Datasoevereiniteit in de zorgsector betekent dat een zorginstelling volledige juridische en technische controle behoudt over patiëntdata: wie er toegang toe heeft, onder welk rechtsstelsel de data valt, en hoe incidenten worden afgehandeld. Voor Nederlandse ziekenhuizen, huisartspraktijken en geestelijke gezondheidszorginstellingen is dit geen abstracte beleidsambities, maar een concrete verplichting die volgt uit de Wet op de geneeskundige behandelingsovereenkomst (Wgbo), de Algemene verordening gegevensbescherming (AVG) en de NEN 7510-norm voor informatiebeveiliging in de zorg.
Wettelijk kader: Wgbo, AVG en NEN 7510
Drie samenhangende kaders bepalen samen hoe patiëntdata in Nederland moet worden beveiligd en beheerd.
De Wgbo (Burgerlijk Wetboek, Boek 7, artikelen 446 tot en met 468) legt de geheimhoudingsplicht en het medisch beroepsgeheim vast. Zorgaanbieders zijn verplicht een patiëntdossier bij te houden en dit minimaal 20 jaar te bewaren. De wet bepaalt ook dat toegang tot het dossier strikt is voorbehouden aan behandelend personeel en de patiënt zelf. Elke vorm van verwerking door derden vereist een expliciete wettelijke grondslag.
De AVG (Verordening (EU) 2016/679) classificeert gezondheidsgegevens als bijzondere persoonsgegevens met het hoogste beschermingsniveau. Verwerking is in beginsel verboden, tenzij de zorginstelling voldoet aan artikel 9 AVG. Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht bij grootschalige verwerking van medische data. De Autoriteit Persoonsgegevens (AP) houdt toezicht en kan boetes opleggen tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet.
NEN 7510 (Informatiebeveiliging in de zorg, editie 2017) is de sectorspecifieke uitwerking van ISO/IEC 27001 voor Nederlandse zorgorganisaties. De norm stelt eisen aan risicomanagement, toegangsbeveiliging, incidentbeheer, continuïteitsplanning en het beheer van verwerkersovereenkomsten. NEN 7510 is niet formeel wettelijk verplicht, maar de Inspectie Gezondheidszorg en Jeugd (IGJ) en de AP hanteren de norm als de feitelijke maatstaf voor afdoende beveiliging. Wie de norm niet naleeft, heeft bij een incident een aanzienlijk verhoogd aansprakelijkheidsrisico.
“Gezondheidsgegevens zijn de meest gevoelige persoonsgegevens die er bestaan. Organisaties die deze gegevens verwerken, dragen een extra zware verantwoordelijkheid om datalekken te voorkomen.” — Aleid Wolfsen, voorzitter Autoriteit Persoonsgegevens (bron: autoriteitpersoonsgegevens.nl)
Jurisdictierisico’s bij Amerikaanse cloudproviders
Het gebruik van diensten van Microsoft, Google of Amazon Web Services introduceert een jurisdictierisico dat losstaat van de fysieke locatie van de servers.
De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht Amerikaanse cloudproviders op rechterlijk bevel medewerking te verlenen aan toegangsverzoeken van Amerikaanse opsporingsdiensten, ook als de betrokken data in een Nederlands of Duits datacenter is opgeslagen. De USA PATRIOT Act kent een vergelijkbare strekking voor nationale veiligheidsonderzoeken. Dit staat op gespannen voet met artikel 48 AVG, dat het doorgeven van persoonsgegevens aan buitenlandse autoriteiten zonder Europese rechtsgrondslag verbiedt.
De zorgsector is extra kwetsbaar om twee samenhangende redenen. Ten eerste is de waarde van medische records op de zwarte markt uitzonderlijk hoog, wat de sector tot een aantrekkelijk doelwit maakt voor zowel criminelen als inlichtingendiensten. Ten tweede zijn zorgprocessen tijdkritisch: als een EPD (elektronisch patiëntendossier) onbeschikbaar is, kan dit direct de patiëntveiligheid in gevaar brengen.
Statistiek: De gemiddelde kosten van een datalek in de gezondheidszorg bedragen wereldwijd USD 10,93 miljoen per incident, meer dan in welke andere sector dan ook (IBM Cost of a Data Breach Report 2023, ibm.com/reports/data-breach).
Statistiek: Het aantal gemelde datalekken in de zorgsector bij de Autoriteit Persoonsgegevens bedroeg meer dan 1.900 in 2022, een stijging ten opzichte van 1.234 in 2020 (AP Jaarverslag 2022, autoriteitpersoonsgegevens.nl).
