Soevereiniteitswashing is het verschijnsel waarbij een cloudleverancier zich presenteert als een veilige, Europese of neutrale optie voor gevoelige data, terwijl de juridische en technische realiteit een andere is. De term verwijst naar het gebruik van Europese branding, lokale datacenters of joint venture-constructies om de schijn van datasovereiniteit te wekken, zonder dat de daadwerkelijke operationele en juridische controle bij een Europese entiteit berust.
Waarom het probleem groter is dan serverlocatie
De meest voorkomende misvatting in cloudinkoop is dat de fysieke locatie van servers de doorslaggevende factor is voor datasovereiniteit. Dat klopt niet.
De Amerikaanse CLOUD Act (18 U.S.C. § 2713), in werking getreden in 2018, verplicht ieder bedrijf dat onder Amerikaanse jurisdictie valt om data te overhandigen aan Amerikaanse autoriteiten, ongeacht waar die data fysiek is opgeslagen. Het maakt voor een Amerikaanse rechtbank niet uit of de servers in Frankfurt, Amsterdam of Dublin staan. Zolang de cloudaanbieder, of diens moederbedrijf, een Amerikaans bedrijf is, is de data juridisch bereikbaar.
Het Innenministerium Baden-Württemberg verwoordde dit in haar advies over cloudsoevereiniteit als volgt: “Een clouddienst die op Europese servers draait maar wordt beheerd door een Amerikaanse moedermaatschappij, biedt juridisch gezien geen datasovereiniteit. De locatie van de server is irrelevant als de beheerder onder Amerikaanse rechtsmacht valt.”
Meer dan 70% van de Europese overheidsorganisaties maakt gebruik van cloudinfrastructuur van Amerikaanse hyperscalers, waardoor jurisdictierisico’s structureel aanwezig zijn. (Bron: European Court of Auditors, Special Report 06/2023)
Delos Cloud en S3NS als casestudy
Twee joint ventures illustreren hoe soevereiniteitswashing in de praktijk werkt: Delos Cloud en S3NS.
Delos Cloud is een samenwerking tussen SAP en Microsoft, specifiek opgezet voor de Duitse publieke sector. De dienst draait op Microsoft Azure-technologie, maar wordt beheerd via een afgeschermde entiteit op Duits grondgebied. S3NS is een joint venture van het Franse Thales en Google Cloud, eveneens bedoeld voor gevoelige overheidsdata in Frankrijk. Beide constructies presenteren zich als soevereine alternatieven voor directe hyperscaler-overeenkomsten.
Het fundamentele probleem is dat de onderliggende technologie, de licenties, de software-updates en in veel gevallen ook de beheerprocessen afhankelijk blijven van de Amerikaanse moederbedrijven. Microsoft en Google zijn beiden onderworpen aan de CLOUD Act. De vraag die compliance officers moeten stellen, is niet of de Europese entiteit juridisch zelfstandig is, maar of het Amerikaanse moederbedrijf technische of juridische toegang kan krijgen tot de data. In de meeste gevallen is dat antwoord bevestigend.
De VSHN Sovereignty Washing analyse stelt hierover: “Sovereignty washing occurs when a provider uses European branding, local data centers, or joint venture structures to imply compliance with data sovereignty requirements, while the underlying legal and operational control remains with a non-European entity.”
Het CADA-framework: soevereiniteitsniveaus als inkoopinstrument
Het CADA-framework (Cloud Assessment and Decision Aid) biedt een gestructureerde methode om cloudoplossingen te beoordelen op datasovereiniteit. De vier SEAL-niveaus vormen daarin de kern.
