De Cloud Act for Data in Europe (CADA) introduceert een Europees erkenningsttelsel voor cloudleveranciers met labels als ‘Union-assured’, ’trusted’ en ‘sovereign’. Compliance officers en IT-beslissers in overheids-, juridische en gereguleerde sectoren moeten echter begrijpen dat deze erkenning een hulpmiddel is, geen vrijbrief: de AVG-verplichtingen van de verwerkingsverantwoordelijke blijven onverminderd van kracht.
Wat het EDPS-advies WK 13042/2026 INIT precies zegt
Het EDPS-advies van augustus 2026 (WK 13042/2026 INIT) is het meest gezaghebbende publieke standpunt over de verhouding tussen CADA-soevereiniteitserkenning en AVG-conformiteit. De EDPS stelt in dit advies onomwonden dat een certificering of label onder CADA de verwerkingsverantwoordelijke of verwerker niet ontslaat van zijn verplichtingen onder de AVG of de EUDPR (EU Data Protection Regulation voor EU-instellingen, Verordening 2018/1725).
“A certification or label under CADA does not relieve the controller or processor of its obligations under the GDPR or the EUDPR. The accountability for lawful processing remains with the institution concerned.” (EDPS, advies WK 13042/2026 INIT)
Concreet betekent dit dat CADA een afzonderlijk instrumentarium is gericht op marktordening en minimumvereisten voor cloudinfrastructuur, terwijl de AVG een fundamenteel recht op gegevensbescherming borgt. Beide regimes overlappen, maar zijn niet inwisselbaar. Een organisatie die een ‘sovereign’-gecertificeerde leverancier inzet, heeft daarmee aangetoond dat de leverancier aan bepaalde technische en operationele standaarden voldoet, maar heeft zelf nog geen enkel AVG-vereiste afgevinkt.
Waarom soevereiniteitserkenning geen automatische AVG-compliance geeft
CADA-erkenning beoordeelt de leverancier. De AVG verplicht de verwerkingsverantwoordelijke. Dat onderscheid is juridisch cruciaal.
De AVG legt in artikel 28 de verwerkingsverantwoordelijke de plicht op om uitsluitend gebruik te maken van verwerkers die voldoende garanties bieden, én om dit vast te leggen in een verwerkersovereenkomst met specifieke inhoudsvereisten. Een CADA-label biedt aanknopingspunten voor de beoordeling van technische en organisatorische maatregelen, maar vervangt de contractuele analyse niet. De verwerkingsverantwoordelijke moet bijvoorbeeld zelfstandig beoordelen of de verwerker passende subverwerkersbepalingen hanteert, of de beveiligingsincidentenprocedure aansluit bij zijn eigen verwerkingen, en of de bewaartermijnen in de overeenkomst overeenstemmen met zijn doelbindingsvereisten.
Bovendien adresseert CADA niet de rechtmatigheidsgrondslag van de verwerking zelf. Of een instelling persoonsgegevens mag verwerken in een specifieke ‘sovereign’ cloud, hangt af van het doel, de categorie van de data en de wettelijke basis, niet van de infrastructuurclassificatie van de leverancier.
Hoe compliance officers CADA-documenten gebruiken in DPIA en verwerkersovereenkomsten
CADA-auditrapportages en erkenningsdocumenten zijn bruikbaar als feitelijk bewijsmateriaal, mits ze op de juiste plaats in de compliance-keten worden ingezet.
DPIA-gebruik
In een DPIA onder AVG artikel 35 moet de verwerkingsverantwoordelijke de risico’s voor de rechten en vrijheden van betrokkenen beschrijven en de maatregelen om die risico’s te mitigeren. CADA-auditdocumenten kunnen als bijlage worden opgenomen om aan te tonen dat de leverancier aan specifieke technische vereisten voldoet, zoals encryptie-at-rest, logische scheiding van data en incident response-procedures. De CADA artikel 29(2)-risicobeoordeling, die de leverancier zelf heeft doorlopen, is in dit opzicht vergelijkbaar met een SOC 2 Type II-rapport: het geeft inzicht in de leverancierscontroles, maar dwingt de instelling om zelf te beoordelen of die controles toereikend zijn voor haar specifieke verwerkingsactiviteiten en datakwalificaties.
Verwerkersovereenkomsten
AVG artikel 28 vereist een schriftelijke overeenkomst die onder meer regelt: de aard en het doel van de verwerking, de categorie van persoonsgegevens, de instructiebevoegdheid van de verwerkingsverantwoordelijke, en de rechten van betrokkenen. CADA stelt geen inhoudsvereisten aan verwerkersovereenkomsten. Compliance officers moeten de CADA-erkenning van een leverancier dus beschouwen als een kwaliteitsindicator voor de technische infrastructuur, terwijl de contractuele clausules zelfstandig moeten worden opgesteld en getoetst aan artikel 28-vereisten.
