EU Data Boundary van Amerikaanse cloudproviders: vooral marketing, geen echte bescherming

De belofte van grote Amerikaanse cloudproviders dat Europese data uitsluitend binnen de EU zou worden opgeslagen en verwerkt, blijkt vooral een papieren werkelijkheid. In een recente hoorzitting voor de Franse Senaat [1] gaf Microsoft onder ede toe dat dit simpelweg niet te garanderen is.

Tijdens de zitting verklaarden Microsoft-topman Anton Carniaux en collega Pierre Lagarde dat Europese gebruikersdata, ondanks alle inspanningen en technische maatregelen, alsnog toegankelijk kan zijn voor Amerikaanse autoriteiten. De reden: Amerikaanse wetgeving, waaronder de CLOUD Act, verplicht Amerikaanse bedrijven mee te werken aan data-verzoeken – óók wanneer de gegevens zich buiten de VS bevinden.

Hoewel Microsoft stelt dat het dergelijke verzoeken aanvecht en klanten waar mogelijk informeert, is het juridische feit duidelijk: data die is ondergebracht bij Amerikaanse hyperscalers als Microsoft, Amazon (AWS), Google of Oracle kan in laatste instantie toch worden opgevraagd door de Amerikaanse overheid.

De situatie plaatst Europese organisaties in een lastige positie.

• De Cloud Act verplicht Amerikaanse techbedrijven om toegang tot data te verlenen aan Amerikaanse autoriteiten, ook als die data in Frankfurt, Parijs of Amsterdam staat.
• De AVG (GDPR) schrijft juist voor dat doorgifte aan derde landen alleen mag onder strikte voorwaarden en meestal via internationale verdragen.

Het gevolg is een juridische spagaat: bedrijven lopen het risico óf Amerikaanse wetgeving te overtreden, óf inbreuk te maken op Europese privacyregels.

De fysieke opslaglocatie van data is dus niet gelijk aan juridische bescherming. Een “EU Data Boundary” klinkt aantrekkelijk, maar biedt geen sluitende garantie zolang de aanbieder onder Amerikaanse jurisdictie valt.

• “Sovereign cloud”-initiatieven van Amerikaanse providers zijn grotendeels marketing; de reikwijdte van de Cloud Act blijft bestaan.
• Ook al zegt Microsoft enkel te reageren op “zeer precieze” verzoeken, het kan niet weigeren als de wet dit voorschrijft.

Voor organisaties met kritieke of zeer gevoelige gegevens – zoals overheden, onderwijsinstellingen en zorginstellingen – is dit een wezenlijk risico.

Betekent dit dat Europese organisaties Amerikaanse cloudproviders volledig moeten vermijden? Niet noodzakelijk. De keuze hangt af van de gevoeligheid van de data en de afweging tussen kosten, veiligheid en functionaliteit.

• On-premises oplossingen: meer controle, maar vaak duurder en complexer.
• Kleinere Europese cloudspelers: geen Cloud Act-risico, maar vaak minder schaal en innovatiekracht.
• Amerikaanse hyperscalers: geavanceerde beveiliging, schaalbaarheid en innovatie, maar met een blijvend juridisch risico.

Europese reactie en initiatieven

De EU erkent dit probleem en zet in op digitale soevereiniteit. Initiatieven als Gaia-X en EuroStack moeten leiden tot een Europees alternatief voor hyperscalers. Toch waarschuwen experts dat de EU honderden miljarden euro’s aan investeringen nodig heeft om echt te kunnen concurreren.

Tegelijkertijd winnen kleinere Europese providers aan populariteit. Bedrijven als Exoscale en Elastx melden dat steeds meer organisaties bewust kiezen voor oplossingen die volledig buiten Amerikaanse jurisdictie vallen.

Daarnaast wordt er steeds vaker gewezen op technische maatregelen als mitigatie:

• Client-side encryptie waarbij alleen de klant de sleutel bezit.
• Strikte data-classificatie om te bepalen welke gegevens wel of niet in de cloud mogen.
• Hybride oplossingen waarbij gevoelige data on-premises blijft en minder gevoelige workloads naar de cloud verhuizen.

Conclusie

De verklaring van Microsoft France bevestigt wat veel privacy-experts al langer wisten: de EU Data Boundary is een wassen neus zolang Amerikaanse wetgeving voorrang heeft.

Voor Europese organisaties betekent dit dat het werken met Amerikaanse cloudproviders altijd een residueel risico inhoudt. Dit hoeft geen reden te zijn om dergelijke diensten volledig te mijden, maar het vraagt wel om:

• Bewuste keuzes bij cloudstrategieën;
• Heldere risicoanalyses bij gebruik van Microsoft 365, AWS of Google Cloud;
• En kritisch beleid over welke data in welke cloud mag worden geplaatst.

Digitale soevereiniteit in Europa is daarmee nog geen realiteit, maar eerder een politieke ambitie. Tot die tijd geldt: vertrouw niet blind op marketingclaims, maar neem dit risico expliciet mee in de strategische besluitvorming.

Naar het overzicht