Datasoevereiniteit in de zorg verwijst naar het recht en de feitelijke mogelijkheid van een zorginstelling om zelf te bepalen waar patiëntgegevens worden opgeslagen, wie er toegang toe heeft en onder welk rechtsstelsel die gegevens vallen. Voor elektronische patiëntendossiers (EPD) is dit geen abstracte kwestie: de keuze voor een cloudleverancier heeft directe gevolgen voor compliance met NEN 7510, de AVG en de Wegiz, en voor de reële bescherming van patiëntprivacy.
Jurisdictierisico’s van Amerikaanse cloudleveranciers voor EPD’s
Zorginstellingen die EPD’s onderbrengen bij een Amerikaanse cloudleverancier, ongeacht of het datacenter in Amsterdam of Frankfurt staat, vallen onder de extraterritoriale werking van de Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018). Die wet verplicht bedrijven met een Amerikaans moederbedrijf om op bevel van een Amerikaanse rechtbank of overheidsinstantie gegevens te verstrekken, ook als die gegevens fysiek buiten de VS zijn opgeslagen.
Gezondheidsgegevens vallen onder AVG artikel 9 als bijzondere categorie persoonsgegevens. Verwerking is alleen toegestaan onder strikte voorwaarden, en het doorgeven aan een derde partij op grond van buitenlandse wetgeving zonder uitdrukkelijke rechtsgrondslag vormt een schending. De Autoriteit Persoonsgegevens kan bij overtreding van artikel 9 boetes opleggen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet (AVG artikel 83 lid 5).
De Inspectie Gezondheidszorg en Jeugd (IGJ) stelt hierover duidelijk: “Zorgaanbieders zijn zelf verantwoordelijk voor de beveiliging van patiëntgegevens, ook als zij gebruikmaken van een externe clouddienst. De keuze voor een leverancier ontslaat hen niet van die verantwoordelijkheid.” De IGJ kan bij tekortschietende informatiebeveiliging handhavend optreden op grond van de Wet kwaliteit, klachten en geschillen zorg (Wkkgz) en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz).
Wat NEN 7510, AVG en Wegiz concreet eisen van de cloudkeuze
Drie normenkaders bepalen gezamenlijk de speelruimte voor de keuze van een cloudleverancier in de zorg. Ze vullen elkaar aan en mogen niet los van elkaar worden beoordeeld.
| Normenkader | Kern van de eis voor cloudkeuze | Handhaver |
|---|---|---|
| NEN 7510:2017 | Risicoanalyse op verwerkersrelaties, contractuele beveiligingseisen aan leveranciers, aantoonbare borging van vertrouwelijkheid, integriteit en beschikbaarheid van medische gegevens | IGJ, certificerende instellingen |
| AVG artikel 9 | Strikte rechtsgrondslag voor verwerking van gezondheidsgegevens, verbod op doorgifte buiten EER zonder adequaatheidsbesluit of passende waarborgen | Autoriteit Persoonsgegevens |
| Wegiz (2023) | Verplichte elektronische gegevensuitwisseling via aangewezen standaarden; systemen moeten interoperabel en aantoonbaar veilig zijn | VWS, IGJ |
NEN 7510 vereist dat zorginstellingen bij het inschakelen van een cloudleverancier een verwerkersovereenkomst sluiten die specifiek ingaat op beveiligingsmaatregelen, incidentprocedures en auditrechten. Leveranciers buiten de EER of met een Amerikaanse moedermaatschappij voldoen structureel moeilijk aan de combinatie van deze eisen, omdat de CLOUD Act juridische toegangsrisico’s introduceert die contractueel niet volledig zijn af te dekken.
Soevereine EPD-implementatie zonder functionaliteitsverlies
Een soevereine EPD-infrastructuur hoeft geen stap terug te zijn in functionaliteit. De keuze ligt globaal tussen drie modellen: volledig on-premise, een Europees gehoste private cloud bij een leverancier die uitsluitend onder EU-jurisdictie valt, of een hybride variant.
