Europese ruimte voor gezondheidsgegevens II: EPD-systemen en wellnessapps

Het juridisch kader

De verordening betreffende de Europese ruimte voor gezondheidsgegevens (EHDS), Verordening (EU) 2025/327 van 11 februari 2025, trad in werking op 25 maart 2025. Meestal gaat het over de datakant: de toegang van patiënten tot hun dossier en het secundair gebruik van gezondheidsgegevens, dat we bespreken in ons eerste EHDS-artikel. Hoofdstuk III, "EPD-systemen en wellnessapps", is productwetgeving. Het bepaalt welke dossiersoftware in de EU verkocht of gebruikt mag worden, en onder welke voorwaarden.

Wat is een EPD-systeem

Een systeem voor elektronische patiëntendossiers (EPD-systeem) is elk systeem waarvan de software, alleen of samen met hardware, het mogelijk maakt om persoonlijke elektronische gezondheidsgegevens uit de prioritaire categorieën op te slaan, door te geven, te exporteren, te importeren, te converteren, te bewerken of te bekijken, en dat de fabrikant bestemt voor gebruik door zorgaanbieders bij patiëntenzorg of door patiënten die hun gegevens raadplegen (artikel 2). De prioritaire categorieën zijn patiëntsamenvattingen, elektronische voorschriften, elektronische verstrekkingen, medische beeldvorming, testresultaten en ontslagverslagen (artikel 14, lid 1).

Hoofdstuk III geldt niet voor software voor algemene doeleinden die in een gezondheidszorgomgeving wordt gebruikt (artikel 25, lid 2). De tekstverwerker van een ziekenhuis is dus geen EPD-systeem.

Twee situaties gelden als "ingebruikneming", ook zonder verkoop: EPD-systemen die binnen zorginstellingen in de Unie worden gemaakt en gebruikt, en EPD-systemen die als dienst worden aangeboden aan iemand die in de Unie gevestigd is (artikel 26, lid 2). Een eigen ziekenhuissysteem en een cloudplatform voor praktijkbeheer vallen er dus allebei onder.

De geharmoniseerde softwarecomponenten

Elk EPD-systeem moet twee geharmoniseerde softwarecomponenten bevatten: een Europese interoperabiliteitssoftwarecomponent en een Europese logsoftwarecomponent (artikel 25, lid 1). Bijlage II bevat de essentiële vereisten. Kort gezegd moet het systeem gegevens kunnen exporteren en ontvangen in het Europees uitwisselingsformaat voor elektronische patiëntendossiers, mag het geoorloofde toegang, deling of export niet hinderen (ook niet wanneer een klant overstapt naar een ander systeem), moet het zorgverleners betrouwbaar authenticeren en moet het elke toegang loggen. De Commissie stelt uiterlijk op 26 maart 2027 gemeenschappelijke specificaties vast (artikel 36).

Wanneer het geldt

Artikel 105 koppelt de data aan de gegevenscategorieën. De verordening is in het algemeen van toepassing vanaf 26 maart 2027, maar de kern van de productregels (artikelen 25 tot en met 27 en 47 tot en met 49) geldt:

• vanaf 26 maart 2029 voor EPD-systemen die bestemd zijn voor patiëntsamenvattingen, e-voorschriften en e-verstrekkingen;
• vanaf 26 maart 2031 voor EPD-systemen die bestemd zijn voor beeldvorming, testresultaten en ontslagverslagen.

Voor eigen systemen van zorginstellingen en systemen die als dienst worden aangeboden (artikel 26, lid 2) geldt hoofdstuk III vanaf 26 maart 2031.

Plichten van fabrikanten

Artikel 30 somt de plichten van de fabrikant op. Hij moet:

• ervoor zorgen dat de geharmoniseerde componenten voldoen aan bijlage II en de gemeenschappelijke specificaties, en dat andere onderdelen van het systeem ze niet nadelig beïnvloeden;
• die componenten vóór het in de handel brengen testen in een Europese of nationale digitale testomgeving en de resultaten opnemen in de documentatie (artikel 40);
• technische documentatie opstellen volgens artikel 37, een informatieblad volgens artikel 38 en duidelijke gebruiksaanwijzingen, kosteloos voor de gebruiker;
• de EU-conformiteitsverklaring opstellen (artikel 39), één enkele verklaring als ook andere Uniehandelingen er een vragen;
• de CE-conformiteitsmarkering aanbrengen op de begeleidende documenten en, waar van toepassing, op de verpakking (artikel 41);
• het systeem vóór het in de handel brengen registreren in de EU-databank (artikel 49);
• klachtenkanalen aanbieden, registers bijhouden van klachten en niet-conforme systemen, en corrigerende maatregelen nemen, terugroepen of uit de handel nemen als dat nodig is.

Documentatie en verklaring worden 10 jaar bewaard. Op een met redenen omkleed verzoek geeft de fabrikant de autoriteiten de broncode of programmeerlogica, als ze die nodig hebben om de naleving te controleren (artikel 30, lid 3). Ernstige incidenten meld je aan de markttoezichtautoriteiten zodra een oorzakelijk verband vaststaat of redelijkerwijs waarschijnlijk is, en in elk geval binnen drie dagen nadat je ervan op de hoogte bent (artikel 44, lid 7).

