Datasoevereiniteit in de vastgoedsector betekent dat organisaties, waaronder architecten- en ingenieursbureaus, notariskantoren en makelaars, aantoonbare juridische en technische controle houden over de persoonsgegevens en vertrouwelijke dossiers die zij digitaal verwerken. In een sector waar gevoelige eigendomsinformatie, identiteitsgegevens en financiële transacties dagelijks worden uitgewisseld, is die controle geen luxe maar een wettelijke verplichting.
Waarom publieke cloud een jurisdictioneel probleem is voor vastgoedprofessionals
Cloudopslag bij Amerikaanse aanbieders plaatst vastgoeddossiers buiten de directe rechtsbescherming van de AVG, ongeacht de serverlocatie in Europa.
De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) verplicht aanbieders zoals Microsoft, Google en Amazon om op last van een Amerikaanse rechter gegevens te verstrekken aan autoriteiten, ook als die gegevens fysiek op servers in Frankfurt of Amsterdam staan. De Patriot Act kent vergelijkbare bevoegdheden voor nationale veiligheidsdiensten. Dat betekent dat een notarisdossier over een vastgoedtransactie, een architectentekening met adresgegevens van opdrachtgevers, of een huurdersdossier van een vastgoedbeheerder in principe toegankelijk is voor een buitenlandse overheid zonder dat de betrokken partijen daarvan op de hoogte worden gesteld.
AVG-risico’s voor architecten en ingenieursbureaus met BIM-modellen
BIM-modellen en projectcommunicatie bevatten meer persoonsgegevens dan veel bureaus beseffen, wat specifieke AVG-verplichtingen met zich meebrengt.
Building Information Modelling (BIM) is in de architectuur- en ingenieurssector de standaard geworden voor projectsamenwerking. BIM-bestanden bevatten echter regelmatig persoonsgegevens: namen van opdrachtgevers, bewonersgegevens bij renovatieprojecten, locatiegebonden informatie die herleidbaar is tot individuen, en communicatiehistorie met klanten. Wanneer bureaus deze bestanden opslaan in Microsoft SharePoint, Autodesk BIM 360 of andere Amerikaanse cloudomgevingen, zijn zij verplicht een verwerkersovereenkomst te sluiten conform AVG artikel 28. Die overeenkomst moet specifiek regelen welke instructies de verwerker mag opvolgen, hoe subverwerkers worden ingeschakeld en hoe beveiligingsincidenten worden gemeld.
In de praktijk bieden grote cloudaanbieders standaard verwerkersovereenkomsten aan die clausules bevatten die doorgifte aan overheden toestaan op grond van toepasselijk recht. Dat is precies de speling die de CLOUD Act benut. Architecten- en ingenieursbureaus die ontwerpdossiers bewaren van beschermde locaties, overheidsgebouwen of particuliere woningen zijn daarmee kwetsbaar voor ongeautoriseerde toegang vanuit een jurisdictie buiten de EU.
Ransomware-aanvallen op de bouw- en vastgoedsector stegen in 2023 wereldwijd met 55 procent ten opzichte van het jaar ervoor (bron: Sophos State of Ransomware in Construction and Property, 2023). BIM-omgevingen met beperkte toegangscontrole en veel externe gebruikers vormen een aantrekkelijk doelwit.
Geheimhoudingsplicht van notarissen en de keuze voor cloudopslag
Artikel 22, lid 1 van de Wet op het notarisambt verplicht notarissen tot geheimhouding van alles wat zij in de uitoefening van hun functie vernemen, inclusief vastgoedtransactiegegevens.
De wettekst is duidelijk: “De notaris is verplicht tot geheimhouding van al hetgeen waarvan hij uit hoofde van zijn werkzaamheid kennis neemt.” Bij vastgoedtransacties gaat het om koopakten, hypotheekgegevens, identiteitsdocumenten, financiële vermogensinformatie en familierechterlijke situaties. Dit zijn categorieën gegevens die naar hun aard niet mogen uitlekken naar derden, inclusief buitenlandse overheidsdiensten.
Een notariskantoor dat zijn dossiersysteem in een Amerikaanse cloudomgeving host, kan de geheimhouding op grond van artikel 22 feitelijk niet volledig garanderen. De Koninklijke Notariële Beroepsorganisatie (KNB) wijst notarissen op het belang van gegevensbescherming, maar de keuze van de hostingomgeving is een praktisch vraagstuk dat elk kantoor zelfstandig moet beoordelen. Een juridisch verantwoorde keuze is opslag op eigen servers of bij een aantoonbaar EU-soevereine hostingprovider zonder Amerikaanse moedermaatschappij, bij voorkeur in Nederland of Zwitserland, waarbij Zwitserland weliswaar geen EU-lid is maar door de EU als land met adequaat beschermingsniveau is erkend.
