Dataresidentie (data residency)

Wat is dataresidentie?

Dataresidentie is de fysieke plek waar je data opgeslagen en verwerkt wordt: het land of de regio waar de servers staan. Draait je klantendatabank in een datacenter in Amsterdam, dan is je dataresidentie Nederland. Verhuis je diezelfde databank naar een regio in de Verenigde Staten, dan verhuist je residentie mee.

Voor een bedrijf dat in de cloud werkt, is die plek geen toeval maar een keuze. Bij het aanmaken van een clouddienst duid je aan in welke regio je data landt. Meestal doe je dat om een wettelijke of contractuele eis in te vullen: klanten of een toezichthouder die vragen dat de gegevens binnen Europa blijven.

Dataresidentie, datasoevereiniteit en datalokalisatie

Drie begrippen die door elkaar lopen, terwijl het verschil in de praktijk juist het lastigste stuk is.

Dataresidentie gaat over waar je data fysiek staat. Het is een feit dat je kan aanwijzen op een kaart: dit datacenter, in dit land.

Datasoevereiniteit gaat over welke wetten op die data van toepassing zijn, en dat valt niet altijd samen met de residentie. Staat je data bij een Amerikaanse aanbieder in Frankfurt, dan is je residentie Duitsland, maar de Amerikaanse CLOUD Act kan die aanbieder verplichten de gegevens aan de Amerikaanse overheid te geven, waar ze ook staan. Fysiek in Europa betekent dus niet automatisch onder Europees recht.

Datalokalisatie is de striktste van de drie: een wettelijke plicht om bepaalde data binnen een landsgrens te houden. Residentie is een keuze die je maakt, lokalisatie is een moeten dat een wet je oplegt, bijvoorbeeld voor bepaalde overheids- of gezondheidsdata.

Hoe regel je residentie in de praktijk?

De knop waarmee je residentie stuurt, is de regiokeuze bij je cloudleverancier. Microsoft deelt Azure op in geografieën, en elke geografie is een vaste dataresidentiegrens. Kies je een regio als West Europe (een datacenter in Nederland), dan blijft je klantendata binnen die grens. Bij AWS werkt het net zo: de data blijft in de Region die je zelf kiest.

Bovenop die regiokeuze bestaan er hardere toezeggingen. De EU Data Boundary van Microsoft is de belofte om klantdata en persoonsgegevens voor de zakelijke clouddiensten, waaronder Azure, Microsoft 365 en Power Platform, binnen de EU en EFTA op te slaan en te verwerken. Voor een organisatie met een inschrijving in Belgie geldt dat automatisch.

Een concreet voorbeeld. Een Belgisch accountantskantoor bouwt zijn rapportering in Power BI op een Azure SQL-databank en kiest bij het aanmaken de regio West Europe. De boekhoudgegevens van hun klanten staan zo in een datacenter in Nederland, niet in de VS, en het kantoor kan aantonen dat de cijfers Europa niet verlaten. Die keuze hoort thuis in je bredere afspraken rond data governance, want residentie is een van de spelregels die je per dataset vastlegt.

Metadata en logs verlaten soms toch de regio

Je residentie op West Europe zetten wil niet zeggen dat er nooit iets de grens over gaat. Dat is de eerlijke nuance die veel te vaak wegvalt.

De inhoud van je data, de klantnamen en bedragen, blijft in de gekozen regio. Maar daarnaast draaien er systeem-logs mee die noteren hoe de dienst functioneert, en die bevatten soms persoonsgegevens in gepseudonimiseerde vorm. Microsoft verwerkt die logs binnen de EU Data Boundary, maar houdt expliciet een aantal beperkte situaties open waarin data toch buiten de grens gaat.

Een tweede lek zit bij support. Los je samen met een engineer een probleem op, dan kan die vanuit een land buiten de EU meekijken in je omgeving. In een zero-trust opzet hoort zulke toegang strak afgeschermd en gelogd te zijn. Wie residentie serieus neemt, kijkt daarom naar twee dingen: waar de data staat en wie er van waar bij kan.

FAQ over dataresidentie

1. Is data in een Europees datacenter automatisch veilig onder Europees recht?
Nee. De residentie is dan Europees, maar als je aanbieder een Amerikaans moederbedrijf heeft, kan buitenlandse wetgeving zoals de CLOUD Act er nog altijd op wegen. Residentie en soevereiniteit zijn twee aparte vragen.

2. Kies ik residentie per dienst of voor mijn hele omgeving?
Meestal per dienst of per omgeving: je duidt de regio aan bij het aanmaken van een databank, een workspace of een tenant. Let op met diensten die niet aan een enkele regio gebonden zijn, want die vragen soms een aparte instelling om binnen je grens te blijven.