Sovereigntywashing is het verschijnsel waarbij cloudaanbieders, vaak grote Amerikaanse hyperscalers of hun Europese partners, diensten als “soeverein” of “GDPR-proof” presenteren op basis van louter geografische datalokalisatie, terwijl de juridische en operationele controle over die data feitelijk buiten de EU blijft. Het begrip is afgeleid van greenwashing: een marketinglaag die de werkelijke situatie verhult. Voor compliance officers en IT-beslissers in gereguleerde sectoren is het onderscheid tussen een marketinglabel en werkelijke cloudsoevereiniteit van directe juridische en financiële betekenis.
Waarom een Europees datacenter geen juridische bescherming biedt
De kern van het probleem ligt niet in serverlocaties maar in rechtsmacht. Twee Amerikaanse wetten zijn hier beslissend.
De CLOUD Act (18 U.S.C. § 2713), in werking getreden in 2018, verplicht Amerikaanse aanbieders van communicatie- en clouddiensten om data te bewaren, te back-uppen of te overhandigen aan Amerikaanse autoriteiten, ongeacht waar die data fysiek is opgeslagen. Het Amerikaanse ministerie van Justitie formuleert het expliciet: de verplichting geldt “regardless of whether such communication, record, or other information is located within or outside of the United States.” Een Microsoft- of Google-datacenter in Amsterdam, Frankfurt of Dublin verandert niets aan deze juridische werkelijkheid, zolang het moederbedrijf Amerikaans is.
FISA Section 702 voegt daar een inlichtingenrechtelijke dimensie aan toe. Op basis van deze bepaling kunnen Amerikaanse inlichtingendiensten zonder individuele rechterlijke toestemming communicatie van niet-Amerikaanse personen opvragen bij Amerikaanse technologiebedrijven. Het Office of the Director of National Intelligence (ODNI) rapporteerde in 2023 dat in 2022 meer dan 250.000 niet-Amerikaanse individuen of organisaties als target waren aangemerkt onder FISA Section 702. Europese organisaties die gebruikmaken van Amerikaanse clouddiensten vallen in beginsel binnen het bereik van dit surveillancekader.
ENISA, het Europees Agentschap voor Cybersecurity, omschrijft de situatie helder in het consultatiedocument bij het EUCS-certificeringsschema: “Lokalisering van data is een noodzakelijke maar niet voldoende voorwaarde voor soevereiniteit. Zolang de aanbieder onder de rechtsmacht van een derde land valt, blijft juridische toegang mogelijk, ongeacht waar de servers staan.”
Wat het EU Cloud Sovereignty Framework en de SEAL-niveaus onthullen
Het EU Cloud Sovereignty Framework, ontwikkeld in samenhang met het EUCS (European Union Cybersecurity Certification Scheme for Cloud Services), introduceert SEAL-niveaus die structureel onderscheid maken tussen technische en juridische soevereiniteit. Dit kader maakt het voor inkopers mogelijk om aanbiedingen systematisch te beoordelen in plaats van af te gaan op marketingclaims.
| SEAL-niveau | Kernvereiste | Bescherming tegen CLOUD Act / FISA |
|---|---|---|
| SEAL-1 | Technische maatregelen (encryptie, toegangsbeheer) | Beperkt: juridische toegang blijft mogelijk |
| SEAL-2 | SEAL-1 plus auditmechanismen en contractuele waarborgen | Gedeeltelijk: technische drempel verhoogd, juridische blootstelling blijft |
| SEAL-3 | Volledige operationele en juridische onafhankelijkheid van entiteiten buiten de EU | Structureel: geen juridische banden aan derde-landsmacht |
Alleen SEAL-3 vereist dat de aanbieder geen juridisch afdwingbare verplichtingen heeft tegenover overheden buiten de EU, en dat ook moederbedrijven, aandeelhouders en subverwerkers aan deze eis voldoen. De meeste hyperscaler-aanbiedingen, ook die met Europese branding, bereiken hooguit SEAL-2.
De wrapped hyperscaler: het geval Proximus/S3NS
Een veelgebruikte constructie om soevereiniteitsproblemen te omzeilen is de joint venture of wrapper: een Europees bedrijf dat technologie van een Amerikaanse hyperscaler inpakt en beheert. Het bekendste voorbeeld is S3NS, een joint venture van Thales (Frans defensie- en technologieconcern) en Google LLC. Proximus, de Belgische telecomoperator, is een van de partners die dit aanbod op de markt brengt.
