Datasoevereiniteit: wat het is en wie er echt bij uw data kan

Kort antwoord: datasoevereiniteit betekent dat u zelf bepaalt wat er met uw data gebeurt: onder welke wetgeving die valt, wie er toegang toe kan krijgen of afdwingen, en hoe u dat controleert. Dat is meer dan de vraag waar uw data staat. Data in een Nederlands datacenter kan nog steeds onder buitenlandse wetgeving vallen, bijvoorbeeld als de cloudleverancier een Amerikaans bedrijf is. Datasoevereiniteit regelt u daarom met een combinatie van locatie, contracten, versleuteling, toegangsbeheer en een audit trail.

Bijgewerkt op 5 november 2026

Datasoevereiniteit wordt vaak teruggebracht tot één vraag: staat mijn data in Europa? Dat is een goed begin, maar het is niet het hele verhaal. De vraag is ook welke overheid toegang kan eisen tot uw data, via welke weg, en of u kunt laten zien wie er werkelijk bij is geweest.

In dit artikel leest u wat datasoevereiniteit is, wat Europese regels erover zeggen, hoe het zit met Amerikaanse cloudleveranciers en de CLOUD Act, en welke vragen u uw eigen leveranciers stelt. We gebruiken Msafe zelf als voorbeeld, inclusief het restrisico.

Wat is datasoevereiniteit?

Datasoevereiniteit is de mate waarin een organisatie zelf zeggenschap heeft over haar data: welke wetgeving erop van toepassing is, wie er toegang toe heeft of kan afdwingen, en hoe die toegang wordt gecontroleerd. Drie begrippen lopen in de praktijk vaak door elkaar:

U kunt dus een datacenter in Nederland hebben en toch te maken hebben met buitenlandse wetgeving. Locatie is een belangrijke basis voor datasoevereiniteit, maar geen garantie.

Wat zeggen Europese regels erover?

Geen enkele Europese wet gebruikt het woord datasoevereiniteit als harde eis. Wel raken meerdere wetten eraan:

• AVG. Doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte mag alleen onder voorwaarden (hoofdstuk V). Volgens artikel 48 van de AVG is een vonnis of besluit van een overheid buiten de EU alleen erkend of afdwingbaar op basis van een internationaal verdrag, zoals een rechtshulpverdrag.
• Data Act. Sinds 12 september 2025 moeten aanbieders van clouddiensten volgens artikel 32 van de Data Act maatregelen nemen tegen toegang door overheden buiten de EU tot niet-persoonsgebonden data, als die toegang in strijd is met Europees of nationaal recht. Meer daarover leest u in ons artikel over de EU Data Act.
• NIS2 en de Cyberbeveiligingswet. De zorgplicht omvat de beveiliging van de toeleveringsketen. U moet dus weten van welke leveranciers u afhankelijk bent en welke risico’s daarbij horen. Zie onze pagina over NIS2 en de Cyberbeveiligingswet.
• DORA. Financiële instellingen moeten de risico’s van ICT-dienstverleners beheersen, inclusief concentratierisico en exitstrategieën. