Een soevereine cloud voor de nonprofitsector is een digitale infrastructuur waarbij de volledige juridische en technische controle over persoonsgegevens bij een Europese entiteit berust, zonder blootstelling aan extraterritoriale wetgeving van derde landen. Voor goede doelen, vakbonden en belangenverenigingen is dit geen luxe: het is een voorwaarde voor AVG-naleving en voor het behoud van donorvertrouwelijkheid.
Waarom gratis Big Tech-cloud nonprofits duurder uitkomt dan gedacht
Gratis of sterk gereduceerde cloudpakketten voor nonprofits, zoals Google Workspace for Nonprofits en Microsoft 365 voor goede doelen, worden breed geadopteerd omdat de budgetten krap zijn. Toch brengen ze een juridisch risico met zich mee dat zelden volledig wordt doorgerekend.
Google LLC en Microsoft Corporation zijn Amerikaanse rechtspersonen die vallen onder de Clarifying Lawful Overseas Use of Data Act (CLOUD Act) van 2018. Deze wet verplicht hen op bevel van een Amerikaanse rechtbank gegevens te overhandigen aan Amerikaanse autoriteiten, ook wanneer die gegevens fysiek op Europese servers staan. Een verwerkersovereenkomst conform AVG artikel 28 beschermt hier niet tegen: de verwerker kan nu eenmaal geen Europees recht stellen boven een Amerikaanse wettelijke verplichting.
Voor nonprofits die AVG artikel 9-categorieën verwerken, namelijk bijzondere categorieën persoonsgegevens zoals politieke opvattingen (ledenlijsten van vakbonden), religieuze overtuiging (kerkelijke gemeenschappen) of gezondheidsgegevens (zorgondersteunende fondsen), is de drempel nog hoger. Verwerking vereist dan een expliciete grondslag en aantoonbare technische en organisatorische maatregelen die onverenigbaar zijn met een cloudstructuur die blootstaat aan buitenlandse rechtsmacht.
Volgens het Verizon Data Breach Investigations Report 2023 had 39 procent van de datalekken bij nonprofits een externe leverancier als vector. Dit maakt het leveranciersrisico, waaronder de keuze van cloudprovider, een van de voornaamste kwetsbaarheden voor de sector.
Donorvertrouwelijkheid en extraterritoriale dreiging
Donorgegevens zijn voor veel nonprofits het meest gevoelige bezit: namen, adressen, betalingsgedrag en soms politieke of religieuze motieven voor een gift. Blootstelling hiervan kan donateurs afschrikken, interne discussies openleggen of activistische organisaties kwetsbaar maken voor gerichte druk.
Zoals Max Schrems, oprichter van NOYB, stelt: “Het gebruik van Amerikaanse clouddiensten door Europese overheidsinstanties en maatschappelijke organisaties is per definitie problematisch zolang de CLOUD Act van kracht is, omdat die wet Amerikaanse providers verplicht gegevens te verstrekken aan de Amerikaanse overheid, ongeacht waar die gegevens zijn opgeslagen.”
Het risico is niet hypothetisch. De Amerikaanse Foreign Intelligence Surveillance Act (FISA), die onder meer de basis vormt voor de Patriot Act-bevoegdheden, legde Microsoft in de periode juli 2022 tot juni 2023 tussen de 2.000 en 2.499 nationale veiligheidsverzoeken op, die 14.000 tot 14.499 accounts betroffen (bron: Microsoft Transparency Report 2023). Geen enkele van deze verzoeken is zichtbaar voor de getroffen gebruiker of de organisatie waarvoor zij werken.
Andrea Jelinek, voorzitter van de Europese Gegevensbeschermingsraad (EDPB), verduidelijkt de juridische consequentie: “Organisaties die politiek gevoelige informatie verwerken, zoals ledenlijsten van vakbonden of donorbestanden van mensenrechtenorganisaties, moeten begrijpen dat AVG artikel 9 bijzondere beschermingsverplichtingen oplegt die onverenigbaar zijn met cloudopslag bij Amerikaanse providers zonder expliciete aanvullende waarborgen.”
