Hoe Brussel via de interne markt greep krijgt op wie u bent — en waarom 'vrijwillig' het gevaarlijkste woord van de EU is

Er bestaat een aantrekkelijk verhaal over de Europese Unie waarin een klein groepje ingewijden bewust een surveillancestaat in elkaar zet, met migratie als geregisseerde onrust en angst als breekijzer. Dat verhaal is verleidelijk, maar het is ook fout — en juist daardoor gevaarlijk, want het leidt de aandacht weg van iets wat wél klopt en wél zorgelijk is. De werkelijkheid is prozaïscher en daarom moeilijker te weerleggen: Brussel heeft geen masterplan nodig. Het heeft één juridisch scharnier, en dat scharnier heet artikel 114 van het Verdrag betreffende de werking van de EU.

De hefboom

De EU mag niet alles regelen. Haar bevoegdheden zijn toebedeeld: wat niet in de verdragen staat, blijft bij de lidstaten. Identiteit en identiteitsbewijzen zijn zo'n voorbehouden domein. Gezondheidszorg grotendeels ook. Er is geen verdragsartikel dat luidt: "de Unie bepaalt wie u bent" of "de Unie beheert uw medisch dossier". In theorie zou dat een harde grens moeten zijn.

Artikel 114 is de manier waarop die grens poreus wordt. Het geeft de EU de bevoegdheid om nationale regels op elkaar af te stemmen "met het oog op de instelling en de werking van de interne markt". Dat klinkt technisch en saai, en dat is precies de kracht ervan. Vrijwel alles laat zich als een marktkwestie herformuleren zodra er een grensoverschrijdend of digitaal element in zit. Herkader identiteit als "elektronische identificatie voor transacties in de interne markt", en de haak zit vast. Herkader medische gegevens als "hergebruik van data voor onderzoek en innovatie", en de haak zit opnieuw vast.

Dit is geen incidentele truc. Artikel 114 is de werkezel onder vrijwel de hele digitale wetgeving van het laatste decennium: de AI Act, de Digital Services Act, de Digital Markets Act, eIDAS. Wie het patroon eenmaal ziet, ziet het overal. De classificatie — "dit is een interne-marktmaatregel" — is de stille zet die de rest mogelijk maakt.

Voorbeeld 1: de digitale wallet

De Europese digitale identiteitswallet komt uit de eIDAS 2.0-verordening (Verordening (EU) 2024/1183, van 11 april 2024). De rechtsgrond is artikel 114. Het hele bouwwerk is juridisch geframed als elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt. Zo krijgt de Unie greep op iets — een digitaal identiteitsraamwerk voor 450 miljoen mensen — waarover ze onder een identiteits- of veiligheidskopje niets te zeggen zou hebben.

Het cruciale woord in de verordening is vrijwillig. Lidstaten moeten de wallet op verzoek van de burger verstrekken, maar niemand wordt gedwongen hem te gebruiken. De uitrol landt ongeveer nu: lidstaten moeten hem binnen 24 maanden na de technische uitvoeringshandelingen beschikbaar stellen, wat neerkomt op eind 2026.

En daar begint de glijbaan. "Vrijwillig" beschrijft de wet, niet de werkelijkheid die erop volgt. Als straks steeds meer overheidsloketten, banken, verzekeraars en platforms de wallet als eenvoudigste — of enige praktische — inlogmethode aanbieden, verschuift vrijwillig geruisloos naar de facto verplicht. Er hoeft dan nooit een nieuwe wet met het woord "verplicht" langs een parlement. De dwang ontstaat aan de gebruikerskant, in duizend afzonderlijke keuzes van dienstverleners, precies buiten het bereik van de democratische controle die de oorspronkelijke wet nog wél omgaf.

