AVG en gezondheidsapps: welke privacyrisico’s spelen er?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 14 oktober 2026

Gezondheidsapps verwerken gezondheidsgegevens, en die zijn onder de AVG bijzondere persoonsgegevens: verwerking is verboden, tenzij een uitzondering geldt, meestal uitdrukkelijke toestemming van de gebruiker (artikel 9 AVG). De grootste risico’s zijn het delen van gegevens met derden en datalekken door zwakke beveiliging. Miljoenen mensen gebruiken zulke apps om stappen te tellen, hun hartslag te meten of hun medicatie bij te houden.

Deze apps verzamelen enorme hoeveelheden persoonlijke gezondheidsdata. Gezondheidsapps brengen flinke privacy- en beveiligingsrisico’s met zich mee, omdat ze gevoelige medische gegevens verwerken die onder speciale bescherming van de AVG vallen.

De AVG noemt gezondheidsgegevens een ‘bijzondere categorie’ persoonsgegevens. Dat doet zij vanwege de hoge risico’s als deze info in verkeerde handen valt.

Uit onderzoek blijkt dat veel gezondheidsapps niet goed genoeg beveiligen. Ze delen gebruikersgegevens met externe partijen, vaak zonder duidelijke toestemming.

Gebruikers en zorgverleners moeten weten welke rechten en plichten gelden bij deze apps. Het is echt belangrijk om te snappen waar u aan begint als u een gezondheidsapp gebruikt.

Wat zijn gezondheidsapps en gezondheidsdata?

Gezondheidsapps verzamelen allerlei persoonlijke informatie over uw gezondheid. Deze data valt onder bijzondere persoonsgegevens en kent strenge regels.

Soorten gezondheidsapps en wearables

Er is een groot aanbod aan gezondheidsapps op de markt. Ze doen van alles en registreren verschillende soorten data.

Fitness en activiteit apps houden stappen, hartslag en slaap bij. Vaak werken ze samen met wearables zoals smartwatches of fitnesstrackers.

Medische apps helpen u bij het bijhouden van medicijnen of symptomen. Sommige meten bloeddruk of monitoren diabetes.

Lifestyle apps richten zich op voeding, gewicht en welzijn. Die zitten soms een beetje tussen gezondheid en lifestyle in.

Wearables zoals smartwatches verzamelen continu data. Ze meten hartslag, beweging, slaap en soms zelfs stress.

Het verschil tussen een gezondheidsapp en een lifestyleapp is niet altijd duidelijk. Dat hangt af van hoe u de app gebruikt.

Persoonsgegevens en gezondheidsgegevens uitgelegd

Gezondheidsgegevens zijn bijzondere persoonsgegevens volgens de AVG. Ze hebben extra bescherming nodig.

Gewone persoonsgegevens zijn naam, adres en telefoonnummer. Gezondheidsgegevens gaan over uw lichamelijke of geestelijke gezondheid.

Het begrip gezondheidsgegevens is breed. Denk aan:

• Hartslag en bloeddruk
• Stappenaantal en slaappatronen
• Gewicht en voedingsinformatie
• Medicijngebruik en symptomen

Apps die deze data verzamelen moeten zich aan strenge regels houden. De AVG verbiedt het verwerken van gezondheidsgegevens, behalve als er een uitzondering geldt.

Apps mogen deze data gebruiken als het nodig is voor zorg. Of als u daar duidelijk toestemming voor geeft.

Waarom mensen kiezen voor gezondheidsapps

Veel mensen willen meer grip op hun gezondheid. Ze gebruiken apps om hun activiteit bij te houden en gezonder te leven.

Gemak speelt een grote rol. Uw telefoon hebt u altijd bij u, dus data bijhouden is makkelijk.

Motivatie is ook belangrijk. Apps geven feedback en soms zelfs een beloning als u bijvoorbeeld 10.000 stappen haalt.

Met inzicht in patronen kunt u uw gedrag aanpassen. U ziet bijvoorbeeld hoe goed u slaapt of hoeveel u beweegt.

Sommige mensen gebruiken apps op advies van hun arts. Anderen zijn gewoon nieuwsgierig naar hoe hun lichaam werkt.

Deze apps verzamelen bergen informatie over gebruikers. Die info is waardevol, maar ook gevoelig voor misbruik.

De rol van de AVG in gezondheidsapps

De AVG bepaalt hoe organisaties gezondheidsgegevens uit apps moeten verwerken en beschermen. App-ontwikkelaars en zorgverleners moeten zich aan strikte regels houden.

