Common European Data Spaces zijn sectorale kaders voor gecontroleerde gegevensdeling binnen de Europese Unie: geen centrale databank, maar een stelsel van technische standaarden, juridische afspraken en toezichtsmechanismen dat bepaalt wie onder welke voorwaarden toegang krijgt tot welke data. Voor organisaties in gereguleerde sectoren is dit onderscheid cruciaal: soevereiniteit gaat hier niet over eigendom van servers, maar over afdwingbare controle over de jurisdictie en het gebruik van gegevens.
Wat zijn Common European Data Spaces?
Common European Data Spaces zijn geen technologieplatforms maar governanceconstructies: gedeelde spelregels die interoperabele gegevensdeling mogelijk maken zonder dat deelnemende organisaties controle hoeven af te staan aan een centrale beheerder of commerciële platformeigenaar.
De Europese Commissie presenteerde in haar European Data Strategy (2020) negen prioritaire dataruimten, waaronder zorg, justitie, financiën, mobiliteit, energie en landbouw. Inmiddels is ook een aparte Common European Data Space Defence in ontwikkeling, gericht op veilige data-uitwisseling tussen defensiepartners binnen de EU zonder afhankelijkheid van niet-EU-infrastructuur. Elke dataruimte kent eigen sectorale regelgeving bovenop de horizontale verordeningen.
De Europese Commissie schat dat de hoeveelheid data die in de EU wordt opgeslagen en verwerkt zal vertienvoudigen tussen 2018 en 2025. (Bron: Europese Commissie, European Data Strategy, 2020.) Dat maakt gecontroleerde infrastructuur voor gegevensuitwisseling niet langer een optie maar een noodzaak voor overheden en gereguleerde sectoren.
De rol van Gaia-X AISBL in datasoevereiniteit
Gaia-X AISBL is de Brusselse non-profitvereniging die het overkoepelende Trust Framework en de Labelling-criteria beheert waaraan cloudaanbieders en dataruimte-operatoren moeten voldoen om als “Gaia-X compliant” te worden gecertificeerd.
Het Trust Framework verplicht deelnemers tot transparantie over drie soevereiniteitsaspecten: waar data wordt opgeslagen (datalocatie), welke wetgeving van toepassing is (jurisdictie) en wie toegang kan afdwingen (toegangsbeheer). Een aanbieder kan technisch in Europa hosten maar toch onder Amerikaanse jurisdictie vallen als het moederbedrijf Amerikaans is. Het Gaia-X-label maakt dit onderscheid expliciet en auditeerbaar.
Gaia-X AISBL telde in 2023 meer dan 350 leden en werkgroepdeelnemers uit meer dan 20 landen. (Bron: Gaia-X AISBL, 2023.) Ondanks die breedte is de praktische implementatie ongelijkmatig: het label bestaat, maar handhaving en marktdoordringen vereisen nog aanvullende nationale en sectorale druk.
Aanvullend op Gaia-X werkt het Data Spaces Support Centre (DSSC), opgezet door de Europese Commissie, aan praktische bouwblokken en referentie-architecturen voor organisaties die een dataruimte willen inrichten of betreden. Het DSSC publiceert onder meer de “Blueprint for Data Spaces”, een gelaagd referentiekader voor interoperabiliteit.
Sectorale dataruimten voor gereguleerde organisaties
Voor compliance officers en IT-beslissers in gereguleerde sectoren zijn met name vier dataruimten direct relevant, elk met eigen vereisten bovenop de generieke EU-kaders.
| Dataruimte | Primaire sectorwetgeving | Specifiek soevereiniteitsvraagstuk |
|---|---|---|
| European Health Data Space (EHDS) | EHDS-verordening (in behandeling), AVG/GDPR | Patiëntgegevens mogen niet verwerkt worden buiten EU-jurisdictie |
| Common European Data Space for Justice | e-Evidence-verordening, AVG | Justitiële data vereist strikt toegangsbeheer en audittrails |
| Financial Data Access (FIDA) | FIDA-verordening (voorstel 2023), DORA | Financiële instellingen moeten operationele veerkracht garanderen |
| Common European Data Space Defence | Defensiesectorregels, NIS-2 | Volledige uitsluiting van niet-EU-cloudleveranciers als subverwerker |
De Data Governance Act: verplichtingen voor data-intermediairs
Verordening (EU) 2022/868, de Data Governance Act (DGA), vormt de horizontale rechtsgrondslag voor dataruimten en legt specifieke verplichtingen op aan organisaties die als data-intermediair opereren.
