De EUDI-wallet heeft een directe en betekenisvolle impact op de gezondheidszorgsector in Europa. Patiënten kunnen gezondheidsgerelateerde documenten, zoals recepten en verzekeringskaarten, veilig opslaan en delen via hun wallet, terwijl ze zelf bepalen welke gegevens ze vrijgeven. Voor zorginstellingen introduceert Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, nieuwe verplichtingen rondom identiteitsverificatie, registratie als relying party en naleving van de AVG. Dit artikel beantwoordt de belangrijkste vragen die zorgprofessionals en -organisaties op dit moment stellen.
Welke gegevens kan de EUDI-wallet opslaan en delen in de gezondheidszorg?
De EUDI-wallet kan een reeks gezondheidsgerelateerde attestaties en documenten bevatten, waaronder digitale recepten, de Europese Ziekteverzekeringskaart (EHIC), vaccinatieregistraties en andere medische documenten. Gebruikers kiezen zelf welke gegevens ze delen en met wie. Het mechanisme van selective disclosure maakt het mogelijk dat een patiënt alleen de strikt noodzakelijke gegevens vrijgeeft voor een specifieke interactie.
Selective disclosure is technisch verankerd in de credentialformaten die de EUDI-wallet ondersteunt: mdoc en SD-JWT VC. Een patiënt die een apotheek bezoekt, hoeft geen volledige medische geschiedenis te tonen. De wallet geeft alleen de relevante receptattestatie vrij. Dit beperkt de gegevensblootstelling structureel en geeft patiënten aantoonbare controle over hun gezondheidsinformatie.
Het POTENTIAL-consortium heeft binnen de Large Scale Pilots, die liepen van april 2023 tot 2025, e-recepten als specifieke toepassing getest. Bij deze pilots waren apotheken en zorgverleners betrokken die valideerden hoe de wallet medische gegevens verwerkt in praktijksituaties. De bevindingen zijn gebruikt om technische specificaties te verfijnen en om te toetsen of het systeem betrouwbaar werkt over landsgrenzen heen.
Naast recepten kan de wallet ook de digitale EHIC bevatten. Dit vereenvoudigt grensoverschrijdende toegang tot gezondheidszorg voor patiënten die reizen of verblijven in een andere lidstaat, zonder dat zij fysieke documenten hoeven mee te nemen.
Hoe verandert de EUDI-wallet de patiëntidentificatie in Europa?
De EUDI-wallet vervangt gefragmenteerde, papieren identificatieprocessen door één digitale identiteit die cryptografisch is geverifieerd en wordt geaccepteerd in alle EU-lidstaten. In plaats van een fysieke identiteitskaart of verzekeringsdocument te tonen, authenticeert een patiënt zichzelf direct via de wallet.
Patiëntidentificatie in de gezondheidszorg is vandaag de dag inconsistent. Processen variëren sterk tussen ziekenhuizen, klinieken en apotheken, en nog meer over nationale grenzen heen. Een patiënt die zorg zoekt in een ander EU-land stuit vaak op administratieve hindernissen omdat identiteitsdocumenten of verzekeringsbewijzen niet worden herkend. De EUDI-wallet is ontworpen om dit op te lossen via een gemeenschappelijk technisch kader, vastgelegd in de Architecture and Reference Framework (ARF).
Omdat de wallet is gebouwd op dit gemeenschappelijke kader, kan een geverifieerde attestatie die is uitgegeven in de ene lidstaat worden vertrouwd in een andere. Dit is bijzonder relevant voor grensoverschrijdende patiëntenzorg, noodbehandeling in het buitenland en telegeneeskundediensten die over nationale grenzen heen opereren.
Voor zorgverleners betekent deze verschuiving een betrouwbaarder en efficiënter opnameproces. Handmatige identiteitscontroles zijn tijdrovend en foutgevoelig. Verificatie via de wallet omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever tegen de relevante nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en validatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait. Alleen de eerste controle kan volledig offline plaatsvinden. Dit reduceert de administratieve last en verbetert de nauwkeurigheid van patiëntendossiers vanaf het eerste contact.
Wat zijn de AVG- en eIDAS 2.0-nalevingsimplicaties voor zorgverleners?
Zorgverleners die gegevens van de EUDI-wallet accepteren of verwerken, moeten voldoen aan zowel de AVG als de verplichtingen die Verordening (EU) 2024/1183 introduceert. Identiteitsverificatieprocessen moeten het principe van gegevensminimalisatie respecteren, toestemming moet correct worden beheerd en alleen geregistreerde relying parties kunnen walletgegevens opvragen.