Betaalbare soevereine alternatieven voor kleine nonprofits
Het goede nieuws is dat soevereine digitale infrastructuur niet per se duur is. Het vraagt om een eenmalige transitie-investering en een andere keuze van leverancier, maar de structurele kosten zijn voor organisaties met minder dan 50 medewerkers doorgaans lager dan een volledig Microsoft 365-licentieniveau.
| Functie | Big Tech-equivalent | Soeverein alternatief | Hosting |
|---|---|---|---|
| Bestandsbeheer en samenwerking | Google Drive / OneDrive | Nextcloud | Hetzner (DE), TransIP (NL), eigen server |
| Gmail / Outlook 365 | Mailcow of Postfix + Dovecot | Eigen VPS bij Europese hoster | |
| Videovergadering | Google Meet / Teams | Jitsi Meet (zelf gehost) | Eigen server of Europese Jitsi-instantie |
| Teamsommunicatie | Slack / Teams-chat | Matrix via Element | Eigen Matrix-homeserver of matrix.org |
| Documentbewerking | Google Docs / Office Online | Nextcloud Office (Collabora) | Geïntegreerd in Nextcloud |
Nextcloud is een open source platform dat volledig op eigen servers of bij een Europese hoster kan worden geïnstalleerd. Het biedt bestandsopslag, agenda, contactbeheer, documentsamenwerking en videobellen in één pakket, en verwerkt geen gebruikersgegevens voor commerciële doeleinden. Voor kleine nonprofits is de beheerslast beperkt, zeker wanneer gekozen wordt voor een managed Nextcloud-instantie bij een Nederlandse of Duitse aanbieder.
Financiering voor de transitie of voor open source infrastructuurprojecten is beschikbaar via Stichting NLnet, een Nederlandse stichting die NGI-fondsen (Next Generation Internet) van de Europese Commissie distribueert. NLnet heeft specifieke programmalijnen voor digitale soevereiniteit en privacy-verbeterende technologieën die ook kleine maatschappelijke organisaties kunnen aanvragen (zie nlnet.nl).
Verwerkersovereenkomsten en politiek gevoelige activiteiten
Een geldige verwerkersovereenkomst conform AVG artikel 28 vereist onder meer dat de verwerker passende technische en organisatorische maatregelen treft, uitsluitend handelt op instructie van de verwerkingsverantwoordelijke, en gegevens niet doorgeeft aan derde landen zonder adequate bescherming. Bij Amerikaanse cloudproviders is het laatste punt structureel problematisch: de CLOUD Act creëert een wettelijke verplichting die boven contractuele afspraken staat.
Organisaties die politiek gevoelige activiteiten uitvoeren, zoals belangenbehartiging, vakbondswerk of mensenrechtencampagnes, lopen bovendien het risico dat hun interne communicatie bij gerichte overheidsopvragen zichtbaar wordt. Dit kan leiden tot chilling effects bij medewerkers en vrijwilligers, zelfs als er nooit daadwerkelijk data worden gedeeld. Een soevereine cloudinfrastructuur elimineert dit risico juridisch en technisch.
NIS-2 en de Foreign Subsidies Regulation als kader
De NIS-2-richtlijn (Richtlijn 2022/2555) is primair van toepassing op essentiële en belangrijke entiteiten in aangewezen sectoren. De meeste kleine nonprofits vallen niet rechtstreeks onder de formele reikwijdte. Toch is NIS-2 relevant op twee manieren. Ten eerste geldt ketenverantwoordelijkheid: leveranciers en partners van NIS-2-plichtige organisaties, zoals zorginstellingen of overheidsorganen, worden contractueel gehouden aan de beveiligingsnormen van die organisaties. Nonprofits die data uitwisselen met overheden of zorginstellingen raken daarmee indirect NIS-2-plichtig. Ten tweede biedt NIS-2 een nuttig beleidsreferentiekader voor incidentbeheer, leveranciersbeoordeling en continuïteitsplanning, ook voor organisaties die er formeel niet onder vallen.
De Foreign Subsidies Regulation (FSR, Verordening EU 2022/2560) richt zich op mededingingsverstoringen door staatssteun vanuit derde landen. Voor nonprofits is de directe werking beperkt, maar de FSR maakt deel uit van een bredere Europese strategie om buitenlandse inmenging via financiering en digitale infrastructuur tegen te gaan. Organisaties die afhankelijk zijn van platforms die zelf onder FSR-scrutinaat vallen, lopen reputatie- en compliance-risico als die platforms worden onderzocht of gesanctioneerd.
