Wijziging Wkkgz: grondslag voor kwaliteitsregistraties in de zorg

• Met de wijziging komt er een wettelijke grondslag voor het verwerken van gepseudonimiseerde (bijzondere) persoonsgegevens voor kwaliteitsregistraties die zijn opgenomen in het register.
• De regeling voorziet in een grondslag voor toetsing van kwaliteitsregistraties en een openbaar register voor aangewezen kwaliteitsregistraties bij Zorginstituut Nederland.
• Op grond van de regeling moeten zorgaanbieders verplicht cliëntgegevens aanleveren voor kwaliteitsregistraties die zijn opgenomen in het register.

De wet geldt in eerste instantie alleen voor landelijke kwaliteitsregistraties in de medisch-specialistische zorg, met uitzondering van de ggz. Zorgaanbieders zullen dus ziekenhuisorganisaties en zelfstandige behandelcentrums betreffen. In de toekomst zal de reikwijdte van de wet mogelijk worden verbreed naar alle sectoren in de zorg.

De aanleiding voor dit wetsvoorstel is het feit dat de mogelijkheden voor kwaliteitsregistraties om (bijzondere) persoonsgegevens te verwerken, tekortschieten voor het goed functioneren van die kwaliteitsregistraties. Daarom is het creëren van een wettelijke verwerkingsgrondslag in de zin van artikel 6 van de Algemene verordening gegevensbescherming (‘AVG’) nodig, zodat ook zonder toestemming van de cliënt (bijzondere) persoonsgegevens mogen worden verwerkt. Met deze wettelijke grondslag wordt een uitzondering gecreëerd op het verwerkingsverbod van artikel 9 van de AVG.

Doordat zorgaanbieders verplicht cliëntinformatie moeten gaan aanleveren, worden de huidige en nieuwe kwaliteitsregistraties completer en daarmee nuttiger, is de gedachte achter deze verplichting. De verplichting vormt een waarborg dat de zorgaanbieders de data ook daadwerkelijk aanleveren. De informatie moet gepseudonimiseerd aangeleverd worden, waardoor het voor de kwaliteitsregistraties onmogelijk wordt deze naar de cliënt te herleiden.

Bij de inwerkingtreding biedt de wetswijziging nog geen mogelijkheid voor patiënten om bezwaar te maken tegen de verstrekking van hun gegevens aan kwaliteitsregistraties. Deze opt-outregeling treedt pas een jaar later, op 1 januari 2027, in werking, zo volgt uit artikel IV van de bekendmaking (Staatsblad 2025, 391, p. 8). De reden voor deze latere invoering is het verminderen van de administratieve lasten voor zorgaanbieders. Zij moeten een opt-out namelijk zó registreren dat de gegevens van de betreffende cliënt bij elke gegevensverstrekking aan de kwaliteitsregistratie automatisch uit de dataset worden gefilterd. Bovendien bestaat er momenteel nog geen geautomatiseerde oplossing waarmee patiënten hun bezwaar eenvoudig zelf kunnen indienen, waardoor dit anders handmatig door de zorgverlener zou moeten gebeuren.

Vanaf 1 januari 2027 moeten cliënten vooraf worden geïnformeerd over de mogelijkheid om bezwaar te maken tegen het gebruik van hun gegevens. De gegevens mogen vervolgens alleen worden verwerkt als de cliënt geen bezwaar heeft gemaakt.

Zorgaanbieders worden straks verplicht om gegevens aan te leveren voor kwaliteitsregistraties die zijn opgenomen in het register van het Zorginstituut. De aanvraag voor registratie wordt ingediend door de verwerkingsverantwoordelijke van de betreffende kwaliteitsregistratie. Deze aanvraag moet onderbouwen dat er draagvlak bestaat bij de betrokken organisaties van cliënten, zorgaanbieders, zorgverleners en zorgverzekeraars voor opname in het register. Het Zorginstituut beoordeelt vervolgens of aan de geldende voorwaarden is voldaan. Na goedkeuring wordt de kwaliteitsregistratie voor een periode van vijf jaar in het register opgenomen.

De voorwaarden zijn omschreven in de wet en komen neer op:

• Er worden geen gegevens verwerkt in strijd met enig wettelijk voorschrift.
• De kwaliteitsregistratie voldoet aan de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit.
• Er wordt aandacht besteed aan de mate van herleidbaarheid van zorgverleners in de resultaten van de kwaliteitsregistratie. 
• De aanvraag moet op duidelijke en begrijpelijke wijze uiteenzetten:
  • welk doel de kwaliteitsregistratie dient, op welke cliëntpopulatie de gegevens betrekking hebben en welke zorgaanbieders gegevens moeten verstrekken;
  • wie de registratiehouder is, die verantwoordelijk is voor de ontwikkeling van de kwaliteitsregistratie en de naleving van de voorwaarden voor opname in het register;
  • welke verwerkingshandelingen worden verricht, welke passende technische en organisatorische beveiligingsmaatregelen worden getroffen en welke bewaartermijnen voor de gegevens gelden.

Met deze wetswijziging wordt beoogd de toenemende administratieve lastendruk voor zorgaanbieders te verminderen. Dat komt met name door twee factoren:

• Door de wetswijziging is geen contract meer nodig tussen zorgaanbieders en dataverwerkers; alleen nog tussen dataverwerkers en registratiehouder;
• Het zal niet nodig meer zijn om toestemming te vragen aan de patiënt voor het verwerken van persoonsgegevens, omdat het wetsvoorstel een grondslag biedt voor het verwerken van (bijzondere) persoonsgegevens aan registratiehouders.

Vanaf 1 januari 2026 zijn zorgaanbieders op grond van de gewijzigde Wkkgz verplicht om de (bijzondere) persoonsgegevens aan te leveren aan een registratiehouder, ten behoeve van een kwaliteitsregistratie die is opgenomen in het register van het Zorginstituut. De wet voorziet dus in een wettelijke doorbreking van het beroepsgeheim.