Wat is datasoevereiniteit, en waarom is het belangrijk voor je data?

Wat betekent datasoevereiniteit?

Datasoevereiniteit is het principe dat data valt onder de wetten en de controle van een gekozen rechtsgebied. Voor Europese organisaties is dat in de praktijk de EU. Het gaat verder dan weten in welk land je datacenter staat.

Je bestuur kan drie vragen stellen: waar staat onze klantdata, welke overheden kunnen die opeisen, en kunnen we nog werken als onze belangrijkste cloudaanbieder onbereikbaar of onbetrouwbaar wordt? Datasoevereiniteit is het geheel aan antwoorden. Het hoort ook direct bij risicobeheer onder NIS2. Dat behandelen we op onze pagina over NIS2 Compliance.

Kort gezegd: residency gaat over geografie, soevereiniteit over rechtsgebied en controle.

Waarom is de Amerikaanse CLOUD Act belangrijk voor data die in de EU staat?

Omdat de wet de aanbieder volgt, niet het datacenter. Met de CLOUD Act kunnen Amerikaanse autoriteiten Amerikaanse aanbieders verplichten data te verstrekken die ze beheren, ook als die in de EU is opgeslagen.

De kernbepaling, 18 U.S.C. § 2713, is in maart 2018 toegevoegd. Die verplicht een aanbieder data te verstrekken "die zich binnen het bezit, de bewaring of de controle van die aanbieder bevindt, ongeacht of die communicatie, dat record of die andere informatie zich binnen of buiten de Verenigde Staten bevindt". De CLOUD Act Resources van het Amerikaanse ministerie van Justitie noemen ook uitvoeringsovereenkomsten met het Verenigd Koninkrijk en Australië, en onderhandelingen tussen de EU en de VS die in maart 2023 zijn hervat.

Amerikaanse aanbieders hebben hierop gereageerd met aanbod binnen de EU. De EU Data Boundary van Microsoft belooft bijvoorbeeld data van klanten van Microsoft 365 en Azure in de EU en EFTA op te slaan en te verwerken, met enkele gedocumenteerde uitzonderingen. Dat verbetert de residency. Het verandert niet wie de eigenaar van de aanbieder is. Toen een onderzoek van de Franse Senaat in juni 2025 aan Anton Carniaux van Microsoft France vroeg of hij kon garanderen dat Franse data niet zonder Franse toestemming aan Amerikaanse autoriteiten zou worden doorgegeven, antwoordde hij "Nee, dat kan ik niet garanderen". Hij voegde eraan toe dat het nooit was gebeurd, volgens The Register.

Het Europese recht biedt tegenwicht. AVG-artikel 48 bepaalt dat een vonnis van een rechter of een besluit van een autoriteit uit een derde land dat de doorgifte van persoonsgegevens eist, alleen mag worden erkend of afgedwongen als het gebaseerd is op een internationale overeenkomst, zoals een verdrag over wederzijdse rechtsbijstand. Een aanbieder kan zo tussen twee vuren komen.

Is het EU-VS Data Privacy Framework genoeg?

Het is nu een geldige rechtsgrond om persoonsgegevens door te geven aan gecertificeerde Amerikaanse bedrijven. Maar er loopt hoger beroep en het haalt de toegang van Amerikaanse opsporingsdiensten onder de CLOUD Act niet weg.

De Europese Commissie nam het adequaatheidsbesluit voor het EU-VS Data Privacy Framework in juli 2023 aan. Op 3 september 2025 wees het Gerecht van de EU een beroep van het Franse parlementslid Philippe Latombe af, meldde de IAPP. Het is het derde kader voor doorgifte tussen de EU en de VS dat in tien jaar door EU-rechters is getoetst, na Safe Harbor (in 2015 vernietigd) en Privacy Shield (2020). Latombe ging op 31 oktober 2025 in hoger beroep bij het Hof van Justitie en de zaak loopt nog, volgens WilmerHale.

Voor risicoplanning telt die geschiedenis zwaarder dan één uitspraak. Hangt je herstel volledig af van een doorgiftemechanisme dat al twee keer eerder is vernietigd, dan loop je zowel juridisch als technisch risico.

Hoe definieert de Europese Commissie cloudsoevereiniteit?

Via het Cloud Sovereignty Framework, een scoringsmodel voor inkoop dat in oktober 2025 is gepubliceerd. Het is geschreven voor de eigen cloudaanbestedingen van de Commissie, maar het is ook voor anderen een bruikbare checklist.

