Metadatalekkage via telemetrie van cloudproviders vormt een soevereiniteitsrisico dat los staat van de vraag waar primaire bedrijfsdata is opgeslagen. Metadata, de gegevens over wie wanneer met wie communiceert, welke bestanden worden geopend en welke apparaten verbinding maken, kunnen een gedetailleerd beeld geven van een organisatie dat in sommige gevallen onthullender is dan de inhoud zelf.
Wat verzamelen cloudproviders naast uw bedrijfsdata?
Cloudproviders zoals Microsoft, Google en Amazon verzamelen structureel twee lagen van gegevens die organisaties doorgaans onderschatten: operationele metadata en diagnostische telemetrie.
Operationele metadata omvat informatie zoals tijdstempels van bestandstoegang, e-mailheaders (afzender, ontvanger, onderwerp, tijdstip), inloggebeurtenissen, IP-adressen, locatiegegevens van apparaten en samenwerkingspatronen in tools als Microsoft Teams. Deze data wordt door de dienstverlener bijgehouden om de dienst te kunnen leveren en is onlosmakelijk verbonden aan het gebruik.
Diagnostische telemetrie gaat verder: dit zijn gegevens over hoe de software zelf functioneert, welke functies een gebruiker aanklikt, foutmeldingen, prestatiegegevens en systeeminformatie. Microsoft Purview en de diagnostische gegevensverzameling in Microsoft 365 onderscheiden zogenoemde “vereiste diagnostische gegevens” van “optionele diagnostische gegevens”, maar beide categorieën worden standaard naar Microsoft-infrastructuur in de Verenigde Staten verzonden, ook wanneer de primaire klantdata in een EU-regio is opgeslagen. Dit staat expliciet gedocumenteerd in de Microsoft 365 Service Privacy Documentation.
Voor Google Workspace geldt een vergelijkbaar patroon: servicegebruiksdata, audit logs en diagnostische informatie worden verwerkt op infrastructuur die onder Amerikaans recht valt, ongeacht waar de primaire data is opgeslagen. AWS CloudTrail-logs, die API-aanroepen en gebruikersacties registreren, zijn eveneens onderhevig aan Amerikaanse rechtsmacht via de CLOUD Act.
De juridische gevolgen onder CLOUD Act en Section 702 FISA
De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht Amerikaanse elektronische-communicatiedienstaanbieders om data te overhandigen aan Amerikaanse autoriteiten op grond van een rechterlijk bevel, ongeacht waar die data fysiek is opgeslagen. Dit geldt expliciet ook voor metadata en telemetrie.
Section 702 van de Foreign Intelligence Surveillance Act (FISA) biedt de NSA en andere inlichtingendiensten de mogelijkheid om communicatiedata van niet-Amerikaanse personen te verzamelen via Amerikaanse aanbieders, zonder individuele rechterlijke toestemming per persoon. Organisaties in Europa die gebruik maken van Microsoft 365, Google Workspace of AWS vallen daarmee structureel binnen het bereik van dit wettelijk kader.
Een veelgehoord misverstand is dat gepseudonimiseerde metadata buiten dit bereik valt. Pseudonimisering verlaagt het privacyrisico voor commerciële doeleinden, maar biedt geen juridische bescherming onder de CLOUD Act of Section 702 FISA. Inlichtingendiensten beschikken over aanvullende datastromen waarmee pseudonieme identifiers gekoppeld kunnen worden aan echte personen. De LIBE-commissie van het Europees Parlement stelde al in haar onderzoeksrapport na de Snowden-onthullingen vast: “Metadata can be just as revealing as content, sometimes more so. Knowing who communicates with whom, when, and how often, can expose sensitive relationships and organizational structures.”
Het EDPS-besluit en de gevolgen voor EU-instellingen
In maart 2024 legde de European Data Protection Supervisor (EDPS) de Europese Commissie een tijdelijke verbodsmaatregel op wegens het gebruik van Microsoft 365. EDPS-voorzitter Wojciech Wiewiórowski formuleerde het als volgt: “The use of Microsoft 365 by the European Commission involved transfers of personal data to the United States and other third countries without ensuring an equivalent level of data protection.”
Dit besluit is om twee redenen richtinggevend voor bredere Europese organisaties. Ten eerste toont het aan dat zelfs het gebruik van contractuele standaardbepalingen (SCC’s) onvoldoende is wanneer de onderliggende telemetrie- en metadatastromen niet afzonderlijk zijn geadresseerd. Ten tweede bevestigt het dat de verwerkingsverantwoordelijke, in dit geval de Commissie zelf, verantwoordelijk is voor wat verwerkers doen met metagegevens, ook wanneer dat niet de kern van de dienst is.
