Mijn EPD staat in een Nederlands datacenter. Vallen mijn patiëntgegevens dan buiten Amerikaans bereik?

Niet automatisch. De CLOUD Act kijkt naar de leverancier, niet naar de server. Is de aanbieder een Amerikaans bedrijf of een dochter van een Amerikaans moederbedrijf, dan kunnen Amerikaanse autoriteiten verstrekking afdwingen, ook als de gegevens in Nederland staan. Bepalend is waar de uiteindelijke moederorganisatie is gevestigd.

Mijn leverancier is gecertificeerd onder het EU-US Data Privacy Framework. Is dat voldoende?

Het DPF regelt of je persoonsgegevens commercieel naar de VS mag doorgeven. Het beperkt de CLOUD Act of FISA 702 niet en biedt dus geen bescherming tegen gedwongen toegang door Amerikaanse autoriteiten. Dat zijn twee losse juridische sporen. Certificering maakt de doorgifte rechtmatig, niet de gegevens onbereikbaar.

Wat is het verschil tussen data-residency en datasoevereiniteit?

Data-residency is geografisch: je gegevens staan fysiek in een bepaald land of een bepaalde regio. Datasoevereiniteit is juridisch: welk recht bepaalt wie toegang tot die gegevens kan afdwingen. Servers in Amsterdam of Frankfurt beschermen je gegevens niet als de moederorganisatie van je aanbieder onder Amerikaanse jurisdictie valt.

Geldt NIS2 voor mijn praktijk?

De Cybersecuritywet, de Nederlandse omzetting van NIS2, geldt voor organisaties in zeer kritieke sectoren zoals de zorg met minimaal 50 fte. Kleinere organisaties vallen er alleen onder bij zowel een jaaromzet als een balanstotaal boven 10 miljoen euro. De meeste praktijken vallen er dus niet rechtstreeks onder, maar de eisen aan ketenveiligheid werken via leveranciers wel door.

Waar staan je patiëntgegevens echt?

Vraag je cloudleverancier waar de patiëntgegevens staan en het antwoord is vaak Amsterdam of Frankfurt. Dat gaat over data-residency: de fysieke plek van de servers. Datasoevereiniteit is iets anders, namelijk welk recht bepaalt wie toegang kan afdwingen. Die twee vallen niet samen.

Wat de CLOUD Act is

De Clarifying Lawful Overseas Use of Data Act (CLOUD Act) is een Amerikaanse wet uit 2018. Die verplicht Amerikaanse aanbieders van communicatie- en computerdiensten om opgeslagen gegevens te verstrekken aan Amerikaanse opsporingsautoriteiten, ongeacht waar die gegevens fysiek staan. De wet kwam er nadat Microsoft jarenlang procedeerde over e-mails die de FBI in 2013 opeiste uit een datacenter in Dublin.

Het uitgangspunt is kort: volg de leverancier, niet de server. AWS, Microsoft Azure en Google Cloud zijn Amerikaanse bedrijven; een bevel bereikt hun datacenter in Frankfurt net zo goed als dat in Virginia. Er is een tweede route: FISA Section 702 staat Amerikaanse inlichtingendiensten toe communicatie van niet-Amerikanen bij Amerikaanse aanbieders te vorderen, zonder individueel bevel.

Waarom een EU-datacenter dit niet oplost

Microsoft bevestigde in juli 2025 tijdens een hoorzitting in de Franse Senaat dat het datasoevereiniteit in Europa niet kan garanderen. AWS lanceerde in januari 2026 zijn European Sovereign Cloud: gescheiden infrastructuur, een Duitse rechtspersoon, personeel in de EU. Die entiteit is een volledige dochter van Amazon.com, Inc., waardoor de CLOUD Act van toepassing blijft. Geen maas in de wet, maar het uitdrukkelijke bereik ervan.

Schrems II en het Data Privacy Framework

Het Hof van Justitie van de EU verklaarde in juli 2020 met de Schrems II-uitspraak (zaak C-311/18) het Privacy Shield ongeldig, onder meer vanwege FISA 702. Sinds 10 juli 2023 dient het EU-US Data Privacy Framework (DPF) als adequaatheidsbesluit voor commerciële doorgifte naar gecertificeerde Amerikaanse organisaties.

Het DPF beantwoordt de vraag of je gegevens mág doorgeven, niet of een buitenlandse overheid toegang kan afdwingen. Het wijzigt de CLOUD Act niet, dus een DPF-certificering verandert niets aan gedwongen toegang. Bovendien staat het besluit onder druk. Nadat het Amerikaanse Hooggerechtshof op 29 juni 2026 in Trump v. Slaughter oordeelde dat de president FTC-commissarissen naar believen kan ontslaan, riep privacyorganisatie noyb de Europese Commissie op het besluit in te trekken en kondigde een zaak bij het Hof van Justitie aan. Of dat tot vernietiging leidt is open.

