AI in de zorg en de AVG

Deel 2 van 6 — Lectoraat Recht & Digitale Technologie, 1 juli 2026

Astrid Cobben

INLEIDING

In de gezondheidszorg wordt de rol van AI steeds prominenter. Dit draagt bij aan goede zorg, maar tegelijkertijd moet ook rekening worden gehouden met de bescherming van de privacy en dus met het gebruik van persoonsgegevens. Gezondheidsgegevens zijn per definitie privacygevoelig, en patiënten moeten erop kunnen blijven vertrouwen dat informatie die ze met hun arts en andere zorgprofessionals delen, goed beschermd is.

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van kracht en zijn organisaties die persoonsgegevens verwerken aan deze regels gebonden.[1] Het gaat hier om gewone persoonsgegevens, zoals naam en adres, maar ook om bijzondere categorieën van persoonsgegevens, zoals gegevens over iemands gezondheid. Uitgangspunt is dat de verwerking van bijzondere persoonsgegevens verboden is, tenzij een van de uitzonderingen van art. 9 lid 2 AVG van toepassing is. De rechtmatige verwerking van bijzondere persoonsgegevens[2] heeft in de zorgsector dan ook veel aandacht.

RELEVANTIE PRIVACYREGELS BIJ AI-TOOLS

Bij de ontwikkeling van AI-toepassingen in de zorg is vaak sprake van verwerking van bijzondere persoonsgegevens. Denk hierbij bijvoorbeeld aan vitale gezondheidsgegevens zoals lichamelijke metingen die iets zeggen over iemands gezondheidstoestand: hartslag, bloeddruk, ademhaling, lichaamstemperatuur en zuurstofgehalte. Het verwerken van dit soort gegevens is onder de AVG strikt geregeld en een belangrijke vraag hier is wanneer hergebruik van zorgdata voor AI-training precies toegestaan is.

Verder is het zo dat informatie die op zich niet over een persoon gaat, toch een persoonsgegeven onder de AVG kan zijn. Een bekend voorbeeld zijn locatiegegevens van iemands auto: blijkt daaruit dat iemand veelvuldig een ziekenhuis bezoekt, dan kunnen deze gegevens toch iets blootleggen over die persoon.[3] Wanneer data uit verschillende bronnen gebruikt worden om AI-toepassingen te ontwikkelen, is het dus belangrijk alert te zijn op de juridische uitleg van kernbegrippen zoals 'persoonsgegevens' en 'verwerken'. Deze worden door toezichthouders en rechters doorgaans ruim uitgelegd.

DE DIGITAL OMNIBUS: WAT VERANDERT ER (VOORLOPIG) WEL EN NIET?

Op 19 november 2025 heeft de Europese Commissie een voorstel gepubliceerd voor de 'Digital Omnibus'[4], dat onder meer de AVG raakt. Belangrijk om vooraf te vermelden: dit is een voorstel, geen geldend recht. Bovendien is de status van onderdelen van dit voorstel sinds de publicatie al veranderd.

Begrip 'persoonsgegevens': stand van zaken wisselend. In het oorspronkelijke voorstel van 19 november 2025 koos de Commissie voor een 'relatieve benadering' van het begrip persoonsgegevens: informatie zou voor een bepaalde partij geen persoonsgegeven meer zijn als die partij, met de middelen die redelijkerwijs voor haar beschikbaar zijn, de betrokkene niet kan identificeren.[5] Dat zou het bijvoorbeeld eenvoudiger maken om gepseudonimiseerde data te delen met een partij die niet over de sleutel tot herleiding beschikt. Uit een bericht van februari 2026 blijkt echter dat de Raad heeft aangekondigd deze aanpassing van de definitie niet over te nemen in zijn onderhandelingspositie; de focus verschuift in plaats daarvan naar de al langer aangekondigde richtsnoeren van de European Data Protection Board (EDPB) over pseudonimiseren.[6] Deze richtsnoeren namen in de conceptversie van januari 2025 zelf al uitdrukkelijk afstand van de relatieve benadering.[7] Kortom: op het moment van schrijven is onduidelijk of, en in welke vorm, deze wijziging van het begrip persoonsgegevens de eindstreep gaat halen. Voor de praktijk betekent dit dat gepseudonimiseerde gezondheidsdata die binnen een samenwerkingsverband gedeeld worden, voorlopig nog als persoonsgegevens moeten worden behandeld.

