Het kabinet ziet geen aanleiding om de privacywetgeving aan te scherpen na berichten dat online drogisterijen en gezondheidsapps mogelijk gevoelige gegevens over vruchtbaarheid, menstruatie en seksuele gezondheid delen met grote technologiebedrijven. Volgens het kabinet biedt de AVG voldoende bescherming. Het probleem zit volgens Den Haag niet in de wet, maar in de naleving ervan.
De Kamervragen volgen op onderzoek van Investico, waaruit bleek dat diverse grote drogisterijen mogelijk gegevens over gezondheid en vruchtbaarheid delen met partijen als Google en Facebook. De kwestie raakt aan een groeiend maatschappelijk debat over de bescherming van medische en reproductieve gegevens in de digitale economie.
In de beantwoording benadrukt het kabinet dat gezondheidsgegevens onder de AVG behoren tot de bijzondere categorieën persoonsgegevens. Verwerking daarvan is in beginsel verboden, tenzij een specifieke uitzondering geldt, zoals uitdrukkelijke toestemming van de betrokkene.
Daarbij verwijst het kabinet naar jurisprudentie van het Hof van Justitie van de EU, waarin gezondheidsgegevens ruim worden geïnterpreteerd. Zelfs gegevens die worden ingevuld bij het online bestellen van geneesmiddelen kunnen hieronder vallen.
Een opvallend onderdeel van de beantwoording betreft trackingcookies. Volgens het kabinet kunnen trackingcookies problematisch zijn wanneer gebruikers door zogenaamde dark patterns, informatie-overload of ‘consentmoeheid’ toestemming geven die niet overeenkomt met hun werkelijke voorkeuren.
Voor trackingcookies is geïnformeerde en ondubbelzinnige toestemming vereist; bij gevoelige persoonsgegevens geldt zelfs een expliciet toestemmingsvereiste.
Daarmee raakt de discussie aan een fundamenteel probleem van het huidige internet. Het kabinet erkent expliciet dat gebruikers niet altijd een volledig vrije en geïnformeerde keuze maken. In de beantwoording wordt gewezen op de invloed van dark patterns, informatie-overload en zogenoemde consentmoeheid, waardoor toestemming niet altijd overeenkomt met de werkelijke voorkeur van gebruikers.
Opvallend is dat het kabinet deze problematiek niet aangrijpt om strengere wetgeving te bepleiten. Volgens het kabinet ligt de uitdaging vooral bij correcte naleving van de bestaande regels door organisaties en effectieve handhaving door de Autoriteit Persoonsgegevens.
De Autoriteit Persoonsgegevens (AP) heeft volgens het kabinet aangegeven al jaren aandacht te besteden aan datahandel en online tracking. Datahandel was tussen 2020 en 2023 zelfs een strategisch aandachtsgebied van de toezichthouder. Daarnaast controleert de AP sinds 2024 actief op misleidende cookiebanners.
Dat is relevant omdat gevoelige gezondheidsinformatie voor adverteerders, databrokers en technologieplatforms bijzonder waardevol kan zijn. Gegevens over zwangerschap, menstruatie, vruchtbaarheid of medicijngebruik kunnen immers worden gebruikt voor vergaande profilering.
Uit onderzoek van Rutgers blijkt dat 37 procent van de vrouwen tussen 18 en 29 jaar een cyclusapp gebruikt om hun menstruatie bij te houden. Flo wordt daarbij het vaakst genoemd. Zowel Europese als niet-Europese aanbieders van dergelijke apps moeten voldoen aan de AVG wanneer zij diensten aanbieden aan Europese gebruikers.
Juist deze apps verzamelen vaak zeer gevoelige informatie over gezondheid, seksualiteit en voortplanting. Daarmee ontstaat een permanent spanningsveld tussen dagelijks gebruiksgemak en de feitelijke bescherming van persoonsgegevens.
Opvallend is dat het kabinet enerzijds de risico’s van tracking, profilering en problematische toestemmingsmechanismen erkent, maar anderzijds geen aanleiding ziet om de wetgeving aan te scherpen. Volgens het kabinet bevat de AVG voldoende waarborgen voor de bescherming van gezondheidsgegevens en ligt de verantwoordelijkheid primair bij organisaties die persoonsgegevens verwerken. Toezicht en handhaving door de Autoriteit Persoonsgegevens moeten ervoor zorgen dat die regels daadwerkelijk worden nageleefd.
Daarmee kiest het kabinet nadrukkelijk voor een handhavingsvraagstuk in plaats van een wetgevingsvraagstuk: niet de regels moeten worden aangepast, maar de naleving ervan moet beter.
Die keuze roept tegelijkertijd vragen op over de uitvoerbaarheid. De Autoriteit Persoonsgegevens wijst al jaren op beperkte capaciteit, terwijl de digitale advertentie- en trackingketen steeds complexer wordt. Juist bij gezondheidsgegevens, die tot de meest gevoelige persoonsgegevens behoren, is toezicht op onzichtbare datastromen tussen apps, webshops, advertentienetwerken en technologieplatforms een lastige opgave.
De politieke discussie verschuift daarmee van de vraag óf de regels streng genoeg zijn naar de vraag of de bestaande regels voldoende kunnen worden gehandhaafd in een digitale economie waarin gezondheidsdata een steeds grotere commerciële waarde vertegenwoordigen.
