Internationale organisaties en EU-instellingen die cloudinfrastructuur betrekken van niet-Europese aanbieders bevinden zich in een juridisch niemandsland: hun diplomatieke status beschermt hen in het gastland, maar strekt zich niet uit tot de Amerikaanse of andere externe servers waarop hun gegevens feitelijk worden verwerkt. Die kloof tussen rechtspositie en technische realiteit vormt de kern van het soevereiniteitsvraagstuk voor organisaties als VN-agentschappen, NAVO-lichamen en EU-instellingen.
Jurisdictierisico’s voor organisaties met diplomatieke status
Diplomatieke immuniteit en gastheerovereenkomsten bieden geen bescherming zodra gegevens worden toevertrouwd aan een cloudaanbieder die onder Amerikaanse wetgeving valt.
Het Verdrag van Wenen inzake diplomatiek verkeer (1961) bepaalt in artikel 24 dat de archieven en documenten van een diplomatieke zending te allen tijde onschendbaar zijn. Veel internationale organisaties leiden hieruit af dat ook hun digitale communicatie en gegevensopslag beschermd zijn. Die redenering is echter onvolledig. De onschendbaarheid richt zich op handelingen van het gastland, niet op verplichtingen die rusten op een private derde partij, namelijk de cloudaanbieder, in diens eigen land van vestiging.
De US CLOUD Act (2018, 18 U.S.C. § 2713) verplicht Amerikaanse aanbieders om op verzoek van Amerikaanse autoriteiten gegevens te verstrekken, ook wanneer die gegevens op servers buiten de Verenigde Staten zijn opgeslagen. Een VN-agentschap dat Microsoft Teams of Google Workspace gebruikt, kan zich dus niet beroepen op Weens recht tegenover de Amerikaanse overheid, want die overheid richt haar verzoek niet aan het agentschap maar aan de cloudaanbieder.
Zoals ENISA stelt in haar adviesrapport over cloudbeveiliging voor de publieke sector: “Organisations enjoying diplomatic status cannot assume that their data enjoys equivalent protection in commercial cloud environments; the legal status of the organisation does not automatically extend to the infrastructure it relies upon.”
Het EDPS-besluit en de doorwerking buiten de EU-instellingen
De EDPS-beslissing uit 2024 over Microsoft 365 bij EU-instellingen is een formeel handhavingsbesluit, maar heeft ook richtinggevende betekenis voor organisaties die niet onder de directe bevoegdheid van de EDPS vallen.
De European Data Protection Supervisor stelde vast dat de Europese Commissie bij gebruik van Microsoft 365 persoonsgegevens had doorgegeven aan derde landen zonder passende waarborgen, in strijd met Verordening (EU) 2018/1725 (de AVG-equivalent voor EU-instellingen). EDPS-supervisor Wojciech Wiewiórowski formuleerde het direct: “The use of Microsoft 365 by EU institutions involved transfers of personal data to the United States that were not accompanied by appropriate safeguards, in breach of the applicable data protection rules.”
Voor internationale organisaties buiten de directe EU-institutionele scope, zoals VN-agentschappen of NAVO-lichamen, geldt Verordening 2018/1725 niet rechtstreeks. Toch zijn de feitelijke constateringen van de EDPS relevant: ze documenteren dat Microsoft 365 als standaardproduct structureel persoonsgegevens naar de VS doorstuurt. Organisaties die zelf een vergelijkbare risicoanalyse uitvoeren, zullen bij gelijkwaardige producten tot vergelijkbare conclusies komen.
Het agentschap eu-LISA, dat verantwoordelijk is voor het beheer van grootschalige IT-systemen in de ruimte van vrijheid, veiligheid en recht (AFSJ), hanteert om deze reden al langer eigen technische normen voor gegevensverwerking en werkt uitsluitend met infrastructuur waarover de EU-instellingen zeggenschap houden. Dat model biedt een aanknopingspunt voor andere organisaties die een vergelijkbare beheersstructuur willen opzetten.
Volgens ENISA maakte in 2023 meer dan 60% van de grote Europese overheidsorganisaties gebruik van ten minste één dienst van een hyperscaler met hoofdkantoor buiten de EU, een gegeven dat de schaal van de afhankelijkheid illustreert (ENISA, Cloud Security for the Public Sector, 2023).
Gastlandovereenkomsten en IT-soevereiniteitsclausules
Gastlandovereenkomsten (host country agreements) zijn het primaire instrument waarmee internationale organisaties hun rechtspositie in het gastland vastleggen, maar de meeste van deze overeenkomsten zijn opgesteld in een pre-cloudtijdperk.