| SEAL-niveau | Eigendomsstructuur | Juridisch risico | Toepasselijkheid |
|---|---|---|---|
| SEAL-1 | Buitenlands moederbedrijf, servers buiten EU | Hoog (volledig buitenlandse jurisdictie) | Niet geschikt voor gevoelige data |
| SEAL-2 | Buitenlands moederbedrijf, servers in EU | Gemiddeld tot hoog (CLOUD Act van toepassing) | Beperkt bruikbaar, residu-jurisdictierisico |
| SEAL-3 | Europees eigendom, operationele controle in EU | Laag (geen buitenlandse beheerrechten) | Aanbevolen voor overheden en juridische sector |
| SEAL-4 | On-premise of volledig soevereine Europese cloud | Minimaal (volledige controle bij klant) | Vereist voor staatsgeheimen en kritieke infrastructuur |
De CADA-artikelen 9 tot en met 12 specificeren per niveau welke technische en juridische voorwaarden gelden. SEAL-2 omvat diensten zoals Delos Cloud en S3NS: data staat in Europa, maar het moederbedrijf valt buiten de EU. Dit niveau schept een valse veiligheidsgeruststelling voor organisaties die denken te voldoen aan GDPR en NIS-2, terwijl het jurisdictierisico niet is weggenomen. SEAL-3 vereist dat zowel de eigendomsstructuur als de operationele controle, inclusief beheerrechten en subverwerkers, volledig binnen de EU valt en dat er geen contractuele of technische afhankelijkheden bestaan van entiteiten buiten de EU.
Voor inkooppraktijk betekent dit concreet: een organisatie die SEAL-2 aanvaardt voor gevoelige juridische of overheidsinformatie, accepteert bewust een resterend jurisdictierisico. Dat kan verdedigbaar zijn voor laag-geclassificeerde data, maar is onhoudbaar voor persoonsgegevens die vallen onder GDPR artikel 44-49 (doorgifte naar derde landen) of voor data die relevant is voor nationale veiligheid.
De CADA-impact assessment: eigendomsstructuren en beheerrechten
Een CADA-impact assessment gaat verder dan het toetsen van contractuele garanties. Het instrument analyseert de volledige keten van eigendom en beheer, omdat soevereiniteitswashing zich juist verstopt in de operationele lagen die niet zichtbaar zijn in verwerkersovereenkomsten.
Concreet: een cloudaanbieder kan een sluitende Europese verwerkersovereenkomst hebben, terwijl het onderhoud van de software, de encryptiesleutelbeheer, de 24/7 operationele support of de software-licenties worden uitgevoerd door een entiteit die onder buitenlandse rechtsmacht valt. In dat geval is er sprake van wat CADA omschrijft als “indirecte toegankelijkheid”: de moedermaatschappij heeft geen directe contractuele relatie met de klant, maar heeft via beheerrechten of technische afhankelijkheden wel toegang tot de data.
Het aantal GDPR-boetes opgelegd door Europese toezichthouders is tussen 2021 en 2023 meer dan verdubbeld, wat aantoont dat handhaving op gegevensdoorgifte naar derde landen toeneemt. (Bron: EDPB Annual Report 2023)
Technische en juridische criteria voor echte soevereiniteit
Aantoonbare operationele soevereiniteit steunt op een combinatie van juridische structuur en technische architectuur. Juridisch: het moederbedrijf en alle subverwerkers zijn gevestigd in de EU of EER, vallen niet onder de CLOUD Act, de USA PATRIOT Act of vergelijkbare extraterritoriale wetgeving, en er zijn geen aandeelhoudersconstructies die buitenlandse entiteiten indirecte zeggenschap geven.
Technisch: de klant beheert zelf de encryptiesleutels (bring your own key, of BYOK, is onvoldoende als de aanbieder technische mogelijkheid heeft om sleutels in te zien), er zijn geen verborgen beheerkanalen naar buitenlandse entiteiten, en software-updates worden uitgerold door Europees personeel zonder afhankelijkheid van buitenlandse engineeringteams.
Een bijkomend criterium betreft AI-diensten die zijn geïntegreerd in cloudwerkruimtes. Wanneer een aanbieder AI-modellen aanbiedt die trainen op klantdata, is er een aanvullend risico: niet alleen jurisdictioneel, maar ook qua datalekkage via model-inference. Werkelijk soevereine AI-implementaties draaien lokaal, trainen nooit op klantdata en hebben geen verbinding met externe modelservers.