Een kosteneffectieve soevereine IT-architectuur opzetten
Voor een nonprofitorganisatie met minder dan 50 medewerkers is de meest pragmatische aanpak een gefaseerde migratie. Fase één betreft de e-mailmigratie naar een zelf beheerde of managed Europese mailserver, omdat e-mail de hoogste vertrouwelijkheidsgevoeligheid kent. Fase twee betreft de migratie van bestandsopslag en samenwerking naar Nextcloud, inclusief Collabora Online voor documentbewerking. Fase drie richt zich op interne communicatie via Matrix of XMPP, en videovergadering via Jitsi.
De totale beheerskosten voor een managed Nextcloud-instantie met twintig gebruikers bij een Nederlandse hoster liggen doorgaans tussen de 30 en 80 euro per maand, aanzienlijk minder dan een volledige Microsoft 365 Business Premium-licentie voor dezelfde groep. Eigen serverinfrastructuur (on-premise) is goedkoper op de lange termijn maar vereist technische capaciteit intern of via een betrouwbare Europese beheerpartner.
Essentieel in elke soevereine architectuur is versleuteling: end-to-end-versleuteling voor communicatie, versleuteling at rest voor opgeslagen bestanden, en een helder sleutelbeheerbeleid waarbij de sleutels nooit bij de cloudleverancier berusten. Post-quantumversleuteling is nog geen standaardinrichting in de meeste open source tools, maar NIST heeft in 2024 de eerste definitieve post-quantum cryptografiestandaarden gepubliceerd (ML-KEM, ML-DSA), die geleidelijk worden geïntegreerd in onderliggende bibliotheken.
FAQ: Soevereine cloud voor nonprofits
Mogen nonprofits Google Workspace for Nonprofits gebruiken zonder AVG-problemen?
Niet zonder aanvullende maatregelen. Google LLC valt onder de CLOUD Act, waardoor Amerikaanse autoriteiten toegang kunnen eisen tot gegevens op Google-servers, ook als die in Europa staan. Voor verwerking van bijzondere categorieën persoonsgegevens (AVG artikel 9), zoals politieke opvattingen van leden of gezondheidsgegevens van cliënten, is dit risico reëel en juridisch aantoonbaar. Een verwerkersovereenkomst (AVG artikel 28) dekt dit jurisdictionele risico niet af.
Wat is het verschil tussen een soevereine cloud en een gewone Europese cloud?
Een Europese cloud slaat data op in Europa, maar de beherende entiteit kan nog steeds onder niet-Europese rechtsmacht vallen. Een soevereine cloud wordt beheerd door een entiteit die uitsluitend Europees recht volgt, zonder moederbedrijf of aandeelhouders in jurisdicties met extraterritoriale wetgeving. Pas dan is er werkelijke bescherming tegen bevelen op grond van de CLOUD Act.
Welke concrete alternatieven zijn er voor kleine nonprofits met weinig budget?
Nextcloud op een Europese soevereine host is aanzienlijk goedkoper dan Microsoft 365. E-mail via Mailcow op eigen server, gecombineerd met Jitsi Meet voor videovergadering en Matrix via Element voor communicatie, vormt een volledig soeverein alternatief. Stichting NLnet verstrekt subsidies voor open source digitale infrastructuur die ook kleine maatschappelijke organisaties kunnen aanvragen via nlnet.nl.
Valt onze nonprofitorganisatie onder de NIS-2-richtlijn?
Kleine nonprofits vallen doorgaans niet direct onder de formele reikwijdte van NIS-2. Organisaties die echter digitale diensten verlenen aan overheden, gezondheidszorg of andere NIS-2-plichtige sectoren kunnen indirect gebonden zijn via contractuele ketenverantwoordelijkheid. De NIS-2-vereisten inzake incidentbeheer en leveranciersbeveiliging bieden bovendien een nuttig referentiekader voor iedere organisatie die haar cyberweerbaarheid wil versterken.
Wat doet de Foreign Subsidies Regulation voor maatschappelijke organisaties?
De FSR (Verordening EU 2022/2560) is primair een mededingingsinstrument voor bedrijven. Voor nonprofits is de indirecte relevantie dat de FSR deel uitmaakt van een Europees beleidskader dat buitenlandse inmenging via financiering en digitale platforms tegengaat. Organisaties die afhankelijk zijn van niet-Europese platforms lopen reputatie- en compliance-risico als die platforms zelf onder FSR-toezicht komen.
