Nederlandse zorgdata

Bent u ermee bekend dat de Amerikaanse CLOUD (Clarifying Lawful Overseas Use of Data) Act (2018) Amerikaanse aanbieders verplicht gegevens te verstrekken die zij in bezit, beheer of onder zeggenschap hebben, ongeacht of die gegevens fysiek in Nederland zijn opgeslagen?

Deelt u de constatering dat de CLOUD Act de zeggenschap van de aanbieder volgt en niet de opslaglocatie, en dat opslag in een Nederlands datacenter van een Amerikaans bedrijf die gegevens dus niet onder Nederlandse jurisdictie brengt? Zo nee, waarop baseert u het tegendeel?

Bestaat er op dit moment een internationale overeenkomst tussen de Europese Unie en de Verenigde Staten op grond waarvan een Amerikaans bevel tot verstrekking van persoonsgegevens erkend of afdwingbaar is in de zin van artikel 48 van de Algemene verordening gegevensbescherming? Zo nee, welke van beide rechtsordes overtreedt een Amerikaanse aanbieder die zo'n bevel ontvangt ten aanzien van Nederlandse patiëntgegevens?

Klopt het dat een verzoek onder de CLOUD Act vergezeld kan gaan van een geheimhoudingsbevel (FISA Section 702), waardoor de betrokken zorginstelling niet mag worden geïnformeerd? Zo ja, hoe kan een zorgaanbieder onder die omstandigheid voldoen aan de verantwoordingsplicht uit de AVG, aan NEN 7510 en aan het medisch beroepsgeheim?

Kunt u aangeven hoeveel verzoeken van Amerikaanse autoriteiten aan aanbieders bekend zijn die Nederlandse zorgdata betroffen? Indien u dit niet kunt aangeven, erkent u dan dat het uitblijven van bekende gevallen geen enkele indicatie is dat zulke verzoeken niet plaatsvinden?

Kunt u bevestigen dat volgens de marktinventarisatie van M&I/Partners van begin 2026 76% van de Nederlandse ziekenhuizen ChipSoft gebruikt, 16% het Amerikaanse Epic en 8% het Duitse NEXUS (circa 95% in handen van de Amerikaanse investeerder TA Associates)?^[1]

Deelt u de constatering dat het EPD slechts één laag is en dat ook software van Nederlandse leveranciers volledig op Amerikaanse cloudinfrastructuur kan draaien, zoals bij de ingebruikname van HiX in de Azure-cloud door Zuyderland MC? Bent u bereid in kaart te brengen bij hoeveel zorginstellingen het EPD of ECD draait op infrastructuur van een niet-Europese aanbieder, en de Kamer hierover te informeren?

Beschikt u over een overzicht van het aantal zorginstellingen dat Microsoft 365 of Google Workspace gebruikt voor communicatie waarin patiëntgegevens voorkomen? Zo nee, bent u bereid dit alsnog te laten inventariseren?

Is bij de keuze van UMCG, Treant en Ommelander Ziekenhuis Groningen voor een gezamenlijk EPD op basis van Epic, met ingebruikname in 2027^[2], expliciet getoetst op de gevolgen voor jurisdictie en toegang door buitenlandse autoriteiten? Zo ja, kan de Kamer die toets ontvangen? Zo nee, waarom is die toets achterwege gebleven?

Geldt de door de Kamer aanvaarde doelstelling dat de continuïteit van digitale dienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten (Kamerstuk 26 643, nr. 1320) ook voor de zorgsector? Zo nee, waarom geldt voor de meest gevoelige persoonsgegevens die de samenleving kent een lichter regime dan voor de rijksoverheid zelf?

Welk normatief kader verplicht een ziekenhuis, GGZ-instelling of VVT-organisatie op dit moment tot een jurisdictietoets voordat zorgdata bij een niet-Europese aanbieder wordt ondergebracht? Indien zo'n verplichting ontbreekt, acht u dat aanvaardbaar?

Bent u bereid een "nee, tenzij"-regime in te stellen voor nieuwe migraties van zorgdata naar niet-Europese aanbieders, waarbij migratie alleen is toegestaan na een expliciete, gedocumenteerde toets op jurisdictie en continuïteit? Zo nee, met welk instrument voorkomt u dan dat de afhankelijkheid verder toeneemt terwijl de Kamer het tegenovergestelde heeft uitgesproken?

Welke ruimte biedt het aanbestedingsrecht om jurisdictie en Europees sleutelbeheer als zwaarwegend gunningscriterium te hanteren bij aanbestedingen van zorg-ICT? Bent u bereid die ruimte actief te laten benutten en zorgaanbieders daarover te instrueren?

Erkent u dat het risico zich niet beperkt tot inzage maar ook uitschakeling omvat, gelet op het feit dat Microsoft na Amerikaanse sancties de toegang tot het e-mailaccount van de hoofdaanklager van het Internationaal Strafhof heeft afgesloten?^[3] Welke exitstrategie of terugvaloptie hebben Nederlandse ziekenhuizen indien een Amerikaanse leverancier de dienstverlening opschort?

Het kabinet heeft de overname van Solvinity door een Amerikaanse partij geblokkeerd vanwege risico's voor de nationale veiligheid en de continuïteit van DigiD, bent u bereid dezelfde afweging structureel toe te passen op overnames van leveranciers van zorg-ICT, en zo nodig het toepassingsbereik van de investeringstoets daarop uit te breiden?