De EU Data Union Strategy is het overkoepelende beleidskader waarmee de Europese Commissie in 2025 bestaande datawetgeving consolideert, nieuwe verplichtingen rond data-uitwisseling introduceert en een stip op de horizon zet voor Europese digitale soevereiniteit. Voor compliance officers, IT-beslissers en organisaties in gereguleerde sectoren is dit geen abstracte beleidsnota: de strategie bepaalt mede welke cloudinfrastructuur juridisch houdbaar is, hoe u deelneemt aan Europese datasystemen, en welk bewijs u moet kunnen leveren bij toezichtonderzoek.
Wat de EU Data Union Strategy inhoudt en waarom 2025 een kantelpunt is
De strategie consolideert een scala aan eerder vastgestelde instrumenten en introduceert een geïntegreerde aanpak voor de Europese data-economie. Nieuw is de expliciete koppeling tussen data-uitwisseling, soevereiniteitsgaranties en de verdere uitrol van sectorale data spaces.
De Europese Commissie raamt de waarde van de Europese data-economie op 829 miljard euro in 2030 (Europese Commissie, European data strategy, 2020). Die omvang verklaart waarom de Commissie controle over data-infrastructuur als strategisch belang behandelt, en niet slechts als privacyvraagstuk. De Data Union Strategy maakt van die ambitie een beleidsmatig geheel: wie data wil delen binnen Europese systemen, moet ook aantoonbaar kunnen maken dat die data niet via de achterdeur toegankelijk zijn voor niet-Europese jurisdicties.
Verhouding tot de Data Act en Data Governance Act
De Data Union Strategy staat niet op zichzelf: zij bouwt voort op twee al geldende verordeningen met directe werking in alle lidstaten.
De Data Governance Act (DGA, Verordening (EU) 2022/868) regelt de organisatorische kant van datadelen: hoe neutrale datamiddelaars en altruïstische data-organisaties kunnen worden gecertificeerd om vertrouwen te wekken bij datagevers en dataontvangers. De Data Act (Verordening (EU) 2023/2854) regelt de inhoudelijke kant: wie rechten heeft op data die worden gegenereerd door IoT-apparaten, machines en clouddiensten, inclusief het recht van gebruikers om data over te dragen naar alternatieve aanbieders.
| Instrument | Juridische status | Kernonderwerp | Relevant voor |
|---|---|---|---|
| Data Governance Act (DGA) | Bindende verordening, van toepassing sinds september 2023 | Vertrouwde datamiddelaars, hergebruik overheidsinformatie | Organisaties die data willen delen of ontvangen via gecertificeerde kanalen |
| Data Act (Verordening (EU) 2023/2854) | Bindende verordening, van toepassing vanaf september 2025 | Datatoegang, overdraagbaarheid, cloud-switching | Alle organisaties die clouddiensten gebruiken of IoT-data verwerken |
| EU Data Union Strategy | Beleidskader (2025), nog geen verordening | Integratie van datasystemen, soevereiniteit, Common Data Spaces | Langetermijnplanning voor compliance en infrastructuurkeuze |
De strategie voegt aan dit landschap een coördinerende laag toe: zij bepaalt hoe sectorale Common European Data Spaces worden ingericht, welke interoperabiliteitsnormen gelden en hoe GAIA-X en de European Open Science Cloud (EOSC) institutioneel worden ingebed.
Soevereiniteitsrisico bij deelname aan Common European Data Spaces
Common European Data Spaces zijn sectorale ecosystemen voor gecontroleerde data-uitwisseling, momenteel in opbouw voor gezondheidszorg, industrie, mobiliteit en energie. Deelname vergt dat data aantoonbaar beschikbaar zijn voor hergebruik, maar ook dat de toegangsrechten door de datahoudende organisatie worden gecontroleerd.
Hier ontstaat een structureel spanningsveld voor organisaties die tegelijk gebruik maken van Amerikaanse clouddiensten. Meer dan 65% van de Europese cloudmarkt wordt gedomineerd door drie Amerikaanse hyperscalers (AWS, Microsoft Azure, Google Cloud), volgens een analyse van de European Parliament Research Service uit 2023. De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht Amerikaanse cloudproviders om op last van een Amerikaanse rechter data af te geven, ongeacht waar de servers fysiek staan. Dit geldt ook voor data die Europese organisaties opslaan in de Europese datacenters van deze providers.