CADA artikel 16 en soevereiniteitsniveaus voor metadata
De Cybersecurity Act Delegated Act (CADA), die cloudservices certificeert voor gebruik door overheidsinstanties en kritieke sectoren, stelt in artikel 16 lid VI voor soevereiniteitsniveau 2 en hoger expliciet als eis dat ook metadata en telemetriedata uitsluitend binnen de EU worden verwerkt en opgeslagen. Dit vereiste gaat dus verder dan alleen de primaire bedrijfsdata.
Voor compliance-officers betekent dit concreet dat zij moeten kunnen aantonen dat alle gegevensstromen van de cloudprovider, inclusief diagnostische kanalen, audit logs en telemetrie-eindpunten, geografisch beperkt zijn tot de EU. Een verklaring van de provider in een verwerkersovereenkomst is hiervoor onvoldoende; er is technisch bewijs nodig in de vorm van netwerklogboeken en provider-documentatie die de telemetrie-eindpunten per regio specificeert.
| CADA soevereiniteitsniveau | Vereiste voor primaire data | Vereiste voor metadata en telemetrie | Typische toepassingssector |
|---|---|---|---|
| Niveau 1 (basis) | EU-opslag aanbevolen | Geen expliciete beperking | Commerciële organisaties |
| Niveau 2 (hoog) | EU-opslag verplicht | EU-verwerking en -opslag verplicht (art. 16 lid VI) | Overheid, gezondheidszorg, juridische sector |
| Niveau 3 (zeer hoog) | EU-opslag verplicht, extra toegangsbeheersing | EU-verwerking verplicht, geen toegang externe beheerders | Defensie, kritieke infrastructuur, inlichtingendiensten |
AVG-verplichtingen voor verwerkingsverantwoordelijken
AVG artikel 5 verplicht verwerkingsverantwoordelijken tot doelbinding: persoonsgegevens mogen uitsluitend worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, en mogen niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Dit principe is direct van toepassing op metadataverwerking door cloudproviders.
De praktijk laat zien dat de doeleinden waarvoor Microsoft 365 diagnostische telemetrie verzamelt, namelijk productontwikkeling, foutopsporing en gebruiksanalyse, niet noodzakelijk overeenkomen met de doeleinden van de verwerkingsverantwoordelijke. Een advocatenkantoor dat Microsoft 365 inzet voor het beheren van cliëntdossiers, verleent daarmee feitelijk ook toestemming voor de verwerking van communicatiepatronen voor doeleinden van Microsoft zelf, tenzij dit contractueel is uitgesloten en technisch geblokkeerd.
Gegevensminimalisatie, eveneens vastgelegd in AVG artikel 5, vereist dat metadata niet in grotere hoeveelheden wordt verzameld dan noodzakelijk voor het doel. Organisaties die werken met de standaardinstellingen van Microsoft 365 of Google Workspace voldoen in de praktijk zelden aan dit vereiste zonder aanvullende configuratie of contractuele beperkingen.
Technische maatregelen om metadatadoorstroom te detecteren en beheersen
Contractuele waarborgen alleen zijn onvoldoende. NIS-2 Implementing Regulation (EU) 2024/2690 legt voor aanbieders van essentiële en belangrijke diensten specifieke loggingvereisten op, waaronder het bijhouden van netwerktoegangsgebeurtenissen en het monitoren van uitgaand verkeer. Deze vereisten bieden organisaties ook een kader voor hun eigen technische beheersing van metadatadoorstroom.
De meest effectieve technische aanpak combineert drie lagen:
Netwerkmonitoring op egress-niveau: Door uitgaand verkeer te analyseren op DNS-queries en TLS SNI-waarden (Server Name Indication) kunnen IT-teams vaststellen naar welke eindpunten telemetrie wordt verzonden. Microsoft publiceert een lijst van telemetrie-eindpunten voor Microsoft 365, maar deze lijst is niet statisch. Continu monitoring via een SIEM-platform, gekoppeld aan een IP-reputatiedatabase die geografische toewijzing ondersteunt, maakt het mogelijk om onverwachte verbindingen naar Amerikaanse IP-blokken te signaleren.