Bijzondere persoonsgegevens en AI-training. Los van de discussie over de definitie van 'persoonsgegevens', bevat het voorstel ook een verruiming van de uitzonderingen op het verwerkingsverbod van bijzondere persoonsgegevens uit art. 9 lid 2 AVG.[8]

Zo zou een nieuw art. 4 bis van de AI-verordening (dat het huidige art. 10 lid 5 AI-verordening zou vervangen) het mogelijk maken om bijzondere persoonsgegevens te verwerken voor het detecteren en corrigeren van vooringenomenheid (bias) in AI-systemen, óók buiten hoog risico-systemen, mits noodzakelijk en proportioneel.[9] Daarnaast introduceert het voorstel een nieuw art. 88 quater AVG, dat een rechtsgrondslag biedt voor het verwerken van persoonsgegevens die noodzakelijk zijn voor de ontwikkeling en exploitatie van een AI-systeem, gebaseerd op het gerechtvaardigd belang van art. 6 lid 1 sub f AVG, met waarborgen zoals dataminimalisatie, transparantie en een onvoorwaardelijk recht van bezwaar.[10] Ook dit zijn dus nog voorstellen; ze zijn door verschillende maatschappelijke organisaties en toezichthouders bekritiseerd vanwege mogelijke gevolgen voor de bescherming van fundamentele rechten.[11]

Let op: de status van deze voorstellen kan tussen het schrijven en het lezen van deze blog alweer zijn veranderd. Raadpleeg bij twijfel altijd de meest actuele versie van het voorstel en het onderhandelingsverloop, bijvoorbeeld via het wetgevingsdossier 2025/0360 (COD) van de Digital Omnibus.

PSEUDONIMISEREN, ANONIMISEREN, PROFILERING

Het pseudonimiseren van gegevens, of het anonimiseren aan de bron, is een mogelijke route om binnen de juridische grenzen van de AVG te blijven. Pseudonimiseren houdt in dat persoonsgegevens niet meer aan een specifiek persoon gekoppeld kunnen worden zonder dat aanvullende gegevens worden gebruikt; die aanvullende gegevens moeten dan wel apart bewaard worden (denk aan een bestand met namen en nummers, waarbij het pseudoniem enkel het nummer is).

Anonimiseren aan de bron komt in de praktijk veelvuldig voor. Bij anonimiseren zijn gegevens zodanig bewerkt dat een persoon niet meer kan worden geïdentificeerd, ook niet met aanvullende informatie die redelijkerwijs beschikbaar is. Aan de start van een project waarin AI getraind wordt met anonieme data moet wel goed worden nagedacht over de validatie van de output: eenmaal geanonimiseerde gegevens kunnen immers geen rol meer spelen bij het herleiden van resultaten naar individuele patiënten.

Is een AI-tool eenmaal getraind, dan blijft alertheid op ongeoorloofde profilering geboden. Profilering is elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij deze worden geanalyseerd met het doel om bijvoorbeeld conclusies, voorspellingen of classificaties te maken. Een bekend voorbeeld waarin dit uit de hand liep is de Toeslagenaffaire.[12] Denk in de zorgsector aan profilering op basis van diagnoses, medicatie, leeftijd en andere gezondheidsgegevens, gebruikt om een inschatting te maken van de kans op een bepaalde ziekte, de verwachte effectiviteit van een behandeling of het risico op een ziekenhuisopname. Art. 22 AVG gaat hier uitgebreid op in; ook dit artikel maakt onderdeel uit van de discussie rond de Digital Omnibus. Nu geautomatiseerde profilering in het tijdperk van AI steeds vaker in de zorgsector wordt aangetroffen, is het van belang steeds te volgen wat de Europese wetgever hier precies wel en niet toestaat.[13]

