Het UMCG wil het elektronische patiëntendossier (EPD) van het Amerikaanse bedrijf Epic vanaf 2027 uitbreiden naar Treant en het Ommelander Ziekenhuis Groningen (OZG). Maar Kamerleden van Groep Markuszower vragen zich dinsdag af of bij dit plan voldoende is gekeken naar de mogelijke toegang van Amerikaanse autoriteiten tot Nederlandse patiëntgegevens.
Het UMCG gebruikt Epic nu al voor het eigen elektronische patiëntendossier. Het ziekenhuis is bezig om het systeem vanaf volgend jaar ook beschikbaar te maken voor Treant en het OZG.
Tegen deze achtergrond stellen Claassen en Markuszower vragen aan minister Heleen Herbert (CDA) over de Amerikaanse zeggenschap over patiëntgegevens van ziekenhuizen. De Amerikaanse CLOUD Act verplicht Amerikaanse bedrijven om gegevens te verstrekken aan de overheid, ook als de gegevens fysiek in Nederland staan. Ook zou een Amerikaanse leverancier niet alleen toegang tot gegevens kunnen krijgen, maar ook de dienstverlening volledig kunnen stoppen.De Kamerleden willen daarom weten of het UMCG, Treant en het OZG bij de uitbreiding van het systeem van Epic (een Amerikaans bedrijf) expliciet hebben onderzocht welke gevolgen de Amerikaanse wetgeving kan hebben voor de patiëntgegevens.
De vragen van Markuszower en partijgenoot René Claassen gaan niet alleen over Epic. Ook software van Nederlandse bedrijven kan bijvoorbeeld op Amerikaanse cloudinfrastructuur draaien. Ze willen daarom weten hoeveel zorginstellingen hun EPD of elektronisch cliëntendossier op infrastructuur van een niet-Europees bedrijf hebben staan. Daarnaast vragen de Kamerleden of er al gevallen bekend zijn waarin Amerikaanse autoriteiten Nederlandse zorggegevens hebben opgevraagd en welke regels ziekenhuizen nu verplichten om te onderzoeken onder welke jurisdictie hun zorggegevens vallen voordat ze die bij een niet-Europees bedrijf onderbrengen.
Het kabinet blokkeerde eerder de overname van ICT-bedrijf Solvinity door een Amerikaanse partij vanwege risico’s voor de nationale veiligheid en de continuïteit van DigiD. Claassen en Markuszower vragen of een vergelijkbare beoordeling voortaan ook moet gelden voor overnames van leveranciers van zorg-ICT. Als de regels ontbreken, vragen de Kamerleden om een ‘nee, tenzij’-regime te voeren als het gaat om toestemming. Zorggegevens verplaatsen naar niet-Europese aanbieders zou dan alleen mogen na een expliciete en vastgelegde beoordeling van de risico’s rond buitenlandse wetgeving. Claassen en Markuszower willen daarnaast opheldering over eventuele uitwijkmogelijkheden voor Nederlandse ziekenhuizen als een Amerikaanse leverancier de dienstverlening opschort.
De uitbreiding van het Epic-systeem van het UMCG kwam eerder dit jaar ook al in opspraak, nadat een softwarebedrijf dat tien jaar geleden de aanbesteding voor het EPD verloor naar de rechter stapte rond de aanbesteding. Volgens dit bedrijf vormt de uitbreiding naar andere ziekenhuizen een nieuwe opdracht, waarvoor een nieuwe Europese aanbesteding nodig zou zijn. De voorzieningenrechter gaf het bedrijf aanvankelijk gelijk, maar het UMCG, Treant en het OZG gingen in hoger beroep. Het hof oordeelde eerder dit jaar dat de ziekenhuizen in principe verder mogen met de plannen, omdat in 2015 al rekening was gehouden met regionale samenwerking bij de aanbesteding. Treant mag zich van het hof gewoon aansluiten, zolang de ziekenhuisgroep zelf de kosten draagt en een eigen overeenkomst sluit met Epic. Het OZG (een dochterbedrijf van het UMCG) mag echter niet zomaar via een sublicentie van het UMCG gebruikmaken van Epic. Het UMCG gaat de deal daarom herschrijven en het OZG op dezelfde wijze onderbrengen bij Epic als het doet met Treant.