SOC-logging en audittrails: Organisaties die vallen onder NIS-2 moeten kunnen aantonen dat zij afwijkingen in hun gegevensstromen tijdig detecteren. Logbestanden van firewalls en proxy’s die telemetrie-verbindingen registreren, vormen het technische bewijs dat bij een CADA-audit of AVG-handhavingsonderzoek vereist is.
Contractuele clausules met afdwingbare verplichtingen: Een verwerkersovereenkomst moet expliciet benoemen welke telemetrie-categorieën zijn uitgesloten van verwerking buiten de EU, welke eindpunten de provider mag gebruiken, en welke auditrechten de verwerkingsverantwoordelijke heeft. Generieke bepalingen als “wij zullen passende maatregelen nemen” zijn juridisch niet afdwingbaar bij een specifiek incident.
Wat betekent dit voor organisaties die overwegen te migreren?
Organisaties in de juridische sector, het openbaar bestuur en de gezondheidszorg die hun soevereiniteitsrisico willen beperken, staan voor een afweging die verder gaat dan alleen de opslaglocatie van bestanden. De telemetrielaag van grote Amerikaanse cloudplatformen is technisch en juridisch ingebed in de dienstverlening en kan niet eenvoudig worden losgekoppeld via instellingen of contracten.
Alternatieven die zowel primaire data als telemetrie volledig binnen de EU of on-premise houden, vereisen platforms waarbij de leverancier zelf geen toegang heeft tot diagnostische gegevens. Open-source samenwerkingsplatformen die organisaties zelf hosten, of aanbieders die uitsluitend Europese infrastructuur gebruiken zonder Amerikaanse moedermaatschappij of subverwerkers, bieden juridisch een robuustere basis voor compliance met CADA artikel 16, de AVG en NIS-2.
De technische migratie zelf vraagt om een gestructureerde analyse van alle telemetrie-eindpunten in het huidige platform, gevolgd door een contractuele en technische verificatie dat het nieuwe platform deze datastromen niet repliceert naar derde landen. Dit is geen eenmalige handeling, maar een doorlopende beheersing die geborgd moet zijn in het informatiebeveiligingsbeleid van de organisatie.
Veelgestelde vragen
Valt telemetrie van Microsoft 365 onder de AVG?
Ja. Telemetrie die herleidbaar is tot een natuurlijke persoon, zoals gebruikers-ID’s, tijdstempels of apparaat-ID’s, is een persoonsgegeven in de zin van AVG artikel 4. De verwerkingsverantwoordelijke moet hiervoor een grondslag aanwijzen en de doelbinding borgen conform AVG artikel 5.
Kan een Amerikaanse rechter metadata opvragen die in een EU-datacenter is opgeslagen?
Ja. De CLOUD Act verplicht Amerikaanse aanbieders data te verstrekken aan Amerikaanse autoriteiten, ongeacht de fysieke opslaglocatie. Ook Section 702 FISA biedt toegang tot communicatiedata van niet-Amerikanen via Amerikaanse elektronische-communicatiedienstaanbieders, zonder dat de betrokkene hiervan op de hoogte wordt gesteld.
Wat houdt CADA artikel 16 in voor metadata en telemetrie?
CADA artikel 16 lid VI stelt voor cloudservices op soevereiniteitsniveau 2 en hoger als eis dat ook metadata en telemetriedata uitsluitend binnen de EU worden verwerkt en opgeslagen. Dit gaat verder dan alleen de primaire bedrijfsdata en vereist dat organisaties contractueel en technisch aantoonbaar maken dat telemetrie niet naar derde landen stroomt.
Zijn gepseudonimiseerde metadata veilig voor inlichtingenopvraging?
Nee. Pseudonimisering verlaagt het risico voor commerciële doeleinden, maar biedt geen bescherming onder de CLOUD Act of Section 702 FISA. Inlichtingendiensten kunnen pseudonieme identifiers koppelen aan andere datastromen om heridentificatie te realiseren. Het EDPS en de LIBE-commissie van het Europees Parlement hebben hier expliciet voor gewaarschuwd.
Welke technische maatregel heeft het meeste effect om metadatadoorstroom te detecteren?
De combinatie van uitgaand netwerkverkeer monitoren via egress filtering op DNS- en TLS SNI-niveau, een SIEM-koppeling met SOC-logging conform NIS-2 Implementing Regulation (EU) 2024/2690, en contractuele verplichtingen die de provider dwingen telemetrie-eindpunten te documenteren, biedt de meest aantoonbare beheersing. Enkel contractuele clausules zonder technische monitoring zijn onvoldoende.
