Wegiz uitgelegd: wat de wet betekent voor elektronische gegevensuitwisseling in de zorg
Wegiz staat voor de Wet elektronische gegevensuitwisseling in de zorg. De kern van deze wet is dat voor aangewezen zorgprocessen gegevensuitwisseling stapsgewijs elektronisch verplicht wordt, in plaats van via papier, telefoon of losse digitale routes.
De belangrijkste nuance is meteen ook de belangrijkste misvatting: de Wegiz regelt vooral hoe gegevens moeten worden uitgewisseld, niet automatisch of gegevens gedeeld mogen worden. Daarvoor blijven de AVG, het medisch beroepsgeheim en andere zorgregels leidend. Wat de wet in de praktijk betekent, hangt dus af van het soort uitwisseling, de rol van je organisatie en de actuele fase van invoering.
Waarom deze wet nodig is in de zorg
Goede zorg vraagt dat de juiste professional op het juiste moment kan beschikken over volledige en actuele patiëntinformatie. Dat geldt extra wanneer meerdere zorgaanbieders bij dezelfde patiënt betrokken zijn, bijvoorbeeld bij overdracht, diagnostiek, medicatie of vervolgzorg. Als gegevens niet tijdig beschikbaar zijn, neemt de kans op vertraging, dubbel werk en fouten toe.
Juist daar wringt het bij papieren, telefonische of versnipperde overdracht. Informatie kan onvolledig aankomen, verkeerd worden overgenomen of te laat beschikbaar zijn. Dat raakt niet alleen de efficiëntie, maar ook de continuïteit en veiligheid van zorg. Tegelijk gaat het om gezondheidsgegevens, dus betere digitale uitwisseling moet altijd samengaan met zorgvuldige privacybescherming en informatiebeveiliging. De Wegiz ondersteunt daarom een bredere beweging van overheid en zorgveld richting data driven healthcare, om gegevensuitwisseling structureel, veilig en eenduidig te verbeteren.
Zo is het Wegiz-stelsel opgebouwd
| Onderdeel | Functie binnen het stelsel |
|---|---|
| Wegiz als kaderwet | De wet bevat de hoofdregel: voor bepaalde aangewezen gegevensuitwisselingen mag de uitwisseling niet vrijblijvend of uitsluitend op papier blijven. Welke uitwisselingen precies onder de wet vallen, wordt per stap nader ingevuld. |
| AMvB | Via een algemene maatregel van bestuur wordt vastgelegd welke specifieke gegevensuitwisseling onder de Wegiz valt en welk spoor daarop van toepassing is. Daarmee wordt de algemene wettelijke plicht concreet gemaakt. |
| Kwaliteitsstandaarden | Deze beschrijven wat in het zorgproces nodig is: welke informatie wanneer beschikbaar moet zijn en voor welk doel. Ze vormen de inhoudelijke basis voor wat de uitwisseling moet ondersteunen. |
| NEN-normen en informatiestandaarden | NEN-normen werken eisen uit tot toetsbare specificaties. Informatiestandaarden beschrijven hoe gegevens worden gestructureerd, gecodeerd en betekenisvol uitgewisseld, zodat systemen dezelfde taal spreken. |
| Technische afspraken en, waar relevant, MedMij/PGO | Technische afspraken gaan over bijvoorbeeld transport, identificatie, authenticatie en beveiliging. Als uitwisseling richting een persoonlijke gezondheidsomgeving relevant is, kan ook het MedMij-afsprakenstelsel een rol spelen. |
| Spoor 1 en spoor 2 | Spoor 1 verplicht vooral dat een aangewezen uitwisseling elektronisch verloopt. Spoor 2 gaat verder en kan ook eisen stellen aan taal, techniek, interoperabiliteit en certificering van producten of diensten. |
| Gefaseerde invoering | De Wegiz wordt niet in één keer voor alle uitwisselingen ingevoerd. Je moet daarom per gegevensuitwisseling volgen wat de actuele status is, welke normen gelden en vanaf wanneer naleving verplicht wordt. Controleer daarom steeds de actuele AMvB’s. In de geconsolideerde versie van het Besluit elektronische gegevensuitwisseling in de zorg was het versturen van een recept door een huisarts aan een terhandsteller als aangewezen gegevensuitwisseling opgenomen; verdere verplichtingen kunnen daarna wijzigen. |
Wat de Wegiz wel en niet regelt naast de AVG
De scherpste scheidslijn is deze: de Wegiz gaat over de manier waarop gegevensuitwisseling moet plaatsvinden, terwijl de AVG en zorgspecifieke regels bepalen of die uitwisseling juridisch is toegestaan. Een elektronische plicht is dus geen automatische toestemming om gegevens breder te delen.
