Soevereine externe samenwerking: versleuteld documenten delen perimeter

Soevereine externe samenwerking met versleuteld documenten delen buiten de eigen beveiligde perimeter is de praktijk waarbij organisaties gevoelige bestanden uitwisselen met externe partijen, zoals advocaten, accountants of toezichthouders, via infrastructuur die volledig onder Europese jurisdictie valt en waarbij de inhoud end-to-end versleuteld blijft. Dit onderscheidt zich fundamenteel van het gebruik van standaard cloudplatformen, waarbij de aanbieder technisch en juridisch toegang kan hebben tot de verzonden data.

Waarom gangbare platforms ongeschikt zijn voor gevoelige documentuitwisseling

De meest gebruikte platformen voor externe samenwerking, waaronder SharePoint Online, Google Drive, Dropbox en WeTransfer, zijn juridisch gezien niet neutraal. Ze vallen zonder uitzondering onder de Amerikaanse Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018), die Amerikaanse opsporings- en inlichtingendiensten het recht geeft om gegevens op te eisen bij in de VS geregistreerde bedrijven, ongeacht waar de servers fysiek staan.

Voor compliance officers en IT-beslissers in de juridische, financiële of publieke sector betekent dit dat elk document dat via deze platformen wordt gedeeld, potentieel toegankelijk is voor buitenlandse autoriteiten zonder dat de betrokken Europese organisatie daarover wordt geïnformeerd. Dat is onverenigbaar met het beroepsgeheim van advocaten en notarissen, met de vertrouwelijkheidsverplichtingen van accountants onder de Wet toezicht accountantsorganisaties, en met de vereisten van de AVG voor doorgifte van persoonsgegevens buiten de EER.

Naast de CLOUD Act speelt ook de DocuSign-kwestie. DocuSign, marktleider voor elektronische handtekeningen, is een Amerikaanse dienst. Documenten die via DocuSign worden ondertekend, passeren Amerikaanse infrastructuur. Voor gekwalificeerde elektronische handtekeningen onder eIDAS 2.0 is het gebruik van een dienstverlener op de EU-vertrouwenslijst (Trust List) verplicht. DocuSign staat hier niet op als aanbieder van gekwalificeerde handtekeningen voor de EU-markt.

“Wanneer een Europese organisatie gegevens opslaat bij een Amerikaans cloudbedrijf, ook als de server fysiek in Europa staat, kunnen Amerikaanse autoriteiten op grond van de CLOUD Act toegang eisen zonder Europese tussenkomst.”

Max Schrems, privacyrechtadvocaat en oprichter van noyb (None of Your Business), noyb.eu

Een statistisch beeld: meer dan 80% van de Fortune 500 gebruikt Microsoft 365, waarmee een groot deel van de Europese documenten die worden gedeeld met internationale partners, via Amerikaanse infrastructuur loopt (Microsoft, 2023). Tegelijkertijd registreerde de GDPR Enforcement Tracker van CMS Law in 2024 meer dan 1.800 GDPR-boetes met een cumulatief bedrag van ruim 4,5 miljard euro, waarbij onrechtmatige gegevensoverdrachten herhaaldelijk als grondslag dienden.

Technische oplossingen voor soevereine externe documentuitwisseling

Er bestaan concrete, volwassen alternatieven die voldoen aan AVG artikel 32, het beroepsgeheim en sectorspecifieke normen zoals NEN 7510 voor de zorgsector.

Federatief Nextcloud als basis voor perimeterbewaking

Nextcloud biedt een federatieve uitwisselingsfunctie waarmee twee afzonderlijke Nextcloud-instanties, elk op eigen soevereine infrastructuur, bestanden kunnen uitwisselen zonder dat data de eigen omgeving verlaat. Een ziekenhuis dat NEN 7510-gecertificeerd is, kan op deze manier beveiligde documenten uitwisselen met een externe specialist of verzekeraar, waarbij beide partijen volledige controle houden over hun eigen data. Nextcloud Talk voegt end-to-end versleutelde communicatie toe binnen dezelfde omgeving, zodat ook het overleg over de gedeelde documenten vertrouwelijk blijft.

