Een Nederlands datacenter is niet (per se) soeverein

“Het staat in een Nederlands datacenter”

Dit onderzoek begon met een gesprek. We spraken met een ggz-professional over datasoevereiniteit en kwamen op hun EPD, dus uit nieuwsgierigheid keken we snel even na waarop het draaide en waar het gehost werd. Het was een schok voor hen: ze hadden een contract met een Nederlands bedrijf, en toch wees elk signaal dat we konden vinden naar een Amerikaanse cloud. Hoe we daarachter moesten komen was net zo veelzeggend: het stond nergens duidelijk vermeld, dus lazen we de vacatures van de leverancier om te zien welke vaardigheden ze zochten en of er ergens sprake was van hyperscalers. Deze ontdekking was genoeg om het grondig na te gaan, leverancier voor leverancier: welke cloud draait eigenlijk het elektronisch patiëntendossier (EPD) dat Nederlandse (ggz-)zorgaanbieders gebruiken?

Een EPD is het gevoeligste dossier dat de meeste mensen ooit zullen hebben: het bevat de volledige medische voorgeschiedenis, medicatie, diagnoses, correspondentie en testuitslagen van patiënten. In de ggz komen daar de aantekeningen van elke sessie en de risicotaxaties bij. “Het staat in een Nederlands datacenter” zegt waar dat dossier is opgeslagen, en de NEN 7510- en ISO 27001-certificaten die er meestal bij horen bevestigen dat de leverancier informatiebeveiliging volgens een norm beheert. Geen van beide zegt wie bij het dossier kan, onder wiens recht, of dat de zorgaanbieder het op eigen gezag zou kunnen verhuizen of wissen. Dat zijn de vragen waar deel 1 en 2 om draaiden, en zoals deel 1 het stelde: fysieke locatie alleen bepaalt niet wiens recht de data bereikt.

Vier lagen, vier vragen

Deel 1 en 2 omschreven datasoevereiniteit als zeggenschap over drie technische lagen: de data, de software die deze verwerkt, en de hardware waarop die draait. Daaronder ligt een vierde, organisatorische laag van contracten en governance (Deel 2). In dit geval is de indeling als volgt: de software is het EPD, eigendom van de leverancier. De data zijn de dossiers in het EPD, waaronder de patiëntgegevens erin. De hardware is datgene waarop de leverancier het draait. Dit stuk gaat vooral over die hardwarelaag, waar het EPD fysiek staat en onder wiens recht, met ook een blik omhoog naar de softwarelaag. Een vervolg neemt de organisatorische laag daaronder onder de loep.

De datalaag is waar het allemaal om draait. De review van Hummel et al. vat datasoevereiniteit op als vier vragen: wie soeverein zou moeten zijn, in welke context, om wat te beschermen, en hoe je het concreet maakt (Hummel et al., 2021). Bij een EPD zijn de antwoorden: eerst de patiënt, dan de behandelaar, de instelling en verderop de verzekeraars; geestelijke gezondheidszorg onder Nederlands en EU-recht; de privacy en het vertrouwen waarop een behandelrelatie berust; en het dossier zelf. Deze blogpost richt zich op de hardware en de locatie ervan.

Wat we aantroffen

We identificeerden zevenentwintig EPD- en ECD-systemen die in de Nederlandse ggz worden gebruikt, van de platforms die hele instellingen draaien tot de lichtere pakketten waarop zelfstandige behandelaren vertrouwen. Voor elk keken we eerst naar wat de leverancier zelf vermeldt over waar het systeem draait. Secundaire signalen zijn onder meer vacatures, privacyverklaringen, algemene voorwaarden en demo-omgevingen. Waar die geen uitsluitsel gaven, keken we naar bredere marktsignalen zoals nieuwsartikelen en overnameberichten. We probeerden elke classificatie die naar een cloud wees te hertoetsen aan een tweede, onafhankelijke bron. “Een Nederlands datacenter” bleek drie verschillende dingen te betekenen.

