Wat is datasoevereiniteit?

Definitie: Datasoevereiniteit betekent dat gegevens vallen onder de wetten en regels van het land of de regio waar ze worden verzameld en opgeslagen, en dat de eigenaar zelf bepaalt wie er toegang toe heeft. Bij EU-hosting staan gegevens op servers binnen de Europese Unie, bij voorkeur bij een aanbieder die niet onder buitenlandse wetgeving valt die toegang kan afdwingen.

In het kort

• Datasoevereiniteit gaat over zeggenschap: welke wetgeving geldt voor je gegevens en wie kan er toegang toe eisen?
• Gegevens die in de EU staan bij een Amerikaanse aanbieder, kunnen onder de Amerikaanse CLOUD Act uit 2018 toch door Amerikaanse autoriteiten worden opgevraagd.
• Volgens CGI, aangehaald door Consultancy.nl, beheersen AWS, Google Cloud en Microsoft Azure naar schatting 70 tot 80 procent van de Europese cloudmarkt.
• Europese alternatieven en soevereine cloudoplossingen winnen terrein, onder meer bij overheden, zorg en financiële dienstverlening.

Wat is datasoevereiniteit?

Gegevens zijn niet alleen een technische zaak, maar ook een juridische. De plek waar gegevens staan en het land waar de aanbieder gevestigd is, bepalen welke wetten van toepassing zijn. Datasoevereiniteit betekent dat je controle houdt over je gegevens, en dat ze onder de regels vallen die je zelf kiest of die op je van toepassing zijn, zoals de Europese AVG.

Er worden verschillende termen door elkaar gebruikt:

• Dataresidentie: de fysieke locatie waar gegevens worden opgeslagen, bijvoorbeeld in een datacenter in Nederland.
• Datasoevereiniteit: de vraag welke wetgeving van toepassing is op de gegevens, en wie er toegang toe kan afdwingen.
• Digitale soevereiniteit: de bredere vraag in hoeverre een land, regio of organisatie onafhankelijk is van buitenlandse technologie en leveranciers.

Gegevens kunnen dus in Nederland staan (dataresidentie), maar toch onder buitenlandse wetgeving vallen als de aanbieder in een ander land gevestigd is. Dat onderscheid is de kern van de discussie over Europese cloud en hosting.

Waarom is datasoevereiniteit belangrijk?

• Privacy en de AVG. Persoonsgegevens van Europese burgers vallen onder de AVG. Doorgifte naar landen buiten de EU is aan strikte voorwaarden gebonden.
• Buitenlandse wetgeving. Wetten zoals de Amerikaanse CLOUD Act kunnen Amerikaanse bedrijven verplichten gegevens te verstrekken, ook als die buiten de VS staan.
• Vertrouwen van klanten. Klanten, vooral in de zorg, het onderwijs en bij de overheid, stellen steeds vaker eisen aan waar hun gegevens staan.
• Afhankelijkheid. Een groot deel van de Europese cloud draait bij een paar niet-Europese aanbieders. Dat maakt organisaties kwetsbaar voor prijswijzigingen, politieke ontwikkelingen of veranderende regels.
• Sectorregels. In bepaalde sectoren gelden aanvullende eisen voor de opslag en beveiliging van gegevens.

Belangrijke wetten en uitspraken

De verhouding tussen Europese en Amerikaanse regels is al jaren in beweging. Eerdere afspraken over gegevensdoorgifte werden door het Europese Hof ongeldig verklaard. Dat onderstreept waarom veel organisaties kiezen voor een opzet die minder afhankelijk is van zulke afspraken.

EU-hosting: wat zijn de opties?

Waar let je op bij het kiezen van hosting?

1. Waar staan de gegevens? In welk land en welk datacenter, ook voor back-ups?
2. Waar is de aanbieder gevestigd? En onder welke wetgeving valt het moederbedrijf?
3. Welke subverwerkers zijn er? Denk aan diensten voor e-mail, monitoring, AI of support.
4. Hoe worden gegevens versleuteld, en wie beheert de sleutels?
5. Welke certificeringen heeft de aanbieder, zoals ISO 27001?
6. Is er een verwerkersovereenkomst die voldoet aan de AVG?
7. Hoe makkelijk kun je overstappen? Kun je je gegevens en applicatie meenemen?
8. Waar zit het supportpersoneel? Medewerkers buiten de EU die toegang hebben tot systemen, kunnen ook een vorm van doorgifte betekenen.
9. Wat gebeurt er bij een calamiteit? Staan back-ups ook in de EU, en hoe snel is herstel mogelijk?

Wat is een soevereine cloud?

Een soevereine cloud is een cloudomgeving die zo is ingericht dat gegevens, beheer en toegang onder Europese of nationale controle blijven. Daarbij gaat het niet alleen om de locatie van de servers, maar ook om wie de omgeving beheert, waar het personeel zit dat toegang heeft, wie de encryptiesleutels beheert en onder welke wetgeving het bedrijf valt. Zowel Europese aanbieders als grote Amerikaanse aanbieders bieden soevereine cloudoplossingen aan, soms in samenwerking met een Europese partner. De mate van soevereiniteit verschilt per constructie. Vraag daarom altijd door: wie kan in welke situatie bij de gegevens?

