De Data Act, Verordening (EU) 2023/2854, is per 12 september 2023 in werking getreden en bevat voor het eerst bindende Europese regels over het recht van organisaties om van cloudleverancier te wisselen. Voor compliance officers en IT-beslissers in overheid, juridische dienstverlening en andere gereguleerde sectoren verandert deze verordening de structurele machtsverhoudingen ten opzichte van grote Amerikaanse hyperscalers, maar alleen als organisaties de nieuwe rechten actief benutten en begrijpen waar de grenzen liggen.
Wat hoofdstuk VI van de Data Act concreet verandert voor cloudmigratie
Hoofdstuk VI (artikelen 23 tot en met 31) van Verordening (EU) 2023/2854 legt cloudleveranciers voor het eerst afdwingbare verplichtingen op rondom portabiliteit en switching. De kern is eenvoudig: een cloudprovider mag een klant die wil overstappen niet langer technisch of financieel gevangen houden.
De meest directe consequentie voor de migratiebusiness case is de afschaffing van egresskosten. Tot 12 januari 2027 mogen providers nog gereduceerde tarieven hanteren, maar die mogen niet prohibitief zijn. Vanaf die datum zijn egresskosten volledig verboden. Dit is relevant omdat overdrachtskosten voor data-intensieve workloads vóór de Data Act tot 6 à 10 procent van de totale clouduitgaven konden bedragen, zo blijkt uit het impact assessment van de Europese Commissie (SWD(2022) 34, 2022). Voor een overheidsorganisatie met enkele tientallen terabytes aan documentopslag kan dat verschil bij een migratie naar on-premise of een soevereine Europese provider al snel oplopen tot zes- of zevencijferige bedragen.
Artikel 25 verplicht providers bovendien tot het aanbieden van een gestructureerd overstapproces, inclusief het overdragen van configuraties, metadata en gekoppelde diensten. Dit gaat verder dan louter data-export: ook de inrichtingsdata die nodig is om een werkende omgeving elders op te bouwen, valt onder de verplichting.
Artikel 30 lid 3 en de open interface-verplichting: vendor lock-in doorbreken
Artikel 30 lid 3 van de Data Act verplicht PaaS- en SaaS-providers tot het aanbieden van technische interfaces waarmee klanten alle door hen gegenereerde data kunnen exporteren in een machineleesbaar, algemeen gebruikt formaat. De interfaces moeten gedocumenteerd zijn en mogen niet worden belemmerd door technische barrières of contractuele beperkingen.
Voor organisaties die vastzitten in Microsoft 365 betekent dit concreet dat SharePoint-documenten, Exchange-maildata, Teams-opnames en OneDrive-bestanden via afdwingbare exportmechanismen beschikbaar moeten zijn. Hetzelfde geldt voor Google Workspace. De verplichting omvat niet alleen ruwe bestanden, maar ook de contextdata en structuur die nodig zijn voor functioneel gebruik elders, bijvoorbeeld in een soevereine Nextcloud-omgeving.
De standaardisatieorganisatie CEN-CLC/JTC 25 werkt in opdracht van de Europese Commissie aan technische normen die invulling geven aan wat “machineleesbaar en interoperabel” precies betekent per dienst-categorie. Zodra die normen zijn vastgesteld, worden ze de referentie waartegen providers hun interfaces moeten meten. Organisaties die nu al met leveranciers onderhandelen, kunnen in contracten verwijzen naar de toekomstige JTC 25-normen als minimumeis.
Het vroegere SWIPO-gedragscode-kader, dat cloudproviders op vrijwillige basis volgden, is met de inwerkingtreding van de Data Act vervangen door dit bindende kader. Vrijwillige naleving was aantoonbaar onvoldoende: ENISA rapporteerde in 2023 dat 65 procent van Europese overheidsorganisaties afhankelijk was van één of twee grote hyperscalers, ondanks het bestaan van SWIPO.
Bescherming tegen derdelandsverzoeken: hoofdstuk VII versus de CLOUD Act
Hoofdstuk VII van Verordening (EU) 2023/2854 (artikelen 32 tot en met 35) richt zich op de bescherming van niet-persoonsgebonden data in de cloud tegen onrechtmatige toegangsverzoeken van autoriteiten buiten de EU. Dit raakt rechtstreeks de langlopende juridische spanning tussen Europese GDPR-verplichtingen en de extraterritoriale werking van de Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) en de bredere bevoegdheden van de Patriot Act.
