Sovereigntywashing is het verschijnsel waarbij cloudaanbieders, met name grote Amerikaanse hyperscalers, hun diensten presenteren als juridisch soeverein voor Europese klanten, terwijl de onderliggende eigendoms- en rechtsstructuur extraterritoriale toegang door Amerikaanse autoriteiten onaangetast laat. Voor compliance officers in de publieke sector, de juridische wereld en gereguleerde branches is het herkennen van dit patroon inmiddels een kerncompetentie geworden.
Waarom datalokalisatie in EU-datacenters geen juridische bescherming biedt
De meest gangbare vorm van sovereigntywashing is het communiceren van een EU-datacenterlocatie alsof die locatie de juridische blootstelling aan Amerikaans recht opheft. Dat is onjuist.
De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht in de VS gevestigde cloudaanbieders om op rechtsgeldige vorderingen van Amerikaanse autoriteiten data te verstrekken, ongeacht waar die data fysiek is opgeslagen. Microsoft, Google en Amazon Web Services zijn alle drie in de VS gevestigd en vallen daarmee permanent onder deze wet. Een bevel onder de CLOUD Act kan worden gericht aan de Amerikaanse moedermaatschappij voor data die in Amsterdam of Frankfurt staat opgeslagen.
Daar bovenop geldt Section 702 FISA (Foreign Intelligence Surveillance Act), op grond waarvan de NSA en andere inlichtingendiensten gerichte surveillance kunnen uitvoeren op buitenlandse personen die gebruikmaken van diensten van Amerikaanse aanbieders. In 2022 verleende de NSA op basis van Section 702 FISA toegang tot meer dan 232.000 buitenlandse accounts bij Amerikaanse technologiebedrijven, zo bleek uit het jaarverslag van de Office of the Director of National Intelligence (2023).
Dit standpunt wordt bevestigd door privacyrechtadvocaat Max Schrems, oprichter van noyb: “Datalokalisatie zonder juridische ontkoppeling van de Amerikaanse moedermaatschappij is een marketingclaim, geen rechtsbescherming.”
Het CADA SEAL-systeem als analysemodel
De CADA SEAL-indeling (Cloud & Cybersecurity Alliance) biedt een gestructureerd kader om cloudaanbiedingen te rangschikken op daadwerkelijke soevereiniteit. Het onderscheid tussen de vier niveaus is voor aanbestedingen en risicoanalyses direct bruikbaar.
| CADA SEAL-niveau | Omschrijving | Voorbeeld | Jurisdictierisico |
|---|---|---|---|
| SEAL-1 | Amerikaanse hyperscaler, EU-regio | Microsoft Azure West Europe, AWS Frankfurt | Volledig blootgesteld aan CLOUD Act en FISA 702 |
| SEAL-2 | Joint venture of licentiemodel, Europese operator | Proximus/S3NS (Google Cloud-technologie, Belgisch beheer) | Verminderd operationeel risico, residueel juridisch risico via technologieleverancier |
| SEAL-3 | Volledig Europees eigendom en beheer | OVHcloud (Fr), STACKIT (De) | Geen directe CLOUD Act-blootstelling; wel afhankelijkheid van Amerikaanse software-stack mogelijk |
| SEAL-4 | On-premise of privécloud, volledig eigen beheer | Eigen datacenter of gecertificeerde colocatie | Minimaal, mits geen Amerikaanse softwarecomponenten met telemetrieverbindingen |
Het bijzondere geval Proximus/S3NS (SEAL-2)
S3NS is een joint venture waarbij Google Cloud de technologie levert en Proximus (Belgisch staatsbedrijf) het operationeel beheer en de encryptiesleutels beheert. Dit model, ook wel “Trusted Cloud” of “operator-managed keys” genoemd, reduceert het risico dat Google zelfstandig aan een Amerikaans bevel gehoor kan geven, omdat de sleutels niet in handen van Google zijn. Toch bestaat er een residueel juridisch risico: de technologieafhankelijkheid van Google betekent dat softwareupdates, certificaten en infrastructuurcomponenten alsnog via Google lopen. Voor aanbestedingsdocumentatie moet dit onderscheid expliciet worden benoemd: SEAL-2 is niet SEAL-3.