Onder eIDAS 2.0 moeten organisaties die gegevens willen opvragen uit de wallet van een gebruiker zich registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging, conform CIR (EU) 2025/848 van 6 mei 2025. Bij registratie legt een relying party per intended use vast welke attributen en attestaties worden opgevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie. Voor zorgverleners is dit een operationele stap die ruim voor enige implementatie voorbereiding vereist.
De AVG voegt een afzonderlijke verantwoordelijkheidslaag toe. Gezondheidsgegevens worden geclassificeerd als bijzondere categorie persoonsgegevens onder artikel 9 AVG, wat strengere verwerkingsvereisten met zich meebrengt. Zorginstellingen moeten een duidelijke rechtsgrond kunnen aantonen voor de verwerking van uit de wallet afkomstige gezondheidsgegevens, naast een toepasselijke grond uit artikel 9, lid 2, AVG. Verwerkingsactiviteiten moeten worden gedocumenteerd en systemen moeten de rechten van patiënten ondersteunen, waaronder het recht op inzage en het recht op verwijdering.
Belangrijk om te begrijpen: de goedkeuring die een gebruiker in de wallet geeft voor het delen van gegevens, is niet automatisch toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking. Bij wettelijke identificatieverplichtingen in de zorg kan een wettelijke verplichting als grondslag relevant zijn. Voor gezondheidsgegevens is bovendien een grond uit artikel 9, lid 2, AVG vereist.
De EUDI-wallet is technisch ontworpen met selective disclosure als standaard. Dit ondersteunt gegevensminimalisatie structureel. Zorginstellingen moeten echter hun interne beleid, gegevensverwerkingsovereenkomsten en personeelstraining bijwerken om deze nieuwe werkwijzen te weerspiegelen. Naleving volgt niet automatisch uit de privacybeschermende architectuur van de wallet zelf.
Welke toepassingen in de gezondheidszorg profiteren het meest van de EUDI-wallet?
De toepassingen in de gezondheidszorg die het meest profiteren van de EUDI-wallet zijn die waarbij identiteitsverificatie, het delen van attestaties en grensoverschrijdende toegang tot zorg een rol spelen. Dit omvat het ophalen van recepten bij apotheken, toegang tot de Europese Ziekteverzekeringskaart, patiëntregistratie in ziekenhuizen en identiteitsverificatie voor telegeneeskunde.
Hier volgt een overzicht van de meest impactvolle toepassingen in de medische sector:
- Recepten ophalen: Patiënten kunnen een geverifieerde digitale receptattestatie rechtstreeks bij een apotheek tonen, waardoor papieren documenten overbodig worden en het risico op fraude of fouten afneemt.
- Europese Ziekteverzekeringskaart (EHIC): De wallet kan een digitale versie van de EHIC bevatten, waardoor het voor patiënten eenvoudiger wordt om in andere EU-landen toegang te krijgen tot gezondheidszorg zonder fysieke documenten mee te hoeven nemen.
- Patiëntregistratie: Ziekenhuizen en klinieken kunnen de identiteit van patiënten snel en betrouwbaar verifiëren bij de inschrijving, waardoor de opnametijd wordt verkort en de gegevensnauwkeurigheid verbetert.
- Telegeneeskundediensten: Digitale gezondheidsplatforms kunnen identiteitsverificatie via de wallet gebruiken om te bevestigen wie ze behandelen, wat met name relevant is voor diensten die grensoverschrijdend opereren.
- Toegang tot sociale zekerheid en gezondheidsvoordelen: Patiënten kunnen de wallet gebruiken om hun recht op specifieke voordelen of diensten aan te tonen, zonder elke keer uitgebreide documentatie te hoeven overleggen.
Deze toepassingen hebben een gemeenschappelijke noemer: ze omvatten allemaal een moment waarop identiteit en documenten snel, betrouwbaar en op een wijze die de privacy van de patiënt respecteert, geverifieerd moeten worden. De EUDI-wallet vervult al deze behoeften binnen één gestandaardiseerd kader.
Wat moeten zorginstellingen doen om zich voor te bereiden op de EUDI-wallet?