Clausules die relevant zijn voor IT-soevereiniteit zijn met name die over de onschendbaarheid van archieven en communicatiemiddelen. Modernere overeenkomsten bevatten soms expliciet bepalingen die nationale veiligheids- of justitiële autoriteiten verbieden toegang te verlangen tot de ICT-systemen van de organisatie. Dergelijke clausules bieden echter alleen bescherming tegenover het gastland en zijn niet afdwingbaar tegenover een buitenlandse overheid die haar verzoek richt aan een private cloudaanbieder.
Organisaties die hun gastlandovereenkomst willen bijwerken of aanvullen, doen er verstandig aan te specificeren welke technische infrastructuur als “archief” in de zin van het Verdrag van Wenen wordt aangemerkt, inclusief cloudopslag en e-mailsystemen. Daarbij is van belang dat de infrastructuur feitelijk onder de exclusieve controle van de organisatie valt, wat bij publieke cloudproducten per definitie niet het geval is.
Technische architectuur voor een soevereine meertalige werkplek
Een soevereine werkplek voor organisaties actief in meerdere rechtsgebieden vereist een architectuur die zowel technisch als juridisch verdedigbaar is.
De kernvereisten zijn: gegevensopslag op servers waarover de organisatie of een vertrouwde Europese partij exclusieve zeggenschap heeft, versleuteling waarbij sleutelbeheer niet bij de softwareleverancier ligt, en open-source componenten die onafhankelijke audits mogelijk maken. Aanvullend geldt voor meertalige omgevingen de noodzaak van gedistribueerd documentbeheer met versiebeheer en toegangscontrole per taalversie of per werkgroep.
| Component | Big Tech-standaard (voorbeeld) | Soeverein alternatief | Jurisdictierisico |
|---|---|---|---|
| Documentbeheer | Microsoft SharePoint / OneDrive | Nextcloud Infinite Scale (on-premise of EU-hosting) | Hoog bij US-aanbieder (CLOUD Act) |
| E-mail en agenda | Microsoft Exchange Online | Zimbra, Stalwart of Postfix met EU-beheer | Hoog bij US-aanbieder |
| Videoconferentie | Microsoft Teams / Zoom | Jitsi Meet (self-hosted) of Matrix/Element | Hoog bij US-aanbieder |
| Sleutelbeheer | Microsoft-managed keys | HSM on-premise of Zwitserse KMS | Kritisch: leveranciersbeheer geeft toegang |
Nextcloud Infinite Scale is de enterprise-variant van het Nextcloud-platform, ontworpen voor grootschalige uitrol met gedistribueerde opslag, federatief delen tussen organisaties en end-to-end versleuteling. De open-source codebase maakt onafhankelijke beveiligingsaudits mogelijk. Dat auditrecht is voor internationale organisaties geen luxe maar een operationele noodzaak, omdat ze tegenover meerdere lidstaten of donoren verantwoording moeten afleggen over hun gegevensbeheer.
Het CADA-raamwerk van de EuroCloud-federatie publieke sector biedt soevereiniteitsniveaus voor cloudoplossingen. CADA artikel 34 definieert de hoogste graad van gegevenssoevereiniteit, met als vereisten: exclusieve EU-jurisdictie over de verwerkingsinfrastructuur, verbod op data-uitvoer naar derde landen en afdwingbare auditrechten voor de verwerkingsverantwoordelijke. Voor internationale organisaties die moeten aantonen dat hun gegevensverwerking onttrokken is aan buitenlandse jurisdictie, biedt dit een bruikbaar referentiekader bij de selectie van aanbieders.
EDPS-aanbevelingen en de rol van Nextcloud voor EU-instellingen
Naar aanleiding van het EDPS-besluit over Microsoft 365 heeft de Europese Commissie corrigerende maatregelen moeten nemen. De EDPS beveelt EU-instellingen aan te inventariseren welke gegevenscategorieën via Microsoft 365 worden verwerkt en voor gevoelige verwerkingen over te stappen op alternatieven die geen gegevens naar derde landen sturen.
