Waarom EU-hosting alleen niet voldoende bescherming biedt

Het probleem: servers in Europa ≠ Europese controle

Veel softwareleveranciers bieden "EU-hosting". Dat betekent dat servers fysiek in Amsterdam, Frankfurt of Dublin staan. Aan aanbestedingseisen wordt formeel voldaan.

Maar dat zegt niks over:

• Wie eigenaar is van de infrastructuur
• Onder welke wetgeving de leverancier valt
• Wie juridisch toegang kan afdwingen tot die data

De CLOUD Act: Amerikaanse toegang tot Europese data

Veel cloudproviders zijn onderdeel van Amerikaanse bedrijven. Deze vallen onder de CLOUD Act, ook als ze EU-hosting aanbieden.

Wat betekent dit?

De CLOUD Act verplicht Amerikaanse bedrijven om data over te dragen aan Amerikaanse autoriteiten, ook als die data fysiek in Europa staat. Zonder dat de Nederlandse gemeente daar controle over heeft.

Dit wringt direct met de AVG: controle over persoonsgegevens, transparantie en beperkte toegang. Voor gemeenten die werken met BSN's en dossiers van inwoners is dit geen theoretisch probleem, maar een reëel risico.

Schijnzekerheid in aanbestedingen

In veel aanbestedingen staat: "Data moet binnen de EU worden opgeslagen".

Wat ontbreekt:

• Eisen aan vestigingsland van de leverancier
• Controle op subprocessors in de keten
• Toetsing op buitenlandse wetgeving

Hierdoor kunnen oplossingen formeel voldoen, terwijl de moederorganisatie in de VS zit en data juridisch opeisbaar blijft.

Vragen die wél gesteld moeten worden:

• Waar is de organisatie gevestigd?
• Vallen leverancier én subprocessors onder EU-wetgeving?
• Kan data door niet-Europese autoriteiten worden opgevraagd?

Het gaat niet om waar data staat, maar om wie er juridisch grip op heeft.

De risico's in de praktijk

• Compliance op papier, niet in praktijk — Bij een audit komen constructies boven water die lastig uit te leggen zijn
• Beperkte controle bij incidenten — Juridische procedures lopen via buitenlandse jurisdicties
• Afhankelijkheid zonder invloed — Veranderingen in buitenlandse wetgeving hebben direct impact op jouw data

Hoe Solid Digital hiermee omgaat

Wij zijn volledig gevestigd in Nederland en hebben bewust gekozen voor Europese infrastructuur waar mogelijk.

Wat we al gerealiseerd hebben:

• Hosting volledig binnen de EU
• Hoofdsystemen draaien op Europese servers
• Actief bezig met het vervangen van Amerikaanse afhankelijkheden

De realiteit:

Voor sommige onderdelen bestaat nog geen Europees alternatief dat voldoet aan de hoogste standaarden. We zijn daar transparant over en maken deze afwegingen bewust, met als doel volledige Europese onafhankelijkheid zodra dat kan zonder concessies te doen aan kwaliteit en betrouwbaarheid.

Ons uitgangspunt: controle over data is geen bijzaak. Daarom blijven we zoeken naar Europese alternatieven en communiceren we open over waar we staan in dit proces.

Conclusie

EU-hosting is noodzakelijk, maar niet voldoende.

Zolang leveranciers onder buitenlandse wetgeving vallen, blijft data buiten Europese controle.

Voor de overheid betekent dat: verder kijken dan datalocatie en bewust kiezen voor volledige Europese controle.