EHDS wordt concreet: datasets beschrijven wordt straks een plicht

De EHDS was lange tijd vooral een verordening vol doelen en principes. Daar komt nu verandering in. Data voor gezondheid meldde op 12 oktober dat de Europese Commissie de eerste drie inhoudelijke uitvoeringshandelingen heeft gepubliceerd. Voor het eerst staat zwart op wit wat er technisch en organisatorisch wordt verwacht en vanaf welke datum. De meeste aandacht gaat uit naar grensoverschrijdende uitwisseling. Wij denken dat voor veel Nederlandse zorgorganisaties een ander onderdeel de grootste impact heeft: de plicht om datasets gestandaardiseerd te beschrijven.

Drie uitvoeringshandelingen, drie sporen

De uitvoeringshandelingen werken elk een ander deel van de EHDS uit:

• MyHealth@EU (artikel 23) regelt de Europese infrastructuur voor uitwisseling in de directe zorg. Er komen eisen voor technische en semantische interoperabiliteit, beveiliging, incidentbeheer en de taken van nationale contactpunten. Patiëntsamenvattingen, e-recepten en verstrekkingen moeten vanaf 26 maart 2029 grensoverschrijdend uitwisselbaar zijn. Medische beelden en verslagen, labuitslagen en ontslagbrieven volgen vanaf 26 maart 2031.
• Identificatie en authenticatie (artikel 16) legt vast hoe patiënten, zorgverleners en zorgaanbieders zich over de grens kunnen identificeren. Lidstaten stellen uiterlijk 26 maart 2028 een nationale set zogeheten healthcare attributes vast. Vanaf maart 2029 moeten die via de Europese digitale identiteitswallet (EUDI-wallet) te gebruiken zijn.
• Beschrijving van datasets (artikel 77) gaat over secundair gebruik. Datahouders moeten hun datasets machineleesbaar beschrijven volgens het Europese metadataframework HealthDCAT-AP. Het gaat onder meer om inhoud, herkomst, dekking in tijd en plaats, variabelen, omvang en toegangsvoorwaarden. Health Data Access Bodies maken deze beschrijvingen openbaar via datasetcatalogi, die later aansluiten op een Europese catalogus. Dit geldt vanaf 26 maart 2029.

Volgens Data voor gezondheid vraagt dit van Nederland concrete voorbereiding: nationale identificatiegegevens, aansluiting op Europese identiteitsvoorzieningen, testen via het Nederlandse contactpunt en standaardisatie van metadata. Er volgen de komende jaren nog meer uitvoeringshandelingen.

Onze duiding: metadata is het onderschatte onderdeel

Grensoverschrijdende uitwisseling is vooral een opgave voor de landelijke infrastructuur en de EPD-leveranciers. Artikel 77 raakt de datahouder zelf. Een dataset beschrijven klinkt als een administratieve klus, maar je kunt alleen beschrijven wat je kent. Waar komen de gegevens vandaan? Welke definities zijn gebruikt? Over welke periode en welke populatie gaat het? Wie mag erbij en onder welke voorwaarden?

In de Zorgmonitor van september bespraken we Nivel-onderzoek onder beheerders van zorgdata. Daaruit bleek dat de FAIR-principes breed worden onderschreven, maar dat machineleesbare metadata en vindbaarheid achterblijven. Artikel 77 maakt van die ambitie een verplichting, in elk geval voor de vindbaarheid. Er zit ook een valkuil in. Een catalogus toont datasets naast elkaar en suggereert daarmee vergelijkbaarheid. Als twee organisaties hetzelfde begrip verschillend registreren, maakt een keurige HealthDCAT-AP-beschrijving dat verschil niet kleiner. Hij maakt het hooguit beter zichtbaar. Goede metadata begint dus bij goede, eenduidige registratie aan de bron.

Van datalandkaart naar datasetcatalogus

In september schreven we dat de Cyberbeveiligingswet bestuurders dwingt om te weten welke gegevens waar staan. De EHDS vraagt om hetzelfde overzicht, maar dan met een extra laag: per dataset vastleggen wat erin zit, hoe het is ontstaan en onder welke voorwaarden het bruikbaar is. In veel organisaties zit die kennis nu verspreid over losse documenten en een paar sleutelfiguren. Wie dat vandaag gestructureerd vastlegt, gebruikt het één keer voor drie doelen: informatiebeveiliging, verantwoording en EHDS-compliance.

Maart 2029 lijkt ver weg. Maar het op orde brengen van datadefinities, eigenaarschap en herkomst is geen project van een paar maanden. Het vraagt om een andere manier van werken met data, en die moet groeien.

Wat zorgorganisaties nu kunnen doen

Welke Nederlandse datahouders precies onder welke verplichting vallen, wordt nog nationaal uitgewerkt. Wachten op die uitwerking is niet nodig om te beginnen. Vier stappen die nu al waarde opleveren:

1. Breng in kaart welke datasets jouw organisatie beheert en welke daarvan relevant kunnen zijn voor onderzoek, beleid of innovatie.
2. Wijs per dataset een eigenaar aan die de inhoud kent en vragen kan beantwoorden.
3. Leg herkomst, definities en gebruikte standaarden vast bij de bron, niet achteraf.
4. Volg de Nederlandse uitwerking via de HDAB-NL, Health-RI en de kwartiermaker van de Gezondheidsdata-autoriteit, en sluit waar mogelijk aan bij bestaande catalogi.

Wie dit nu oppakt, heeft in 2029 geen inhaalslag te maken. En profiteert er intussen zelf van: data die goed beschreven is, wordt ook intern beter gebruikt.