HET LECTORAAT KAN U HELPEN

Ontwikkelt uw organisatie een AI-toepassing waarbij persoonsgegevens worden verwerkt? Dan is het belangrijk om al in een vroeg stadium inzicht te krijgen in de grootste risico’s en privacyrechtelijke gevolgen. Onderwerpen als data-minimalisatie, wat te doen bij datalekken, het uitvoeren van een DPIA, recht op inzage en de informatieplicht horen daar onder meer bij. Vanuit het lectoraat Recht & Digitale Technologie kunnen wij daarbij ondersteuning bieden, eventueel met de inzet van een afstudeerder van de Juridische Hogeschool Avans & Fontys. Samen brengen we in kaart in hoeverre de AVG van toepassing is, welke AVG-vraagstukken relevant zijn en welke risico's en aandachtspunten een rol spelen bij de verdere ontwikkeling van de toepassing. Wilt u hier gebruik van maken? Neem dan contact op met Noortje Lavrijssen, e-mail: n.lavrijssen1@avans.nl.

VOLGENDE IN DEZE REEKS

Lees verder in deel 3: AI in de zorg en de AI Act, over de Europese AI-verordening en de risicoclassificatie van AI-systemen in de zorg.

[1] Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (AVG).

[2]Zoals gezondheidsgegevens, art. 9 AVG.

[3]C. Cuijpers, Juridische verantwoording bij de Blauwdruk voor AI in de zorg, november 2025, p. 8.

[4]Europese Commissie, Proposal for a Regulation of the European Parliament and of the Council amending Regulations (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 and Directives 2002/58/EC, (EU) 2022/2555 and (EU) 2022/2557 as regards the simplification of the digital legislative framework ('Digital Omnibus'), 19 november 2025, COM(2025) 837 final, 2025/0360 (COD).

[5]Art. 3 lid 1 sub a Digital Omnibus tot wijziging van art. 4 lid 1 AVG; zie ook C.M.K.C. Cuijpers, N. Lavrijssen & M. Paun, 'De betekenis van de Digital Omnibus voor (bijzondere) persoonsgegevens', ICT&health, 10 april 2026.

[6]C. Moreau, 'Council deletes revised definition of personal data from GDPR omnibus: The EDPB's upcoming updated guidelines on pseudonymisation are also given more prominence in a compromise text', Euractiv, februari 2026, zoals aangehaald in: C.M.K.C. Cuijpers, N. Lavrijssen & M. Paun, 'De betekenis van de Digital Omnibus voor (bijzondere) persoonsgegevens', ICT&health, 10 april 2026.

[7]Europees Comité voor Gegevensbescherming, Richtsnoeren 01/2025 inzake pseudonimiseren, overweging 22 (op moment van schrijven nog niet definitief vastgesteld).

[8]Overwegingen 33 en 34 en art. 3 lid 3 Digital Omnibus

[9]Digital Omnibus on AI, voorgesteld art. 4 bis AI-verordening; zie ook Art. 6 lid 1 AI-verordening jo. Bijlage I onder 10 AI-verordening (MDR als harmonisatiewetgeving).

[10]Digital Omnibus, voorgesteld art. 88 quater AVG; zie ook overweging 30 en art. 3 lid 15 van het voorstel.

[11]Zie o.a. de open brief van NOYB, EDRi en ICCL aan de Europese Commissie; de reactie van de Autoriteit Persoonsgegevens; en EDPB-EDPS Joint Opinion 2/2026 van 11 februari 2026, zoals aangehaald in: C.M.K.C. Cuijpers, N. Lavrijssen & M. Paun, 'Betekenis voor wetenschappelijk onderzoek en het ontwikkelen van AI', ICT&health, 14 juni 2026.

[12] A. Wolfsen, Smartengeld, autoriteitpersoonsgegevens.nl, 22 februari 2021.

[13] C. Cuijpers, N. Lavrijssen & M. Paun, ‘De Impact van de Digitale Omnibus op de AVG’, Privacy & Informatie, 2026/2, p. 57.