Voor de samenwerking en documentuitwisseling rondom het EPD biedt Nextcloud AIO (All-in-One) een open-source platform dat volledig on-premise of bij een Europese hoster kan worden geïnstalleerd. Het ondersteunt versleutelde bestandsopslag, beveiligde messaging, videovergaderen en koppeling met bestaande EPD-systemen via standaard API’s. Nextcloud AIO is specifiek inzetbaar in de medische sector vanwege de mogelijkheid tot end-to-end-encryptie en het ontbreken van afhankelijkheid van externe diensten van derden.
Bij de keuze voor on-premise spelen drie praktische vereisten een rol: hoge beschikbaarheid via redundante hardware, geautomatiseerde off-site back-ups naar een Europese locatie, en integratie met de NEN 7510-vereiste auditlogging. Moderne EPD-platforms zoals Chipsoft HiX en Nexus ondersteunen al een on-premise deploymentsmodel en zijn gecertificeerd voor uitwisseling via de MedMij-standaard die de Wegiz voorschrijft.
Risico’s van cloudgebaseerde medische AI en on-premise alternatieven
Cloudgebaseerde AI-diagnosetools, zoals beeldanalyse voor radiologie of NLP-gebaseerde triage-ondersteuning die via een externe API werken, brengen een specifiek risico mee: patiëntgegevens worden voor verwerking doorgezonden naar de infrastructuur van de leverancier. Als die leverancier Amerikaanse wortels heeft of zijn model traint op klantdata, ontstaan directe schendingen van AVG artikel 9 en NEN 7510.
On-premise AI-alternatieven bestaan en zijn in opkomst. Open-source taalmodellen zoals Llama (Meta, beschikbaar voor lokale deployment) en medisch gespecialiseerde varianten kunnen op de eigen infrastructuur van een zorginstelling worden gedraaid zonder dat data de organisatie verlaat. Voor radiologische beeldanalyse zijn oplossingen als TotalSegmentator (open-source, lokaal inzetbaar) beschikbaar die op de eigen GPU-infrastructuur draaien. Het kernprincipe is dat het model naar de data komt, niet de data naar het model.
Continuïteit bij ransomware en NIS-2-vereisten voor de zorgsector
De zorgsector is een van de meest aangevallen sectoren in Nederland. Ruim een op de drie Nederlandse zorgorganisaties kreeg in 2022 te maken met een ransomware-aanval of ander ernstig cyberincident, zo blijkt uit het Dreigingsbeeld Zorg 2022 van Z-CERT. De Autoriteit Persoonsgegevens ontving in datzelfde jaar meer dan 1.400 meldingen van datalekken uit de zorgsector, waarmee zorg de sector met de meeste meldingen was (AP Jaarverslag 2022).
NIS-2 bijlage I benoemt de zorgsector expliciet als kritieke sector. Zorginstellingen die onder de richtlijn vallen, zijn verplicht tot:
- Aantoonbare maatregelen voor incidentrespons en herstel van systemen binnen vooraf vastgestelde tijdnormen.
- Geïsoleerde back-ups die niet via hetzelfde netwerk bereikbaar zijn als de productiesystemen, zodat ransomware de back-up niet versleutelt.
- Melding van ernstige incidenten binnen 24 uur bij Z-CERT of het NCSC, gevolgd door een uitgebreide melding binnen 72 uur.
- Regelmatige continuïteitstests, inclusief herstelscenario’s voor volledige uitval van het EPD-systeem.
Een soevereine on-premise infrastructuur biedt bij ransomware één concreet voordeel boven een publieke cloudoplossing: de herstelsnelheid is niet afhankelijk van de beschikbaarheid of prioriteitstelling van een externe leverancier. De zorginstelling beheert zelf de back-ups, snapshots en failover-omgevingen. Dat maakt een herstelplan testbaar en afdwingbaar in de eigen beheerprocessen.
Lessen uit soevereine zorg-AI in andere EU-lidstaten
Andere EU-lidstaten lopen voor op Nederland als het gaat om nationale soevereine zorginfrastructuur. Die ervaringen zijn direct toepasbaar.
