Uw data staat in Europa. Wie erbij kan, hangt af van uw leverancier.
Waar uw data staat, bepaalt niet wie erbij kan, en ook niet of u het te horen krijgt als een buitenlandse rechtsmacht toegang opeist.
Bij negen op de tien gemeenten en bijna acht op de tien ziekenhuizen valt e-mail, website of DNS onder Amerikaans recht, ook als de servers in de EU staan. Een verzoek kan dan rechtstreeks naar uw leverancier gaan, zonder Nederlandse toets en mogelijk zonder dat u het hoort. Bepaal per soort gegevens welk recht u accepteert, en laat het bestuur dat vaststellen. Dat het anders kan, laat ons onderzoek naar DNS-servers van Nederlandse gemeenten zien.
Praktijkvoorbeelden
9 op de 10 gemeenten: mail in Europa, maar onder niet-Europese jurisdictie
Wij maten in oktober 2026 van buitenaf e-mail, website en DNS van 342 gemeenten en 66 ziekenhuizen. Bij 310 gemeenten (91%) en 52 ziekenhuizen (79%) valt minstens één van die diensten onder de Amerikaanse CLOUD Act, ondanks dat de mailservers vaak in de EU staan. E-mail is de plek waar dossiers, besluiten en persoonsgegevens samenkomen. Wie de mailbox kan opvragen, kan vrijwel alles opvragen. Bij DNS (het adresboek dat uw domeinnaam aan website en mail koppelt) laat de overheid al zien dat het anders kan: minstens 286 gemeenten hebben die bij een partij zonder buitenlandse zeggenschap.
Inbeslagname Amsterdamse server van Italiaanse internetprovider
Op 13 oktober 2026 nam de Amsterdamse politie in een datacenter een server in beslag van de Italiaanse internetprovider Autistici/Inventati. Aanleiding was een Amerikaans verzoek. Omdat de server in Nederland stond, liep het verzoek via het Openbaar Ministerie, dat geen weigeringsgrond zag. Er was dus een Nederlandse toets, ook al staat de grondigheid ervan ter discussie. Bij een bevel aan een Amerikaanse leverancier ontbreekt die toets.
Internationaal Strafhof kiest voor eigen werkplek na geblokkeerde mailbox
In mei 2025 werd gemeld dat de hoofdaanklager van het Internationaal Strafhof zijn toegang tot zijn Microsoft-mailbox was verloren na Amerikaanse sancties. Microsoft zegt een gesanctioneerde functionaris te hebben losgekoppeld en de diensten aan het hof zelf nooit te hebben opgeschort. Het Nederlandse kabinet liet als reactie hierop weten dat het aan Amerikaanse bedrijven is hoe zij de sanctiewet naleven. Dit heeft bijgedragen tot het besluit van het hof om haar werkplekken te migreren naar de open source-werkplek openDesk.
Waar normen en voorwaarden stoppen
Een Europese locatie sluit toegang van niet-Europese rechtsmachten niet uit
Microsoft slaat klantdata van Microsoft 365 binnen de EU op, met een uitzondering voor ernstige beveiligingsincidenten. Een bevel onder de CLOUD Act gaat echter rechtstreeks naar de leverancier, ongeacht waar de data staat, zonder Nederlandse toets. Bij een Europese leverancier loopt een Amerikaans verzoek via rechtshulp en het OM. Het verschil zit dus niet in de vraag of er een verzoek kan komen, maar of een Nederlandse instantie het toetst en u hierover geïnformeerd wordt.
De norm vraagt een keuze, niet een uitkomst
NEN 7510:2024 voor informatiebeveiliging in de zorg noemt bij maatregel 5.23 afspraken over opslag "binnen een bepaald rechtsgebied", en laat het management restrisico's aanvaarden. Maatregel 5.19 vraagt de rechten van patiënten te beschermen, ook als een leverancier in een ander rechtsgebied zit. Welk rechtsgebied acceptabel is, laat de norm aan u. GIBIT 2025 (IT-inkoopvoorwaarden voor gemeenten) vraagt in artikel 25.1 de fysieke locatie van de data, niet het recht waaronder de moedermaatschappij valt.
Veelvoorkomende misvattingen
Onze Microsoft-omgeving staat in de EU, dus dit is afgedekt.
De locatie bepaalt waar data staat, het recht dat toegang kan afdwingen volgt uit het land waar het moederbedrijf statutair is gevestigd.
De kans op een verzoek is verwaarloosbaar.
Misschien, maar dan is dat een restrisico dat het bestuur hoort te aanvaarden, niet een aanname in een DPIA.
Alles naar een Europese partij is onbetaalbaar.
Dat hoeft ook niet. Organisaties die eisen stellen per gegevenssoort, verplaatst alleen de data die er echt toe doen. Of accepteert risico's bewust.
Aan de slag
Aanbevelingen
- Classificeer uw informatie, leg per soort gegevens vast welke jurisdictie u accepteert, en laat het bestuur die afweging als restrisico vaststellen.
- Neem in uw business impact analyse (BIA) een scenario op waarin één bestuurdersaccount of de hele Microsoft-omgeving onbereikbaar wordt.
- Stel eerst van buitenaf vast onder welk recht uw e-mail, website en DNS vallen, met dezelfde meting als hierboven: de Masus Quick Scan doet dat voor uw eigen domein.
Vragen aan uw leverancier
- Welke entiteit is onze contractpartij, welke moedermaatschappij heeft zeggenschap, en onder welk recht valt die?
- Informeert u ons over een verzoek dat onze gegevens raakt, tenzij dat wettelijk verboden is, en binnen welke termijn?
- Welke procedure volgt u als een sanctiemaatregel een van onze gebruikers raakt, en hoe snel horen wij dat?
Bronnen
Klaar om dit voor uw organisatie te vertalen naar actie?
Krijg binnen 2 á 3 minuten uw eerste inzichten in de digitale soevereiniteitrisico's van uw organisatie middels onze gratis Quick Scan. Of neem contact op voor een vrijblijvend gesprek over uw specifieke situatie.