NEN 7510 en soevereiniteit combineren in de praktijk
NEN 7510 en datasoevereiniteit zijn geen tegengestelde doelen, maar versterken elkaar. De norm eist dat zorgorganisaties risicoanalyses uitvoeren op alle verwerkingen, inclusief cloudopslag, en dat zij verwerkersovereenkomsten afsluiten die voldoen aan artikel 28 AVG.
Technische en organisatorische maatregelen
Een NEN 7510-conforme cloudopslag voor patiëntdata vereist minimaal end-to-end encryptie met sleutelbeheer dat uitsluitend bij de zorginstelling ligt, strikte rolgebaseerde toegangscontrole, aantoonbare logging van alle toegangspogingen, en een verwerkersovereenkomst met een aanbieder die uitsluitend onder Europese of Nederlandse jurisdictie valt. Wanneer sleutelbeheer bij de cloudprovider ligt, zoals bij de standaardconfiguratie van Microsoft 365, verliest de zorginstelling de feitelijke controle over haar eigen data.
Europese en soevereine cloudopties voor de zorg
De markt voor soevereine cloudoplossingen voor de zorg groeit. Enkele relevante categorieën:
| Type oplossing | Jurisdictie | Relevante certificering | Toepassing in de zorg |
|---|---|---|---|
| On-premise EPD (eigen datacenter) | Volledig nationaal | NEN 7510, ISO 27001 | Maximale controle, hoge beheerslast |
| Soevereine Nextcloud (zelf gehost of bij EU-hoster) | EU of nationaal | ISO 27001, NEN 7510 mogelijk | Samenwerking, documentbeheer, veilige communicatie |
| Zwitserse cloudprovider (buiten EU maar buiten VS-jurisdictie) | Zwitsers recht | ISO 27001, nDSG | Alternatief voor organisaties die geen EU-hosting wensen |
| Amerikaanse hyperscaler (Azure, AWS, GCP) | VS (CLOUD Act van toepassing) | ISO 27001, NEN 7510 deels | Jurisdictierisico voor bijzondere persoonsgegevens |
Voor EPD-systemen zijn Chipsoft (leverancier van HiX) en Nedap Healthcare (leverancier van ONS voor de langdurige zorg) Nederlandse alternatieven die op eigen of gecertificeerde Nederlandse infrastructuur kunnen draaien. Het CIBG (Centraal Informatiepunt Beroepen Gezondheidszorg) beheert centrale zorginfrastructuur zoals het BIG-register en UZI-certificaten, en opereert binnen de Nederlandse publieke sector.
Statistiek: Meer dan 70 procent van de Nederlandse ziekenhuizen maakte in 2022 gebruik van cloudinfrastructuur van buiten de EU, volgens het Z-CERT Dreigingsbeeld Zorg 2022 (z-cert.nl).
NIS-2 en de zorgsector als essentiële entiteit
De Europese NIS-2-richtlijn (Richtlijn (EU) 2022/2555), in Nederland geïmplementeerd via de Cyberbeveiligingswet, classificeert grote zorgaanbieders als essentiële entiteiten. Dit brengt verzwaarde verplichtingen met zich mee op het gebied van risicobeheer, beveiliging van de toeleveringsketen, encryptie en incidentmelding.
Zorgorganisaties die als essentiële entiteit worden aangemerkt, zijn verplicht significante cybersecurityincidenten binnen 24 uur te melden bij de bevoegde autoriteit (in Nederland het NCSC of de sectorale toezichthouder), gevolgd door een volledig incidentrapport binnen 72 uur. De bestuurders van de organisatie zijn persoonlijk verantwoordelijk voor naleving, wat de betrokkenheid van raden van bestuur bij cybersecuritybeleid aanzienlijk vergroot.
Meldplicht bij datalekken en de rol van soevereine infrastructuur
Bij een datalek met patiëntdata moeten zorgorganisaties op grond van artikel 33 AVG binnen 72 uur melden bij de AP. Als het lek waarschijnlijk een hoog risico oplevert voor de rechten van patiënten, volgt op grond van artikel 34 AVG ook een meldplicht richting de betrokkenen zelf. De Wgbo versterkt dit: de geheimhoudingsplicht maakt iedere onbevoegde inzage tot een inbreuk die juridische consequenties heeft.
Een soevereine infrastructuur versterkt de incidentrespons op drie manieren. Ten eerste maakt volledige logging en audittrail binnen de eigen omgeving het mogelijk de reikwijdte van een incident nauwkeurig vast te stellen, iets wat bij een multitenant cloudoplossing vaak afhankelijk is van de medewerking van de provider. Ten tweede kunnen back-ups en herstelprocessen volledig onder eigen beheer worden uitgevoerd, wat de hersteltijd bij ransomware-aanvallen verkort. Ten derde heeft een soevereine omgeving geen buitenlandse jurisdictie die een parallel onderzoek of gegevensinbeslagname kan initiëren, wat de beheersing van het incident overzichtelijker maakt.
