Datasoevereiniteit (data sovereignty)

Wat is datasoevereiniteit?

Datasoevereiniteit is het principe dat data onderworpen is aan de wetten en het bestuur van het land of rechtsgebied waar ze verzameld of bewaard wordt. Kort gezegd: welke overheid mag zich met jouw data bemoeien, en onder welke regels valt ze?

Voor een KMO in de cloud is dat geen theoretische vraag. De klantendata in je warehouse, de back-ups van je facturatie, de gesprekslogs van je chatbot: elk van die bestanden valt onder een rechtsorde, soms onder meer dan een. Welke, hangt af van waar de data staat en wie de leverancier is die ze beheert. Fysieke locatie en juridische bevoegdheid vallen daarbij niet altijd samen.

Datasoevereiniteit, dataresidentie en datalokalisatie

Deze drie termen worden vaak door elkaar gehaald, terwijl ze elk een andere vraag beantwoorden.

Dataresidentie gaat over waar je data fysiek staat. Kies je in Azure of AWS een Europese regio, dan bepaal je je residentie. Zo'n keuze maak je meestal om redenen van performantie of compliance.

Datasoevereiniteit gaat over welke wetten op die data van toepassing zijn. Dat is ruimer dan alleen locatie, want de nationaliteit van je leverancier speelt mee. Data die in Frankfurt staat maar beheerd wordt door een Amerikaans bedrijf, kan onder zowel Europees als Amerikaans recht vallen.

Datalokalisatie is een wettelijke verplichting om bepaalde data binnen een landsgrens te houden. Een aantal landen legt dat op voor gevoelige categorieën, zoals gegevens over burgers of de overheid. Waar residentie een keuze is, is lokalisatie een plicht.

De CLOUD Act en GDPR op dezelfde data

Het duidelijkste voorbeeld van botsende soevereiniteit is de spanning tussen de Europese GDPR (in het Nederlands de AVG) en de Amerikaanse CLOUD Act.

De CLOUD Act uit 2018 laat Amerikaanse justitie toe om een in de VS gevestigde aanbieder te verplichten data te overhandigen, ook als die data buiten de VS staat. De wet kwam er na een dispuut waarin de FBI e-mails opeiste die Microsoft op een server in Ierland bewaarde.

Concreet: zet je je klantendata in de Europese regio van een Amerikaanse cloudleverancier, dan is je dataresidentie in orde, maar valt diezelfde data onder twee rechtsordes tegelijk. De GDPR beperkt doorgifte buiten de Europese Economische Ruimte (hoofdstuk V van de verordening), terwijl de CLOUD Act Amerikaanse autoriteiten een mogelijke toegangsweg geeft via de leverancier.

Blijf wel nuchter. De CLOUD Act geeft geen automatische toegang: een Amerikaanse rechter moet een bevel tekenen op basis van een gegrond vermoeden van een misdrijf, en de aanbieder mag een verzoek aanvechten dat botst met buitenlands recht. AWS meldt dat er sinds het daarover rapporteert geen data van zakelijke of overheidsklanten buiten de VS aan de Amerikaanse overheid is overhandigd.

Wat kan je aan datasoevereiniteit doen?

Kies een Europese regio. Dat houdt je persoonsgegevens binnen de Europese Economische Ruimte, al lost het de soevereiniteitsvraag niet volledig op.

Bekijk een sovereign cloud-aanbod. Voor wie extra garanties nodig heeft, bestaan er aparte cloudomgevingen. Microsoft Sovereign Cloud bouwt op drie pijlers: dataresidentie (met de EU Data Boundary, die data van in-scope diensten binnen de EU houdt), encryptie en confidential computing.

Hou de sleutels zelf in handen. Encryptie met customer-managed keys betekent dat jij de sleutels beheert, niet je leverancier. Met een variant die Hold Your Own Key heet, verlaten de sleutels zelfs nooit jouw omgeving. Kan de leverancier de data niet ontcijferen, dan heeft een overhandiging weinig waarde, en de CLOUD Act geeft justitie geen bevoegdheid om ontcijfering af te dwingen.

Let op wat versleuteling niet oplost: pseudonimisering of encryptie verandert niets aan de vraag welke wet op de data van toepassing is. Leg daarom in je data governance vast wat de leverancier met de data mag doen.

Waar moet je op letten bij datasoevereiniteit?

Residentie verwarren met soevereiniteit. "Onze data staat in Europa" zegt niets over welke wetten erop van toepassing zijn. De nationaliteit van je leverancier telt mee.

Globale diensten die je regio verlaten. Niet elke clouddienst blijft binnen je gekozen regio. Sommige globale diensten, zoals DNS of verkeersrouting, repliceren data wereldwijd. Check dat per dienst.

Schaduwkopieën en support. Een back-up in een andere regio of een supportteam dat vanuit een derde land meekijkt, ondergraaft je zorgvuldig gekozen residentie.

Strengere sectorregels. Werk je voor de overheid of in een gereguleerde sector, ga dan na of er lokalisatieregels gelden die verder gaan dan wat de GDPR standaard vraagt.