De Data Union Strategy toolbox datalekkage derde landen is het geheel van EU-beleidsinstrumenten en juridische maatregelen dat Europese organisaties moet beschermen tegen ongeoorloofde uitstroom van data naar jurisdicties buiten de EU, met name naar landen met extraterritoriale wetgeving zoals de Verenigde Staten. De toolbox omvat bestaande verordeningen, nieuwe richtsnoeren en een lopende consultatie, en is direct toepasbaar voor compliance officers, IT-beslissers en organisaties in gereguleerde sectoren.
Achtergrond: waarom datalekkage naar derde landen een structureel risico is
Ongeoorloofde toegang tot EU-data via buitenlandse wetgeving is geen theoretisch risico maar een juridisch vastgelegde praktijk. Organisaties die gebruikmaken van cloudproviders met een Amerikaanse moedermaatschappij worden geconfronteerd met de US CLOUD Act (18 U.S.C. § 2713, in werking getreden in 2018), op grond waarvan Amerikaanse autoriteiten data kunnen opeisen ongeacht de fysieke opslaglocatie. Hetzelfde geldt voor de bevoegdheden onder de USA PATRIOT Act.
Statistiek: Meer dan 92% van de Europese cloudmarkt wordt gedomineerd door Amerikaanse hyperscalers (European Parliament Think Tank, 2023). Dit betekent dat de meerderheid van Europese organisaties structureel blootstaat aan dit risico, ook wanneer data technisch gezien in een Europees datacenter staat.
De kern van het probleem is de jurisdictie over de aanbieder, niet de locatie van de data. Een server in Amsterdam die wordt beheerd door een bedrijf met een zetel in Delaware valt binnen het bereik van de CLOUD Act. Dit onderscheid is cruciaal voor iedere inkoopbeoordeling.
De EU Data Union Strategy: wat de toolbox concreet inhoudt
De EU Data Union Strategy, gepubliceerd door de Europese Commissie in november 2025, is een overkoepelend beleidsraamwerk dat bestaande instrumenten bundelt en aanvult met gerichte maatregelen tegen datalekkage naar derde landen. De strategie heeft drie pijlers: vrij verkeer van data binnen de EU, bescherming van EU-data buiten de EU, en vereenvoudiging van het regelgevingslandschap.
De toolbox die uit de strategie voortvloeit, bestaat uit de volgende lagen:
- Data Act artikelen 32 tot en met 36 (Verordening (EU) 2023/2854): deze artikelen verplichten cloudaanbieders om verzoeken van derdelandsoverheden te weigeren of te betwisten wanneer die in strijd zijn met EU-recht, en schrijven voor hoe aanbieders EU-klanten hierover moeten informeren.
- Data Governance Act (DGA, Verordening (EU) 2022/868): regelt hergebruik van overheidsdata en stelt eisen aan dataïntermediairs, waaronder verboden op commercieel gebruik van toevertrouwde data zonder expliciete toestemming.
- Digital Omnibus Regulation COM(2025) 837: een horizontale vereenvoudigingsverordening die overlappende verplichtingen uit de Data Act, de DGA en andere digitale wetgeving stroomlijnt, zodat organisaties niet worden geconfronteerd met tegenstrijdige rapportageplichten.
- Lopende consultatie (open tot september 2026): de Europese Commissie voert een publieke consultatie over aanvullende maatregelen voor de bescherming van EU-datasoevereiniteit, met als beoogd resultaat aanvullende richtsnoeren of wetgeving in Q3 2026.
Ursula von der Leyen, voorzitter van de Europese Commissie, stelde het treffend: “Data is the new oil, but unlike oil, it can be copied, shared and misused without the owner ever knowing it is gone.” Deze observatie vormt de bestuurlijke onderbouwing van de toolbox.
Hoe compliance officers de toolbox toepassen bij leveranciersbeoordeling
De toolbox biedt compliance officers concrete beoordelingscriteria die direct vertaalbaar zijn naar inkoopprocessen en due diligence bij cloudleveranciers.
Stap 1: bepaal de jurisdictie van de aanbieder
Stel bij iedere cloudleverancier vast: in welk land is de moedermaatschappij gevestigd en onder welke nationale wetgeving valt die? Een leverancier met een EU-vestiging maar een Amerikaanse moedermaatschappij valt in beginsel onder de CLOUD Act. Vraag contractueel om een “government request transparency report” en controleer of de aanbieder juridische procedures heeft om onrechtmatige vorderingen te betwisten, zoals vereist door Data Act artikel 32.