Het Cloud Sovereignty Framework (versie 1.2.1) beoordeelt aanbieders op acht doelstellingen:

1. Strategische soevereiniteit
2. Juridische soevereiniteit en soevereiniteit qua rechtsgebied
3. Data- en AI-soevereiniteit
4. Operationele soevereiniteit
5. Soevereiniteit van de toeleveringsketen
6. Technologische soevereiniteit
7. Soevereiniteit op het gebied van beveiliging en compliance
8. Milieuduurzaamheid

Elke doelstelling krijgt een score op een SEAL-schaal. Die loopt van SEAL-0, "geen soevereiniteit", waarbij diensten onder exclusieve controle van partijen buiten de EU vallen, tot SEAL-4, "volledige digitale soevereiniteit", met technologie en bedrijfsvoering "onder volledige EU-controle, alleen onderworpen aan EU-recht". Voor een mkb-bedrijf of MSP is de les: vraag leveranciers naar eigendom, rechtsgebied en operationele controle, niet alleen naar de locatie van het datacenter.

Wat betekent datasoevereiniteit voor back-up en NIS2?

Je back-up is je vangnet als het primaire platform uitvalt, wordt gehackt of juridisch ingewikkeld wordt. Bewaar je hem bij een onafhankelijke EU-aanbieder, dan heb je een tweede leverancier en een tweede rechtsgebied voor herstel.

Beide wetten wijzen dezelfde kant op. NIS2-artikel 21(2)(c) eist bedrijfscontinuïteit, waaronder back-upbeheer, disaster recovery en crisisbeheer. NIS2-artikel 21(2)(d) eist ketenbeveiliging, inclusief de risico's van je directe leveranciers. Onder de AVG is een back-upaanbieder een verwerker. AVG-artikel 28 eist daarom een overeenkomst met hem. AVG-artikel 32(1)(c) eist dat je de beschikbaarheid van en toegang tot persoonsgegevens tijdig kunt herstellen.

In de praktijk heeft een back-up die helpt aan de AVG te voldoen:

• Een verwerkersovereenkomst volgens AVG-artikel 28.
• Opslag in de EU, bij een aanbieder die voor de back-updata niet afhankelijk is van doorgifte naar derde landen.
• Versleuteling tijdens transport en toegangscontrole met MFA (meervoudige authenticatie).
• Geteste herstelacties, zodat "tijdig" een getal is dat je kunt laten zien.

Zo hebben we onze back-updienst gebouwd. Data staat alleen in onze eigen Tier III-datacenters in Nederland en Duitsland, onder EU-recht en onafhankelijk van Amerikaanse hyperscalers (grote cloudaanbieders). Bij elk contract hoort een verwerkersovereenkomst volgens de AVG en we zijn ISO 27001- en NEN 7510-gecertificeerd. Staat je productiedata in Azure, lees dan over Azure-back-up. Het verschil tussen de twee soorten kopieën lees je in cloudopslag of cloudback-up.

Hoe verbeter je datasoevereiniteit zonder je cloud te verlaten?

Begin met je herstelkopie en je leverancierslijst. Je hoeft niet weg bij Microsoft 365, Google Workspace of een publieke cloud om echt vooruitgang te boeken.

1. Breng data en leveranciers in kaart. Noteer waar kritieke data staat en wie de eigenaar is van elke aanbieder, inclusief moederbedrijven buiten de EU.
2. Classificeer. Bepaal welke data zo gevoelig is dat toegang door het buitenland of afhankelijkheid van één leverancier onacceptabel is.
3. Controleer contracten. Controleer verwerkersovereenkomsten, subverwerkers en het doorgiftemechanisme waarop elk van hen leunt.
4. Voeg een soevereine herstelkopie toe. Maak een back-up van kritieke workloads bij een EU-aanbieder, met onveranderbare opslag en aparte inloggegevens.
5. Plan je exit. Weet hoe je data buiten het primaire platform terugzet en test dat één keer per jaar.
6. Rapporteer aan het bestuur. Onder NIS2-artikel 20 keuren bestuursorganen de cybersecuritymaatregelen goed en houden ze er toezicht op. Zet soevereiniteitsrisico dus op de agenda.

Weet je niet zeker of NIS2 voor jou geldt? Bekijk wie onder de NIS2-scope valt. Voor het beoordelen van leveranciers lees je NIS2-ketenbeveiliging.

Wat je nu kunt doen

Datasoevereiniteit is geen label op een datacenter. Het betekent weten welke wetten bij je data kunnen, de controle over de toegang houden en kunnen herstellen zonder afhankelijk te zijn van één buitenlandse leverancier. Voor de meeste organisaties is de snelste winst een onafhankelijke back-up in de EU van de systemen waar ze niet zonder kunnen.

Lees hoe soevereiniteit past bij je bredere verplichtingen op onze pagina over NIS2 Compliance, of vraag een gratis assessment aan van waar je data en back-ups nu staan.

Dit artikel is algemene informatie, geen juridisch advies.