Zorginstellingen moeten beginnen met de voorbereiding op de EUDI-wallet door hun huidige identiteits- en data-infrastructuur te beoordelen, zich te registreren als relying party conform CIR (EU) 2025/848 en hun nalevingskaders bij te werken om aan de nieuwe vereisten te voldoen. Vroege voorbereiding beperkt risico’s en stelt organisaties in staat om de wallet operationeel te omarmen zodra deze beschikbaar is.
Hier volgt een praktische reeks stappen om aan de slag te gaan:
- Voer een interne gereedheidsanalyse uit: Breng je huidige processen voor patiëntidentificatie en gegevensdeling in kaart om te bepalen waar de EUDI-wallet de grootste impact zal hebben.
- Begrijp de vereisten voor relying parties: Bekijk wat er nodig is om je te registreren als relying party bij de bevoegde nationale autoriteit van de lidstaat van vestiging conform CIR (EU) 2025/848, inclusief de attributenscope die je per intended use moet vastleggen.
- Beoordeel jouw AVG-naleving: Werk je gegevensverwerkingsovereenkomsten, privacyverklaringen en intern beleid bij om walletgebaseerde gegevensstromen te weerspiegelen, met name voor bijzondere categorieën gezondheidsgegevens onder artikel 9 AVG.
- Betrek je IT- en beveiligingsteams: Zorg ervoor dat je systemen kunnen integreren met walletgebaseerde authenticatie en dat je beveiligingsarchitectuur de vereiste betrouwbaarheidsniveaus ondersteunt.
- Train relevant personeel: Klinisch en administratief personeel moet begrijpen hoe de wallet werkt en wat dit betekent voor hun dagelijkse interacties met patiënten.
- Volg de tweede pilotgolf: Na de afronding van de vier oorspronkelijke Large Scale Pilots in 2025 loopt er een tweede pilotgolf, waaronder WE BUILD en APTITUDE. De bevindingen hieruit leveren waardevolle inzichten op voor implementatieaanpakken in de zorg.
Nu beginnen geeft zorginstellingen een betekenisvolle voorsprong. Uiterlijk op 24 december 2026 moet iedere EU-lidstaat minimaal één gecertificeerde EUDI-wallet beschikbaar hebben voor burgers en moeten publieke instanties deze accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in de zorgsector geldt vervolgens een acceptatieplicht per 24 december 2027 op grond van artikel 5f van Verordening (EU) 2024/1183, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van deze private acceptatieplicht uitgezonderd. Organisaties die hun processen al hebben afgestemd, zijn veel beter gepositioneerd dan organisaties die wachten op volledige handhaving voordat ze actie ondernemen. Voor meer sectorspecifieke context biedt het overzicht van de gezondheidszorgsector een nuttig startpunt.
Hoe ondersteunt de ID Connector zorginstellingen bij de implementatie
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor zorginstellingen, farmaciebedrijven en overheidsorganisaties ondersteunt de ID Connector concreet de volgende technische taken:
- Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever van een attestatie tegen de relevante nationale trusted list, zodat alleen attestaties van erkende uitgevers worden geaccepteerd.
- Controle van intrekkingsstatus: De ID Connector raadpleegt de statusinformatie van de uitgever om te verifiëren of een attestatie nog geldig is op het moment van presentatie.
- Validatie van de wallet unit attestation: De ID Connector stelt vast dat de presenterende wallet draait op een gecertificeerde wallet solution, wat een vereiste is voor betrouwbare verificatie.
- Bewaking van de geregistreerde attributenscope: De ID Connector bewaakt dat alleen attributen worden opgevraagd die overeenkomen met de geregistreerde scope van de relying party, conform CIR (EU) 2025/848.
- Hergebruik van geverifieerde identiteitsdata: Eenmaal geverifieerde patiëntidentiteitsgegevens kunnen worden hergebruikt in downstream processen, zonder dat de patiënt opnieuw hoeft te authenticeren voor dezelfde sessie.
- Gekwalificeerd tekenen via een aangesloten QTSP: Voor toepassingen waarbij een gekwalificeerde elektronische handtekening vereist is, maakt de ID Connector verbinding met een qualified trust service provider voor de uitgifte van een QES.
De ID Connector is relevant voor zorginstellingen, farmaciebedrijven en overheidsorganisaties die walletgebaseerde identificatie willen integreren in hun bestaande systemen en werkprocessen. Verken onze implementatieaanpak of bekijk hoe we samenwerken met organisaties in gereguleerde zorgomgevingen. Klaar voor de volgende stap? Neem contact op met TrustTech en ontdek wat de ID Connector concreet voor jouw organisatie kan doen.