Het kan de regio van een Amerikaanse hyperscaler betekenen. Tien van de systemen draaien op, of wijzen naar, een Amerikaanse cloud: zes op Microsoft Azure, drie op Amazon Web Services en één op Google Cloud. Sommige noemen Azure met zoveel woorden. Axians zegt dat zijn product Zorg GGZ “draait op het veilige cloud-based platform van Microsoft: Azure” (Axians, gearchiveerd). Ecare host zijn PUUR.-dossier op Azure in een datacenter in Middenmeer, “met een mogelijke uitwijk naar Dublin Ierland” (Ecare, gearchiveerd). De eigen ontwikkelaarspagina van James Software zegt dat zijn software “draait volledig op Microsoft Azure” (James, gearchiveerd). ChipSoft biedt zijn EPD aan als de Azure-clouddienst HiX 365, “binnen een veilige Microsoft Azure-omgeving” (ChipSoft, gearchiveerd), en werft ontwikkelaars voor wie “(Azure) cloud” een pluspunt is (vacature, gearchiveerd); on-premises- en hybride-installaties draaien ernaast. Twee andere plaatsen we op Azure op grond van signalen in plaats van een uitspraak. Code24 noemt niets, maar de applicatiehost lost op naar een Microsoft Azure-bereik en antwoordt van achter een Azure load balancer. DataLeaf noemt evenmin een host, maar de Microsoft-signalen stapelen zich op: het is een Microsoft Certified (Silver)-partner van wie de ontwikkelaars om Azure DevOps wordt gevraagd (vacature, gearchiveerd), het laat behandelaren inloggen via Entra, en het levert zijn Oscar-ECD alleen als managed software; de enige uitspraak over hosting is een algemeen “datacenter in Nederland” (DataLeaf, gearchiveerd) waaraan een Azure-regio in Amsterdam precies zou voldoen. De publieke websites staan elders (Google Cloud, Cloudflare), dus dit is een afweging van signalen in plaats van een uitspraak, en we merken het aan als Waarschijnlijk, niet Bevestigd. Op Amazon zitten Adapcare, dat “van het eigen datacenter naar de AWS-cloud” verhuisde (Adapcare, gearchiveerd), Crossuite, dat “uses Amazon Web Services (AWS) for storing data” (Crossuite, gearchiveerd), en Phase 2, waarvan de productie-app oplost naar een Amazon-adres. Quli, het patiëntenportaal dat HCI naast zijn Incura-EPD draait, staat op Google Cloud.

Ecare en Quli laten zien dat een Nederlandse postcode niets uitmaakt. De Azure-regio van Ecare staat op Nederlandse bodem; de Google-regio van Quli staat in Groningen. De servers staan in Nederland, de beheerder is Amerikaans, en onder de US CLOUD Act is dat genoeg. Een EU-regio verandert waar de schijven draaien, niet wiens recht ze bereikt.

Het Microsoft-signaal betekent echter niet altijd Azure, en een paar systemen dragen een badge die het adres erachter tegenspreekt. Bij PraktijkData loggen behandelaren in via Microsoft Entra, maar de live applicatie lost op naar LeaseWeb in Nederland. HCI bouwt zijn volgende EPD op Azure, maar het Incura van vandaag draait op Nederlandse infrastructuur. Medicore kondigde in 2024 aan klantomgevingen naar Azure te verhuizen, “the first ECD provider in the Netherlands to offer its clients the benefits of the public cloud” (Extens, 2024, gearchiveerd), maar het live dossierportaal lost nog steeds op naar een Nederlands datacenter en we vonden geen bevestiging dat de verhuizing had plaatsgevonden.

Het kan nog steeds een host betekenen die niemand noemt. Twee systemen noemen geen beheerder die we konden verifiëren, en tot die groep behoort de grootste naam van allemaal. USER van SDB Groep is, volgens de inventarisatie 2024 van M&I/Partners, gearchiveerd, de marktleider onder de vijftig grootste ggz-aanbieders. De publieke beveiligingspagina heeft als kop “Jouw data veilig in de cloud” en draagt ISO 27001- en NEN 7510-keurmerken, maar noemt geen cloud, geen datacenter en geen subverwerker (SDB Groep, gearchiveerd). MEDIKAD zegt alleen dat data “op een server in Nederland (VPS)” staat via een niet nader genoemde hostingpartner (MadeWare, gearchiveerd), een land zonder een verantwoordelijke. Een niet nader genoemde beheerder valt niet te controleren, en “in de EER” is een regio, geen verantwoordelijke.

