Kabinet erkent: Cloud Act kan botsen met AVG en toegang geven tot Nederlandse zorgdata

In dit artikel:

Het kabinet erkent voor het eerst expliciet dat Amerikaanse wetgeving kan botsen met Nederlandse privacyregels. Dat blijkt uit antwoorden van minister Mirjam Sterk (Langdurige Zorg, Jeugd en Sport) op Kamervragen van René Claassen en Gidi Markuszower van Groep Markuszower.

Een Amerikaanse leverancier die een elektronisch patiëntendossier voor een Nederlands ziekenhuis op Nederlandse infrastructuur beheert, moet zowel aan de AVG en NEN 7510 als aan de Amerikaanse Cloud Act voldoen. Die regels kunnen elkaar tegenspreken wanneer de Amerikaanse overheid patiëntgegevens opvraagt. Ook data in een Nederlands datacenter van een Amerikaans bedrijf vallen onder de reikwijdte van de Cloud Act. Een verzoek kan bovendien geheim blijven, waardoor Nederlandse patiënten mogelijk geen zicht hebben op toegang door de Amerikaanse overheid. Het kabinet weet niet of dergelijke verzoeken al zijn gedaan.

Evenmin is bekend welke zorginstellingen Amerikaanse cloudinfrastructuur, Microsoft 365 of Google Workspace gebruiken voor communicatie met patiëntgegevens. Toch wijst het kabinet een verplichte voorafgaande toets voor nieuwe migraties naar niet-Europese aanbieders af, omdat de AVG volgens de regering voldoende bescherming biedt.

Sterk benadrukt dat zorgaanbieders zelf verantwoordelijk zijn voor een exitstrategie. Zij moeten rekening houden met zowel datatoegang als het mogelijk beëindigen of opschorten van diensten. Het ministerie onderzoekt daarnaast met Economische Zaken of zorg-ict onder de Vifo-wet moet vallen, waarmee overnames vanwege risico’s voor de nationale veiligheid kunnen worden verboden.