Wanneer geldt de AVG voor een gezondheidsapp?

De Algemene Verordening Gegevensbescherming geldt voor iedereen die persoonsgegevens verwerkt in de EU. Dus ook voor gezondheidsapps die gegevens van EU-burgers verzamelen.

De AVG is de Nederlandse versie van de GDPR (General Data Protection Regulation). Eigenlijk zijn ze hetzelfde.

Ook als een app-bedrijf in Amerika zit, geldt de AVG als het de app aanbiedt aan gebruikers in de EU of hun gedrag volgt (artikel 3 lid 2 AVG).

Voorbeelden waarbij de AVG geldt:

• Apps die gezondheidsgegevens opslaan
• Fitness-apps die uw hartslag meten
• Medicatie-reminder apps
• Apps die data delen met zorgverleners
• Apps die gezondheidsadvies geven op basis van uw data

Wat zijn bijzondere persoonsgegevens?

Gezondheidsgegevens vallen onder bijzondere persoonsgegevens volgens de AVG. Ze krijgen extra bescherming omdat misbruik grote gevolgen kan hebben.

Voorbeelden van bijzondere persoonsgegevens in apps:

• Bloeddruk en hartslag
• Gewicht en BMI
• Medicatie-informatie
• Symptomen en klachten
• Slaappatronen en activiteitsdata

De AVG verbiedt verwerking van deze gegevens, tenzij er een uitzondering is. Meestal hebt u expliciete toestemming nodig van de gebruiker.

Toestemming moet vrijwillig, specifiek en goed geïnformeerd zijn. Gebruikers moeten hun toestemming ook makkelijk kunnen intrekken.

Welke basisprincipes van de AVG gelden?

De AVG heeft zes basisprincipes voor het verwerken van gezondheidsgegevens.

1. Rechtmatigheid en transparantie
Apps moeten duidelijk maken waarom ze data verzamelen. Gebruikers moeten weten wat er met hun gegevens gebeurt.

2. Doelbinding
Apps mogen gegevens alleen gebruiken waarvoor ze bedoeld zijn. Een fitness-app mag uw hartslag niet doorverkopen aan een verzekeraar.

3. Minimale gegevensverwerking
Apps mogen alleen echt noodzakelijke data vragen. Een stappen-app heeft geen toegang tot uw contacten nodig.

4. Juistheid
Gegevens moeten kloppen en actueel zijn. Apps moeten fouten kunnen herstellen.

5. Opslagbeperking
Data mag niet langer bewaard worden dan nodig is. Gezondheidsgegevens die niet meer nodig zijn, moeten worden verwijderd.

6. Integriteit en vertrouwelijkheid
Apps moeten gegevens goed beveiligen tegen hackers en ongewenste toegang.

Welke verplichtingen hebben app-ontwikkelaars?

App-ontwikkelaars hebben flinke verantwoordelijkheden als ze gezondheidsdata verwerken.

Belangrijkste verplichtingen:

• Privacy by design: Al tijdens het bouwen van de app rekening houden met privacy
• Gegevensbeschermingseffectbeoordeling: Eerst de risico’s in kaart brengen voordat de app live gaat
• Register van verwerkingen: Precies bijhouden welke data u verwerkt
• Meldplicht datalekken: Binnen 72 uur melden bij de Autoriteit Persoonsgegevens

Organisaties moeten gebruikers goed informeren over hun rechten. Denk aan het recht op inzage, correctie en verwijdering.

De Autoriteit Persoonsgegevens kan forse boetes uitdelen bij overtredingen. Die boetes kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde omzet.

Wat kunnen app-ontwikkelaars doen?

• Een privacyverklaring schrijven in gewone taal
• Goede beveiligingsmaatregelen nemen
• Procedures maken voor het afhandelen van gebruikersverzoeken
• Regelmatig controleren of de app nog voldoet aan de AVG

Wat zijn de belangrijkste privacy- en beveiligingsrisico’s?

Gezondheidsapps brengen drie grote risico’s met zich mee. Ze verzamelen soms te veel data, beschermen die data niet altijd goed genoeg, en analyseren gebruikersdata op manieren die uw privacy kunnen schenden.

Waarom is te veel data verzamelen een risico?

Veel gezondheidsapps verzamelen meer data dan nodig is. Dat gaat tegen het principe van dataminimalisatie in.

Apps vragen vaak toegang tot contacten, locatie en andere gevoelige info. Die extra data maakt een datalek extra riskant.