Compliancevereisten voor makelaars en vastgoedbeheerders
Makelaars die zijn aangesloten bij de NVM (Nederlandse Vereniging van Makelaars) zijn gebonden aan gedragsnormen en privacy-richtlijnen die directe gevolgen hebben voor hun cloudkeuze.
Makelaars verwerken persoonsgegevens van kopers, verkopers, huurders en verhuurders: BSN-nummers voor Wwft-verificatie (Wet ter voorkoming van witwassen en financieren van terrorisme), inkomensgegevens, identiteitsbewijzen en communicatiehistorie. Al deze verwerkingen vereisen een rechtmatige grondslag, een bewaartermijnenbeleid en, zodra een externe partij de verwerking uitvoert, een verwerkersovereenkomst conform AVG artikel 28.
De Autoriteit Persoonsgegevens ontving in 2022 meer dan 21.000 meldingen van datalekken in Nederland (bron: AP Jaarverslag 2022). Vastgoedorganisaties die huurdersdossiers en betalingsgegevens in publieke cloudomgevingen bewaren zonder adequate verwerkersovereenkomsten of zonder encryptie bij overdracht en rust, riskeren meldplichtige datalekken en handhaving door de AP.
NIS-2-verplichtingen voor vastgoedbeheerbedrijven
NIS-2 Annex II benoemt sectoren die als “andere kritieke sectoren” worden aangemerkt, en middelgrote en grote vastgoedbeheerorganisaties kunnen hieronder vallen wanneer zij digitale dienstverlening aanbieden.
Vastgoedbeheerbedrijven die digitale huurcontracten, identiteitsverificatie en betalingstransacties via cloudplatformen verwerken, moeten onder NIS-2 aantoonbaar risicobeheersmaatregelen treffen. Dat omvat: een gedocumenteerd informatiebeveiligingsbeleid, technische maatregelen zoals meervoudige authenticatie en encryptie, een procedure voor incidentmelding bij de bevoegde autoriteit (in Nederland: het NCSC of de sectorspecifieke toezichthouder), en beveiliging van de toeleveringsketen, inclusief cloudleveranciers.
| Organisatietype | Primaire wettelijke verplichting | Kritisch gegevenstype | Risico bij niet-EU cloud |
|---|---|---|---|
| Architecten- en ingenieursbureau | AVG artikel 28, NIS-2 | BIM-modellen, opdrachtgeversgegevens | Ongeoorloofde doorgifte, ransomware |
| Notariskantoor | Wet op het notarisambt artikel 22, AVG | Akten, identiteitsgegevens, vermogensinformatie | Schending geheimhouding, CLOUD Act-toegang |
| Makelaar (NVM-lid) | AVG, Wwft, NVM-gedragscode | Kopers- en huurdersdossiers, BSN | Datalek, meldplicht AP |
| Vastgoedbeheerder | AVG, NIS-2 Annex II | Huurcontracten, betalingsdata, identiteitsverificatie | Bestuurdersaansprakelijkheid, incidentmelding |
Een soevereine Nextcloud-werkplek als alternatief voor SharePoint en Teams
Nextcloud Files biedt een open-source samenwerkingsplatform dat volledig on-premise of bij een EU-soevereine hostingpartij kan worden geïnstalleerd, zonder verplichte telemetrie of afhankelijkheid van een Amerikaanse cloudinfrastructuur.
Voor vastgoedsamenwerking met externe partijen, zoals aannemers, taxateurs, notarissen en gemeenten, biedt Nextcloud Files functionaliteit die vergelijkbaar is met SharePoint en OneDrive: gedeelde mappen, versiebeheer, toegangscontrole per gebruiker of groep, en integratie met Office-achtige bewerkingssoftware via Collabora Online of ONLYOFFICE. Omdat de software op eigen servers of bij een gecertificeerde EU-hostingprovider draait, blijft de juridische controle over de gegevens volledig bij de vastgoedorganisatie.
De migratie van Microsoft 365 naar een soevereine Nextcloud-werkplek verloopt doorgaans in fasen. Eerst wordt e-mail gemigreerd naar een EU-gehoste oplossing (zoals Postfix/Dovecot of een gecertificeerde hosted Exchange-variant in Nederland). Daarna worden gedeelde mappen en projectdocumentatie overgezet naar Nextcloud Files, met behoud van mapstructuur en rechtensets. Tot slot worden communicatiefuncties zoals videovergaderen (via Nextcloud Talk) en taakbeheer geïntegreerd. Externe partijen krijgen toegang via beveiligde gastlinks of federatieve koppeling, zodat ook de samenwerking met notarissen of aannemers soeverein blijft.