Max Schrems, privacyrechtadvocaat en oprichter van noyb, verwoordt het probleem als volgt: “The CLOUD Act creates a direct conflict with GDPR obligations for any European organization that stores data with a US-based provider, regardless of where the servers are physically located.” (noyb.eu)
Wie deelneemt aan een Common European Data Space en tegelijk data opslaat bij een aan de CLOUD Act onderworpen provider, kan dus niet sluitend garanderen dat de toegangscontrole die de data space vereist, ook feitelijk wordt gehandhaafd. Dit is geen theoretisch risico: het is een structureel rechtsprobleem dat toezichthouders als de EDPB (European Data Protection Board) al meerdere malen hebben benoemd.
De Data Union Strategy als intern argument voor soevereine dataopslag
Compliance officers stuiten regelmatig op budgetaire en operationele weerstand als zij pleiten voor een migratie weg van Amerikaanse clouddiensten. De Data Union Strategy biedt in die interne discussie nieuwe argumenten, mits ze worden ingekaderd als risicobeheer en niet als ideologische voorkeur.
De strategie maakt duidelijk dat de Europese Commissie op termijn aanvullende eisen zal stellen aan organisaties die deelnemen aan Europese data-infrastructuren. Wie nu investeert in soevereine opslag, namelijk via gecertificeerde Europese aanbieders, on-premise systemen of Zwitserse jurisdicties met adequate beschermingsniveaus, loopt minder kans op kostbare migraties op het moment dat die eisen bindend worden. Dat is een financieel argument, geen politiek statement.
Voormalig Eurocommissaris Margrethe Vestager formuleerde de strategische logica als: “Data is the new oil, but unlike oil, it can be used by multiple parties at the same time. The question is who controls the refinery.” (Europese Commissie). Voor organisaties in de juridische sector, de gezondheidszorg of het openbaar bestuur is “controle over de raffinaderij” geen metafoor maar een concrete nalevingsverplichting onder GDPR, NIS-2 en sectorale regelgeving.
Slechts 2 van de 27 EU-lidstaten hadden NIS-2 volledig omgezet op de wettelijke deadline van 17 oktober 2024 (Europese Commissie, voortgangsrapportage NIS-2 omzetting, 2024). Dat betekent dat veel nationale implementatieregels nog in beweging zijn, en dat organisaties die nu hun beveiligingsarchitectuur aanpassen, strategisch vooruitlopen op verscherpte nationale eisen.
Gevolgen voor gereguleerde sectoren bij data leakage en unjustified data localisation
De Data Union Strategy bevat een nuance die regelmatig wordt miskend: de Commissie wil zowel ongerechtvaardigde datalokaliseringsplichten afbreken (die de interne markt fragmenteren) als legitieme soevereiniteitseisen beschermen. Dat onderscheid is cruciaal voor compliance officers.
Een organisatie die data lokaal opslaat puur om nationale of commerciële redenen zonder juridische grondslag, kan in aanraking komen met inbreukprocedures op grond van de interne marktregels. Een organisatie die data lokaal opslaat vanwege aantoonbare GDPR-verplichtingen, sectorale regelgeving zoals de European Health Data Space-verordening of beveiligingsvereisten uit NIS-2, staat juridisch op solide grond. Het onderscheid zit in de documentatie en motivering, niet in de technische keuze zelf.
Data leakage naar niet-Europese jurisdicties, als gevolg van gebruik van Amerikaanse cloudproviders, valt niet onder “unjustified data localisation” maar onder onrechtmatige doorgifte. De handhaving hiervan via de GDPR-boetesystematiek (maximaal 4% van de wereldwijde jaaromzet) maakt dit tot een materieel financieel risico.
Europese alternatieven: GAIA-X en EOSC in de praktijk
Voor organisaties die hun infrastructuur willen afstemmen op de Data Union Strategy zijn twee Europese raamwerken bijzonder relevant.
GAIA-X is geen cloudprovider maar een certificeringsraamwerk en ecosysteem van standaarden, beheerd door de GAIA-X Association AISBL. Een organisatie die gebruik maakt van GAIA-X-gecertificeerde diensten kan aantonen dat de onderliggende infrastructuur voldoet aan Europese interoperabiliteits- en soevereiniteitsnormen. Dit is direct relevant voor deelname aan Common European Data Spaces, die GAIA-X-conformiteit als basislijn beschouwen. Concreet: een overheidsinstantie die haar documentbeheer migreert naar een GAIA-X-gecertificeerde Europese aanbieder, kan die keuze onderbouwen als aansluiting bij de Data Union Strategy.