En het kan betekenen wat mensen aannemen: de eigen Nederlandse infrastructuur van de aanbieder. Vijftien systemen draaien op Nederlandse of andere Europese infrastructuur met een identificeerbare beheerder, en de twee die de meeste dossiers bevatten zijn daarvan het duidelijkst. Nedap bewaart zijn Ons-dossier op eigen apparatuur in “drie carrier-neutrale datacenters van Equinix in Nederland” en een Previder-datacenter in Hengelo (Nedap, gearchiveerd). PinkRoccade draait mijnQuarant, het EPD van Parnassia, de grootste ggz-aanbieder van het land, op zijn eigen Pink Private Cloud (Computable, gearchiveerd). Andere staan bij met naam genoemde Nederlandse of Europese hosters: Minddistrict bij Intermax (Minddistrict, gearchiveerd), Intramed bij de Nederlandse aanbieder Uniserver (Intramed, gearchiveerd), en Zilos’ Epos in een Combell-datacenter in België (Zilos, gearchiveerd). Verschillende plaatsten we hier pas nadat we het adres zelf hadden gecontroleerd, omdat de leverancier helemaal geen hoster vermeldde: Medicore bij WorldStream in Amsterdam, Incura bij de Nederlandse aanbieder NewVM, PraktijkData en PCD Online bij LeaseWeb, het CIS van ZSG bij Signet. Elk liet een spoor achter naar een Nederlandse of Europese beheerder, ook waar het er geen noemde. Nexus is een plan dat van koers veranderde: het kondigde in 2019 een overstap naar Oracle aan, maar zijn ggz-klanten zijn sindsdien gemigreerd naar de eigen “NEXUS Cloud” van het bedrijf, die de database- en applicatieservers overnam van de Europese aanbieder Cegeka, en het klantenportaal lost op naar Previder in Nederland (plan uit 2019, gearchiveerd; migratie, gearchiveerd).

Twee dingen nuanceren de telling. Het eerste is dat dit een telling van systemen is, niet van patiënten. De twee systemen die de meeste ggz-dossiers bevatten, die van Nedap en PinkRoccade, zitten allebei in de groep met Nederlandse infrastructuur, dus gemeten naar het pure aantal dossiers is de Amerikaanse blootstelling kleiner dan de kop “tien van de zevenentwintig” suggereert. Het tweede is dat de nationaliteit van de cloud niet het hele risico is: het zwijgen van de marktleider over waar zijn dossiers draaien, en de systemen die op een Amerikaanse cloud binnen een EU-regio staan, dragen allebei een blootstelling die een telling op nationaliteit alleen zou missen.

Hoe we telden

We stelden de lijst samen op basis van sector- en vergelijkingsbronnen, certificeringsregisters, openbare aanbestedingen en leveranciersgidsen, en deelden vervolgens de hosting van elk systeem in één niveau in, elk met een bron en een letterlijk citaat:

• Bevestigd. Een primaire bron, een privacy- of subverwerkersverklaring, de scope van een certificaat, een officiële cloudklantcase, een beveiligings- of ontwikkelaarspagina, noemt de hostingcloud.
• Waarschijnlijk. Sterk indirect bewijs zonder een duidelijke uitspraak over hosting aan klanten: de applicatiehost die oplost naar het adresbereik van een genoemde cloud of achter de load balancer van die cloud zit; of, waar de host verhuld is, een cluster cloud-specifieke signalen die allemaal dezelfde kant op wijzen, zoals een Microsoft-partnerstatus samen met inloggen via Entra en werving uitsluitend voor Azure. Eén enkel zwak signaal op zichzelf, een Entra-login of een roadmap voor een toekomstig platform, kwalificeerde niet, en een gemeten Nederlands adres woog zwaarder dan welke badge dan ook.
• Genoemde niet-hyperscaler. Een primaire bron plaatst het systeem in het eigen datacenter van een aanbieder of in een met naam genoemd Europees datacenter.
• Onbekend. Geen bruikbaar openbaar bewijs.

Voor de meeste van deze systemen zegt geen enkele leverancier duidelijk waar het dossier draait, dus veel steunt op indirecte signalen: de netwerkeigenaar waarnaar het adres van een applicatie oplost, certificerings- en subverwerkersregisters, vacatures, identiteitsproviders, overnameberichten. Indirecte signalen kunnen verkeerd worden gelezen: een oplossend adres kan wijzen naar een content-delivery- of beveiligingslaag op de ene cloud, terwijl de data daarachter op een andere staat. Daarom ging elke cloudclassificatie door een sceptische tweede ronde, en daarom maakte een niet-geverifieerd “een datacenter in Nederland” van een leverancier op zichzelf niets uit: waar het live adres ons niets vertelde en de Microsoft-signalen zich opstapelden, oordeelden we dat het dossier hoogstwaarschijnlijk op Azure staat. Ben je een leverancier en hebben we een signaal verkeerd gelezen, of is je hosting veranderd sinds we keken, dan corrigeren we het graag: neem contact op.