Neem de bankensector. Zodra een grootbank de wallet als snelste en veiligste inlogmethode aanbiedt, en de wallet gekoppeld raakt aan het bestaande DigiD-systeem, ontstaat een praktische noodzaak die geen enkele wet oplegt. Niemand verplicht u iets — maar uw hypotheekaanvraag, uw belastingaangifte en uw pensioenoverzicht worden er wél een stuk eenvoudiger door. Wie afhaakt, kiest voor de tragere, duurdere, papieren weg, als die nog bestaat. Zo wordt "vrijwillig" in de praktijk een keuze tussen gemak en uitsluiting — en dat is een heel andere keuze dan de wetgever op papier suggereert.

Voorbeeld 2: de European Health Data Space

Het scherpste voorbeeld is de European Health Data Space (Verordening (EU) 2025/327), die geldt vanaf 26 maart 2026. De rechtsgrond is dubbel: artikel 16 (gegevensbescherming) én artikel 114 (interne markt). Gezondheid is grotendeels een lidstaatzaak — maar gezondheidsdata, geframed als markt- en onderzoeksmateriaal, valt binnen bereik.

De verordening kent twee sporen. "Primair gebruik" is de zorg zelf; daar krijgt de patiënt juist méér rechten, zoals gratis EU-brede toegang tot het eigen dossier. "Secundair gebruik" is het interessante spoor: onderzoek, innovatie, beleid, commerciële R&D. Hier worden databezitters verplicht om elektronische gezondheidsdata beschikbaar te stellen via een infrastructuur genaamd HealthData@EU, en ze hebben recht op vergoeding voor die terbeschikkingstelling. Farmaceutische en medtechbedrijven krijgen zo een legaal pad naar de data van EU-burgers. De "mens als optelsom van datapunten waaraan verdiend wordt" is hier geen retoriek, maar een ingebouwd mechanisme.

Het eerlijke tegenverhaal hoort erbij, want zonder dat is de kritiek waardeloos. Het is geen vrije verkoop van uw dossier. Secundair gebruik is verboden voor reclame en marketing, voor het beoordelen van verzekeringsaanvragen of leenvoorwaarden, en voor arbeidsmarktbeslissingen. Data moet geanonimiseerd of gepseudonimiseerd zijn, mag alleen binnen een beveiligde omgeving worden verwerkt, en toegang wordt per aanvraag beslist door nationale data-toegangsorganen. Dit is een omheinde onderzoeksmarkt, geen bazaar. Wie het plat "verkoop van je data" noemt, slaat die schotten over en verzwakt zijn eigen betoog.

Maar de kern van de zorg overleeft alle schotten, en die kern is de toestemmingsarchitectuur. Deling is verplicht, en het model leunt op opt-out, niet op opt-in. Uw gezondheidsdata kan voor secundair gebruik beschikbaar komen zonder dat u er ooit actief ja tegen zei; het initiatief om zich te onttrekken ligt bij u, niet bij degene die uw data wil. Ten opzichte van het zuivere toestemmingsmodel van de AVG is dat een stille maar wezenlijke verschuiving van de controle — weg van het individu.

De twee onveiligheden

De parallel met het migratiedebat is onvermijdelijk — en het is niet de parallel die complotdenkers erin lezen. Er is geen geregisseerd verband, geen onrust die bewust wordt gekweekt om surveillance te rechtvaardigen. Wie dat beweert, moet een coördinatie en een voorbedachtheid aannemen die nergens te bewijzen zijn. Wat er wél is, is een opvallende overeenkomst in aanpak: de EU staat voor twee onveiligheden, en beantwoordt beide met meer controle.

Waar de fysieke onveiligheid — de angst voor het mes op straat, voor de aanslag — de roep om hard optreden voedt, wordt de digitale onveiligheid, het verlies van grip op je eigen data, veel minder zichtbaar bestreden. De eerste angst is begrijpelijk; de tweede is dat niet minder. Maar terwijl de eerste politiek wordt geadresseerd met camera's, grenscontroles en zichtbaar vertoon, wordt de tweede weggestopt in verordeningen waarvan de meeste burgers nooit zullen horen. De ene onveiligheid levert stemmen op en wordt luid bevochten; de andere levert infrastructuur op en wordt stil geregeld. Dat is geen samenzwering. Het is iets bestendigers, en daarom verontrustender: een reflex om elk gevoel van kwetsbaarheid te beantwoorden met meer registratie, meer koppeling, meer overzicht — of de dreiging nu van de straat komt of van het scherm in uw hand.

