Aankomende wetten en verplichtingen

In 2025 staan belangrijke veranderingen op het gebied van Data Privacy, Data Security en QHSE op de agenda. Het aantal wet- en regelgeving neemt toe, en daarnaast krijgen organisaties te maken met belangrijke normherzieningen. Dit maakt het essentieel om te begrijpen wat deze verplichtingen voor jouw organisatie betekenen en hoe je je optimaal kunt voorbereiden. Maar waar begin je?

Bij Cuccibu begrijpen we de complexiteit van deze uitdaging. In onderstaande afbeelding zetten we de belangrijkste wet- en regelgeving voor je op een rijtje. We leggen uit wat deze wetten inhouden. Daarnaast gaan we in op de aankomende normherzieningen, zodat je precies weet wat er van je verwacht wordt.

Data Privacy

De AI Act

De AI Act is een reguleringskader voor Artificiële Intelligentie (AI) binnen de Europese Unie (EU). Het doel van de verordening is om een veilig en ethisch kader te creëren voor de ontwikkeling, implementatie en het gebruik van AI-systemen binnen de EU.

Voor wie van toepassing?
De AI Act is van toepassing op aanbieders, gebruikers, importeurs en distributeurs van AI-systemen.

Welke eisen worden gesteld?
De AI Act stelt eisen afhankelijk van het risiconiveau dat het AI-systeem met zich meebrengt. Er zijn vier risiconiveaus gedefinieerd: onaanvaardbaar risico (verboden), hoog risico (gereguleerd), beperkt risico (voorwaarden) en minimaal/geen risico (vrijwillig).

De meeste eisen worden gesteld aan AI-systemen met een hoog risico. Zij moeten o.a. een adequaat systeem voor risicomanagement inrichten, technische documentatie opstellen en transparant zijn naar de gebruikers over hoe het AI-systeem werkt.

Inwerkingtreding
De AI Act is op 1 augustus 2024 in werking getreden. De volgende belangrijke stappen op de tijdlijn zijn:

• Februari 2025: Verbod op AI-systemen met een onaanvaardbaar risico.
• Augustus 2025: Aanbieders van General-Purpose AI moeten zich houden aan de opgestelde gedragscode. Daarnaast zijn de nationale toezichthouders opgericht en is hun handhavingsbeleid gepubliceerd.
• Augustus 2026: De volledige AI Act is van toepassing, met uitzondering van hoog risico AI-systemen uit bijlage I.
• Augustus 2027: De AI Act is ook van kracht voor hoog risico AI-systemen uit bijlage I.

European Health Data Space (EHDS)

De European Health Data Space (EHDS) is een initiatief van de Europese Unie dat gericht is op het bevorderen van de uitwisseling van gezondheidsgegevens binnen de EU. De EHDS beoogt de patiëntenzorg te verbeteren en wil wetenschappelijk onderzoek, zorginnovatie en beleidsontwikkeling in Europa bevorderen. Het geeft burgers meer regie over gezondheidsgegevens die over hen zijn opgeslagen en zorgverleners meer tijd voor patiëntenzorg.

Voor wie van toepassing?
De EHDS is relevant voor verschillende belanghebbenden:

• Patiënten krijgen meer controle over hun gezondheidsgegevens en kunnen deze gemakkelijker delen met zorgverleners, zowel nationaal als grensoverschrijdend.
• Zorgverleners en zorginstellingen krijgen toegang tot de gezondheidsgegevens van patiënten uit andere EU-landen, wat de kwaliteit en continuïteit van de zorg ten goede komt.
• Onderzoekers en beleidsmakers kunnen onder strikte voorwaarden gebruikmaken van gezondheidsgegevens voor onderzoek, innovatie en beleidsontwikkeling.

Welke eisen worden gesteld?
De inwerkingtreding van de EHDS zal leiden tot strengere eisen voor het beheer van gezondheidsdata, met nadruk op privacy en beveiliging van deze gegevens. Daarbij wordt onderscheid gemaakt tussen primair en secundair gebruik van gezondheidsgegevens:

• Primair gebruik betreft het delen van gezondheidsgegevens tussen zorgverleners en hun patiënten, evenals het delen van gegevens tussen zorgaanbieders in verschillende EU-lidstaten, uitsluitend ten behoeve van zorgverlening. Patiënten krijgen meer controle over wie toegang heeft tot hun gegevens.
• Secundair gebruik betreft het hergebruik van gezondheidsgegevens voor onderzoek, innovatie, beleidsvorming en regelgeving. Hierbij wordt gezorgd voor een consistente en betrouwbare benadering van het gebruik van gegevens voor deze doeleinden.

