Data verwerken met SPE FAQs

Een Secure Processing Environment (SPE) is een gecontroleerde en geïsoleerde (virtuele) omgeving, ontworpen om gevoelige gegevens te beschermen tegen ongeoorloofde toegang, wijziging of openbaarmaking. In deze hoog beveiligde omgeving worden privacygevoelige gegevens verwerkt, zoals in de context van data-analyses voor gezondheidsonderzoek.

Synoniemen van een SPE zijn Beveiligde Verwerkingsomgeving (BVO) en Trusted Research Environment (TRE).

De belangrijkste kenmerken van een Secure Processing Environment (SPE) kunnen worden samengevat onder vier punten: 

• Isolatie: de SPE is gescheiden van andere omgevingen om ongeoorloofde toegang of interferentie te voorkomen.  
• Toegangscontrole: er worden strikte controles geïmplementeerd om te beperken wie toegang heeft tot de SPE en welke acties ze kunnen uitvoeren.  
• Gegevensbescherming en integriteitsbescherming: gevoelige gegevens worden versleuteld en beschermd gedurende hun hele levenscyclus binnen de SPE. Er zijn maatregelen getroffen om ervoor te zorgen dat gegevens en processen binnen de SPE niet worden gemanipuleerd of beschadigd. 
• Monitoring en logging: activiteit binnen de SPE wordt bewaakt en vastgelegd om verdacht of ongeoorloofd gedrag te detecteren. 

Op dit moment zijn er meerdere aanbieders van Secure Processing Environments (SPE) (zoals SURF, CBS en myDRE) die het technisch en organisatorisch beheer verzorgen. Binnen de ontwikkeling van de EHDS worden bestaande oplossingen getest en doorontwikkeld. Uiteindelijk zal de HDAB een centrale rol krijgen in het aanbieden van SPE’s die voldoen aan de EHDS-eisen. De aangeboden SPE’s kunnen bestaande systemen zijn die zijn aangepast aan de Europese vereisten.

De European Health Data Space (EHDS) schrijft voor dat gezondheidsdata alleen beschikbaar mag worden gesteld binnen een beveiligde omgeving. Een Secure Processing Environment (SPE) zorgt ervoor dat gevoelige gezondheidsgegevens goed beschermd blijven en dat de privacy van burgers gewaarborgd is. In Nederland is het gebruik van een SPE momenteel niet verplicht, maar SPEs worden al veel gebruikt voor het delen van data tussen onderzoeksgroepen. 

Werken in een SPE heeft de volgende voordelen: 

1. In een SPE blijven de gegevens binnen een gecontroleerde omgeving. Dit verkleint de kans dat data wordt gekopieerd, gedeeld of buiten de beveiligde omgeving terechtkomt. Alleen geautoriseerde gebruikers hebben toegang, en resultaten mogen uitsluitend in geaggregeerde, niet-herleidbare vorm worden geëxporteerd.  
2. Daarnaast ontzorgt een SPE de onderzoeker. Door binnen deze omgeving te werken, voldoe je automatisch aan de geldende wet- en regelgeving en aan de richtlijnen voor het gebruik van gevoelige data. Dit vermindert het risico op fouten en mogelijke aansprakelijkheid.  

Kortom: een SPE beschermt de privacy van burgers en helpt onderzoekers veilig en volgens de geldende wetgeving en richtlijnen te werken.

Op dit moment is grensoverschrijdende data-uitwisseling complex, maar internationale onderzoekssamenwerkingen zijn mogelijk. Vaak kunnen buitenlandse onderzoekers toegang krijgen tot een Nederlandse SPE, zonder dat data het land verlaat.

Met de invoering van de EHDS wordt het mogelijk om gezondheidsdata veilig binnen de EU te delen en analyseren via de infrastructuur HealthData@EU, mits aan alle EHDS-regels wordt voldaan.