Concrete vragen voor compliance officers
Soevereiniteitswashing is zelden een bewuste misleiding, maar vaker het gevolg van onvolledige due diligence bij inkoop. De volgende vragen helpen het verschil te maken tussen gelabelde en aantoonbare soevereiniteit.
Ten eerste: wat is de volledige eigendomsstructuur, inclusief alle moederbedrijven en aandeelhouders met meer dan vijf procent belang, en in welk land zijn deze gevestigd? Ten tweede: welke entiteiten hebben technische beheerrechten op de infrastructuur, en vallen deze onder de CLOUD Act of vergelijkbare wetgeving? Ten derde: wie beheert de encryptiesleutels, en heeft de aanbieder of een subverwerker technisch de mogelijkheid om sleutels in te zien of te reproduceren? Ten vierde: welk CADA SEAL-niveau haalt de aanbieder aantoonbaar, en is dit geauditeerd door een onafhankelijke Europese partij? Ten vijfde: zijn er overeenkomsten met Amerikaanse cloudplatforms voor licenties, updates of diensten, en zo ja, welke data is daarbij betrokken?
Een aanbieder die deze vragen niet volledig en transparant kan beantwoorden, voldoet per definitie niet aan SEAL-3 of hoger, ongeacht welke soevereiniteitsclaims worden gedaan in marketingmateriaal of verkoopgesprekken.
FAQ: soevereiniteitswashing bij cloudleveranciers
Wat is soevereiniteitswashing precies?
Soevereiniteitswashing is het ten onrechte suggereren van datasovereiniteit door cloudleveranciers die technisch of juridisch nog steeds bereikbaar zijn voor buitenlandse autoriteiten. Denk aan een joint venture met een Europees label maar een Amerikaanse moedermaatschappij die onder de CLOUD Act valt.
Maakt het uit of servers fysiek in Europa staan als de cloudaanbieder Amerikaans is?
Nee. De CLOUD Act (18 U.S.C. § 2713) verplicht Amerikaanse bedrijven om data te overhandigen ongeacht de locatie van de servers. Zolang een bedrijf onder Amerikaanse rechtsmacht valt, kan data worden opgevraagd, ook als die fysiek in de EU staat.
Wat zijn de CADA-soevereiniteitsniveaus en wat betekenen SEAL-2 en SEAL-3?
CADA hanteert vier SEAL-niveaus. SEAL-2 betekent dat data in Europa staat maar het moederbedrijf buiten de EU valt, wat residu-jurisdictierisico oplevert. SEAL-3 vereist volledige Europese eigendom én operationele controle, zonder buitenlandse beheerrechten. Voor gevoelige overheids- of juridische data is SEAL-3 of SEAL-4 de minimumstandaard.
Zijn Delos Cloud en S3NS voorbeelden van soevereiniteitswashing?
Delos Cloud is een joint venture van SAP en Microsoft, en S3NS een joint venture van Thales en Google Cloud. Beide positioneren zich als soevereine Europese oplossingen, maar de onderliggende technologie en eigendomsstructuren zijn verbonden met Amerikaanse bedrijven die onder de CLOUD Act vallen. Critici, waaronder VSHN en het Innenministerium Baden-Württemberg, stellen dat deze constructies geen echte juridische soevereiniteit bieden.
Welke concrete vragen moet ik als compliance officer stellen aan een cloudleverancier?
Vraag naar de volledige eigendomsstructuur inclusief moederbedrijven, naar welk rechtssysteem de beheerders vallen, of buitenlandse bedrijfsonderdelen beheerrechten hebben, of er subverwerkers buiten de EU zijn, en welk CADA SEAL-niveau de aanbieder aantoonbaar haalt. Vraag ook naar technische encryptie waarbij de aanbieder zelf geen sleutels beheert.