SEAL-3: OVHcloud en STACKIT
OVHcloud (Frans) en STACKIT (Schwarz Gruppe, Duits) zijn volledig Europees in eigendom en vallen niet onder de CLOUD Act. Zij kunnen geen door de VS uitgevaardigde bevelen ontvangen die hun Europese entiteit direct binden. Voor overheidsinstellingen en organisaties onder NIS-2 die gevoelige of gerubriceerde data verwerken, vormt SEAL-3 de praktische ondergrens voor een verdedigbare cloudkeuze. SEAL-4, een volledig eigen omgeving, blijft de meest robuuste optie maar vergt aanzienlijk meer operationele capaciteit.
Het Cloud Sovereignty Framework van de Europese Commissie
De Europese Commissie heeft via DG CONNECT een Cloud Sovereignty Framework ontwikkeld dat vier toetsingsdimensies onderscheidt voor het beoordelen van cloudaanbiedingen bij aanbestedingen en beleidsvorming.
De vier dimensies zijn: juridische soevereiniteit (welk nationaal en supranationaal recht is van toepassing), operationele soevereiniteit (wie heeft daadwerkelijk beheer en toegang), technische soevereiniteit (wie beheert de encryptie en de sleutels) en economische soevereiniteit (wie heeft doorslaggevende zeggenschap over de aanbieder). De Commissie stelt dat alleen wanneer alle vier dimensies voldoen, van een werkelijk soevereine aanbieding kan worden gesproken. Een aanbieding die enkel op de technische dimensie scoort maar de juridische dimensie negeert, is per definitie sovereigntywashing.
De Europese Commissie formuleert het zelf als volgt: “The location of data in Europe does not exclude the application of US law if the cloud provider is subject to US jurisdiction.” (Cloud Sovereignty Framework, DG CONNECT)
De rol van EUCS en de politieke discussie over eigendomsvereisten
Het EUCS (European Cybersecurity Certification Scheme for Cloud Services) is het certificeringskader dat ENISA ontwikkelt op basis van de EU Cybersecurity Act. Het EUCS onderscheidt drie assuranceniveaus: Basis, Substantieel en Hoog. Het Hoog-niveau was in eerdere conceptversies voorzien van een zogenoemde immuniteitseis: aanbieders zonder doorslaggevende zeggenschap van niet-EU-entiteiten zouden als enige voor het hoogste niveau in aanmerking komen.
Onder druk van lobbying door Amerikaanse hyperscalers en enkele EU-lidstaten is die eigendomseis in latere conceptversies afgezwakt. Het Europees Parlement waarschuwde in studie 24-9 (2024) expliciet dat het schrappen van eigendomsvereisten de deur openzet voor sovereigntywashing op certificeringniveau: aanbieders die CLOUD Act-gebonden zijn, zouden dan toch het hoogste EUCS-niveau kunnen behalen, wat de waarde van het keurmerk voor overheden ernstig ondermijnt.
Minimale contractuele en technische vereisten om sovereigntywashing te vermijden
Een cloudoplossing wordt aangemerkt als sovereigntywashing wanneer de marketingclaim verder gaat dan wat juridisch en technisch aantoonbaar is. De volgende maatregelen zijn minimaal nodig om dat verwijt te vermijden en om een aanbesteding te kunnen onderbouwen.
Op technisch vlak: end-to-end-encryptie waarbij de sleutels uitsluitend bij de klantorganisatie of een onafhankelijke Europese trustee berusten. De cloudprovider mag nooit technische mogelijkheid hebben om data in klare tekst in te zien, ook niet voor onderhoud of incident response. Aanvullend zijn zero-trust-architectuur, logging van alle beheertoegang en regelmatige penetratietesten door onafhankelijke partijen vereist.
Op contractueel en juridisch vlak: de verwerkersovereenkomst moet expliciet uitsluiten dat subverwerkers buiten de EER worden ingezet, én dat de aanbieder op verzoek van buitenlandse autoriteiten data verstrekt zonder voorafgaande kennisgeving aan de klantorganisatie voor zover wettelijk toegestaan. Contracten moeten een auditrecht bevatten dat de klant in staat stelt technische en organisatorische maatregelen onafhankelijk te laten verificeren.