Wat de AVG eist bij doorgifte

Artikel 48 AVG: bevelen van autoriteiten uit derde landen zijn alleen afdwingbaar als ze berusten op een internationale overeenkomst, zoals een rechtshulpverdrag (MLAT). De EDPB bevestigde in richtsnoeren van juni 2025 dat zulke bevelen niet automatisch erkend of uitgevoerd kunnen worden. Meewerken botst met de AVG, weigeren met Amerikaans recht.
Verantwoordingsplicht: als verwerkingsverantwoordelijke moet je aantonen dat het beschermingsniveau bij doorgifte wezenlijk gelijkwaardig is aan dat in de EER.
Transfer Impact Assessment: een TIA documenteert hoe FISA 702 en de CLOUD Act op jouw leverancier van toepassing zijn en dat betrokkenen niet vooraf worden geïnformeerd bij gedwongen verstrekking. Onder het DPF wordt de TIA vaak weggelaten.

Wat een soevereine EU-cloud wel en niet garandeert

Er bestaat geen bindende definitie. In de breedste zin gaat het om infrastructuur waarbij je juridische, technische en operationele controle houdt zonder dat een niet-Europese staat toegangsrechten kan opeisen. Drie niveaus:

Tier 1, data-residency: opslag en verwerking in een EU-datacenter. Alle hyperscalers halen dit in hun EU-regio's, maar het beschermt niet tegen extraterritoriale toegang.
Tier 2, operationele soevereiniteit: beheer door Europees personeel, geen technische toegang vanuit het Amerikaanse hoofdkantoor. Dat vermindert het risico, maar neemt het niet weg zolang het moederbedrijf Amerikaans is.
Tier 3, juridische soevereiniteit: de aanbieder is in de EU gevestigd, heeft geen Amerikaanse eigenaar en valt uitsluitend onder Europees recht. OVHcloud, IONOS, Open Telekom Cloud, STACKIT en Hetzner voldoen hieraan; hun technische diepte is doorgaans kleiner.

Welk niveau je nodig hebt hangt af van de dataklasse. Zodra het om patiëntdossiers gaat, verschuift de vraag richting tier 2 of 3.

NIS2 en ketenverantwoordelijkheid

De NIS2-richtlijn wordt in Nederland omgezet in de Cybersecuritywet (Cbw), die in 2026 gaat gelden. De zorg valt daarin onder de zeer kritieke sectoren, net als cloud. De wet geldt bij minimaal 50 fte; daaronder alleen bij zowel een jaaromzet als een balanstotaal boven 10 miljoen euro. De meeste praktijken vallen er dus niet rechtstreeks onder. Wel is een veilige toeleveringsketen een kernverplichting: risico's van leveranciers en subverwerkers moeten aantoonbaar beheerd worden.

Vier vragen aan je EPD-leverancier

Waar is de uiteindelijke moederorganisatie gevestigd? Dit is de belangrijkste vraag. Een Amerikaans moederbedrijf betekent CLOUD Act-jurisdictie, ongeacht datacenterlocatie of het woord soeverein in de productnaam. Vraag om de eigendomsketen tot de uiteindelijke eigenaar.
Wie beheert de encryptiesleutels? Klantbeheerde sleutels (BYOK) op EU-hardware beperken het risico, al dekken ze metadata en accountgegevens niet af. Vraag of de leverancier je gegevens in platte tekst kan inzien.
Welke subverwerkers zijn er, en waar zitten die? Op grond van artikel 28 AVG moet je leverancier alle subverwerkers met hun locatie bekendmaken. Eén Amerikaanse subverwerker introduceert het vraagstuk opnieuw.
Wat staat er in het transparantierapport? Amerikaans recht verbiedt aanbieders exacte aantallen nationale-veiligheidsverzoeken te noemen; je ziet bandbreedtes.

Wat je in de verwerkersovereenkomst vastlegt

De verhouding met je leverancier hoort geregeld te zijn in een verwerkersovereenkomst, zoals artikel 28 lid 3 AVG voorschrijft. Daarin horen onder meer:

Onderwerp, duur en aard van de verwerking, het soort gezondheidsgegevens en de categorieën betrokkenen, specifiek omschreven.
De verplichting dat de verwerker uitsluitend op jouw instructies werkt en gegevens niet voor eigen doeleinden gebruikt.
Het recht op audits en inspecties bij de leverancier en diens subverwerkers, ook door een onafhankelijke externe auditor.
Afspraken over continuïteit, back-up en datareplicatie, plus een exitplan met teruglevering van gegevens en metadata en onherroepelijke verwijdering daarna. Toets of dat plan technisch uitvoerbaar is: leveranciers gebruiken niet altijd standaard databasetechnologie.
Duidelijke procedures bij verzoeken van buitenlandse autoriteiten: de verwerker informeert je direct, voor zover dat wettelijk mag.

Waar het op neerkomt

Beoordeel je hosting op jurisdictie, niet op de coördinaten van het datacenter. Classificeer je gegevens en breng patiëntdossiers onder bij infrastructuur die onder Europees recht valt.