De Wegiz creëert ook geen nieuwe verwerkingsgrondslag onder de AVG. Zorgorganisaties blijven werken met de bestaande grondslagen en met zorgspecifieke normen, zoals het medisch beroepsgeheim en regels rond dossiervoering. Dat betekent dat per uitwisseling nog steeds moet worden beoordeeld of de gegevensverwerking rechtmatig, proportioneel en voldoende beveiligd is.
Waar toestemming nodig is, werkt die alleen goed als voor de patiënt helder is welke gegevens voor welke concrete uitwisseling beschikbaar worden gesteld. Vage of te brede toestemming helpt daarbij niet. Daarnaast blijft dataminimalisatie onverminderd gelden: per uitwisseling mogen niet meer gegevens worden gedeeld dan nodig is voor het beoogde doel. Een digitale overdracht betekent dus niet dat automatisch het volledige dossier meegaat.
Wie waarvoor verantwoordelijk is
Elektronische gegevensuitwisseling werkt alleen goed als duidelijk is wie welke taak heeft.
| Rol | Verantwoordelijkheid binnen elektronische gegevensuitwisseling | Wat dit in de praktijk vraagt |
|---|---|---|
| Patiënt | De patiënt is geen uitvoerende partij in de naleving van de Wegiz, maar houdt wel invloed op wat er met zijn of haar gegevens gebeurt voor zover toestemming of keuzevrijheid juridisch relevant is. Ook kan de patiënt gebruikmaken van rechten rond inzage en correctie. | Dat vraagt om duidelijke informatie: welke gegevens worden uitgewisseld, met welk doel, tussen welke partijen en wat de gevolgen zijn van toestemming geven, weigeren of intrekken. |
| Zorgverlener | De zorgverlener moet zorgvuldig registreren, alleen noodzakelijke gegevens delen en binnen de geldende regels beoordelen of uitwisseling passend en toegestaan is. Ook hoort hierbij het volgen van interne autorisaties, werkprocessen en afspraken over beroepsgeheim en informatiebeveiliging. | Concreet gaat het om juiste dossiervoering, controle van de identiteit van de ontvanger, zorgvuldig omgaan met correcties en het melden van fouten of incidenten die de uitwisseling raken. |
| Zorgaanbieder | De zorgaanbieder organiseert doorgaans de randvoorwaarden: keuze en inrichting van systemen, autorisaties, logging, beveiliging, continuïteit, opleiding van medewerkers en afspraken met ketenpartners en leveranciers. Vaak is de zorgaanbieder verwerkingsverantwoordelijke, maar de AVG-rol van zorgaanbieder, leverancier en eventuele ketenpartner moet per verwerking worden vastgesteld op basis van wie feitelijk doel en essentiële middelen bepaalt. | Dat vraagt om beleid, risicobeoordeling, interne controles, duidelijke verantwoordelijkheden per functie en de keuze voor een oplossing die past bij de aangewezen Wegiz-uitwisseling en de actuele normen. |
| ICT-leverancier | De leverancier zorgt voor de technische oplossing: functionaliteit, beveiligingsmaatregelen, koppelvlakken, updates en waar nodig aantoonbare aansluiting op standaarden of certificeringseisen. De leverancier kan daarbij afhankelijk van de feitelijke situatie verwerker, zelfstandig verwerkingsverantwoordelijke of in uitzonderlijke gevallen gezamenlijke verwerkingsverantwoordelijke zijn. Een verwerker heeft ook eigen AVG-verplichtingen; contractuele afspraken nemen de eigen verantwoordelijkheden van partijen niet weg. | In contracten moet daarom helder staan wie waarvoor verantwoordelijk is, hoe incidenten worden gemeld, hoe wijzigingen worden beheerd, welke auditmogelijkheden bestaan en wat er gebeurt bij beëindiging of migratie. |
In de praktijk borg je deze verdeling via autorisaties, werkafspraken, incidentprocedures en contracten met leveranciers. Voor professionals die dit moeten vertalen naar beleid en uitvoering biedt SBO onder meer de opleiding Adviseur Kwaliteit en Veiligheid in de Zorg, naast andere opleidingen, cursussen, congressen en incompany-trajecten voor professionals in de zorg, met aandacht voor actuele kennis en praktische toepasbaarheid.
Wanneer gecertificeerde ICT een eis wordt
Gecertificeerde ICT is niet automatisch voor alle zorg-ICT verplicht. Die eis kan gekoppeld worden aan specifieke gegevensuitwisselingen via spoor 2 van de Wegiz. Pas als voor zo’n uitwisseling nadere eisen zijn gesteld aan taal, techniek of certificering, ontstaat de verplichting om met een passende, aantoonbaar conforme oplossing te werken; voor de invoering van zulke veranderingen kan de opleiding Succesvol Projectmanagement in de Zorg relevant zijn.