Ook je marketing telt. Artikel 28 verbiedt beweringen, namen, merken of afbeeldingen die professionele gebruikers misleiden over het beoogde doel, de interoperabiliteit of de beveiliging, bijvoorbeeld door functies toe te schrijven die het systeem niet heeft of beperkingen in interoperabiliteit te verzwijgen.

Gemachtigden, importeurs en distributeurs

Een fabrikant buiten de EU stelt bij schriftelijk mandaat een gemachtigde vertegenwoordiger in de Unie aan. Die is hoofdelijk aansprakelijk als de fabrikant zijn plichten niet nakomt (artikel 31).

Importeurs (artikel 32) controleren de documentatie, de verklaring, de CE-markering en het informatieblad, vermelden hun eigen contactgegevens, bewaren een kopie van de verklaring gedurende 10 jaar en houden klachtenkanalen en registers bij. Distributeurs (artikel 33) controleren de verklaring, de CE-markering, het informatieblad en de gegevens van de importeur. Geen van beiden mag een systeem verkopen waarvan ze denken dat het niet conform is.

Volgens artikel 34 wordt een importeur, distributeur of gebruiker zelf fabrikant als hij het systeem onder eigen naam of merk verkoopt, of het zo wijzigt dat de conformiteit in het gedrang kan komen of het beoogde doel verandert. Elke marktdeelnemer moet 10 jaar lang kunnen zeggen van wie hij een systeem kreeg en aan wie hij het leverde (artikel 35).

Wellnessapps

Een wellnessapp is software, of hardware met software, die de fabrikant bestemt voor gebruik door een natuurlijke persoon om elektronische gezondheidsgegevens te verwerken, specifiek om informatie te geven over iemands gezondheid of over zorg, voor andere doeleinden dan het verlenen van gezondheidszorg (artikel 2). Een wellnessapp hoeft niet interoperabel te zijn. Claimt de fabrikant interoperabiliteit met EPD-systemen, dan moet de app voldoen aan bijlage II en de gemeenschappelijke specificaties en een label dragen (artikel 47):

• afgegeven door de fabrikant, met de gegevenscategorieën, de gemeenschappelijke specificaties en een geldigheidsduur van hoogstens drie jaar;
• in digitale vorm in de app zelf als die alleen uit software bestaat (een 2D-barcode mag);
• meegeleverd met elke eenheid, en door distributeurs elektronisch beschikbaar gesteld op het verkooppunt.

De app moet ook in de EU-databank worden geregistreerd (artikel 49). Interoperabiliteit betekent nooit automatisch delen: gegevens gaan alleen naar het EPD met toestemming van de betrokkene, en die kiest welke categorieën (artikel 48).

Medische hulpmiddelen en AI-systemen

De EHDS staat naast de Verordening medische hulpmiddelen (EU) 2017/745 (MDR). Software die de fabrikant bestemt voor diagnose, preventie, monitoring, voorspelling, prognose, behandeling of verlichting van ziekte is een medisch hulpmiddel (artikel 2, punt 1, MDR). Volgens classificatieregel 11 in bijlage VIII MDR behoort software die informatie geeft voor diagnostische of therapeutische beslissingen minstens tot klasse IIa, en software die fysiologische processen monitort in de regel ook.

Claimt een fabrikant van medische hulpmiddelen interoperabiliteit met de geharmoniseerde componenten, dan moet hij aantonen dat hij voldoet aan de essentiële vereisten in afdeling 2 van bijlage II EHDS (artikel 27, lid 1). Hetzelfde geldt voor AI-systemen met een hoog risico onder de AI Act die geen medisch hulpmiddel zijn (artikel 27, lid 2). Het markttoezicht op die producten blijft bij de MDR-autoriteiten (artikel 93 MDR) of de AI Act-autoriteiten (artikel 43, lid 7, EHDS), en ze worden geregistreerd in de databank van de MDR of de AI Act, van waaruit de gegevens ook naar de EHDS-databank gaan (artikel 49, lid 3).

De EHDS wijzigde ook de Verordening cyberweerbaarheid (CRA): een EPD-systeem dat een product met digitale elementen is, toont de conformiteit met de essentiële cyberbeveiligingseisen van de CRA aan via de procedure van hoofdstuk III EHDS (artikel 104).

Handhaving

Het markttoezicht volgt Verordening (EU) 2019/1020 (artikel 43). Autoriteiten kunnen corrigerende maatregelen eisen, de verkoop beperken of verbieden en terugroepingen bevelen (artikelen 44 en 45). De lidstaten bepalen de sancties (artikel 99).

