Registratiehouders

Hoe bereid ik me als registratiehouder voor op de nieuwe eisen Wkkgz?

Hoewel de nieuwe Wkkgz pas najaar 2024 in werking zal treden, kunt u nu al een aantal stappen zetten. Hierdoor bent u straks op tijd klaar om te kunnen voldoen aan de eisen. Hieronder leest u welke stappen dat zijn en hoe het SSC-DG hierbij ondersteunt. 

Aanvullen…uw rol verandert naar die van verwerkingsverantwoordelijke

Direct aan de slag

Om goed voorbereid te zijn voor op de gestelde criteria en eisen van de aangepaste Wkkgz, kunt u nu al aan de slag. Onder andere met het opstellen van nieuwe overeenkomsten met uw verwerker en het laten uitvoeren van een (nieuwe) DPIA. U kunt daarvoor onderstaande overeenkomsten gebruiken.

Het wetsvoorstel

In het wetsvoorstel wordt een wettelijke grondslag gecreëerd voor kwaliteitsregistraties om gepseudonimiseerde (bijzondere) persoonsgegevens te mogen verwerken. Deze grondslag geldt alleen voor kwaliteitsregistraties die Zorginstituut Nederland heeft opgenomen in het, ook bij dit wetsvoorstel te regelen, nieuwe landelijk register voor kwaliteitsregistraties. Bij een unaniem positief advies van zowel de Inhouds-governancecommissie (IGC) als de Data-governancecommissie (DGC) is de kans groot dat de kwaliteitsregistratie in het register wordt opgenomen. 

Wanneer een kwaliteitsregistratie is opgenomen in het register, hebben alle zorgaanbieders de wettelijke plicht de gevraagde gegevens aan te leveren aan de desbetreffende kwaliteitsregistratie. Ook krijgt de in het register opgenomen kwaliteitsregistratie een wettelijke grondslag voor de verwerking van gepseudonimiseerde (bijzondere) persoonsgegevens. De kwaliteitsregistratie maakt bovendien aanspraak op structurele financiering. Zodra meer bekend is over de procesgang van deze aanvraag, wordt dit gedeeld op deze website.

Verschuivingen in rollen

De wet zorgt voor verschuivingen in rollen  voor de kwaliteitsregistraties die in het register worden opgenomen: 

  • Voor kwaliteitsregistraties wordt een uitzondering gecreëerd op het verwerkingsverbod van artikel 9 lid 1 van de AVG. Hiermee krijgen kwaliteitsregistraties een wettelijke grondslag voor het verwerken van (bijzondere) persoonsgegevens, waar zij die nu niet hebben.
  • Verwerkers die gegevens verwerken voor kwaliteitsregistraties doen dat nu doorgaans in opdracht van de zorgaanbieder (die ‘Verwerkingsverantwoordelijke’ is). Na invoering van de wetswijziging wordt de zorgaanbieder ‘verstrekker’ van gegevens en de registratiehouder ‘verwerkingsverantwoordelijke’. De kwaliteitsregistratie bepaalt dan het doel en de middelen van de verwerking. De Verwerker wordt vervolgens verwerker voor de registratiehouder.


De verantwoordelijkheid voor de (persoons)gegevensverwerking komt daarmee bij de registratiehouder te liggen (in plaats van bij de zorgaanbieder). Zorgaanbieders worden ‘verstrekkers’ van (persoons)gegevens en hebben (na verstrekken), in de zin van de AVG, geen enkele verantwoordelijkheid voor de nadere verwerking van die gegevens door de registratiehouder ten behoeve van de kwaliteitsregistraties. Er ontstaat dus
geen gezamenlijke verwerkingsverantwoordelijkheid van zorgaanbieder en registratiehouder (zoals door sommigen werd verwacht).  

Verwachte gevolgen voor de verschillende partijen

De registratiehouder van een kwaliteitsregistratie is een rechtspersoon (zonder winstoogmerk) die verantwoordelijk is voor de inhoudelijke ontwikkeling en instandhouding van een kwaliteitsregistratie. De registratiehouder bepaalt doel en middelen van de kwaliteitsregistratie en zorgt ervoor dat organisaties van zorgverleners en cliënten nauw betrokken zijn.

  • Registratiehouders krijgen een wettelijke verwerkingsgrondslag voor het verwerken van (bijzondere) persoonsgegevens.
  • De registratiehouder van een kwaliteitsregistratie bepaalt de scope van de gegevensuitvraag en -verwerking en is daarmee verwerkingsverantwoordelijke in de zin van de AVG. Een verwerkingsverantwoordelijke moet (aantoonbaar) voldoen aan de AVG. Daarmee is rekening gehouden bij het opstellen van de toetsingscriteria.
    • Dit is een wezenlijke verandering t.o.v. de huidige situatie en kan grote impact hebben op, zeker voor de kleinere registraties en de registraties die niet over een bureau-organisatie beschikken. Het moeten voldoen aan wetgeving kan niet gefaseerd ingevoerd worden. In de toetsingscriteria is hiermee rekening gehouden door gradaties aan te brengen in de bewijslast voor het aantonen van naleving van onder andere de AVG.
  • Kwaliteitsregistraties moeten voldoen aan wettelijke eisen (waaronder de aanwezigheid van draagvlak bij relevante organisaties van zorgaanbieders, zorgverleners, cliënten en zorgverzekeraars) om opgenomen te worden in het register van het Zorginstituut.

Bij de verstrekking van de gegevens door Verstrekker aan de Verwerker moet gebruik gemaakt worden van een Trusted Third Party (TTP): 

  • Gegevens moeten aan de bron gepseudonimiseerd worden;
  • Om alsnog op patiëntniveau koppelingen mogelijk te maken van gegevens afkomstig van meerdere bij het zorgproces betrokken zorgverleners is regie op de pseudoniemen noodzakelijk.
  • Dit betekent dat dit proces ingericht moet worden!

N.B. De wet is nog niet definitief vastgesteld. We baseren de informatie op deze pagina op het gepubliceerde voorstel voor de wetswijziging (het consultatiedocument). Op advies is het wetvoorstel op sommige punten aangepast, zodra hier meer bekend over is wordt deze pagina geüpdatet.