Schriftelijke vragen : De Amerikaanse CLOUD Act en de jurisdictie over Nederlandse zorgdata

Vraag 1

Bent u ermee bekend dat de Amerikaanse CLOUD (Clarifying Lawful Overseas Use of Data) Act (2018) Amerikaanse aanbieders verplicht gegevens te verstrekken die zij in bezit,
beheer of onder zeggenschap hebben, ongeacht of die gegevens fysiek in Nederland zijn
opgeslagen?

Vraag 2

Deelt u de constatering dat de CLOUD Act de zeggenschap van de aanbieder volgt en
niet de opslaglocatie, en dat opslag in een Nederlands datacenter van een Amerikaans
bedrijf die gegevens dus niet onder Nederlandse jurisdictie brengt? Zo nee, waarop
baseert u het tegendeel?

Vraag 3

Bestaat er op dit moment een internationale overeenkomst tussen de Europese Unie en
de Verenigde Staten op grond waarvan een Amerikaans bevel tot verstrekking van persoonsgegevens
erkend of afdwingbaar is in de zin van artikel 48 van de Algemene verordening gegevensbescherming?
Zo nee, welke van beide rechtsordes overtreedt een Amerikaanse aanbieder die zo'n
bevel ontvangt ten aanzien van Nederlandse patiëntgegevens?

Vraag 4

Klopt het dat een verzoek onder de CLOUD Act vergezeld kan gaan van een geheimhoudingsbevel
(FISA Section 702), waardoor de betrokken zorginstelling niet mag worden geïnformeerd?
Zo ja, hoe kan een zorgaanbieder onder die omstandigheid voldoen aan de verantwoordingsplicht
uit de AVG, aan NEN 7510 en aan het medisch beroepsgeheim?

Vraag 5

Kunt u aangeven hoeveel verzoeken van Amerikaanse autoriteiten aan aanbieders bekend
zijn die Nederlandse zorgdata betroffen? Indien u dit niet kunt aangeven, erkent u
dan dat het uitblijven van bekende gevallen geen enkele indicatie is dat zulke verzoeken
niet plaatsvinden?

Vraag 6

Kunt u bevestigen dat volgens de marktinventarisatie van M&I/Partners van begin 2026
76% van de Nederlandse ziekenhuizen ChipSoft gebruikt, 16% het Amerikaanse Epic en
8% het Duitse NEXUS (circa 95% in handen van de Amerikaanse investeerder TA Associates)?1

Vraag 7

Deelt u de constatering dat het EPD slechts één laag is en dat ook software van Nederlandse
leveranciers volledig op Amerikaanse cloudinfrastructuur kan draaien, zoals bij de
ingebruikname van HiX in de Azure-cloud door Zuyderland MC? Bent u bereid in kaart
te brengen bij hoeveel zorginstellingen het EPD of ECD draait op infrastructuur van
een niet-Europese aanbieder, en de Kamer hierover te informeren?

Vraag 8

Beschikt u over een overzicht van het aantal zorginstellingen dat Microsoft 365 of
Google Workspace gebruikt voor communicatie waarin patiëntgegevens voorkomen? Zo nee,
bent u bereid dit alsnog te laten inventariseren?

Vraag 9

Is bij de keuze van UMCG, Treant en Ommelander Ziekenhuis Groningen voor een gezamenlijk
EPD op basis van Epic, met ingebruikname in 20272, expliciet getoetst op de gevolgen voor jurisdictie en toegang door buitenlandse
autoriteiten? Zo ja, kan de Kamer die toets ontvangen? Zo nee, waarom is die toets
achterwege gebleven?

Vraag 10

Geldt de door de Kamer aanvaarde doelstelling dat de continuïteit van digitale dienstverlening
niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten (Kamerstuk 26 643, nr. 1320) ook voor de zorgsector? Zo nee, waarom geldt voor de meest gevoelige persoonsgegevens
die de samenleving kent een lichter regime dan voor de rijksoverheid zelf?

Vraag 11

Welk normatief kader verplicht een ziekenhuis, GGZ-instelling of VVT-organisatie op
dit moment tot een jurisdictietoets voordat zorgdata bij een niet-Europese aanbieder
wordt ondergebracht? Indien zo'n verplichting ontbreekt, acht u dat aanvaardbaar?

Vraag 12

Bent u bereid een «nee, tenzij»-regime in te stellen voor nieuwe migraties van zorgdata
naar niet-Europese aanbieders, waarbij migratie alleen is toegestaan na een expliciete,
gedocumenteerde toets op jurisdictie en continuïteit? Zo nee, met welk instrument
voorkomt u dan dat de afhankelijkheid verder toeneemt terwijl de Kamer het tegenovergestelde
heeft uitgesproken?

Vraag 13

Welke ruimte biedt het aanbestedingsrecht om jurisdictie en Europees sleutelbeheer
als zwaarwegend gunningscriterium te hanteren bij aanbestedingen van zorg-ICT? Bent
u bereid die ruimte actief te laten benutten en zorgaanbieders daarover te instrueren?

Vraag 14

Erkent u dat het risico zich niet beperkt tot inzage maar ook uitschakeling omvat,
gelet op het feit dat Microsoft na Amerikaanse sancties de toegang tot het e-mailaccount
van de hoofdaanklager van het Internationaal Strafhof heeft afgesloten?3 Welke exitstrategie of terugvaloptie hebben Nederlandse ziekenhuizen indien een Amerikaanse
leverancier de dienstverlening opschort?

Vraag 15

Het kabinet heeft de overname van Solvinity door een Amerikaanse partij geblokkeerd
vanwege risico's voor de nationale veiligheid en de continuïteit van DigiD, bent u
bereid dezelfde afweging structureel toe te passen op overnames van leveranciers van
zorg-ICT, en zo nodig het toepassingsbereik van de investeringstoets daarop uit te
breiden?