In de praktijk

Een Belgische EPD-leverancier die als dienst verkoopt

Een Belgisch softwarebedrijf biedt een cloudplatform aan voor huisartsenpraktijken, met patiëntsamenvattingen en e-voorschriften. Omdat het als dienst in de Unie wordt aangeboden, geldt het als in gebruik genomen, en hoofdstuk III is erop van toepassing vanaf 26 maart 2031. Het werk tegen dan: de twee geharmoniseerde componenten bouwen of integreren volgens de gemeenschappelijke specificaties, de testomgeving doorlopen, de technische documentatie en het informatieblad schrijven, de verklaring opstellen, de CE-markering op de documenten aanbrengen, registreren, en klachten- en incidentprocessen opzetten met een meldingsweg van drie dagen. Het verkoopmateriaal toets je aan artikel 28.

Een niet-Europese leverancier en zijn Belgische wederverkoper

Een niet-Europese leverancier verkoopt zijn ziekenhuissoftware in België via een wederverkoper. De leverancier heeft een gemachtigde nodig, en de wederverkoper is importeur of distributeur, afhankelijk van wie het systeem op de EU-markt brengt. Verkoopt de wederverkoper het systeem onder eigen merk of past hij het lokaal aan op een manier die de conformiteit kan raken, dan wordt hij fabrikant volgens artikel 34. De distributieovereenkomst verdeelt best die rollen, de overdracht van documentatie, de klachtenbehandeling, de incidentmelding en terugroepingen, en zegt wie betaalt voor nieuwe tests na wijzigingen.

Een wellnessapp die met EPD's wil praten

Een slaap- en fitnessapp wil gegevens naar het dossier van patiënten sturen. Dat kan, maar alleen als de app voldoet aan bijlage II, een label krijgt van hoogstens drie jaar, in de EU-databank staat en gebruikers laat kiezen welke categorieën ze delen. Begint de app behandeladvies te geven, kijk dan eerst of ze geen medisch hulpmiddel onder de MDR is geworden.

Contractpunten

• Garanties dat de geharmoniseerde componenten conform zijn, en de plicht om dat bij updates zo te houden.
• Toegang tot het informatieblad, de verklaring en de testresultaten voor klanten en wederverkopers.
• Samenwerking bij ernstige incidenten binnen de termijn van drie dagen.
• Duidelijke regels over herbranding en wijzigingen, gelet op artikel 34.
• Data-export bij beëindiging, die de componenten volgens bijlage II al mogelijk moeten maken.

Veelgestelde vragen

Is onze software voor praktijkbeheer een EPD-systeem?

Ja, als zorgaanbieders of patiënten er persoonsgegevens uit een van de zes prioritaire categorieën mee opslaan, bekijken, uitwisselen of bewerken. Software die alleen afspraken of facturatie regelt en die categorieën nooit raakt, is dat waarschijnlijk niet, en software voor algemene doeleinden valt erbuiten.

Hebben we een aangemelde instantie nodig?

Onder hoofdstuk III toont de fabrikant de conformiteit zelf aan, via de testomgeving, de technische documentatie en de EU-conformiteitsverklaring. Is het product ook een medisch hulpmiddel of een AI-systeem met een hoog risico, dan gelden voor die aspecten de procedures van de MDR of de AI Act.

Moet elke wellnessapp een label hebben?

Nee. Het label is alleen verplicht als de fabrikant interoperabiliteit met EPD-systemen claimt.

Wie is aansprakelijk als de software schade veroorzaakt?

De EHDS regelt conformiteit en markttoezicht. De aansprakelijkheid voor gebrekkige software valt onder het productaansprakelijkheidsrecht, dat we bespreken in ons artikel over AI, software en de nieuwe richtlijn productaansprakelijkheid in deze reeks.

Hoe dit samenhangt

EPD-leveranciers en appmakers hebben contracten nodig die bij deze rollen passen, en de classificatievragen overlappen met de AI Act. We stellen leverings-, wederverkoop- en SaaS-voorwaarden op en lezen ze na binnen onze praktijk commerciële contracten, en onze contractreview toetst ontwerpen van de wederpartij op de punten hierboven. Zit er AI in de software, dan houden onze dienst AI Act-compliance en het AI Act-register de classificatie en de plichten op één plek bij. Zie ook conformiteitsbeoordelingen voor AI-systemen met een hoog risico.

Overzicht

• Aangehaalde bepalingen: EHDS artikelen 2, 14, lid 1, 25 tot en met 28, 30 tot en met 41, 43 tot en met 45, 47 tot en met 49, 99, 104 en 105, bijlage II; MDR artikelen 2, punt 1, en 93, bijlage VIII regel 11.
• Belangrijke data: inwerkingtreding 25-03-2025; algemene toepassing 26-03-2027 (gemeenschappelijke specificaties); EPD-systemen voor patiëntsamenvattingen, e-voorschriften en e-verstrekkingen 26-03-2029; andere prioritaire categorieën en eigen of als dienst aangeboden systemen 26-03-2031.
• In deze reeks: Europese ruimte voor gezondheidsgegevens I: secundair gebruik en gegevensvergunningen; AI, software en de nieuwe richtlijn productaansprakelijkheid.
• Verder lezen: Distributie- en wederverkoopovereenkomsten; SaaS-overeenkomsten; Conformiteitsbeoordelingen voor AI-systemen met een hoog risico.