Wet van 24 juni 2026 tot wijziging van een aantal wetten op het terrein van het Ministerie van Volksgezondheid, Welzijn en Sport om de grondslagen voor gegevensverwerking te verstevigen en enkele andere wijzigingen (Verzamelwet gegevensverwerking VWS II.b)
3/5Hoog risico
Samenvatting
De Verzamelwet gegevensverwerking VWS II.b versterkt de juridische grondslag voor het verwerken van gezondheidsgegevens binnen het zorgdomein. Als je als ondernemer gezondheidsgegevens verwerkt — bijvoorbeeld als zorgaanbieder, GGD-leverancier of als HR-dienstverlener die medische verzuimdata bijhoudt — dan raakt deze wet jou direct. Het is verstandig om te controleren of jouw huidige verwerkingsgrondslag nog steeds geldig is onder de nieuwe regels.
Voor welke sectoren?
Wat moet ik doen?
De Verzamelwet gegevensverwerking VWS II.b wijzigt een reeks bestaande wetten die vallen onder het Ministerie van Volksgezondheid, Welzijn en Sport. Het doel is om de juridische grondslagen voor gegevensverwerking steviger te verankeren. Dit is relevant voor elke ondernemer die in de zorg actief is of gezondheidsgegevens verwerkt, zoals huisartspraktijken, thuiszorgorganisaties, GGZ-aanbieders, apotheken, fysiotherapeuten, maar ook leveranciers van zorgsoftware en HR-dienstverleners die medische verzuimgegevens beheren.
Gezondheidsgegevens zijn bijzondere persoonsgegevens in de zin van de AVG. Het verwerken ervan is in principe verboden, tenzij er een uitdrukkelijke wettelijke uitzondering of grondslag bestaat. Precies die grondslagen worden met deze wet aangescherpt en verduidelijkt. Dat kan betekenen dat een grondslag waarop jij je nu baseert, is herzien, uitgebreid of juist beperkt. Het is daarom essentieel om te weten welke grondslagen voor jouw specifieke verwerkingsactiviteiten gelden.
Voor MKB-ondernemers in de zorg betekent dit concreet dat het register van verwerkingsactiviteiten (een AVG-verplichting voor de meeste organisaties) opnieuw doorgelopen moet worden. Klopt de genoemde wettelijke grondslag nog? Is de omschrijving van het doel van de verwerking nog actueel? Zijn de bewaartermijnen en de toegangsrechten correct gedocumenteerd? Dit zijn vragen die je samen met een privacy-adviseur of functionaris voor gegevensbescherming (FG) moet beantwoorden.
Bij niet-naleving riskeer je handhaving door de Autoriteit Persoonsgegevens (AP). De AP heeft de bevoegdheid om boetes op te leggen die voor kleinere organisaties kunnen oplopen tot tienduizenden euro's, maar bij structurele overtredingen ook hoger kunnen uitvallen. Bovendien kan reputatieschade bij cliënten en patiënten grote gevolgen hebben voor het voortbestaan van een kleine zorgpraktijk.
Ben je voorbereid? — Doe de Readiness Check
Beantwoord een paar vragen over jouw bedrijf en ontdek hoe goed je voorbereid bent.