wanneer een patiënt bijde spoedeisende hulp komt of in situaties waarbij relevante informatie uitmeerdere bronnen nodig is. Daarom maak ik, naast gericht beschikbaarstellen, ook andere uitwisselingen mogelijk. Dat betekent echter niet datvoor deze uitwisselingsvormen andere of lichtere eisen gelden. Ook hierzijn privacy, doelbinding, autorisatie, logging, en navolgbaarheidrandvoorwaardelijk – voor alle uitwisselingen gelden dezelfde, strikteeisen en data worden alleen onder voorwaarden raadpleegbaar gemaaktvoor bevoegde partijen. Data raadpleegbaar maken is niet hetzelfde alshet direct of daadwerkelijk delen, kopiëren of uitwisselen. De opgave isom het stelsel zo in te richten dat gegevensbeschikbaarheid situationeel,proportioneel en passend bij het zorgproces plaatsvindt. Daarbij moetenontwerpkeuzes steeds worden getoetst aan noodzakelijkheid, proportiona-liteit, subsidiariteit, uitvoerbaarheid en veiligheid.De brief onderstreept terecht dat digitale veiligheid en transparantiegeborgd moeten zijn. Recente incidenten en geopolitieke ontwikkelingenbevestigen dat dit blijvende aandacht vraagt. Vertrouwen en veiligheidontstaan niet alleen door techniek en regelgeving, maar ook doornavolgbare besluitvorming, duidelijke verantwoordelijkheden enbetrokkenheid van relevante maatschappelijke perspectieven. Vanuit deNationale visie en strategie vormen transparantie en openheid kernprin-cipes in de governance van het gezondheidsinformatiestelsel. In derecente Kamerbrief2 heb ik aangegeven dat met het vernieuwdeLDN-beleidsafwegingskader, er transparantie is en duidelijkheid blijftbestaan rondom de keuzes die bij de realisatie van het LDN wordengemaakt. Ook vanuit Europa wordt het belang van transparantie enverantwoording onderstreept. Zoals ik heb aangegeven in deEHDS-Kamerbrief3 behoort dit tot een van de taken van een nog tevormen zelfstandig bestuursorgaan (ZBO) die de Gezondheidsdata-autoriteit (GDA) zal heten.Privacy First wekt in haar brief de indruk dat zijzelf (en/of andere burger-rechtenorganisaties) vooral aan de zijlijn staan van de ontwikkeling vanhet gezondheidsinformatiestelsel. Dat beeld behoeft correctie. Deontwikkeling van het stelsel vindt veelal plaats in een «community based»proces waarin zowel zorg- en welzijnsperspectieven als maatschappelijkeperspectieven zijn opgehaald en meegewogen. Denk hierbij aanwerkgroepen en consultaties die mijn ministerie faciliteert, alsook deNEN-normeringstrajecten waarvoor mijn ministerie opdracht heeftgegeven. Stichting Privacy First is in dat proces wel degelijk meegenomenen heeft daarbij aan tafel gezeten. Dat betekent overigens niet dat iedereinbreng één-op-één is overgenomen. Het betekent wel dat zorgen overprivacy, zeggenschap, transparantie en digitale veiligheid onderdeel zijngeweest van de inhoudelijke afwegingen.2Kamerstukken II2025/26, 27 529, nr. 3613Kamerstukken II2025/26, 27 529, nr. 360Tweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3633 Voor mij staat voorop dat vernieuwing van het zorgstelsel alleenverantwoord is wanneer zij plaatsvindt met behoud van maatschappelijkvertrouwen. Patiënten moeten kunnen begrijpen welke gegevens wordengebruikt, door wie, voor welk doel, onder welke voorwaarden en metwelke rechten. Zorgverleners moeten kunnen vertrouwen op duidelijkekaders voor toegang, gebruik en verantwoording. Om die reden isvertrouwen één van de drie randvoorwaarden van de Nationale visie enstrategie waaronder uitvoering wordt gegeven aan de totstandkoming vanhet gezondheidsinformatiestelsel. Daarbij zijn de Algemene VerordeningGegevensbescherming, het medisch beroepsgeheim, de relevantenationale wetgeving, Europese verplichtingen zoals de European HealthData Space, en geldende normen voor informatiebeveiliging, waaronderNEN-7510, kaderstellend. De verdere ontwikkeling van databeschik-baarheid in de zorg zal steeds plaatsvinden binnen duidelijke publiekekaders en met passende waarborgen voor patiënten, zorgverleners eninstellingen.Ik dank Stichting Privacy First voor haar bijdrage aan het debat.De Minister van Langdurige Zorg, Jeugd en Sport,W.R.C. SterkTweede Kamer, vergaderjaar 2025–2026, 27 529, nr. 3634