Bij S3NS beheert Thales de encryptiesleutels en is er een organisatorische scheiding aangebracht tussen de Europese operatie en de Amerikaanse moederorganisatie van Google. Dit verhoogt de technische drempel voor ongeautoriseerde toegang aanzienlijk. Toch blijven voor compliance officers twee kritische vragen open. Ten eerste: kan Google-personeel of -technologie bij noodonderhoud of software-updates toegang krijgen tot de omgeving, en onder welke voorwaarden? Ten tweede: valt Google LLC als moederorganisatie onder de CLOUD Act voor data die via de joint venture wordt verwerkt, en zijn er contractuele firewalls die dit afdoende blokkeren?
Deze vragen zijn niet louter theoretisch. Artikel 48 van de AVG verbiedt de doorgifte van persoonsgegevens aan derde landen op basis van een buitenlandse rechterlijke of bestuurlijke beslissing, tenzij er een erkende rechtsgrondslag bestaat. Een verzoek op basis van de CLOUD Act voldoet daar in beginsel niet aan. Organisaties die een wrapped hyperscaler inzetten zonder deze juridische analyse te hebben uitgevoerd, lopen een reëel risico op GDPR-schendingen die zij niet direct kunnen waarnemen.
Reputatie- en aansprakelijkheidsrisico’s bij sovereigntywashing
Wanneer een organisatie een als soeverein gepresenteerde dienst heeft ingekocht zonder adequaat due diligence uit te voeren, ontstaan meerdere soorten schade zodra het werkelijke karakter van de dienst aan het licht komt.
Op het vlak van GDPR-aansprakelijkheid riskeren verwerkingsverantwoordelijken boetes tot 4% van de wereldwijde jaaromzet (artikel 83, lid 5 AVG) bij schendingen die het gevolg zijn van onrechtmatige doorgiften aan derde landen. NIS-2, de herziene richtlijn netwerk- en informatiebeveiliging die per oktober 2024 in nationale wetgeving moest zijn omgezet, legt aanvullende verplichtingen op voor essentiële en belangrijke entiteiten, inclusief beveiligingseisen voor de toeleveringsketen. Een cloudleverancier die de soevereiniteitseisen niet werkelijk nakomt, kan als zwakke schakel in die keten worden aangemerkt.
Reputatieschade treft met name organisaties in de publieke sector, de rechtssector en de financiële dienstverlening, waar vertrouwelijkheid van data een kernbelofte aan cliënten of burgers vormt. Een datalek of een zichtbaar geworden toegangsverlening aan buitenlandse autoriteiten ondermijnt die belofte direct, ongeacht of de organisatie zelf te goeder trouw handelde.
De compliance officer die een sovereigntywashing-product heeft aanbevolen of goedgekeurd zonder voldoende technisch en juridisch onderzoek, kan intern aangesproken worden op het nalaten van afdoende due diligence. In sectoren met persoonlijk toezichthoudercontact, zoals financiële instellingen onder de ECB of DNB, kan dit ook extern consequenties hebben.
Minimale technische en contractuele waarborgen voor gereguleerde sectoren
Voor organisaties die geen volledige on-premise of Zwitserse soevereine cloud kunnen realiseren, maar toch een verantwoord niveau van soevereiniteit willen bereiken, gelden de volgende minimumvereisten. Deze zijn niet uitwisselbaar: het ontbreken van één ervan kan de gehele constructie juridisch onhoudbaar maken.
Op technisch vlak is encryptie waarbij de sleutels uitsluitend bij de klant of een EU-gevestigde, van de hyperscaler onafhankelijke beheerder liggen vereist. Dit wordt aangeduid als Bring Your Own Key (BYOK) of Hold Your Own Key (HYOK). Bij BYOK blijft de hyperscaler technisch in staat de sleutels op te vragen; HYOK sluit dat uit doordat de sleutels nooit de klantomgeving verlaten.
Op juridisch en contractueel vlak zijn nodig: een verwerkersovereenkomst die expliciet alle subverwerkers buiten de EU uitsluit, een contractuele bepaling dat de aanbieder bij een buitenlandse overheidsvordering onmiddellijk bezwaar maakt en de klant informeert, en een rechtskeuze voor EU-recht. Aanvullend verdient het aanbeveling te eisen dat de aanbieder aantoonbaar voldoet aan EUCS en bij voorkeur SEAL-3-gecertificeerd is, of een nationale accreditatie bezit die daarmee gelijkwaardig is, zoals het Franse SecNumCloud-label van ANSSI.
Voor migraties van Microsoft 365 naar een soevereine werkruimte, zoals een op Nextcloud gebaseerde omgeving die on-premise of bij een Zwitserse aanbieder wordt gehost, geldt dat de gehele keten, van bestandsopslag tot e-mail en videoconferencing, aan deze eisen moet voldoen. Een gedeeltelijke migratie waarbij Microsoft 365 voor e-mail of Teams-vergaderingen wordt gehandhaafd, handhaaft de juridische blootstelling voor die deelprocessen onverminderd.