Veelvoorkomende overtredingen:

• Contactlijsten verzamelen zonder goede reden
• Locatiegegevens opslaan bij fitness-apps
• Gegevens te lang bewaren

Datalekken in de zorg kunnen grote gevolgen hebben. Gezondheidsgegevens zijn extra beschermd onder de AVG.

Als er een lek is, kunnen hackers medische info stelen. Dat kan leiden tot discriminatie door werkgevers of verzekeraars.

Waar schiet de beveiliging tekort?

Veel gezondheidsapps hebben zwakke beveiliging. Ze gebruiken niet altijd sterke versleuteling voor gevoelige data.

Kwetsbaarheden ontstaan door:

• Zwakke wachtwoordeisen voor gebruikersaccounts
• Onbeveiligde dataverbindingen tussen app en servers

Ook ontbreken er soms updates voor beveiligingslekken.

Apps bewaren gezondheidsdata soms op onveilige cloudservers. Hackers kunnen deze servers aanvallen en krijgen dan toegang tot duizenden patiëntendossiers.

Veel ontwikkelaars van deze apps hebben weinig ervaring met gegevensbescherming in de zorg. Ze kennen de strenge eisen uit de AVG niet goed genoeg.

Wat zijn de risico’s van profilering?

Gezondheidsapps gebruiken steeds vaker AI om gebruikersgedrag te analyseren. Vaak gebeurt dit zonder duidelijke toestemming.

Apps maken gedetailleerde profielen van gebruikers en combineren gezondheidsdata met andere persoonlijke informatie.

Risico’s van profiling:

• Verkoop van data aan derden
• Discriminatie op basis van gezondheid
• Ongewenste reclame voor medicijnen

AI-algoritmes in deze apps trekken soms verkeerde conclusies over iemands gezondheid. Zulke fouten kunnen leiden tot onjuiste behandelingsadviezen.

Gebruikers weten meestal niet dat hun data geanalyseerd wordt. Apps geven amper informatie over welke analyses plaatsvinden.

Geautomatiseerde besluitvorming op basis van gezondheidsgegevens mag alleen met uitdrukkelijke toestemming of op grond van een zwaarwegend algemeen belang (artikel 22 lid 4 AVG). Toch vragen veel apps deze toestemming niet op de juiste manier.

Met wie delen gezondheidsapps uw gegevens?

Veel gezondheidsapps delen persoonsgegevens met externe partijen zonder duidelijke uitleg aan gebruikers. Daardoor ontstaan flinke risico’s voor de gegevensbescherming en privacy van gebruikers.

Welke derden ontvangen gezondheidsdata?

Gezondheidsapps sturen vaak meer data naar externe bedrijven dan eigenlijk nodig is. Die partijen gebruiken de informatie voor doelen die weinig met zorg te maken hebben.

Veelvoorkomende ontvangers van gezondheidsdata:

• Advertentiebedrijven
• Datamakelaren
• Sociale media platforms
• Analysebedrijven

Apps delen bijvoorbeeld hartslag, slaappatronen en locatiegegevens met marketingbedrijven. Die bedrijven bouwen vervolgens uitgebreide profielen van gebruikers voor gerichte reclame.

Sommige apps verkopen gezondheidsgegevens direct aan derden. Gebruikers weten dit vaak niet omdat het diep verstopt zit in lange voorwaarden.

Gevolgen voor gebruikers:

• Verlies van controle over persoonlijke data
• Gebruik van gegevens voor onbekende doelen
• Mogelijk hogere verzekeringspremies
• Discriminatie bij werk of leningen

Wanneer schiet een privacyverklaring tekort?

Veel gezondheidsapps hebben privacyverklaringen die eigenlijk misleidend zijn. Ze zijn vaak veel te lang, technisch, of bevatten tegenstrijdige informatie.

Apps gebruiken vage termen zoals “betrouwbare partners” zonder te zeggen wie dat zijn. Ze vermelden ook niet welke specifieke gegevens ze delen.

Veelvoorkomende problemen:

• Gebruik van juridisch jargon
• Verbergen van belangrijke informatie
• Onduidelijke doelen van dataverzameling
• Geen concrete voorbeelden

Sommige apps zeggen dat ze “geen persoonlijke data” delen, maar delen wel unieke apparaatcodes waarmee u alsnog te herkennen bent.

De AVG schrijft voor dat bedrijven duidelijk uitleggen wat ze met persoonsgegevens doen. Toch houden veel gezondheidsapps zich hier niet aan.