Een data-intermediair faciliteert gegevensdeling tussen andere partijen, zonder zelf commercieel voordeel te trekken uit de data. De DGA vereist dat dergelijke organisaties zich registreren bij een nationale bevoegde autoriteit, structureel neutraal blijven (de intermediair mag de data niet hergebruiken voor eigen diensten), en passende technische en organisatorische waarborgen implementeren.
De Europese Commissie stelde in haar toelichting bij de DGA: “The Data Governance Act creates a new category of trusted data intermediaries who must remain neutral and cannot use data for their own commercial purposes.” (Europese Commissie, toelichting bij Verordening (EU) 2022/868.)
Organisaties die uitsluitend eigen data inbrengen of afnemen als eindgebruiker vallen buiten de registratieplicht. Maar ziekenhuisnetwerken die gegevens van meerdere zorginstellingen routeren, of juridische dienstenverleners die dossierdata doorgeven aan overheidspartijen, kunnen wel degelijk als intermediair worden gekwalificeerd. Dit vereist een voorafgaande juridische toets.
Aansluiting bij GDPR, NIS-2 en AVG-nalevingsplichten
Deelname aan een Europese dataruimte vervangt geen bestaande compliance-verplichtingen maar voegt er een bestuurlijke laag aan toe.
Onder de AVG (GDPR) blijft de verwerkingsverantwoordelijke volledig aansprakelijk voor de rechtmatigheid van gegevensverwerking, ook wanneer die plaatsvindt via een dataruimte-operator als subverwerker. Artikel 28 AVG vereist een verwerkersovereenkomst met elke partij die namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Dat omvat de operator van de dataruimte én eventuele onderliggende cloudinfrastructuur.
NIS-2 (Richtlijn (EU) 2022/2555) verplicht organisaties in essentiële en belangrijke sectoren tot risicogebaseerde beveiligingsmaatregelen, ketenbeveiliging (artikel 21), en melding van significante incidenten binnen 24 uur. Dataruimte-deelname vergroot het aanvalsoppervlak: een incident bij de operator of bij een andere deelnemer kan uw organisatie raken. NIS-2 vereist dat u ook de beveiligingspraktijken van uw dataruimte-leveranciers evalueert.
Het SIMPL-programma (Smart Middleware Platform, gefinancierd via Digital Europe) ontwikkelt technische middelware die overheidsorganisaties in staat stelt aan dataruimten deel te nemen met behoud van volledige controle over hun data-interfaces. Dit programma is specifiek gericht op publieke sector-interoperabiliteit en vermindert de afhankelijkheid van commerciële middleware-aanbieders.
Risico’s van niet-EU-partijen als cloudleverancier of subverwerker
Het meest concrete soevereiniteitsrisico bij dataruimte-deelname is niet de architectuur zelf, maar de onderliggende infrastructuur waarop de dataruimte-operator draait.
Wieske Ebben (programmadirecteur Data Sharing bij TNO) formuleerde het als volgt: “Data spaces are not just a technical infrastructure, they are a governance model that determines who controls data and under which rules.” (TNO.) Die governance is alleen sluitend als ook de laag daaronder, de cloudinfrastructuur, binnen EU-jurisdictie valt.
Wanneer een dataruimte-operator gebruikmaakt van Amazon Web Services, Microsoft Azure of Google Cloud, geldt de US CLOUD Act. Die wet verplicht Amerikaanse cloudaanbieders om op verzoek van Amerikaanse autoriteiten gegevens te verstrekken, ook als die data fysiek in Europa staat. Een Gaia-X-gecertificeerde dataruimte op Amerikaans-gecontroleerde infrastructuur biedt daardoor geen volledige jurisdictionele bescherming.
Het Europees Hof van Justitie bevestigde in het Schrems II-arrest (C-311/18, 2020) dat doorgifte van persoonsgegevens naar de VS alleen rechtmatig is als aanvullende waarborgen bestaan die het beschermingsniveau van de AVG effectief garanderen. Die waarborgen zijn bij US CLOUD Act-verplichtingen structureel problematisch.