Stap 2: toets aan Data Act artikelen 32-36
Data Act artikelen 32 tot en met 36 verplichten aanbieders van dataverwerkingsdiensten tot vier kernverplichtingen bij derdelandsverzoeken: (1) het verzoek beoordelen op rechtmatigheid naar EU-recht, (2) het verzoek betwisten bij een bevoegde rechter wanneer het in strijd is met EU-recht, (3) de betrokken klant informeren tenzij dit wettelijk verboden is, en (4) documentatie bijhouden. Vraag leveranciers om een schriftelijke verklaring hoe zij deze verplichtingen nakomen.
Stap 3: beoordeel technische maatregelen
Contractuele garanties zijn niet voldoende als de aanbieder technisch gezien toegang heeft tot data in leesbare vorm. Controleer of end-to-end-versleuteling wordt toegepast met sleutelbeheer uitsluitend in handen van de klant of een EU-gevestigde sleutelbeheerder. Oplossingen op basis van zero-knowledge-architectuur of on-premise opslag elimineren het jurisdictionele risico grotendeels.
Vergelijking: jurisdictionele risicoprofielen van opslagmodellen
| Opslagmodel | Jurisdictie aanbieder | CLOUD Act-risico | AVG-risico | Toolbox-maatregel van toepassing |
|---|---|---|---|---|
| Amerikaanse hyperscaler (EU-regio) | VS | Hoog | Potentieel (Schrems II) | Data Act art. 32-36, contractuele betwistingsplicht |
| Zwitserse cloudprovider | Zwitserland (adequaatheidsbesluit) | Laag | Laag (adequaatheidsland) | DGA-hergebruiksregels, transparantieverplichting |
| On-premise EU-organisatie | EU | Nihil | Nihil (mits NIS-2-compliant) | Geen derdelandsmaatregel vereist |
| EU-cloudprovider (geen VS-eigendom) | EU | Nihil | Laag | Toolbox-criteria als referentiekader voor inkoopbeleid |
Aanvullende maatregelen voor niet-persoonsgebonden data in Q3 2026
De Europese Commissie consultatiedocumenten over datasoevereiniteit (consultatie open tot september 2026) signaleren een lacune: de AVG beschermt persoonsgegevens, maar gevoelige niet-persoonsgebonden data, zoals bedrijfsgeheimen, industriële meetdata en overheidscontractdata, valt buiten de GDPR-bescherming en heeft geen equivalent beschermingsniveau bij grensoverschrijdende toegang.
De verwachte maatregelen in Q3 2026 richten zich op drie gebieden. Ten eerste komen er richtsnoeren voor de definitie van “gevoelige niet-persoonsgebonden data” in het kader van de Data Act. Ten tweede worden criteria ontwikkeld voor het beoordelen van de “eerlijke behandeling” van EU-data in het buitenland, vergelijkbaar met de adequaatheidsbeoordeling uit de AVG maar dan voor niet-persoonsgebonden data. Ten derde wordt bekeken of een notificatieplicht nodig is wanneer een derdeland toegang krijgt tot dergelijke data.
De Europese Commissie stelt in haar toelichting bij de Data Act: “The free flow of data within the EU, combined with trustworthy rules on cross-border data access, is the backbone of the European data economy.” De verwachte Q3 2026-maatregelen bouwen hierop voort door ook buiten-EU-stromen te adresseren.
De consultatie en haar relatie tot AVG en Data Act
De publieke consultatie van de Europese Commissie over EU-datasoevereiniteit, die open staat tot september 2026, vraagt organisaties naar hun ervaringen met ongeoorloofde derdelandstoegang, de effectiviteit van bestaande instrumenten en de behoefte aan aanvullende bescherming. De uitkomsten worden input voor wetgevende voorstellen die de Data Act, de DGA en mogelijk de Digital Omnibus Regulation COM(2025) 837 aanvullen.