Nextcloud is in de Europese publieke sector nadrukkelijk aanwezig als alternatief. Meerdere Duitse deelstaatregeringen en Franse overheidsinstanties hebben pilots of volledige uitrol van Nextcloud-omgevingen uitgevoerd. Voor EU-instellingen en internationale organisaties is relevant dat Nextcloud Infinite Scale kan worden gehost op infrastructuur die volledig onder eigen beheer staat of bij een gecertificeerde Europese hostingpartij, waardoor geen enkel gegeven de organisatie verlaat tenzij de organisatie dat zelf initieert.
De migratie van Microsoft 365 naar een soevereine Nextcloud-werkplek vereist aandacht voor drie fases: datamapping (welke gegevens staan waar en in welk formaat), technische migratie (e-mail, bestanden, agenda, chat) en organisatorische adoptie (training, werkprocesbeschrijvingen). Voor meertalige organisaties is aanvullend relevant dat Nextcloud de interface in tientallen talen ondersteunt en dat documentversiebeheer per taalversie kan worden ingericht.
Coördinatie tussen IT-soevereiniteitsbeleid en juridische kaders
IT-soevereiniteitsbeleid werkt alleen wanneer het is verankerd in de juridische structuur van de organisatie en niet enkel bestaat als technisch beleidsdocument.
Concreet betekent dit dat de organisatie in haar interne regelgeving vastlegt welke categorieën gegevens uitsluitend op soevereine infrastructuur mogen worden verwerkt (denk aan personeelsgegevens, juridische adviezen, diplomatieke correspondentie), dat gastlandovereenkomsten worden aangevuld met bepalingen die de digitale archieven expliciet benoemen, en dat leverancierscontracten een clausule bevatten die data-uitvoer naar rechtsgebieden buiten de overeengekomen perimeter verbiedt, met afdwingbare boetebepalingen.
ENISA adviseert organisaties in de publieke sector bij de beoordeling van cloudleveranciers gebruik te maken van de EUCS (EU Cybersecurity Certification Scheme for Cloud Services), dat soevereiniteitsvereisten op drie niveaus definieert. Voor het hoogste niveau is vereist dat de aanbieder geen operationele of eigendomsrelatie heeft met entiteiten buiten de EU die toegang zouden kunnen verlenen aan niet-EU-autoriteiten.
Veelgestelde vragen
Beschermt diplomatieke immuniteit een internationale organisatie automatisch tegen de US CLOUD Act?
Nee. Diplomatieke immuniteit beschermt een organisatie in het gastland, maar de CLOUD Act richt zich op de Amerikaanse cloudaanbieder zelf. Die aanbieder kan wettelijk worden verplicht gegevens te leveren zonder dat de internationale organisatie daartegen effectieve rechtsmiddelen heeft in de Verenigde Staten.
Wat hield de EDPS-beslissing over Microsoft 365 bij EU-instellingen precies in?
De EDPS stelde in 2024 vast dat de Europese Commissie bij gebruik van Microsoft 365 persoonsgegevens had doorgegeven aan derde landen zonder passende waarborgen, in strijd met Verordening (EU) 2018/1725. De EDPS legde de Commissie een corrigerende maatregel op en verplichte haar de gegevensstromen in kaart te brengen en te saneren.
Welke clausules in gastlandovereenkomsten zijn relevant voor IT-soevereiniteit?
Clausules over de onschendbaarheid van archieven en communicatie, gebaseerd op Verdrag van Wenen artikel 24, en clausules die nationale toegangsverzoeken tot ICT-systemen expliciet uitsluiten, zijn het meest relevant. Veel bestaande overeenkomsten zijn opgesteld vóór cloud computing en dienen mogelijk heronderhandeld te worden om digitale infrastructuur expliciet te omvatten.
Wat is CADA artikel 34 en waarom is het relevant voor internationale organisaties?
CADA is het soevereiniteitskader van de EuroCloud-federatie voor de publieke sector. Artikel 34 definieert de hoogste graad van gegevenssoevereiniteit, met als vereisten: exclusieve EU-jurisdictie, verbod op data-uitvoer en afdwingbare auditrechten. Voor internationale organisaties biedt dit een concreet toetsingskader bij de selectie van cloudleveranciers.
Is Nextcloud Infinite Scale technisch geschikt als meertalige werkplek voor organisaties in meerdere rechtsgebieden?
Ja. Nextcloud Infinite Scale ondersteunt gedistribueerde opslag, federatief delen tussen organisaties, end-to-end versleuteling en meertalige interfaces. De open-source architectuur maakt onafhankelijke beveiligingsaudits mogelijk, wat essentieel is voor organisaties die in meerdere rechtsgebieden verantwoording moeten afleggen over hun gegevensbeheer.