Hoe verdienen apps aan gezondheidsdata?

Gezondheidsgegevens zijn erg waardevol voor bedrijven.

Apps verdienen geld door gebruikersdata te verkopen aan farmaceuten, verzekeraars en onderzoeksinstellingen. Gebruikers geven hier meestal niet bewust toestemming voor.

Commerciële toepassingen:

• Ontwikkeling van nieuwe medicijnen
• Risico-inschatting door verzekeraars
• Gerichte marketing van gezondheidsproducten
• Marktonderzoek voor medische bedrijven

Bedrijven combineren gezondheidsdata met andere informatie zoals koopgedrag en locatie. Zo ontstaan er heel gedetailleerde profielen van mensen.

De waarde van deze data stijgt als meer mensen dezelfde app gebruiken. Apps stimuleren daarom het delen van gegevens, maar maken zelden duidelijk wat er precies met de informatie gebeurt.

Wie houdt toezicht op gezondheidsapps?

De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de AVG bij gezondheidsapps. Europese regelgeving zorgt voor uniforme privacystandaarden.

Wat doet de Autoriteit Persoonsgegevens?

De Autoriteit Persoonsgegevens (AP) speelt de belangrijkste toezichthoudende rol bij gezondheidsapps. Ze controleren of app-ontwikkelaars en zorgverleners de AVG juist toepassen.

De AP kan boetes uitdelen bij overtredingen. Zo kreeg ziekenhuis OLVG een boete van 440.000 euro omdat medische dossiers onvoldoende waren beveiligd. Dat laat zien dat toezicht echt serieus genomen wordt.

Verplichte functies voor zorgorganisaties:

• Functionaris Gegevensbescherming (FG) aanstellen bij grootschalige verwerking van gezondheidsgegevens
• Data Protection Impact Assessment (DPIA) uitvoeren bij grootschalige verwerking
• Passende beveiligingsmaatregelen implementeren

Verwerkt een zorgaanbieder op grote schaal gezondheidsgegevens, dan moet hij een FG aanstellen die intern toezicht houdt (artikel 37 AVG). Deze persoon adviseert over AVG-naleving en controleert de toepassing van privacyregels.

Nederlandse wetten zoals de Uitvoeringswet AVG en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg vullen de AVG aan met eisen voor het verwerken van gezondheidsgegevens.

Welke Europese regels gelden nog meer?

De AVG geldt in alle EU-lidstaten, dus ook in Nederland. Daardoor gelden overal dezelfde privacyregels voor gezondheidsapps die in meerdere landen actief zijn.

EU-brede regels voor gezondheidsdata:

• Zelfde privacyrechten voor alle EU-burgers
• Eenduidige regels voor internationale datadeling
• Harmonisatie van toezicht tussen landen

Gezondheidsapps die in meerdere EU-landen worden gebruikt, hoeven maar één set regels te volgen. Dat maakt het ontwikkelen en uitrollen van apps een stuk makkelijker.

Voor AI en medische hulpmiddelen gelden inmiddels Europese verordeningen: de AI-verordening en de Verordening medische hulpmiddelen. Gezondheidsapps met AI-functies kunnen onder beide vallen.

Grensoverschrijdende samenwerking tussen toezichthouders zorgt voor consistente handhaving. Nederlandse gebruikers krijgen daardoor dezelfde bescherming als mensen in andere EU-landen.

De verordening over de European Health Data Space is in 2025 in werking getreden en wordt de komende jaren stapsgewijs van toepassing. Dat gaat invloed hebben op hoe gezondheidsapps straks data mogen delen.

Hoe gebruikt u gezondheidsapps verantwoord?

Veilig omgaan met gezondheidsapps vraagt om bewuste keuzes en controle over privacy-instellingen. Gebruikers én zorgverleners spelen een grote rol bij het beschermen van gevoelige gezondheidsgegevens.

Controleer betrouwbaarheid en veiligheid van apps

Gebruikers moeten altijd checken waar een app vandaan komt voordat ze hem downloaden. Apps van bekende zorgorganisaties of medische instituten zijn meestal betrouwbaarder dan die van onbekende ontwikkelaars.

Het loont om reviews en beoordelingen te lezen. Andere gebruikers delen vaak nuttige ervaringen over de veiligheid en werking van de app.

Controleer deze punten:

• Is de app ontwikkeld door een erkende zorgaanbieder?
• Heeft de app goede beoordelingen in de app store?
• Is er contact mogelijk met de ontwikkelaar?
• Wordt de app regelmatig bijgewerkt?