Organisaties die al onder de AVG vallen, merken dat de consultatie expliciet vraagt hoe de nieuwe maatregelen moeten aansluiten op de bestaande verplichtingen. Deelname aan de consultatie is strategisch zinvol: organisaties in gereguleerde sectoren, zoals de rechtssector, de zorgsector en overheidsinstanties, kunnen hun specifieke risicoprofiel inbrengen en zo de definitie van “gevoelige niet-persoonsgebonden data” mede vormgeven.
Voor compliance officers betekent dit concreet: documenteer nu reeds de knelpunten die uw organisatie ervaart bij de toepassing van Data Act artikelen 32 tot en met 36, en gebruik die documentatie zowel voor de consultatiereactie als voor interne auditrapporten richting toezichthouders.
Vertaling naar interne inkoopbeoordelingen
De Commissie-richtsnoeren voor “eerlijke behandeling van EU-data in het buitenland” zijn nog in ontwikkeling, maar op basis van de gepubliceerde Data Union Strategy en de Data Act zijn nu al vijf beoordelingscriteria af te leiden die direct in inkoopbeleid verankerd kunnen worden:
- Jurisdictie van de aanbieder en diens moedermaatschappij (nationaal recht dat van toepassing is).
- Aanwezigheid van een betwistingsprocedure voor overheidsvorderingen (vereiste uit Data Act art. 32-36).
- Technische mogelijkheid tot sleutelbeheer door de klant (zero-knowledge of klantbeheerde encryptie).
- Contractuele kennisgevingsplicht bij ontvangst van een overheidsvordering.
- Aantoonbare naleving van de DGA wanneer overheidsdata of publieke sectordata is betrokken.
Deze criteria zijn direct inpasbaar in bestaande inkoopformulieren, leveranciersaudits en verwerkersovereenkomsten. Organisaties die al een NIS-2-risicoregister bijhouden, kunnen de toolboxcriteria als aanvullende dimensie toevoegen aan hun leveranciersbeoordelingsmatrix.
FAQ: Data Union Strategy toolbox datalekkage derde landen
Wat is de EU Data Union Strategy-toolbox en wat is het verschil met de Data Act?
De EU Data Union Strategy (november 2025) is een overkoepelend beleidsraamwerk dat bestaande instrumenten zoals de Data Act, de DGA en de AVG verbindt en aanvult met maatregelen specifiek gericht op datalekkage naar derde landen. De Data Act regelt de toegang tot en het delen van data; de toolbox voegt daar jurisdictionele bescherming en beoordelingscriteria voor derdelandsrisico’s aan toe.
Wanneer worden de aanvullende beschermingsmaatregelen voor niet-persoonsgebonden data verwacht?
De Europese Commissie heeft aangekondigd in Q3 2026 aanvullende richtsnoeren en mogelijk wetgevende maatregelen te publiceren voor gevoelige niet-persoonsgebonden data, voortbouwend op de consultatie die open staat tot september 2026.
Hoe gebruik ik de toolbox bij de beoordeling van een Amerikaanse cloudleverancier?
Controleer of de leverancier valt onder de US CLOUD Act of Patriot Act (wat voor vrijwel alle in de VS gevestigde bedrijven geldt), beoordeel of afdoende technische en contractuele maatregelen aanwezig zijn, zoals end-to-end-versleuteling met sleutelbeheer in de EU, en toets of de leverancier voldoet aan de criteria uit Data Act artikelen 32 tot en met 36 voor het weigeren van onrechtmatige overheidstoegang.
Verplicht de toolbox organisaties tot opslag van data uitsluitend binnen de EU?
Nee. De toolbox is niet gericht op verplichte datalokalisatie. Het doel is juist om ongerechtvaardigde lokalisatie-eisen te voorkomen en tegelijkertijd EU-data te beschermen tegen onrechtmatige toegang vanuit derde landen, ongeacht waar de data fysiek is opgeslagen.
Wat is de relatie tussen de Digital Omnibus Regulation COM(2025) 837 en de Data Union Strategy?
De Digital Omnibus Regulation COM(2025) 837 is een horizontale vereenvoudigingsregeling die overlappende verplichtingen uit meerdere digitale wetten stroomlijnt. Binnen de Data Union Strategy fungeert dit voorstel als vereenvoudigingslaag, zodat organisaties niet worden geconfronteerd met tegenstrijdige rapportageverplichtingen wanneer ze zowel onder de Data Act, de DGA als de NIS-2 vallen.