End-to-end versleutelde bestandsoverdracht

Voor organisaties die nog geen eigen Nextcloud-instantie hebben of documenten willen delen met externe partijen zonder eigen cloudinfrastructuur, zijn Tresorit en Cryptomator bewezen alternatieven. Tresorit is een Zwitserse dienst die end-to-end versleuteling toepast waarbij de aanbieder zelf geen toegang heeft tot de inhoud. Cryptomator is open-source software die bestanden lokaal versleutelt voordat ze naar enig opslagmedium worden geschreven, inclusief on-premise NAS-systemen. Beide oplossingen zijn compatibel met het vereiste van AVG artikel 32 dat versleuteling als passende technische maatregel wordt ingezet.

Secure rooms voor juridische en regulatoire procedures

Voor due-diligenceprocessen, fusies of toezichtonderzoeken bieden zogenoemde virtual data rooms (VDR) op soevereine infrastructuur een gecontroleerde omgeving. Daarbij gaat het om een afgeschermde digitale ruimte waartoe externe partijen tijdelijk toegang krijgen, met strikt beheer van rechten per document of map, automatisch verlopen toegang na een ingestelde datum, en een onveranderlijk auditlog van elke actie.

“Artikel 32 van de AVG vereist passende technische en organisatorische maatregelen, waaronder versleuteling en continue toegangscontrole. Dat geldt ook voor de gegevens die u met externe verwerkers uitwisselt.”

Europees Comité voor gegevensbescherming (EDPB), edpb.europa.eu

Jurisdictierisico’s per platform in vergelijking

Verwerkersovereenkomsten voor tijdelijke externe toegang

Zodra een externe partij, zoals een accountantskantoor of een juridisch adviseur, tijdelijk toegang krijgt tot een soevereine documentomgeving, is een verwerkersovereenkomst op grond van AVG artikel 28 verplicht als die partij persoonsgegevens verwerkt. De overeenkomst moet concreet zijn over vier elementen.

Ten eerste het doel en de bewaartermijn: de toegang geldt uitsluitend voor een omschreven dossier gedurende een vastgestelde periode. Ten tweede de technische maatregelen: versleuteling van de verbinding (TLS 1.3 minimaal), multi-factor authenticatie voor elke externe gebruiker, en end-to-end versleuteling van de documenten zelf. Ten derde toegangslogging: elk inzagemoment, elke download en elke wijziging moet worden vastgelegd in een onveranderlijk auditlog. Ten vierde automatisch verlopen rechten: de technische omgeving moet de toegang na de afgesproken datum zonder handmatige ingreep intrekken. Dit is geen optionele maatregel maar een technische invulling van de minimale gegevensverwerking die AVG artikel 5 vereist.

In sectoren die onder NIS-2 vallen, zoals digitale infrastructuur, overheid en financiële dienstverlening, geldt bovendien de verplichting om incidenten te kunnen reconstrueren op basis van loggegevens. De NIS-2-richtlijn (EU 2022/2555) schrijft voor dat organisaties passende maatregelen treffen voor toeleveranciersbeveiliging, wat externe samenwerking expliciet omvat.

Audittrails en bewijsbewaring voor elektronisch ondertekende documenten

Voor juridische en regulatoire procedures is de bewijswaarde van een elektronisch ondertekend document afhankelijk van twee factoren: de kwalificatie van de handtekening en de aantoonbaarheid van de integriteitsketen.

eIDAS 2.0, de herziene Europese verordening voor elektronische identificatie en vertrouwensdiensten die in 2024 in werking trad, onderscheidt drie niveaus: een gewone elektronische handtekening, een geavanceerde handtekening en een gekwalificeerde elektronische handtekening (QES). Alleen de QES heeft in alle EU-lidstaten dezelfde rechtskracht als een handgeschreven handtekening. Voor gerechtelijke procedures of notariële akten in gevoelige dossiers is de QES de vereiste standaard. De aanbieder moet staan op de door de Europese Commissie gepubliceerde vertrouwenslijst.