Frankrijk heeft na een rechtszaak over het gebruik van Microsoft Azure voor gezondheidsdata het Health Data Hub (HDH) omgebouwd naar een model waarbij nationale hosting en strenge toegangscontrole centraal staan. Het bredere Espace Numérique de Santé (ENS) geeft Franse burgers regie over hun eigen gezondheidsdata via een nationale infrastructuur die geen afhankelijkheid heeft van niet-EU-bedrijven.
Duitsland heeft via de Telematikinfrastruktur (TI) een gesloten, soeverein netwerk opgezet voor elektronische gegevensuitwisseling tussen zorgaanbieders. De TI staat los van het publieke internet en maakt gebruik van nationaal gecertificeerde connectoren. AI-toepassingen die op de TI draaien worden beoordeeld door de Bundesnetzagentur en mogen geen data exporteren buiten de TI-perimeter.
De gemeenschappelijke les is dat soevereine zorginfrastructuur niet betekent dat innovatie stopt. Het betekent dat de spelregels voor toegang, training en gebruik van data vooraf worden vastgelegd in wetgeving en technische architectuur, in plaats van overgelaten aan de algemene voorwaarden van commerciële leveranciers. Nederlandse zorginstellingen kunnen die aanpak kopiëren door bij nieuwe EPD- of AI-contracten als harde eis op te nemen dat alle verwerking plaatsvindt binnen de EER, onder EU-jurisdictie, en dat modeltraining op patiëntdata contractueel is uitgesloten.
FAQ: datasoevereiniteit, EPD en NEN 7510
Mag een Nederlandse zorginstelling EPD-gegevens opslaan bij Microsoft Azure of AWS?
Technisch is dat mogelijk, maar het brengt aanzienlijke juridische risico’s mee. Beide leveranciers vallen als Amerikaanse bedrijven onder de CLOUD Act, wat betekent dat de Amerikaanse overheid in theorie toegang kan eisen tot de data, ook als die in een Europees datacenter staat. Dat is moeilijk te verenigen met AVG artikel 9 en NEN 7510. De AP en IGJ verwachten dat zorginstellingen deze risico’s aantoonbaar hebben afgewogen en beheersmaatregelen hebben getroffen.
Wat houdt NEN 7510 concreet in voor de keuze van een cloudleverancier?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 maar specifiek gericht op medische gegevens. De norm vereist risicoanalyses op verwerkersrelaties, contractuele vastlegging van beveiligingsmaatregelen en aantoonbare borging van vertrouwelijkheid, integriteit en beschikbaarheid. Bij gebruik van een cloudleverancier buiten de EU is een aanvullende beoordeling van juridische toegangsrisico’s vereist.
Wat verplicht de Wegiz zorginstellingen op het gebied van elektronische gegevensuitwisseling?
De Wegiz verplicht zorginstellingen om gegevensuitwisseling met andere zorgaanbieders elektronisch en gestandaardiseerd te laten verlopen, via door de minister aangewezen standaarden zoals MedMij. De wet stelt geen expliciete eis aan de hosting-locatie, maar de combinatie met AVG en NEN 7510 maakt dat de gekozen infrastructuur aantoonbaar veilig en compliant moet zijn.
Wat eist NIS-2 van zorginstellingen bij een ransomware-aanval?
NIS-2 bijlage I benoemt de zorgsector als kritieke sector. Zorginstellingen zijn verplicht passende maatregelen te treffen voor incidentrespons en herstel, en moeten ernstige incidenten binnen 24 uur melden bij Z-CERT of het NCSC. Aantoonbare herstelplannen en geïsoleerde back-ups zijn een concrete verwachting van de toezichthouder.
Zijn er al EU-landen die soevereine AI in de zorg inzetten als alternatief voor Amerikaanse aanbieders?
Ja. Frankrijk heeft via het Espace Numérique de Santé en de Health Data Hub een nationale gezondheidsdata-infrastructuur opgezet na een rechtszaak over het gebruik van Microsoft Azure. Duitsland hanteert de Telematikinfrastruktur als gesloten, soeverein netwerk voor zorggegevens. Beide landen combineren nationale hosting met open standaarden en beperkte toegang voor externe AI-systemen.