Hoe compliance officers sovereigntywashing praktisch doorprikken
Een gestructureerde beoordeling van een cloudaanbod begint met vier vragen die de aanbieder schriftelijk moet beantwoorden. Ten eerste: onder welke rechtsmacht valt het moederbedrijf en alle aandeelhouders met een belang van meer dan 10%? Ten tweede: zijn er ooit verzoeken ontvangen op basis van de CLOUD Act of FISA, en zo ja, hoe zijn die afgehandeld? Ten derde: welk EUCS-niveau of SEAL-niveau wordt nagestreefd of is al bereikt, en is er een onafhankelijke audit beschikbaar? Ten vierde: wie beheert de encryptiesleutels en kunnen medewerkers van de aanbieder of zijn subverwerkers daar ooit toegang toe krijgen?
Antwoorden die verwijzen naar geografische locatie als primaire garantie, of die certificeringen noemen zonder een onafhankelijk auditrapport te kunnen overleggen, zijn indicatoren voor sovereigntywashing. Het Europees Parlement benadrukte in de studie European Software and Cyber Dependencies (2025) dat Europese organisaties structureel te weinig technische capaciteit hebben om deze claims zelfstandig te verifiëren, en pleitte voor versterking van onafhankelijke certificeringsinstanties op Europees niveau.
De uiteindelijke maatstaf is niet wat een aanbieder claimt, maar wat een rechter of toezichthouder zou vaststellen op het moment dat een buitenlandse overheid een vordering indient. Pas als op dat moment de juridische en technische architectuur afdoende bescherming biedt, is er sprake van werkelijke cloudsoevereiniteit.
FAQ: veelgestelde vragen over sovereigntywashing en cloudsoevereiniteit
Is een Europees datacenter van Microsoft of Google voldoende om GDPR-compliant te zijn?
Nee. De AVG vereist niet alleen dat data binnen de EU wordt opgeslagen, maar ook dat er geen onrechtmatige doorgifte naar derde landen plaatsvindt. De CLOUD Act verplicht Amerikaanse bedrijven tot dataverstrekking aan Amerikaanse autoriteiten, ongeacht de serverlocatie. Dit creëert een structurele spanning met artikel 48 AVG, dat dergelijke doorgifte zonder EU-rechtsbasis verbiedt.
Wat onderscheidt een SEAL-3-gecertificeerde dienst van een gewone hyperscalerdienst?
Het EU Cloud Sovereignty Framework onderscheidt meerdere SEAL-niveaus. SEAL-3 vereist dat de aanbieder operationeel en juridisch volledig onafhankelijk is van entiteiten buiten de EU, inclusief moederbedrijven en aandeelhouders. Bij SEAL-1 en SEAL-2 zijn technische maatregelen zoals encryptie vereist, maar blijft juridische invloed van derde landen mogelijk. Alleen SEAL-3 sluit die invloed structureel uit.
Wat is het aansprakelijkheidsrisico voor een compliance officer die een sovereigntywashing-product inkoopt?
Als later blijkt dat een als soeverein gepresenteerde dienst niet aan de eisen voldeed, kan de organisatie aansprakelijk zijn voor GDPR-overtredingen (boetes tot 4% van de wereldwijde jaaromzet), NIS-2-schendingen en reputatieschade. De compliance officer kan intern en, in gereguleerde sectoren, ook extern aangesproken worden op onvoldoende due diligence bij de inkoop.
Biedt een wrapper-constructie zoals Proximus/S3NS werkelijke soevereiniteit?
Dat hangt af van de specifieke technische en contractuele inrichting. Bij S3NS beheert Thales de encryptiesleutels en is er een scheiding aangebracht tussen de Europese operatie en Google LLC. De cruciale vraag blijft echter of Google-technologie of -personeel bij onderhoud toegang kunnen krijgen, en of Google als moederorganisatie onder de CLOUD Act valt voor data in de joint venture-omgeving. Compliance officers moeten dit per geval juridisch laten toetsen, bij voorkeur door een advocaat met specialisatie in internationaal privacyrecht.
Welke minimale waarborgen zijn nodig voor gereguleerde sectoren zoals overheid of financiële dienstverlening?
Minimaal vereist zijn: HYOK-encryptie waarbij sleutels nooit de klantomgeving verlaten, een aanbieder zonder juridische banden aan niet-EU-rechtsmachten, contractuele uitsluiting van subverwerkers buiten de EU, aantoonbare NIS-2- en EUCS-conformiteit, en bij voorkeur een SEAL-3-certificering of een gelijkwaardige nationale accreditatie zoals het Franse SecNumCloud-label.