Naast de handtekening zelf is de audittrail van het deelproces van belang. Een rechter of toezichthouder wil kunnen vaststellen wie wanneer welke versie van een document heeft ingezien, bewerkt of goedgekeurd. Soevereine documentomgevingen leggen dit vast via cryptografisch gesigneerde logbestanden die ongewijzigd bewaard worden. De bewaartermijn varieert: voor fiscale documenten geldt in Nederland zeven jaar op grond van de Belastingwet, voor juridische dossiers hangt de termijn af van de verjaringstermijn van de onderliggende rechtsvordering, en voor NIS-2-plichtige organisaties is twaalf maanden logging een gangbare minimumstandaard voor toezichthouders.

Verizon constateerde in het Data Breach Investigations Report 2023 dat bij 74% van de datalekken een menselijk element betrokken was, waaronder onbeheerde externe toegang. Juist het combineren van technische toegangscontrole, automatisch verlopen rechten en een onveranderlijk auditlog beperkt dit risico structureel.

FAQ: Soevereine externe samenwerking in de praktijk

Mag een advocaat of accountant vertrouwelijke documenten via Dropbox of WeTransfer delen?
In de meeste gevallen niet zonder aanvullende maatregelen. Dropbox en WeTransfer zijn diensten die onder de CLOUD Act kunnen vallen. Voor documenten die onder het beroepsgeheim vallen, schrijven de beroepsregels van de Nederlandse Orde van Advocaten en de NBA voor dat vertrouwelijkheid technisch gewaarborgd moet zijn. End-to-end versleuteling via een soeverein platform is de aangewezen route.

Wat is het verschil tussen federatief Nextcloud en een gewone gastlink?
Een federatieve Nextcloud-koppeling verbindt twee afzonderlijke, onafhankelijke Nextcloud-instanties zodat gebruikers bestanden kunnen delen zonder een account op elkaars server aan te maken. De data blijft op de eigen infrastructuur van elke partij. Een gastlink geeft tijdelijke toegang via de browser, maar vereist geen eigen serverinfrastructuur bij de externe partij en biedt minder controle over de datalocatie.

Wat moet een verwerkersovereenkomst minimaal regelen bij tijdelijke externe toegang?
De overeenkomst moet het doel en de bewaartermijn van de toegang omschrijven, de technische maatregelen benoemen (versleuteling, MFA, toegangslogging), de procedure voor intrekking van rechten vastleggen en de verantwoordelijkheden bij een datalek verdelen. Automatisch verlopen rechten na een bepaalde datum zijn een vereiste technische maatregel onder AVG artikel 32.

Voldoet een gekwalificeerde elektronische handtekening onder eIDAS 2.0 als bewijs in een rechtszaak?
Ja. Een QES onder eIDAS 2.0 heeft in alle EU-lidstaten dezelfde rechtskracht als een handgeschreven handtekening. De handtekening moet zijn aangemaakt met een gekwalificeerd certificaat van een vertrouwde dienstverlener die op de EU-vertrouwenslijst staat.

Hoe lang moeten auditlogs van externe documentuitwisseling bewaard worden?
De bewaartermijn hangt af van het toepasselijke recht. Voor fiscale en financiële documenten geldt in Nederland doorgaans zeven jaar op grond van de Belastingwet. Voor juridische procedures hangt de termijn af van de verjaringstermijn van de onderliggende rechtsvordering. NIS-2 verplicht organisaties om logs beschikbaar te houden voor toezichthouders; twaalf maanden is gangbare praktijk als minimum.