Aanvullende AVG-verplichtingen: doorgiften en subverwerkers
Zelfs wanneer een leverancier het ‘sovereign’-label draagt, kunnen doorgiften buiten de EER plaatsvinden, bijvoorbeeld via subverwerkers voor technische ondersteuning, DDoS-bescherming of CDN-diensten. AVG artikel 46 vereist dat elke doorgifte naar een derde land is gedekt door een adequaatheidsbesluit of door passende waarborgen zoals standaardcontractbepalingen (SCCs), aangevuld met een Transfer Impact Assessment (TIA).
Het EDPS-advies benadrukt dat CADA artikel 18, dat de erkenning van derdelandsleveranciers regelt, en de doorgiftevereisten onder de AVG op elkaar moeten worden afgestemd. Een leverancier kan een CADA artikel 18-erkenning ontvangen op basis van equivalente wetgeving in zijn thuisland, maar die erkenning is niet automatisch gelijk aan een adequaatheidsbesluit voor AVG-doorgiftedoeleinden. De verwerkingsverantwoordelijke blijft zelf verantwoordelijk voor de doorgiftebeoordeling.
| Vereiste | CADA-erkenning dekt dit | AVG-verplichting blijft |
|---|---|---|
| Technische beveiligingsmaatregelen leverancier | Gedeeltelijk (via audit) | Verwerkingsverantwoordelijke beoordeelt geschiktheid voor eigen verwerking |
| Rechtmatigheidsgrondslag verwerking | Nee | Volledig bij verwerkingsverantwoordelijke |
| Verwerkersovereenkomst (art. 28 AVG) | Nee | Volledig bij verwerkingsverantwoordelijke |
| Doorgiftebeoordeling (art. 46 AVG) | Gedeeltelijk (art. 18 CADA voor derdelanden) | TIA en SCCs blijven verplicht bij niet-EER subverwerkers |
| DPIA (art. 35 AVG) | Nee (CADA art. 29(2) is anders van aard) | Volledig bij verwerkingsverantwoordelijke |
Statistiek: Volgens het ENISA Threat Landscape 2023 was ransomware de meest impactvolle cyberdreiging voor overheids- en gezondheidsinstellingen in de EU (ENISA, 2023). Dit onderstreept waarom de keuze van cloudinfrastructuur niet alleen een compliance-vraagstuk is, maar ook een operationele beveiligingskwestie waarbij subverwerkersbeheer direct het aanvalsoppervlak bepaalt.
Van Microsoft 365-besluit naar CADA: een doorlopende lijn
Het EDPS-besluit van maart 2024 over het gebruik van Microsoft 365 door de Europese Commissie vormt de directe voorloper van het CADA-advies. In dat besluit stelde het EDPS vast dat de Europese Commissie de EUDPR had geschonden doordat persoonsgegevens werden doorgegeven aan Microsoft in de VS zonder adequate waarborgen in de zin van artikel 46 AVG of het equivalent in de EUDPR.
“The use of Microsoft 365 by the European Commission involved the transfer of personal data to the United States without adequate safeguards, in breach of Regulation (EU) 2018/1725.” (EDPS, besluit inzake Microsoft 365, 2024)
Het CADA-advies bouwt op dezelfde redenering. De EDPS erkent dat CADA de juiste marktinfrastructuur kan helpen opbouwen voor soevereine cloudverwerking, maar herhaalt dat het gebruik van een gecertificeerde leverancier geen bewijs is van rechtmatige verwerking. De les van het Microsoft 365-besluit is dat het niet gaat om de naam of marktpositie van de leverancier, maar om de vraag of er daadwerkelijk adequate juridische en technische waarborgen zijn voor alle verwerkingen, inclusief telemetriedata, diagnostische gegevens en metadata.
Statistiek: De Europese Commissie schatte in de impact assessment bij de Data Act (2022) dat meer dan 70% van de Europese overheidsdata wordt verwerkt via diensten van niet-Europese cloudaanbieders (Europese Commissie, Data Act Impact Assessment, 2022). Dit verklaart waarom zowel het Microsoft 365-besluit als het CADA-advies structurele, niet incidentele problemen adresseren.
Zwitserse en andere niet-EU soevereine cloudleveranciers: wat de afstemming betekent
Een specifiek aandachtspunt in het EDPS-advies is de oproep om derdelandsbeoordelingen onder CADA en onder de AVG op elkaar af te stemmen. Dit heeft directe gevolgen voor organisaties die Zwitserse cloudleveranciers inzetten.
Zwitserland beschikt over een EU-adequaatheidsbesluit voor zijn nationale gegevensbeschermingswetgeving (nDSG). Dat adequaatheidsbesluit betreft echter de privacywetgeving, niet het ontbreken van buitenlandse toegangswetten. De Zwitserse Federal Intelligence Act (FISA) kent bepalingen die buitenlandse inlichtingendiensten onder bepaalde omstandigheden toegang kunnen geven tot communicatiedata. Een Transfer Impact Assessment blijft daarmee verplicht, ook bij Zwitserse leveranciers die een CADA artikel 18-erkenning hebben verkregen.