Apps met AI-functies vragen om extra aandacht. Ze kunnen gevoelige gegevens gebruiken om voorspellingen te maken. Snapt u eigenlijk hoe die technologie werkt?

Een app die als medisch hulpmiddel geldt, moet een CE-markering hebben onder de Verordening medische hulpmiddelen. Die markering zegt iets over veiligheid, niet automatisch over privacy.

Hoe beschermt u uw privacy?

Lees altijd de privacyverklaring voordat u een gezondheidsapp installeert. Zo weet u welke gegevens de app verzamelt en waarvoor ze worden gebruikt.

Geef alleen toestemming voor gegevens die u echt wilt delen. Veel apps vragen stiekem om meer toegang dan strikt noodzakelijk is.

Privacy-instellingen checken:

• Locatiegegevens: alleen inschakelen als het nodig is.
• Contactgegevens: meestal kunt u dit gewoon weigeren.
• Camera en microfoon: alleen aanzetten voor specifieke functies.
• Gegevens delen met derden: probeer dit zoveel mogelijk te beperken.

Gebruik sterke wachtwoorden. Zet tweestapsverificatie aan als dat kan.

Zo houdt u anderen buiten uw gezondheidsgegevens.

Update uw apps regelmatig. Nieuwe versies brengen vaak betere beveiliging en bescherming.

Gooi apps die u niet meer gebruikt gewoon weg. Oude apps kunnen een risico zijn als de ontwikkelaar ze niet meer bijhoudt.

Wat is de rol van zorgverleners?

Zorgverleners spelen een grote rol in het adviseren over gezondheidsapps. Ze kennen de medische behoeften van hun patiënten en kunnen passende apps aanraden.

Het is belangrijk dat zorgverleners zelf goed op de hoogte blijven van de AVG-regels. De privacy van patiënten hoort altijd voorop te staan, zelfs bij digitale hulpmiddelen.

Verantwoordelijkheden van zorgverleners:

• Apps beoordelen op veiligheid en betrouwbaarheid.
• Patiënten uitleg geven over privacy-risico’s.
• Alleen apps voorstellen die ze zelf aanraden.
• Patiënten helpen met privacy-instellingen.

Zorgverleners mogen nooit met de DigiD van een patiënt inloggen om apps te installeren of in te stellen. DigiD is strikt persoonlijk en mag niet door een ander worden gebruikt.

Bij apps met AI-functies moeten zorgverleners uitleggen hoe die werken. Patiënten hebben het recht om te weten wat er gebeurt met hun data bij automatische beslissingen.

Goede communicatie tussen zorgverlener en patiënt blijft belangrijk. Samen kunnen ze bepalen welke apps nuttig én veilig zijn.

Wat kunnen wij voor u doen bij AVG-vragen over gezondheidsapps?

Wij adviseren ontwikkelaars en zorgaanbieders over de AVG-eisen bij gezondheidsapps en staan gebruikers bij als hun gegevens zijn misbruikt.

• Wij beoordelen op welke uitzondering uit artikel 9 AVG u gezondheidsgegevens mag verwerken en hoe u uitdrukkelijke toestemming geldig vastlegt.
• Wij begeleiden de DPIA (artikel 35 AVG) en stellen privacyverklaring en verwerkersovereenkomsten op (artikel 28 AVG).
• Wij toetsen afspraken over het delen van gegevens met derden en over doorgifte buiten de EU.
• Wij adviseren na een datalek over de melding aan de AP binnen 72 uur en over het informeren van gebruikers (artikelen 33 en 34 AVG).
• Wij staan gebruikers bij bij een inzage- of verwijderverzoek, een klacht bij de AP of een schadeclaim op grond van artikel 82 AVG.

Samengevat

• Gezondheidsgegevens zijn bijzondere persoonsgegevens: verwerking is verboden, tenzij een uitzondering uit artikel 9 AVG geldt.
• De AVG geldt ook voor app-bedrijven buiten de EU die zich op gebruikers in de EU richten.
• Bij grootschalige verwerking van gezondheidsgegevens zijn een DPIA en een functionaris gegevensbescherming verplicht.
• Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens.
• De AP kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Veelgestelde vragen

Gebruikers vragen zich vaak af wat hun rechten zijn bij gezondheidsapps. De AVG beschermt gezondheidsgegevens extra, maar wat betekent dat nou echt voor uw dagelijkse gebruik?

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.