Op documentatieniveau: voor aanbestedingsdoeleinden documenteert de compliance officer het CADA SEAL-niveau van de aanbieding, de uitkomst van de toetsing aan de vier dimensies van het Cloud Sovereignty Framework, het geplande EUCS-assuranceniveau en eventuele aanvullende nationale certificeringen. Voor SEAL-2-aanbiedingen zoals Proximus/S3NS wordt specifiek beschreven welke componenten alsnog via de Amerikaanse technologieleverancier lopen en welk residueel risico daaraan verbonden is.
Praktische aanpak voor compliance officers
De combinatie van het Cloud Sovereignty Framework, de CADA SEAL-indeling en het EUCS-kader geeft compliance officers een reproduceerbaar analyseproces. Dat proces verloopt in drie stappen: eerst de juridische kwalificatie (welk recht geldt voor welke entiteit in de keten), dan de technische verificatie (wie heeft feitelijke toegang tot welke data en sleutels) en ten slotte de documentatie van resterende risico’s met bijbehorende mitigerende maatregelen.
Voor organisaties onder NIS-2 is dit geen vrijblijvende oefening. NIS-2 vereist dat significante entiteiten aantoonbaar risico’s in hun toeleveringsketen beheersen, inclusief cloudleveranciers. Een cloudkeuze die later als sovereigntywashing wordt gekwalificeerd, vormt een direct compliance-risico onder NIS-2 en een potentieel GDPR-schending wanneer persoonsgegevens onrechtmatig toegankelijk worden voor derde landen.
Veelgestelde vragen
Is een Microsoft Azure-datacenter in Nederland juridisch soeverein onder de GDPR?
Nee. Microsoft is een Amerikaans bedrijf en valt daarmee onder de CLOUD Act en Section 702 FISA. De fysieke locatie van de data in Nederland ontslaat Microsoft niet van de verplichting om op bevel van Amerikaanse autoriteiten toegang te verlenen, ongeacht contractuele beloften over datalokalisatie.
Wat is het praktische verschil tussen CADA SEAL-1 en SEAL-3?
SEAL-1 omvat Amerikaanse hyperscalers die data in een EU-regio opslaan maar juridisch aanspreekbaar blijven in de VS. SEAL-3 vereist dat de cloudprovider volledig Europees is qua eigendom, beheer en juridische zeggenschapsketen, zonder doorslaggevende banden met niet-EU-moedermaatschappijen.
Wat maakt de Proximus/S3NS joint venture anders dan een volledige hyperscaler-aanbieding?
S3NS valt onder SEAL-2. De technologie is Google-gebaseerd maar het operationeel beheer en de encryptiesleutels liggen bij de Belgische entiteit. Dit verkleint het risico op directe toegang, maar sluit extraterritoriale juridische druk op Google als technologieleverancier niet volledig uit. Voor aanbestedingen moet dit verschil expliciet worden gedocumenteerd.
Wat toetst de Europese Commissie via het Cloud Sovereignty Framework?
Het Cloud Sovereignty Framework van DG CONNECT beoordeelt vier dimensies: juridische soevereiniteit, operationele soevereiniteit, technische soevereiniteit (encryptie en sleutelbeheer) en economische soevereiniteit (eigendomsstructuur). Alleen wanneer alle vier dimensies voldoen, spreekt de Commissie van een werkelijk soevereine aanbieding.
Welke minimale maatregelen voorkomen dat een cloudoplossing als sovereigntywashing wordt bestempeld?
Minimaal vereist zijn: end-to-end-encryptie waarbij sleutels nooit bij de cloudprovider berusten, een aantoonbaar Europese eigendomsstructuur zonder doorslaggevende zeggenschap van niet-EU-entiteiten, contractuele uitsluiting van subverwerking buiten de EER en onafhankelijke auditrechten. Certificering op EUCS Hoog-niveau of CADA SEAL-3 of hoger ondersteunt de documentatie voor aanbestedingen.