Artikel 32 verplicht cloudproviders om dergelijke verzoeken actief te betwisten via alle beschikbare rechtsmiddelen, vóór zij gegevens overdragen, én om de klant te informeren tenzij een wettelijk verbod dat verhindert. De Europese Commissie formuleert dit als volgt in de toelichting bij de verordening: “De Data Act is een fundamentele verschuiving: voor het eerst kunnen bedrijven en overheden hun cloudleverancier contractueel dwingen tot medewerking aan een overstap, inclusief het overdragen van configuraties en metadata.”
Het European Data Protection Board (EDPB) heeft benadrukt dat artikel 32 providers verplicht om alle redelijke maatregelen te nemen om toegang door derdelandsautoriteiten te betwisten en dit te documenteren richting de klant. Dit is een procedurele bescherming, geen absolute. De CLOUD Act kent mechanismen waarmee Amerikaanse rechtbanken providers kunnen verplichten data te overhandigen, ook als die data fysiek in Europa staat, zolang de provider een Amerikaans bedrijf is. Microsoft, Amazon Web Services en Google zijn allemaal Amerikaans bedrijf in de zin van de CLOUD Act.
Microsoft ontving in het fiscale jaar 2023 meer dan 4.800 wettelijke verzoeken van overheden wereldwijd, inclusief verzoeken onder de CLOUD Act, zo blijkt uit het eigen transparantierapport (Microsoft Law Enforcement Requests Report, 2023). Dat getal illustreert de omvang van de praktische dreiging, ook voor Europese data die bij Amerikaanse providers is opgeslagen.
Digital Omnibus 2025 en de gaten in de switchverplichtingen
De Europese Commissie publiceerde in 2025 het Staff Working Document SWD(2025) 836, onderdeel van het Digital Omnibus-pakket, dat voorstelt om de administratieve lasten van digitale regelgeving te verlichten. Voor de Data Act heeft dit ingrijpende consequenties voor de reikwijdte van de switchverplichtingen.
| Categorie | Data Act (huidig) | Digital Omnibus 2025 (voorstel) |
|---|---|---|
| Micro-ondernemingen als cloudprovider | Volledig onder switchverplichtingen | Tijdelijke uitzondering voorgesteld |
| Maatwerkdiensten (custom SaaS) | Open interface-verplichting van toepassing | Buiten scope open interface-verplichting |
| Grote providers (Microsoft, Google) | Volledig van toepassing | Geen wijziging voorgesteld |
| Egresskosten | Verbod per 12 januari 2027 | Geen wijziging voorgesteld |
Het gat dat ontstaat door de maatwerkuitzondering is substantieel voor organisaties die gebruik maken van gespecialiseerde modules als Microsoft Power Platform, Dynamics 365 of vergelijkbare maatwerkinrichtingen. Die diensten kunnen buiten de sterkste portabiliteitsrechten vallen als de Omnibus-voorstellen worden aangenomen. Organisaties die nu afhankelijk zijn van zulke diensten, lopen het risico dat hun migratie naar een soevereine omgeving technisch afdwingbaar blijft voor standaardfunctionaliteit maar feitelijk onmogelijk wordt voor de maatwerklagen.
CADA-soevereiniteitsniveaus en aanvullende eisen voor publieke organisaties
De Data Act biedt het juridische raamwerk voor portabiliteit, maar voldoet niet automatisch aan de eisen die gelden voor publieke organisaties op grond van nationaal en Europees soevereiniteitsbeleid. De CADA (het kader voor digitale autonomie bij cloudgebruik in de publieke sector, met name artikelen 29 en 30) legt overheidsorganisaties een expliciete risicobeoordelingsplicht op bij cloudmigratie.
Artikelen 29 en 30 van de CADA onderscheiden soevereiniteitsniveaus op basis van de gevoeligheid van de verwerkte data. Voor de zwaarste categorieën, denk aan staatsgeheimen, medische dossiers of justitiële data, geldt dat de doelomgeving fysiek in de EU moet zijn gesitueerd, dat de provider niet onderworpen mag zijn aan extraterritoriale wetgeving van derde landen, en dat encryptie met klant-beheerde sleutels verplicht is.
De Data Act garandeert dat een organisatie haar data kan meenemen. De CADA-risicobeoordelingsplicht gaat verder: zij verplicht de organisatie ook aan te tonen dat de bestemming veilig is. Een migratie van Microsoft 365 naar een soevereine Nextcloud-omgeving op Zwitserse of Nederlandse infrastructuur voldoet aan de portabiliteitsrechten van de Data Act, maar voldoet aan de CADA-eisen alleen als de omgeving aantoonbaar buiten de reikwijdte van de CLOUD Act valt, de sleutels bij de organisatie zelf berusten, en de provider geen moedermaatschappij of dochteronderneming heeft die onder Amerikaans recht valt.