Voor wie is datasoevereiniteit extra belangrijk?

• Overheden en semi-publieke organisaties, die vaak beleid hebben over waar gegevens mogen staan.
• Zorginstellingen, vanwege gevoelige medische gegevens.
• Onderwijs, met gegevens van leerlingen en studenten.
• Financiële dienstverleners, met strenge eisen van toezichthouders.
• Advocaten en adviseurs, die met vertrouwelijke klantinformatie werken.
• Softwareleveranciers die aan deze sectoren leveren, en daarom aan dezelfde eisen moeten voldoen.

Ook voor andere bedrijven speelt het steeds vaker, omdat klanten in aanbestedingen en contracten vragen naar de locatie en de aanbieder van hosting.

Een praktische aanpak in stappen

1. Breng in kaart welke gegevens je verwerkt, en hoe gevoelig ze zijn.
2. Maak een lijst van alle diensten die gegevens verwerken: hosting, database, e-mail, formulieren, analyse, AI en back-ups.
3. Noteer per dienst de locatie van de gegevens en de vestiging van de aanbieder.
4. Bepaal per categorie gegevens welke eisen gelden, op basis van wetgeving, klanteisen en eigen beleid.
5. Kies voor de gevoeligste gegevens een opzet met de meeste controle, en accepteer voor minder gevoelige onderdelen eventueel een andere afweging.
6. Leg de keuzes vast in je verwerkingsregister en verwerkersovereenkomsten.

Datasoevereiniteit en AI

Bij AI-toepassingen speelt datasoevereiniteit een extra rol. Veel AI-diensten draaien bij Amerikaanse aanbieders, en de gegevens die je naar een taalmodel stuurt, worden daar verwerkt. Ga daarom na waar de verwerking plaatsvindt, of er een Europese verwerkingslocatie beschikbaar is, of de invoer wordt gebruikt voor training en hoe lang gegevens worden bewaard. Voor gevoelige toepassingen kan een Europees model of een lokaal draaiend model een alternatief zijn.

Kost EU-hosting meer?

Niet per se. Europese cloud- en hostingaanbieders zijn voor veel standaardtoepassingen, zoals virtuele servers, databases en opslag, concurrerend geprijsd en soms goedkoper dan de grootste Amerikaanse aanbieders. Het verschil zit eerder in het aanbod: de grootste aanbieders hebben een breder pakket aan gespecialiseerde diensten, zoals AI-diensten, analysetools en wereldwijde netwerken. Wie veel van die diensten gebruikt, moet bij een overstap naar een Europese aanbieder soms alternatieven zoeken of zelf meer inrichten. Voor een gemiddelde zakelijke webapplicatie zijn de benodigde onderdelen bij Europese aanbieders meestal goed beschikbaar.

Veelgemaakte misverstanden

• “Onze server staat in Amsterdam, dus het is geregeld.” De vestiging van de aanbieder en de subverwerkers tellen ook mee.
• “Alleen de database telt.” Ook back-ups, logbestanden, e-maildiensten en monitoring bevatten vaak persoonsgegevens.
• “Het Data Privacy Framework lost alles op.” Het framework biedt een basis voor doorgifte, maar eerdere afspraken zijn ook ongeldig verklaard. Veel organisaties willen daarom minder afhankelijk zijn van zulke afspraken.
• “Soeverein betekent duur en traag.” Voor de meeste toepassingen is een Europese opzet prima haalbaar, zonder in te leveren op snelheid.

Wat betekent dit voor jouw project?

Als ik naar een proces kijk, vraag ik welke informatie er binnenkomt en wie ermee verder moet. Bij persoonsgegevens hoort daar ook de vraag bij waar die gegevens staan en welke diensten ze verwerken. Die keuzes leg ik in de blauwdruk vast als afhankelijkheden, zodat ze vooraf bekend zijn en niet achteraf moeten worden aangepast.

Wil je dat de gegevens in je applicatie binnen Europa blijven? Stuur me wat de applicatie doet, welke gegevens erin komen en welke eisen je klanten stellen. Dan bepalen we samen de logische eerste stap.

Veelgestelde vragen over datasoevereiniteit

Wat is datasoevereiniteit?

Datasoevereiniteit betekent dat gegevens vallen onder de wetten van het land of de regio waar ze worden verzameld en opgeslagen, en dat de eigenaar zelf bepaalt wie er toegang toe heeft.

Is hosting in Europa genoeg voor datasoevereiniteit?

Niet altijd. Als de aanbieder onder buitenlandse wetgeving valt, zoals de Amerikaanse CLOUD Act, kunnen gegevens in Europa toch door buitenlandse autoriteiten worden opgevraagd. Ook de vestiging van de aanbieder en de gebruikte subverwerkers tellen mee.

Wat is het verschil tussen dataresidentie en datasoevereiniteit?

Dataresidentie gaat over de fysieke locatie van de gegevens. Datasoevereiniteit gaat over welke wetgeving van toepassing is en wie toegang kan afdwingen, wat ook afhangt van waar de aanbieder gevestigd is.

Verwante termen

Privacy by design · Lokale LLM / on-premise AI · Vendor lock-in · Datamigratie · SaaS (Software as a Service)