“De zorgsector is steeds vaker doelwit van ransomware-aanvallen. Een aanval op een ziekenhuis kan direct levens in gevaar brengen, waardoor zorgorganisaties bereid zijn snel losgeld te betalen.” — Z-CERT, Dreigingsbeeld Zorg 2023 (z-cert.nl)
Lokaal gehoste AI en patiëntprivacy
Kunstmatige intelligentie wordt steeds breder ingezet in de zorg, van beslissingsondersteuning bij diagnoses tot automatische transcriptie van poliklinische gesprekken. De meeste commerciële AI-diensten werken via API-aanroepen naar externe cloudservers, waarbij inferentie (het uitvoeren van het model) op infrastructuur van de provider plaatsvindt. Dit betekent dat patiëntdata, ook al tijdelijk, de eigen organisatie verlaat en terechtkmt bij een derde partij, vaak buiten de EU.
Lokaal gehoste AI-modellen draaien volledig binnen de eigen infrastructuur van de zorginstelling. Er vindt geen netwerkverkeer naar externe servers plaats tijdens inferentie, het model traint niet opnieuw op patiëntdata, en er is geen risico op onbedoeld lekken van data in een commercieel trainingsproces. Voor gespreksverslaglegging, medische beeldanalyse of klinische beslissingsondersteuning op basis van dossierdata is lokaal gehoste AI de enige optie die consistent voldoet aan de Wgbo, de AVG en NEN 7510 zonder aanvullende juridische constructies.
Het verschil met cloud-AI is niet alleen technisch, maar ook juridisch: bij lokale verwerking is de zorginstelling zowel verwerkingsverantwoordelijke als feitelijk beheerder van het model, zonder dat een verwerkersovereenkomst met een externe AI-aanbieder nodig is voor de inferentiestap zelf.
FAQ: Datasoevereiniteit en NEN 7510 in de zorgsector
Mag een Nederlands ziekenhuis patiëntdata opslaan bij Microsoft Azure of AWS?
Dat is juridisch risicovol. Beide providers vallen onder de Amerikaanse CLOUD Act, die Amerikaanse autoriteiten toegang geeft tot de data ongeacht waar de servers staan. Dit kan botsen met de AVG, de Wgbo en NEN 7510. Een verwerkersovereenkomst is altijd verplicht, maar biedt geen bescherming tegen een Amerikaans gerechtelijk bevel aan de provider. Een Transfer Impact Assessment (TIA) is ook verplicht en leidt in de meeste gevallen tot aanvullende technische maatregelen of herbeoordeling van de leverancierskeuze.
Wat is NEN 7510 en voor wie is deze norm verplicht?
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector, gebaseerd op ISO/IEC 27001 met zorgspecifieke uitbreidingen. De norm is niet wettelijk verplicht, maar wordt door de IGJ en de AP gehanteerd als de feitelijke maatstaf voor afdoende beveiliging van patiëntdata. Zorgverzekeraars en aanbestedende partijen eisen steeds vaker aantoonbare naleving of certificering.
Binnen welke termijn moet een zorginstelling een datalek melden?
Een datalek met persoonsgegevens moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Als de inbreuk waarschijnlijk een hoog risico oplevert voor betrokkenen, moeten ook de patiënten zelf worden geïnformeerd (artikel 34 AVG). Onder NIS-2 gelden aanvullende meldplichten richting het NCSC: een eerste melding binnen 24 uur en een volledig rapport binnen 72 uur.
Wat is het verschil tussen een Europese en een soevereine cloud?
Een Europese cloud heeft servers binnen de EU, maar de exploitant kan nog steeds een niet-Europese moedermaatschappij hebben die onder buitenlandse jurisdictie valt. Een soevereine cloud garandeert dat zowel de data als de organisatorische en juridische controle volledig onder Europese of nationale jurisdictie vallen, zonder wettelijke mogelijkheden voor buitenlandse autoriteiten om toegang te eisen.
Hoe helpt lokaal gehoste AI bij de bescherming van patiëntprivacy?
Lokaal gehoste AI-modellen verwerken patiëntdata uitsluitend binnen de eigen infrastructuur van de zorginstelling. Er vindt geen datatransport naar externe servers plaats, het model traint niet opnieuw op patiëntdata, en er bestaat geen risico dat gegevens terechtkomen in een commercieel trainingsproces. Dit is wezenlijk anders dan cloud-AI-diensten waarbij inferentie op externe servers plaatsvindt en waarbij in de verwerkingsovereenkomst vaak ruimte bestaat voor gebruik van ingevoerde data voor modelverbetering.
