Schrems II en zorgdata: wat elke FG moet weten

Schrems II is het arrest waarin het Hof van Justitie van de EU op 16 juli 2020 het Privacy Shield ongeldig verklaarde: de afspraak die doorgifte van persoonsgegevens naar de Verenigde Staten legitimeerde, bood volgens het Hof onvoldoende bescherming tegen Amerikaanse surveillancewetgeving [1]. Voor jou als FG betekent dat je persoonsgegevens niet zomaar mag onderbrengen bij een partij die onder de rechtsmacht van een derde land valt. Standaardcontractbepalingen (SCC's) blijven geldig, maar alleen als je per geval toetst of het ontvangende land écht gelijkwaardige bescherming biedt — en zo nodig aanvullende maatregelen neemt [1][3]. Sinds 10 juli 2023 is er een opvolger, het EU-VS Data Privacy Framework, maar dat staat juridisch onder druk [2][6]. Bij zorgdata — bijzondere persoonsgegevens onder artikel 9 AVG — weegt elk restrisico extra zwaar [5]. De veiligste route is ook de simpelste: zorg dat gevoelige gesprekken je eigen omgeving niet verlaten, dan is er niets om door te geven.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Wat besliste het Schrems II-arrest precies?

De zaak (formeel C-311/18) draaide om een klacht van privacy-activist Max Schrems tegen de doorgifte van Facebook-gegevens naar de VS. Het Hof van Justitie deed op 16 juli 2020 twee dingen [1]. Ten eerste verklaarde het het Privacy Shield — het adequaatheidsbesluit dat doorgifte naar Amerikaanse bedrijven dekte — ongeldig. Reden: Amerikaanse surveillancewetgeving geeft inlichtingendiensten te ruime toegang tot gegevens en Europeanen hadden geen effectieve rechtsbescherming daartegen [1].

Ten tweede oordeelde het Hof dat standaardcontractbepalingen (SCC's) op zichzelf geldig blijven, maar niet automatisch voldoende zijn. Wie SCC's gebruikt, moet zelf beoordelen of het recht van het ontvangende land de door de AVG geboden bescherming in de praktijk ondermijnt — en waar nodig aanvullende maatregelen nemen [1][3]. De verantwoordelijkheid voor die toets legt het Hof nadrukkelijk bij de exporterende organisatie, niet bij de leverancier. Het kernprincipe: bescherming die binnen de Europese Economische Ruimte geldt, moet meereizen met de data — waar die ook heen gaat [3].

Waarom zorgdata extra zwaar weegt

Gezondheidsgegevens zijn onder artikel 9 AVG een bijzondere categorie van persoonsgegevens. Verwerking is in beginsel verboden, tenzij een specifieke uitzondering geldt, en er gelden strengere waarborgen dan bij gewone persoonsgegevens [5]. Dat maakt de Schrems II-toets voor een zorgorganisatie geen formaliteit maar een zwaarwegende plicht.

De praktische consequentie is dat het "restrisico" dat je bij gewone gegevens misschien acceptabel vindt, bij een patiënt- of cliëntdossier al snel te groot is. Onrechtmatige doorgifte naar een derde land valt bovendien onder de zwaarste boetecategorie van de AVG: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet [5]. Bij bijzondere persoonsgegevens kijkt de toezichthouder strenger mee, simpelweg omdat de impact van een lek of onrechtmatige toegang op de betrokkene veel groter is. Een zorggesprek bevat vaak niet alleen een diagnose, maar ook context over gezin, gedrag en kwetsbaarheid — precies het soort informatie dat je niet buiten je invloedssfeer wilt hebben.

Het Data Privacy Framework: opvolger, maar wankel

Na drie jaar onzekerheid nam de Europese Commissie op 10 juli 2023 een nieuw adequaatheidsbesluit aan: het EU-VS Data Privacy Framework (DPF) [2]. Het vervangt het door Schrems II gesneuvelde Privacy Shield. De VS voerde nieuwe waarborgen in via Executive Order 14086, waaronder een onafhankelijk klachtenmechanisme en een Data Protection Review Court waar Europeanen terechtkunnen [2]. Amerikaanse bedrijven die zich onder het DPF certificeren, gelden sindsdien weer als "adequaat" voor doorgifte.