CADA artikel 18 beoordeelt of derdelandsleveranciers voldoen aan equivalente operationele en veiligheidsvereisten. Maar de EDPS maakt duidelijk dat die beoordeling niet dezelfde rechtsgevolgen heeft als een adequaatheidsbesluit onder AVG artikel 45. Organisaties in de publieke sector, de juridische sector en gereguleerde branches moeten beide sporen afzonderlijk documenteren: de CADA artikel 18-status van de leverancier als aanwijzing voor operationele soevereiniteit, en de eigen AVG artikel 46-beoordeling als bewijs van rechtmatige doorgifte.
Statistiek (herbevestiging in context): Het EDPS-besluit over Microsoft 365 werd gepubliceerd in maart 2024 en betrof het gebruik van de dienst door de Europese Commissie (EDPS, 2024). Het toont aan dat zelfs instellingen die denken gebruik te maken van geaccepteerde standaardsoftware, in strijd kunnen handelen met de EUDPR, precies omdat de doorgiftebeoordeling niet was uitgevoerd of gedocumenteerd.
Praktische implicaties voor compliance officers en IT-beslissers
Voor compliance officers in overheidsorganisaties, juridische kantoren en gereguleerde sectoren betekent het EDPS-advies concreet dat de accountability-documentatie op vier niveaus moet worden opgebouwd: de CADA-erkenningsdocumenten van de leverancier als basisbewijsmateriaal, de eigen DPIA met specifieke risicoweging per verwerkingsactiviteit, de AVG artikel 28-conforme verwerkersovereenkomst met subverwerkersbepalingen, en een Transfer Impact Assessment voor elke subverwerker buiten de EER, ook wanneer de hoofdleverancier als ‘sovereign’ is erkend.
IT-beslissers moeten bij aanbesteding en contractering niet alleen vragen naar het CADA-label van een leverancier, maar ook naar de volledige subverwerkersketen, de locatie van alle technische ondersteuningsteams, en de procedures bij overheidsverzoeken om toegang tot data. Juist dit laatste punt was de kern van het Microsoft 365-besluit: de CLOUD Act en vergelijkbare wetten betekenen dat fysieke datalocatie in Europa niet voldoende is als de leverancier onderhevig is aan de jurisdictie van een derdeland.
FAQ
Maakt een CADA-erkenning als ‘sovereign’ cloudleverancier het gebruik van die dienst automatisch AVG-conform?
Nee. Het EDPS-advies WK 13042/2026 INIT benadrukt expliciet dat CADA-erkenning de eigen AVG-verplichtingen van de verwerkingsverantwoordelijke niet opheft. De instelling blijft zelf verantwoordelijk voor rechtmatige verwerking, doorgiftebeoordelingen en de inhoud van verwerkersovereenkomsten.
Hoe gebruik ik CADA-auditdocumenten concreet in een DPIA?
CADA-auditrapportages en erkenningsdocumenten zijn bruikbaar als bewijs van technische en organisatorische maatregelen in de risicoanalyse (CADA artikel 29(2)). Ze vervangen echter niet de specifieke risicoweging voor de eigen verwerkingsactiviteiten, de classificatie van de data en de beoordeling van eventuele doorgiften buiten de EU.
Wat is het verband tussen het EDPS-besluit over Microsoft 365 (2024) en het CADA-advies?
Het EDPS-besluit uit 2024 stelde vast dat de Europese Commissie de EUDPR schond door persoonsgegevens via Microsoft 365 naar de VS door te geven. Het CADA-advies bouwt voort op dezelfde redenering: soevereiniteitslabels ontslaan instellingen niet van de verplichting om doorgiften zelfstandig te beoordelen aan de hand van AVG artikel 46 of EUDPR-equivalenten.
Wat betekent CADA artikel 18 voor organisaties die een Zwitserse cloudleverancier inzetten?
CADA artikel 18 regelt de erkenning van derdelandsleveranciers. Zwitserland heeft een EU-adequaatheidsbesluit voor gegevensbescherming, maar dat besluit betreft de privacywetgeving, niet het ontbreken van buitenlandse toegangswetten. Organisaties moeten een eigen Transfer Impact Assessment uitvoeren en controleren of de Zwitserse leverancier voldoet aan de CADA artikel 18-criteria én aan AVG artikel 46.
Welke documenten moet een compliance officer minimaal op orde hebben naast de CADA-erkenning van zijn cloudleverancier?
Minimaal vereist zijn: een actuele DPIA met specifieke risicoweging voor de eigen verwerkingen, een AVG artikel 28-conforme verwerkersovereenkomst met expliciete bepalingen over subverwerkers, een Transfer Impact Assessment bij gebruik van niet-EER-leveranciers of infrastructuur, en een register van verwerkingsactiviteiten dat de CADA-erkenning als ondersteunend bewijsstuk opneemt, maar niet als vervanging van de eigen accountability-documentatie.