Gecertificeerde of erkende SPE’s zijn technisch zo ingericht dat data de omgeving niet kan verlaten. Gebruikers kunnen geen datasets downloaden of kopiëren. Alleen gecontroleerde en goedgekeurde output mag worden geëxporteerd. De configuratie van de SPE, inclusief beveiligingsmaatregelen, zorgen ervoor dat er wordt voldaan aan de richtlijnen. Onder de EHDS zullen aanvullende en geharmoniseerde eisen gelden voor de SPE.

De datagebruiker is verantwoordelijk voor zorgvuldig en integer gebruik van de data. Dit betekent onder andere dat de datagebruiker:

• Geen pogingen doet om personen te herleiden 
• Alleen noodzakelijke analyses uitvoert
• Geen data kopieert, fotografeert of op andere wijze buiten de SPE brengt 
• Alleen goedgekeurde, anonieme output aanvraagt voor export 

Elke SPE stelt duidelijke gebruikersvoorwaarden op waaraan de datagebruiker zich moet houden.

In de huidige situatie is de datahouder meestal verwerkingsverantwoordelijke. Dit betekent onder andere dat datahouders controleren wie toegang krijgt, toeziet op correct gebruik van de data en output beoordeelt voor export. 

Onder de EHDS verschuiven veel van deze verantwoordelijkheden naar de HDAB, waaronder het toewijzen van rollen en het formeel goedkeuren van toegang en output. De datahouder blijft echter verantwoordelijk voor het zorgvuldig en correct aanleveren van data en het voorkomen van onjuiste of onbedoelde gegevensverstrekking.

Een SPE is een beveiligde digitale werkomgeving waarin de datagebruiker zijn data kan analyseren zonder dat de data de omgeving verlaat. De datagebruiker logt in via een beveiligde toegang, werkt met beschikbare analysetools en slaat zijn resultaten binnen de beveiligde digitale werkomgeving op. Wanneer de datahouder resultaten wil exporteren, dient hij een verzoek in. Deze resultaten worden gecontroleerd op herleidbaarheid voordat ze beschikbaar worden gesteld.

Het kiezen van een SPE is afhankelijk van het soort dataonderzoek dat de datagebruiker wil uitvoeren. Health-RI kan hiermee helpen, door de datagebruiker te informeren over de verschillende SPEs. Onder de EHDS zal de HDAB besluiten welke SPEs geschikt zijn voor dataonderzoek.

De toegangsprocedure van een SPE begint bij de data-aanvraag. Sinds 2025 biedt Health-RI een data-aanvraag service aan. Dit is een centrale voorziening waarmee datagebruikers via de Nationale Gezondheidsdatacatalogus datasets kunnen aanvragen. De aanvraag wordt vervolgens beoordeeld door de datahoudende partij. Bij goedkeuring krijgt de datagebruiker toegang tot de dataset binnen de SPE.

De toegangsprocedure wordt nu uitgevoerd door de datahoudende partij. In de toekomst zal de toegangsprocedure, inclusief de goedkeuring van data-aanvragen, de verantwoordelijkheid worden van de HDAB.

Dat hangt af van de SPE waarin de datagebruiker werkt en geldende voorwaarden van de aanbieder. Op dit moment verschilt dit per omgeving. Sommige SPE’s bieden een vaste set analysetools, terwijl andere omgevingen meer flexibiliteit bieden en het mogelijk maken om aanvullende software te installeren. Dit is vaak pas mogelijk na beoordeling en goedkeuring van de software door de SPE aanbieder. Onder de EHDS worden hiervoor vaste eisen opgesteld. In de toekomst zal het gebruik van eigen software binnen een SPE afhankelijk zijn van goedkeuring door de HDAB, zodat veiligheid en compliance gewaarborgd blijven.

De resultaten van een dataverwerking kunnen uit de SPE worden geëxporteerd na de goedkeuring van een exportverzoek. De datagebruiker dient een exportverzoek in bij de SPE aanbieder, waarna de data wordt gecontroleerd op herleidbaarheid. Na goedkeuring kunnen de resultaten worden geëxporteerd, mits de data geanonimiseerd en geaggregeerd zijn om herleidbaarheid te voorkomen. Ruwe data of persoonsgegevens mogen nooit worden geëxporteerd.