De software is ook gesloten

Waar een dossier draait is de hardwarevraag. De software erboven is net zo gesloten: elk EPD in deze inventarisatie is propriëtair en eigendom van de leverancier. Dat verdiept de lock-in. Behandelaren die van systeem zijn gewisseld verwoorden het onomwonden. Een praktijk die een commercieel product verving door het opensource OpenEMR noemde de migratie weg van het oude systeem “painful, labor-intensive, and time-consuming”, omdat ze geen directe toegang had tot de database van de vorige leverancier. Een ander waardeerde het dat er niet langer een “3rd party software vendor holding your patient charts ‘hostage’” was (reviews op Capterra). OpenEMR is geen gratis lunch. Het vraagt eigen IT en echte inrichtingsinspanning, en biedt minder ondersteuning dan een managed product. Een managed Nederlands EPD levert je wel iets op. Maar het bestaan ervan onderstreept het punt: gesloten en eigendom van de leverancier is een marktnorm, geen technische noodzaak. Ook het dossierformaat hoeft niet propriëtair te zijn. Open standaarden zoals openEHR modelleren de klinische data op een leveranciersneutrale manier, zodat een dossier in principe langer kan meegaan dan het systeem dat het bevat. Zoals het er nu voor staat, maken hosting, broncode en het ontbreken van open standaarden het lastig om van aanbieder te wisselen.

Waarom dit de plek is waar het telt

Deel 1 zette het structurele risico uiteen: een in de VS gevestigde aanbieder kan worden bevolen data onder zijn zeggenschap te overhandigen, waar die data ook staat, een Nederlands datacenter inbegrepen (Daskal, 2015; Cross-Border Data Forum, gearchiveerd), en de eigen directeur voor Frankrijk van Microsoft vertelde een Senaatscommissie onder ede dat hij niet kon garanderen dat gegevens van Franse burgers nooit aan de Amerikaanse overheid zouden worden doorgegeven (Sénat, 2025, gearchiveerd). Dat bereik treft het hardst de dossiers die de meeste schade kunnen aanrichten als ze worden geopend. Een gelekte factuur is een probleem; een gelekte psychiatrische voorgeschiedenis is een probleem van een andere orde. En de ondoorzichtigheid is op zichzelf al een falen: een aanbieder die niet kan achterhalen welke cloud de dossiers van zijn patiënten bewaart, of wie gedwongen zou kunnen worden ze te openen, kan de rechten die deel 1 beschreef zelfs in principe niet uitoefenen. Je kunt niet besturen wat je niet kunt lokaliseren.

Hoe wij het aanpakken

Daarom beslechten wij de vraag waar het draait en wie erbij kan voordat een systeem wordt gebouwd, niet erna. Een platform dat is ontworpen om te verhuizen kan vandaag op een hyperscaler staan en naar Europese of je eigen infrastructuur overstappen wanneer het ertoe doet, zonder te worden herschreven. Het eerlijke antwoord op “is deze data soeverein” zou nooit hoeven zijn “het staat in een Nederlands datacenter, en we weten niet zeker wie het verder kan lezen.”

Soevereiniteit gaat niet over waar de data staat. Het gaat over wie erbij kan, en of je nee kunt zeggen.

Host waar je wilt, bezit alles.

Wat er hierna komt in deze serie

Deze inventarisatie staat naast de serie over datasoevereiniteit. Deel 1 definieerde datasoevereiniteit en Deel 2 behandelde de organisatorische laag onder de technologie. Deel 3 gaat in op de architectuur en tooling die voorkomen dat de hardware, software en data je vastzetten, de laag die een aanbieder in staat zou stellen de vraag uit dit stuk zonder aarzelen te beantwoorden.

Een vervolg op deze inventarisatie brengt die organisatorische laag naar de EPD-markt zelf: wat de contracten van deze leveranciers toestaan, en hoe moeilijk het is om van het ene EPD naar het andere over te stappen.

Referenties

• Daskal, J. C. (2015). The un-territoriality of data. Yale Law Journal, 125(2), 326–398. https://www.yalelawjournal.org/article/the-un-territoriality-of-data
• Hummel, P., Braun, M., Tretter, M., & Dabrock, P. (2021). Data sovereignty: A review. Big Data & Society, 8(1). https://doi.org/10.1177/2053951720982012
• OpenEMR. Open-source electronic health record. https://github.com/openemr/openemr (archived)
• Sénat (2025). Commission d’enquête sur la commande publique, audition du 10 juin 2025. https://www.senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html (archived)

Verder lezen

• Deel 1: Wat het echt betekent om je data te bezitten
• Deel 2: De laag die je als eerste tekent en als laatste leest
• US CLOUD Act-FAQ’s, Cross-Border Data Forum, gearchiveerd