In juni 2025 zat de directeur publieke en juridische zaken van Microsoft France onder ede tegenover een onderzoekscommissie van de Franse Senaat. De vraag was eenvoudig: kon hij garanderen dat gegevens van Franse burgers nooit aan de Amerikaanse overheid worden overgedragen zonder toestemming van de Franse autoriteiten? Zijn antwoord: “Non, je ne peux pas le garantir.” Nee, dat kan ik niet garanderen. Hij voegde eraan toe dat het nog nooit was gebeurd.
Opvallender is wat zijn collega in dezelfde hoorzitting vertelde: sinds januari 2025 verlaten de gegevens van Europese klanten contractueel de EU niet meer. De data staan dus in Europa. En toch is er geen garantie. Dat is in het kort waarom soevereine data meer is dan een serverlocatie.
Drie vragen, niet één
Soevereiniteit wordt vaak teruggebracht tot de vraag waar de servers staan. Dat is de eerste vraag, niet de enige. In de praktijk gaat het om drie dingen:
- Waar staan je data? Fysiek, inclusief back-ups, logbestanden en supportomgevingen.
- Wie kan erbij? Niet alleen je eigen beheerders, maar ook de leverancier, diens moederbedrijf en onderaannemers. En wie beheert de sleutels?
- Welk recht geldt? Onder welke wet valt de partij die je data in handen heeft, en welke overheid kan die partij iets opleggen?
Kies je als Nederlandse organisatie voor een Nederlandse leverancier met servers in Nederland, dan geven die drie vragen hetzelfde antwoord. Bij een Amerikaanse cloud met een Europese regio niet.
Wat de CLOUD Act precies regelt
De Amerikaanse CLOUD Act uit 2018 is op dit punt kort en duidelijk. Een aanbieder van communicatie- of clouddiensten moet gegevens die in zijn “possession, custody, or control” zijn afgeven op bevel van Amerikaanse autoriteiten, “regardless of whether such communication, record, or other information is located within or outside of the United States” (18 U.S.C. § 2713). Doorslaggevend is dus niet waar de data staan, maar wie er zeggenschap over heeft.
Dat geldt net zo goed voor een datacenter in Dublin, Frankfurt of de Wieringermeer, zolang het bedrijf dat de data beheert onder Amerikaanse jurisdictie valt. Daarnaast bestaan er Amerikaanse inlichtingenwetten zoals FISA Section 702, waarover het Europese Hof van Justitie in de Schrems II-uitspraak (2020) al grote zorgen uitsprak.
Dat schuurt met de AVG. Volgens artikel 48 wordt een bevel van een rechter of autoriteit uit een derde land alleen erkend als het is gebaseerd op een internationale overeenkomst, zoals een rechtshulpverdrag. Een Amerikaanse leverancier kan zo klem komen te zitten tussen twee rechtsstelsels. En jij blijft als verwerkingsverantwoordelijke aanspreekbaar op wat er met de persoonsgegevens gebeurt.
Versleuteling helpt, maar alleen als de leverancier de sleutels niet heeft. Wie de sleutel beheert, kan ook worden gedwongen hem te gebruiken.
Vijf vragen voor je leverancier
Wil je weten hoe soeverein jullie data echt zijn? Leg deze vragen voor aan je huidige leverancier, en vraag om antwoorden op papier.
- Waar staan onze data, inclusief back-ups, logbestanden en kopieën voor support? Vraag om plaatsnamen, niet om “EU-regio”.
- Onder welk recht valt uw bedrijf, en dat van uw moederbedrijf? Is er een moeder of aandeelhouder buiten de EU met zeggenschap?
- Wie kan technisch bij onze data? Welke medewerkers, onderaannemers en supportteams, vanuit welke landen? En wie beheert de encryptiesleutels?
- Wat doet u bij een buitenlands verzoek om gegevens? Geeft u alleen iets af op basis van Nederlands of Europees recht, en brengt u ons vooraf op de hoogte?
- Hoe krijgen we al onze data mee als we vertrekken? In welk formaat, hoe snel, en wat kost dat?
Een vaag antwoord op vraag 2 of 4 zegt genoeg. Vraag 5 wordt vaak vergeten, terwijl soevereiniteit ook betekent dat je kunt vertrekken wanneer je wilt.
Hoe ENEM Office dit invult
ENEM Office is het Nederlandse alternatief voor Google Workspace en Microsoft 365: mail, bestanden, agenda, chat en videobellen in één omgeving. De antwoorden op de vijf vragen zijn bij ons kort:
- Plek: eigen servers in Amsterdam en Ede.
- Recht: ENEM is een Nederlands bedrijf, de Eerste Nederlandse E-mail Maatschappij B.V., actief sinds 2003. Nederlands en Europees recht, met de AVG als uitgangspunt.
- Toegang: geen Amerikaans platform tussen jou en je data. Beheer en support zitten in Nederland.
- Techniek: gebouwd op open source Nextcloud, met code die openbaar en controleerbaar is. Documenten bewerk je in de browser met Europese open-source office-techniek (Euro-Office).
- Vertrekken: bestanden blijven gewone bestanden en mail, agenda’s en contactpersonen werken met open standaarden als IMAP, CalDAV en CardDAV. Je data zijn exporteerbaar, je zegt maandelijks op en er is geen vendor lock-in.
Het gaat hier niet om de vraag of Amerikaanse aanbieders te vertrouwen zijn. Het punt is dat zolang je leverancier onder Amerikaans recht valt, het eerlijke antwoord op “kunt u garanderen dat…” geen “ja” kan zijn, hoe goed de bedoelingen ook zijn. Eerder beschreven we wat dat betekende voor de hoofdaanklager van het Internationaal Strafhof. Dit gaat over iets stillers: ook zonder sanctie of conflict bepaalt het recht van je leverancier wie er uiteindelijk bij je data kan.
Begin met vijf vragen
Soevereiniteit begint niet met een migratieproject. Het begint met weten waar je staat. Leg de vijf vragen binnenkort voor aan je huidige leverancier en kijk welke antwoorden je terugkrijgt.
Wil je weten hoe ENEM Office dat voor jouw organisatie regelt? Kijk op enem.nl/private-cloud of mail naar [email protected]. Liever eerst zelf proberen? Vraag een gratis proefaccount aan.