Belangrijk is het onderscheid tussen het product of de dienst en de bredere organisatieplicht van de zorgaanbieder. Een gecertificeerd systeem kan aantonen dat aan bepaalde technische of functionele eisen is voldaan, maar daarmee zijn autorisaties, werkprocessen, training en intern toezicht nog niet automatisch op orde. Certificerende instellingen toetsen of een oplossing voldoet aan het betreffende normenkader of certificatieschema; zij nemen het privacy-, kwaliteits- of compliancebeleid van de zorgorganisatie niet over.
Wordt certificering voorgeschreven, dan kan een zorgaanbieder dus niet volstaan met een willekeurige ICT-oplossing die vergelijkbaar lijkt. De oplossing moet dan aantoonbaar passen bij de aangewezen uitwisseling en de daarvoor geldende eisen.
Welke rechten patiënten houden
De Wegiz neemt bestaande patiëntenrechten niet weg. Rechten uit de AVG, de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en andere zorgwetgeving blijven gelden.
- Patiënten behouden het recht op inzage in hun gegevens en kunnen om een afschrift vragen van informatie die over hen wordt verwerkt of opgenomen.
- Patiënten kunnen feitelijke onjuistheden laten corrigeren en kunnen een eigen verklaring aan het dossier laten toevoegen. Een professionele beoordeling, zoals een diagnose, hoeft niet te worden gewijzigd alleen omdat de patiënt het ermee oneens is.
- In sommige situaties kan verwijdering of vernietiging worden gevraagd, maar dossier- en bewaarplichten kunnen daar grenzen aan stellen.
- Wordt toestemming ingetrokken, dan werkt dat meestal voor toekomstige uitwisselingen die op die toestemming steunen; eerder rechtmatig gedeelde gegevens verdwijnen doorgaans niet met terugwerkende kracht.
Hoe toezicht en handhaving zijn geregeld
| Partij | Rol bij toezicht en handhaving |
|---|---|
| Minister van VWS | De minister is stelselverantwoordelijk voor de Wegiz en voor de bestuurlijke inbedding van de verplichtingen. Bij niet-naleving door een zorgaanbieder kan de minister onder meer een schriftelijke aanwijzing, bestuursdwang of een last onder dwangsom inzetten. De specifieke bestuurlijke boete in de Wegiz is gericht op degene die een certificaatplichtig ICT-product of -dienst zonder vereist certificaat aanbiedt of ondersteunt. |
| Inspectie Gezondheidszorg en Jeugd (IGJ) | De IGJ houdt in de praktijk toezicht op naleving bij zorgaanbieders. Dat kan gaan om onderzoek, informatie opvragen en controle op de inrichting van aangewezen uitwisselingen. Als spoor 2 gecertificeerde producten of diensten verplicht stelt, kan ook het gebruik van niet-passende of niet-gecertificeerde ICT handhaafbaar zijn. |
| Certificerende instellingen | Deze toetsen of een product of dienst voldoet aan het aangewezen certificatieschema of normenkader. Hun rol eindigt bij die toets: zij beoordelen niet het volledige privacybeleid, de dagelijkse zorgpraktijk of alle AVG-verplichtingen van de organisatie. |
| Autoriteit Persoonsgegevens | De AP ziet toe op naleving van de AVG. Daardoor kan toezicht overlappen: een organisatie kan tegelijk te maken krijgen met Wegiz-vragen over de vorm van uitwisseling en met AVG-vragen over grondslag, beveiliging, transparantie of dataminimalisatie. |
Voor zorgorganisaties betekent dit dat naleving nooit alleen een technisch project is. De gekozen oplossing, de interne governance en de privacyrechtelijke onderbouwing moeten allemaal op elkaar aansluiten, iets waar de cursus Digitaal Persoonsgegevens Uitwisselen in de Zorg praktisch op aansluit.
Als programmamanager werkt Imke dagelijks aan het ontwikkelen van congressen en opleidingen binnen zowel de zorg als het onderwijs. Hoewel ze zelf geen directe werkervaring heeft binnen deze sectoren, heeft ze via familieleden van dichtbij gezien hoe waardevol en impactvol dit werk is. Die persoonlijke betrokkenheid maakt dat deze vakgebieden haar sterk aanspreken en motiveert om relevante en inspirerende programma’s te creëren. Ze blijft zich dan ook in beide branches verdiepen om de inhoud en behoeften steeds beter te begrijpen en hier optimaal op in te spelen.