De EHDS stelt ook eisen aan systemen voor elektronische patiëntendossiers (EPD’s) en de fabrikanten van deze systemen, die moeten voldoen aan Europese normen om de interoperabiliteit en veiligheid van de gegevensuitwisseling tussen lidstaten te waarborgen.

Inwerkingtreding
De EHDS-verordening werd op 14 maart 2024 goedgekeurd door het Europees Parlement en de Raad van de EU. De verordening wordt naar verwachting in het eerste kwartaal van 2025 van kracht. Binnen 6 jaar na inwerkingtreding dient de EHDS volledig te zijn geïmplementeerd in alle lidstaten.

Externe Wpg-audit

De Wet politiegegevens (Wpg) verplicht werkgevers van buitengewoon opsporingsambtenaren (boa’s) die persoonsgegevens verwerken voor opsporingstaken, om periodiek audits uit te voeren. Deze audits waarborgen dat de verwerking van politiegegevens voldoet aan de wettelijke eisen en dat de privacy van betrokkenen wordt gerespecteerd.

Voor wie van toepassing?
De auditverplichting geldt voor werkgevers van boa’s die persoonsgegevens verwerken in het kader van hun opsporingstaken. Dit betreft onder andere gemeenten.

Welke eisen worden gesteld?
Elke vier jaar dient er een externe Wpg-audit uitgevoerd te worden over hoe het verwerken van politiegegevens is georganiseerd, de maatregelen en procedures die daarop van toepassing zijn en de werking van deze maatregelen en procedures. De externe auditor moet onafhankelijk zijn en de audit moeten aangeleverd worden bij de Autoriteit Persoonsgegevens (AP).

Inwerkingtreding
De verplichting voor de externe Wpg-audit is per 1 januari 2019 ingevoerd. De AP moet tussen 1 maart 2025 en 1 maart 2026 weer de Wpg-rapportage hebben ontvangen.

Corporate Sustainability Reporting Directive (CSRD)

De Corporate Sustainability Reporting Directive (CSRD) is een EU-richtlijn met strenge eisen voor duurzaamheid en niet-financiële rapportage voor bedrijven. Het doel? Het verbeteren en harmoniseren van duurzaamheidsrapportages.

Voor wie van toepassing?
De aankomende jaren zullen steeds meer ondernemingen moeten voldoen aan de CSRD. In eerste instantie is de CSRD is van toepassing op grote beursgenoteerde bedrijven en bedrijven met openbaar belang (o.a. banken en verzekeringsmaatschappijen). Het betreft ondernemingen die op dit moment reeds aan de NFRD onderworpen zijn. Zij moeten rapporteren in 2025 over het jaar 2024.

Daarna volgen:

• Andere grote ondernemingen die momenteel niet onder de NFRD vallen. Zij moeten rapporteren in 2026 over het jaar 2025.
• Beursgenoteerde MKB-ondernemingen (kleine en middelgrote ondernemingen), kleine en niet-complexe kredietinstellingen en bepaalde verzekeringsentiteiten. Zij rapporteren in 2017 over het jaar 2026.
• Non-EU ondernemingen met significante activiteiten in de EU. Zij rapporteren in 2029 over het jaar 2028.

Welke eisen worden gesteld?
Bij deze duurzaamheidsverslaglegging conform de CSRD worden de volgende principes aangehouden:

• Het rapporteren over materiële duurzaamheidsontwikkelingen die leiden tot mogelijke financiële risico’s voor het bedrijf en ecologische en sociale materiële impact van het bedrijf op mens en milieu. Deze rapportage is op basis van het dubbele materialiteitsprincipe.
• Het meten van lange termijn doelstellingen.
• Het meenemen van niet-financiële indicatoren zoals sociaal kapitaal.
• Het laten uitvoeren van een verplichten ‘limited assurance’ door een externe accountant.

Inwerkingtreding
De CSRD trad in werking op 5 januari 2023. De implementatie is gefaseerd, afhankelijk van de grootte en het type onderneming.