Voor NIS-2-plichtige organisaties geldt aanvullend dat de keuze van cloudprovider en de migratieprocedure zelf als een significant informatiebeveiligingsrisico moeten worden behandeld, gedocumenteerd en gemeld aan de relevante toezichthouder als de migratieperiode risico’s introduceert voor de continuïteit van kritieke processen.
Praktische consequenties voor de migratiebusiness case
De combinatie van afschaffende egresskosten, afdwingbare open interfaces via artikel 30 lid 3, en de beschermingsverplichting van artikel 32 maakt de business case voor migratie naar soevereine infrastructuur structureel gunstiger dan vóór september 2023. Tegelijk geldt dat de juridische rechten op papier niet automatisch leiden tot een technisch vlekkeloze overstap.
Organisaties die van Microsoft 365 willen migreren naar een soevereine werkplek (zoals een zelf-gehoste of Europees-gehoste Nextcloud-omgeving met quantum-veilige encryptie en lokale AI zonder training op klantdata) doen er verstandig aan de volgende stappen te ondernemen vóór de contractvervaldatum: een formeel beroep op artikel 25 indienen voor het overstapproces, de exportinterfaces van artikel 30 lid 3 documenteren en testen, en contractueel vastleggen dat egresskosten per 12 januari 2027 of eerder komen te vervallen. Het is verstandig dit parallel te laten lopen met een CADA-risicobeoordeling en de NIS-2-meldingsplicht in kaart te brengen voor de migratieperiode zelf.
FAQ: Data Act cloud switching en soevereiniteit
Vanaf wanneer mogen cloudleveranciers geen egresskosten meer rekenen?
Verordening (EU) 2023/2854 bepaalt in hoofdstuk VI dat egresskosten uiterlijk per 12 januari 2027 volledig worden afgeschaft. In de overgangsperiode tot die datum mogen providers alleen nog gereduceerde tarieven hanteren die niet prohibitief mogen zijn. Organisaties die nu contracten verlengen, kunnen dit recht expliciet in de contracttekst verankeren.
Wat doet Data Act hoofdstuk VII concreet tegen CLOUD Act-verzoeken?
Artikel 32 verplicht cloudproviders om onrechtmatige of disproportionele toegangsverzoeken van autoriteiten buiten de EU actief te betwisten via alle beschikbare rechtsmiddelen, vóór zij gegevens overdragen. Zij moeten de klant informeren tenzij een wettelijk verbod dat verhindert. Dit biedt procedurele bescherming, maar geen technische garantie. End-to-end versleuteling met klant-beheerde sleutels is de enige zekere aanvullende maatregel.
Wat zijn de minimumvereisten van artikel 30 lid 3 voor open interfaces?
PaaS- en SaaS-providers moeten technische interfaces aanbieden waarmee klanten alle door hen gegenereerde data kunnen exporteren in een machineleesbaar en algemeen gebruikt formaat. De interfaces moeten gedocumenteerd zijn en de overdracht mag niet worden belemmerd door onredelijke technische barrières of contractuele restricties. CEN-CLC/JTC 25 werkt aan technische normen die de invulling hiervan concretiseren.
Wat verandert de Digital Omnibus 2025 voor maatwerkleveranciers?
Het Staff Working Document SWD(2025) 836 stelt voor om maatwerkdiensten buiten de scope van de open interface-verplichting te plaatsen en micro-ondernemingen tijdelijk uit te zonderen van de switchverplichtingen. Dit creëert een gat voor organisaties die afhankelijk zijn van gespecialiseerde maatwerkinrichtingen bij grote providers, zoals Microsoft Power Platform of Dynamics 365: die onderdelen kunnen buiten de sterkste portabiliteitsrechten vallen als de voorstellen worden aangenomen.
Wat is het verschil tussen Data Act-portabiliteit en CADA-soevereiniteitseisen?
De Data Act garandeert het technische recht om data mee te nemen bij een overstap. De CADA-artikelen 29 en 30 verplichten publieke organisaties aanvullend aan te tonen dat de doelomgeving voldoet aan het vereiste soevereiniteitsniveau: fysieke opslag in de EU, afwezigheid van extraterritoriale juridische risico’s, en encryptie met klant-beheerde sleutels. Portabiliteitsrecht en soevereiniteitscompliance zijn juridisch complementair maar niet identiek.
