Kamerleden willen jurisdictietoets voor zorgdata bij Amerikaanse cloud

Kamerleden Claassen en Markuszower vragen het kabinet om een "nee, tenzij"-regime voor zorgdata bij niet-Europese cloudaanbieders, in vijftien schriftelijke vragen die dinsdag naar VWS en Economische Zaken gingen.

Onder die vragen ligt een misverstand dat veel verder reikt dan de zorg. De Amerikaanse CLOUD Act volgt de zeggenschap van de aanbieder en niet de opslaglocatie, stellen de vragenstellers, en opslag in een Nederlands datacenter van een Amerikaans bedrijf brengt gegevens dus niet onder Nederlandse jurisdictie. Komt er inderdaad een verplichte, gedocumenteerde jurisdictietoets voor elke migratie, dan blijft dat niet bij ziekenhuizen. Het wordt het model waarlangs ook een verzekeraar, een accountantskantoor of een softwareleverancier zijn eigen keuze voor Azure, AWS of Google Workspace moet gaan verantwoorden.

De vragen gaan verder dan meelezen

De set is op 18 augustus ingezonden onder nummer 2026Z16981 en ligt bij minister Hermans van Volksgezondheid en staatssecretaris Aerdts van Economische Zaken. Beiden moeten binnen drie weken antwoorden.

De vragenstellers willen weten of er überhaupt een overeenkomst tussen de EU en de VS bestaat waarmee een Amerikaans verstrekkingsbevel erkend of afdwingbaar is in de zin van artikel 48 van de AVG. Zo niet, luidt de vervolgvraag, welke van beide rechtsordes overtreedt een Amerikaanse aanbieder dan als hij zo'n bevel krijgt voor Nederlandse patiëntgegevens. Ze vragen ook of zo'n verzoek vergezeld kan gaan van een geheimhoudingsbevel waardoor de zorginstelling niets mag weten, en hoe een zorgaanbieder onder die omstandigheid nog kan voldoen aan de verantwoordingsplicht uit de AVG, aan NEN 7510 en aan het medisch beroepsgeheim.

En bij de vraag hoeveel Amerikaanse verzoeken om Nederlandse zorgdata bekend zijn, bouwen ze de uitweg alvast dicht: erkent u dat het uitblijven van bekende gevallen geen enkele indicatie is dat zulke verzoeken niet plaatsvinden?

Nederlands pakket, Amerikaanse wolk

Op papier oogt het Nederlandse ziekenhuislandschap eigen. Uit de marktinventarisatie van MXI van 15 januari 2026 blijkt dat 76 procent van de Nederlandse ziekenhuizen ChipSoft gebruikt, 16 procent het Amerikaanse Epic en 8 procent het Duitse NEXUS. Dat laatste bedrijf is volgens de vragenstellers voor circa 95 procent in handen van de Amerikaanse investeerder TA Associates.

Het EPD is alleen maar de bovenste laag, en daar zit het scherpste voorbeeld uit de vragen. Zuyderland Medisch Centrum ging op 13 juni 2025 als grootste topklinische ziekenhuis live met HiX in de Azure-cloud, na ruim een jaar voorbereiding, met PinkRoccade Cloud Solutions als uitvoerder. Nederlandse software, Amerikaanse infrastructuur. De Kamerleden willen daarom in kaart gebracht zien bij hoeveel instellingen het EPD of ECD op infrastructuur van een niet-Europese aanbieder draait, en of er een overzicht bestaat van zorginstellingen die Microsoft 365 of Google Workspace gebruiken voor communicatie waarin patiëntgegevens voorkomen, zoals Security.NL optekende.

Van inzage naar uitschakeling

Het risico stopt niet bij meekijken, stellen de vragenstellers. Ze wijzen op het e-mailaccount van de hoofdaanklager van het Internationaal Strafhof, dat Microsoft na Amerikaanse sancties afsloot, en vragen welke exitstrategie of terugvaloptie Nederlandse ziekenhuizen hebben als een Amerikaanse leverancier de dienstverlening opschort.

De laatste vraag sluit daarop aan: is het kabinet bereid de afweging die de overname van Solvinity tegenhield structureel toe te passen op overnames van zorg-ICT-leveranciers, zo nodig door het toepassingsbereik van de investeringstoets uit te breiden? Dat precedent staat er inmiddels stevig, want de voorzieningenrechter hield het overnameverbod voor DigiD-beheerder Solvinity in juli overeind en wees het schorsingsverzoek af.

Een andere as dan de vorige Kamervragen

Het is niet de eerste keer dit jaar dat de Kamer het kabinet op de Amerikaanse cloud aanspreekt, maar de as verschuift. In juli gingen de vragen over de grondslag waarop persoonsgegevens de oceaan over mogen, na de Amerikaanse hofuitspraak over de onafhankelijkheid van toezichthouders. Deze set gaat over toegang tot data die hier gewoon blijft staan, op Nederlandse bodem, bij een aanbieder met een Amerikaans moederbedrijf.

Dat onderscheid is precies waar inkoopgesprekken op stuklopen. Een Europees adres beantwoordt de vraag waar de schijf staat, niet de vraag onder welk recht de partij valt die de sleutels beheert. De juridisch directeur van Microsoft France kon onder ede voor de Franse Senaat niet garanderen dat gegevens van Europese burgers nooit aan de Amerikaanse overheid worden overhandigd.

Of het "nee, tenzij"-regime er komt, beslist het kabinet. De vraag eronder is intussen niet exclusief voor de zorg: welk normatief kader verplicht een organisatie vandaag tot een jurisdictietoets voordat gevoelige gegevens bij een niet-Europese aanbieder landen? De vragenstellers gaan er zichtbaar van uit dat het antwoord "geen" luidt. Zolang dat zo blijft, is die toets geen verplichting maar een eigen keuze, en het verschil tussen wie hem maakt en wie niet wordt pas zichtbaar op de dag dat er een bevel of een sanctie tussen een organisatie en haar eigen systeem in staat.