Waarom dit geen complot is — en juist daarom serieuzer

Alles hierboven staat gewoon in de verordeningen. De rechtsgronden staan bovenaan, de doelen in de overwegingen, de schotten in de artikelen. De EHDS-toestemmingskwestie wordt op dit moment openlijk bevochten door privacyjuristen, onder wie Nederlandse onderzoekers van TNO en de VU. Het Europees Parlement heeft in aanpalende dossiers, zoals de eindeloze strijd over Chat Control, herhaaldelijk op de rem getrapt. Dit is geen geheim plan van één alwetende actor; het is zichtbare, betwiste, oprekbare constitutionele mechanica.

En dat maakt het juist ernstiger, niet minder ernstig. Een complot kun je ontmaskeren; als het aan het licht komt, valt het. Een structureel mechanisme dat volledig legaal, transparant en stukje bij beetje werkt, valt nergens. Je hebt geen kwade opzet nodig om bij een onwenselijke uitkomst te belanden. Je hebt alleen een handige rechtsgrond nodig, een reeks op zichzelf redelijke maatregelen, en tijd.

De echte vraag: creep

De zorg die overblijft, laat zich in één zin samenvatten: een marktrechtsgrond plus een vrijwillige of opt-out-start is de nette juridische route naar een infrastructuur die later moeilijk te ontlopen valt. Elke afzonderlijke stap is verdedigbaar. De wallet is handig. Gezondheidsdata delen redt levens. Interoperabiliteit is een zegen. Maar de optelsom is een raamwerk waarin identificeren, registreren en delen de standaard wordt en het zich onttrekken de uitzondering die je actief en tegen de stroom in moet bevechten.

De vraag is dus niet of Brussel een surveillancestaat plant. Die vraag is onbewijsbaar en leidt af. De vraag is of "vrijwillig" over vijf jaar nog iets betekent, of de opt-out in de praktijk uitvoerbaar blijft, en of de schotten rond secundair gebruik standhouden of geleidelijk worden verruimd. Dat zijn concrete, controleerbare vragen. Ze verdienen concrete, controleerbare waakzaamheid — niet het wegkijken dat volgt op een verhaal dat te groot en te makkelijk te weerleggen is.

De hefboom van artikel 114 en de glijbaan van "vrijwillig" naar "de facto verplicht" vormen samen de juridische route waarlangs de EU een infrastructuur bouwt die niemand ooit expliciet heeft gekozen. Wie pas protesteert als de glijbaan eindigt, is al lang beneden. "Vrijwillig" is niet het einde van de discussie. Het is het begin.

Verantwoording

De feitelijke kern is te controleren aan de bron:

  • Rechtsgrond interne markt — artikel 114 VWEU (aanpassing van nationale regels voor de instelling en werking van de interne markt).
  • Digitale identiteitswallet — Verordening (EU) 2024/1183 (eIDAS 2.0), 11 april 2024; grondslag artikel 114; wallet vrijwillig; uitrolverplichting binnen 24 maanden na de uitvoeringshandelingen.
  • European Health Data Space — Verordening (EU) 2025/327; grondslag artikelen 16 en 114; van toepassing vanaf 26 maart 2026; verplichte terbeschikkingstelling voor secundair gebruik via HealthData@EU, met vergoeding voor databezitters; verboden secundaire doelen (marketing, verzekering, kredietbeoordeling, arbeidsmarkt); verwerking uitsluitend in beveiligde omgeving na autorisatie door nationale data-toegangsorganen.
  • Patroon — artikel 114 als grondslag onder onder meer de AI Act, de Digital Services Act, de Digital Markets Act en eIDAS.