Het aandeel datalekken waarbij een derde partij, zoals een cloudleverancier, betrokken was steeg in 2023 naar 15 procent van alle gemelde inbreuken wereldwijd (bron: IBM Cost of a Data Breach Report, 2023). Door de cloudleverancier te internaliseren of te vervangen door een aantoonbaar soevereine partij, vermindert een vastgoedorganisatie dit risico structureel.
Voor toekomstbestendige beveiliging is het bovendien relevant dat Nextcloud aansluit op post-quantum encryptiestandaarden op infrastructuurniveau. Vastgoeddossiers die langdurig bewaard moeten worden, zoals notarisarchieven of langlopende erfpachtcontracten, zijn kwetsbaar voor de “harvest now, decrypt later”-aanvalsstrategie waarbij versleutelde gegevens nu worden onderschept en later, met kwantumcomputerkracht, worden ontsleuteld. Een hostingomgeving die al overschakelt op door NIST gestandaardiseerde post-quantum algoritmen biedt ook op de lange termijn bescherming.
Praktische stappen voor compliance officers en IT-beslissers
Vastgoedorganisaties die hun datasoevereiniteit willen verbeteren, beginnen het best met een inventarisatie van alle verwerkingen en cloudleveranciers, gevolgd door een gerichte risicoanalyse.
Concreet betekent dat: het in kaart brengen van alle externe verwerkersrelaties en toetsen of elke partij beschikt over een geldige verwerkersovereenkomst conform AVG artikel 28; het beoordelen of de hostinglocatie en de nationaliteit van de moedermaatschappij van de cloudleverancier juridische doorgifterisico’s meebrengen; het documenteren van de beveiligingsmaatregelen die voldoen aan NIS-2-eisen, inclusief encryptie, toegangsbeleid en incidentrespons; en het evalueren of de huidige samenwerkingstooling kan worden vervangen door een EU-soevereine oplossing zonder onaanvaardbare productiviteitsverliezen. Bij die afweging is het zinvol om het totale compliancerisico, inclusief potentiële boetes van de AP (tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet) en reputatieschade, af te zetten tegen de migratiekosten.
Veelgestelde vragen
Mogen architecten BIM-modellen met persoonsgegevens opslaan in Microsoft 365 of Google Workspace?
Dat mag alleen als er een geldige verwerkersovereenkomst (AVG artikel 28) is gesloten én als doorgifte naar de VS geblokkeerd is of gedekt wordt door goedgekeurde standaardcontractbepalingen. Omdat de CLOUD Act Amerikaanse aanbieders verplicht gegevens af te staan aan Amerikaanse autoriteiten, is dat laatste nooit volledig gegarandeerd.
Wat zijn de gevolgen als een notaris zijn dossiers opslaat bij een niet-EU cloudaanbieder?
Een notaris riskeert schending van de geheimhoudingsplicht uit artikel 22 van de Wet op het notarisambt, omdat buitenlandse overheden op grond van de CLOUD Act of Patriot Act toegang kunnen vorderen. Daarnaast is er mogelijk sprake van een ongeoorloofde doorgifte van persoonsgegevens onder de AVG.
Vallen makelaars die huurdergegevens beheren onder NIS-2?
Middelgrote en grote vastgoedbeheerorganisaties kunnen vallen onder NIS-2 Annex II als zij digitale diensten aanbieden of kritieke processen beheren. Zij moeten dan technische en organisatorische maatregelen implementeren, incidenten melden en aantoonbare risicobeoordeling uitvoeren.
Wat is het verschil tussen Nextcloud Files en SharePoint voor soevereine samenwerking?
Nextcloud Files kan volledig on-premise of bij een EU-hostingpartner worden geïnstalleerd, zonder telemetrie of verplichte clouddiensten van de aanbieder. SharePoint maakt structureel gebruik van Microsoft-cloudinfrastructuur in de VS, waardoor doorgifte buiten de EER moeilijk volledig uit te sluiten is.
Hoe beschermt kwantumveilige encryptie vastgoeddossiers op de lange termijn?
Aanvallers kunnen nu versleutelde gegevens onderscheppen en later ontsleutelen zodra kwantumcomputers krachtig genoeg zijn, een techniek die “harvest now, decrypt later” heet. Post-quantum encryptiealgoritmen die door NIST zijn gestandaardiseerd, beschermen langlopende vastgoeddossiers en notarisarchieven ook tegen die toekomstige dreiging.