Belangrijk voor jou als FG: leun hier niet blind op. Het DPF staat juridisch onder druk. Op 3 september 2025 hield het Gerecht van de EU het framework in de zaak-Latombe overeind, maar dat oordeel kan nog naar het Hof van Justitie in hoger beroep [6]. Critici, waaronder Max Schrems, wijzen erop dat de Data Protection Review Court alleen bij presidentieel besluit is ingesteld en dus ook zo weer kan worden opgeheven [6]. Toen de Amerikaanse regering in 2025 toezichtsleden ontsloeg, groeide de twijfel of de onderliggende waarborgen nog overeind staan. De les: een adequaatheidsbesluit is een momentopname die kan wijzigen, en dan zit je opnieuw met de toets van Schrems II. Precies daarom is dit spanningsveld verwant aan de vraag wanneer je überhaupt een verwerkersovereenkomst nodig hebt: hoe minder data je organisatie verlaat, hoe minder je afhankelijk bent van juridische constructies die morgen kunnen omvallen.

Wat Schrems II van jou als FG verplicht

De European Data Protection Board vertaalde het arrest naar een concreet stappenplan in Aanbevelingen 01/2020 [3]. Kort samengevat moet je, voordat je persoonsgegevens naar een derde land (of een partij onder buitenlandse zeggenschap) laat gaan:

• De doorgifte in kaart brengen. Weet precies welke gegevens, naar welke partij en naar welk land gaan — ook als de servers fysiek in de EU staan.
• Het doorgifte-instrument kiezen. Een adequaatheidsbesluit (zoals het DPF), SCC's of een andere grondslag uit hoofdstuk V van de AVG.
• De wetgeving van het ontvangende land beoordelen. Deze transfer impact assessment toetst of surveillancewetgeving de bescherming in de praktijk ondermijnt [3].
• Aanvullende maatregelen nemen als de bescherming tekortschiet — denk aan sterke versleuteling waarvan de leverancier de sleutels niet heeft, of pseudonimisering [3].
• Formaliseren en periodiek herzien. Leg de afweging vast en toets opnieuw als de situatie in het derde land verandert [3].

Deze toets is verplicht en niet uit te besteden. Ze hoort thuis in je DPIA en in je verwerkingsregister; hoe je zo'n beoordeling voor een AI-hulpmiddel opzet, staat in het stappenplan voor de DPIA voor AI-verslaglegging. De eerlijke waarschuwing: voor Amerikaanse aanbieders is de transfer impact assessment vaak lastig sluitend te krijgen, juist omdat de surveillancewetgeving die Schrems II bekritiseerde nog bestaat.

Wat de Autoriteit Persoonsgegevens adviseert

Voor de zorg werd de toezichthouder in 2026 concreter. In de praktijkgids Gezondheidsgegevens in de cloud (maart 2026) adviseert de Autoriteit Persoonsgegevens om gezondheidsgegevens bij voorkeur alleen binnen de Europese Economische Ruimte te verwerken, en in beginsel een leverancier te kiezen die niet onder de wet- en regelgeving van een derde land valt [4]. De AP wijst er daarbij op dat geopolitieke verhoudingen snel veranderen — precies het risico dat een adequaatheidsbesluit als het DPF wankel maakt.

De AP benadrukt ook dat de zorgorganisatie zelf verwerkingsverantwoordelijke blijft. Die verantwoordelijkheid kun je niet doorschuiven naar een cloudleverancier: je moet zelf de risicoafweging maken, de beveiliging controleren en de aanbieder onderzoeken [4]. In de geest van Schrems II betekent dat: vertrouw niet op een keurmerk of een certificering alléén, maar op wat er feitelijk met de data gebeurt en wie er zeggenschap over houdt.

Wat dit praktisch betekent

Vertaald naar de dagelijkse praktijk van een FG:

• Breng per verwerking in kaart of er data naar een derde land gaat, of naar een partij onder buitenlandse zeggenschap — locatie van het datacenter zegt niets over de rechtsmacht.
• Vraag leveranciers expliciet op welk doorgifte-instrument zij leunen (DPF, SCC's) en of ze een transfer impact assessment kunnen overleggen.
• Behandel een adequaatheidsbesluit als tijdelijk: plan een herbeoordeling en houd een terugvaloptie achter de hand.
• Weeg voor bijzondere persoonsgegevens de sterkste variant: verwerking die je eigen omgeving nooit verlaat, zodat de hele doorgiftevraag niet ontstaat.

Dat laatste is het uitgangspunt van Verbinn: gespreksverslagen worden volledig lokaal gemaakt op één Mac (de Kern) in je eigen pand — transcriptie en verslag draaien op dat apparaat en de Kern meet zijn eigen uitgaande verkeer en toont per verbinding waarvoor hij is. Er gaat geen zorgdata naar een Amerikaanse of andere buitenlandse partij, dus er is niets om aan de Schrems II-toets te onderwerpen. Dat vervangt geen DPIA en is geen certificering — maar het haalt wél de grond onder de doorgiftevraag vandaan.