Kabinet erkent risico van Amerikaanse data-inzage en uitval in zorgsector

Aanleiding voor de vragen is de juridische spagaat waarin zorgorganisaties terechtkomen door de Amerikaanse CLOUD Act en de Foreign Intelligence Surveillance Act (FISA Section 702). Deze wetten verplichten Amerikaanse technologiebedrijven en hun dochterondernemingen om gegevens over te dragen aan Amerikaanse autoriteiten, ongeacht of die data fysiek op Nederlandse servers staat opgeslagen. Een dergelijk verzoek kan bovendien vergezeld gaan van een geheimhoudingsbevel (gag order), waardoor een zorgverlener niet geïnformeerd mag worden als patiëntgegevens worden opgevraagd. 

Toegang kan strijdig zijn met de AVG

De minister bevestigt dat het voldoen aan een Amerikaans bevel door een in Nederland gevestigde dochteronderneming in strijd kan zijn met de Algemene Verordening Gegevensbescherming (AVG). Daarnaast kan een dergelijke dataoverdracht de verwerkersovereenkomst met de Nederlandse zorginstelling schenden. Weigert de Amerikaanse leverancier daarentegen het bevel uit te voeren, dan overtreedt het bedrijf de Amerikaanse wetgeving. 

Ondanks deze juridische frictie ziet het kabinet geen rol voor zichzelf om een zogenaamd "nee, tenzij"-regime in te stellen voor migraties van zorgdata naar niet-Europese cloudleveranciers. Volgens het ministerie biedt de AVG al voldoende verplichte kaders. Omdat de zorg in Nederland privaat is georganiseerd, moeten ziekenhuizen, GGZ-instellingen en verzorgingshuizen zelf een risicoafweging en jurisdictietoets uitvoeren onder normen zoals NEN 7510. 

Grote afhankelijkheid van Amerikaanse infrastructuur

In de praktijk draait een groot deel van de Nederlandse zorg op Amerikaanse technologie. Uit recente marktcijfers blijkt dat circa 16 procent van de ziekenhuizen het Amerikaanse EPD-systeem Epic gebruikt en 8 procent NEXUS, dat grotendeels in handen is van de Amerikaanse investeerder TA Associates. Daarnaast draaien EPD-pakketten van Nederlandse leveranciers zoals ChipSoft in sommige gevallen alsnog op Amerikaanse cloudinfrastructuur zoals Microsoft Azure. Het ministerie beschikt overigens niet over een centraal overzicht van de gebruikte cloudinfrastructuur of kantoorsoftware binnen de zorgsector. 

Naast het risico van ongeoorloofde inzage erkent het kabinet dat er risico's zijn rond het plotseling beëindigen van de dienstverlening door buitenlandse partijen. Ziekenhuizen moeten daarom volgens de NEN 7510-norm beschikken over een eigen exitstrategie en continuïteitsplan. Het kabinet wijst er daarnaast op dat zorg-ICT vooralsnog niet wordt toegevoegd aan het toepassingsbereik van de Wet vifo, waarmee overnames door buitenlandse investeerders vooraf kunnen worden getoetst op veiligheidsrisico's.