De European Open Science Cloud (EOSC) is primair gericht op onderzoeksorganisaties en universiteiten, maar is ook relevant voor gezondheidszorginstellingen en kennisintensieve bedrijven in gereguleerde sectoren. EOSC biedt een gedistribueerde onderzoeksinfrastructuur met afspraken over databeheer, FAIR-datanormen (Findable, Accessible, Interoperable, Reusable) en toegangsbeheer die aansluiten bij de vereisten van de DGA.
Beide initiatieven zijn geen vervanging van een volledige migratieaanpak, maar zij bieden een institutionele kapstok waarbinnen technische keuzes juridisch en strategisch kunnen worden gemotiveerd tegenover toezichthouders, opdrachtgevers en raden van bestuur.
Praktische stappen voor compliance officers
De Data Union Strategy vraagt om een herziening van het eigen data-inventarisatieproces. Niet alle data vereist dezelfde bescherming, maar het is noodzakelijk om per datacategorie te kunnen beargumenteren waarom de gekozen opslaglocatie en aanbieder aansluiten bij de geldende Europese vereisten. De volgende vragen vormen een bruikbaar startpunt voor die analyse:
- Welke data vallen onder de reikwijdte van de Data Act (IoT-data, cloudgegenereerde data) en wie heeft daar toegang toe?
- Maakt uw organisatie gebruik van diensten van een aanbieder die onder de CLOUD Act valt, en is dat risico gedocumenteerd in uw verwerkingsregister?
- Is uw huidige cloudcontract compatibel met het cloud-switching-recht uit de Data Act, dat vanaf september 2025 van kracht is?
- Heeft uw organisatie een positie bepaald ten aanzien van GAIA-X-certificering als selectiecriterium bij aanbestedingen?
De Data Union Strategy geeft compliance officers een nieuw vocabulaire om infrastructuurkeuzes te framen: niet als kosten maar als risicobeheersing, niet als ideologie maar als voorbereiding op aankomende verplichtingen. Dat maakt het tot een praktisch instrument in de interne besluitvorming, mits het wordt ingezet met kennis van de specifieke juridische grondslag per datacategorie.
Veelgestelde vragen
Is de EU Data Union Strategy al bindende wetgeving of nog beleid?
De EU Data Union Strategy (2025) is een overkoepelend beleidskader van de Europese Commissie. Onderdelen ervan zijn al bindend via de Data Act en de Data Governance Act. Nieuwe maatregelen die voortvloeien uit de strategie moeten nog afzonderlijk worden omgezet in verordeningen of richtlijnen.
Mogen Europese overheidsorganisaties nog gebruik maken van AWS of Microsoft Azure?
Er bestaat momenteel geen EU-breed verbod op het gebruik van Amerikaanse cloudproviders door overheidsorganisaties. Wel gelden GDPR, de NIS-2-richtlijn en sectorale regels die aantoonbare controle over data vereisen. De CLOUD Act-problematiek maakt dat juridisch risico reëel, wat steeds meer overheden ertoe beweegt soevereine alternatieven te kiezen.
Wat is het verschil tussen de Data Governance Act en de Data Act?
De Data Governance Act (DGA, Verordening (EU) 2022/868) regelt de organisatorische kant: hoe datadelen betrouwbaar en neutraal kan worden gefaciliteerd via datamiddelaars en altruïstische data-organisaties. De Data Act (Verordening (EU) 2023/2854) regelt de inhoudelijke kant: wie toegang heeft tot welke data, inclusief data gegenereerd door IoT-apparaten en clouddiensten.
Wat betekent deelname aan een Common European Data Space concreet voor een ziekenhuis of advocatenkantoor?
Deelname kan inhouden dat bepaalde categorieën geanonimiseerde of pseudonimiseerde data beschikbaar worden gesteld voor hergebruik binnen een sectorale data space, zoals de European Health Data Space. De organisatie behoudt controle over de toegangsvoorwaarden, maar moet aantoonbaar kunnen maken dat de onderliggende opslaginfrastructuur voldoet aan Europese soevereiniteitseisen.
Hoe werkt GAIA-X in de praktijk voor een middelgrote organisatie?
GAIA-X is geen cloudprovider maar een certificeringsraamwerk en ecosysteem van standaarden. Een middelgrote organisatie kan GAIA-X-gecertificeerde diensten afnemen bij deelnemende Europese aanbieders, waarmee zij aantoont te voldoen aan interoperabiliteits- en soevereiniteitsnormen die aansluiten bij de Data Union Strategy.