Voor gereguleerde sectoren betekent dit in de praktijk: eis van uw dataruimte-operator een aantoonbare juridische analyse van de volledige subverwerkersketen, inclusief bewijs dat geen enkel onderdeel onder niet-EU-jurisdictie valt. Laat dit vastleggen in de verwerkersovereenkomst als een specifieke representatie, niet slechts als een algemene zorgplicht.
Het aantal meldingsplichtige datalekken bij de Autoriteit Persoonsgegevens steeg in 2023 tot meer dan 25.000 meldingen. (Bron: Autoriteit Persoonsgegevens, Jaarverslag 2023, 2024.) Een significant deel van deze meldingen betreft ketenproblemen waarbij een leverancier of subverwerker de feitelijke oorzaak was. Dit onderstreept waarom de subverwerkersketen bij dataruimte-deelname geen bijzaak maar een kernvraag van risicobeheer is.
Praktische criteria voor deelnamebeslissingen
Organisaties in gereguleerde sectoren die dataruimte-deelname overwegen, staan voor een beslissing die verder gaat dan technische interoperabiliteit. De kernvragen zijn jurisdictioneel en bestuurlijk van aard.
Controleer eerst of de dataruimte-operator een formeel Gaia-X Trust Framework-certificaat heeft, en op welk niveau: Basic, Substantial of High. Stel vervolgens vast of de onderliggende cloudinfrastructuur Europees-gecontroleerd is. Analyseer daarna welke rol uw organisatie speelt: eindgebruiker of data-intermediair onder de DGA. En breng in kaart welke sectorale verordening bovenop de DGA en GDPR van toepassing is, zoals de EHDS-verordening voor zorg of DORA voor financiële instellingen.
De DSSC biedt hiervoor gestructureerde toetsingskaders in de vorm van de Blueprint for Data Spaces en bijbehorende interoperabiliteitsprofielen. Die documenten zijn openbaar beschikbaar via dssc.eu en vormen een bruikbaar startpunt voor een gestructureerde gap-analyse voorafgaand aan deelname.
Veelgestelde vragen
Wat is het verschil tussen een Common European Data Space en een gewone cloudomgeving?
Een Common European Data Space is geen opslaginfrastructuur maar een gedeeld governancekader: afspraken over wie data mag gebruiken, onder welke jurisdictie en op welke voorwaarden. Een cloudopslag is technische capaciteit zonder afspraken over gegevenssoevereiniteit of sectorale regelgeving.
Moet mijn organisatie zich registreren onder de Data Governance Act als we deelnemen aan een dataruimte?
Alleen als uw organisatie als data-intermediair optreedt, dat wil zeggen als u datauitwisseling tussen andere partijen faciliteert. Organisaties die uitsluitend eigen data inbrengen of afnemen vallen buiten de registratieplicht van Verordening (EU) 2022/868.
Wat is het risico als onze dataruimte-operator gebruik maakt van een Amerikaanse cloudleverancier?
Amerikaanse cloudleveranciers vallen onder de jurisdictie van de US CLOUD Act, die Amerikaanse autoriteiten toegang kan geven tot opgeslagen data ongeacht waar die data fysiek staat. Daarmee is de soevereiniteitsgarantie van de dataruimte onvolledig en kan GDPR-nakoming in het geding komen.
Hoe verhoudt Gaia-X zich tot bestaande nationale initiatieven zoals de Dutch Cloud Community?
Gaia-X AISBL biedt het overkoepelende Trust Framework en de certificeringsstandaarden. Nationale hubs, waaronder de Nederlandse, vertalen dit naar lokale implementaties. Ze zijn complementair: nationale initiatieven opereren idealiter binnen de Gaia-X-kaders om grensoverschrijdende interoperabiliteit te garanderen.
Valt deelname aan een Europese dataruimte onder de NIS-2-verplichtingen?
Dat hangt af van de sector en de rol van uw organisatie. Organisaties in essentiële sectoren zoals zorg, energie of overheid die kritieke digitale diensten aanbieden via een dataruimte kunnen onder NIS-2 (Richtlijn (EU) 2022/2555) vallen en zijn dan verplicht passende beveiligingsmaatregelen en incidentmeldingen te implementeren.
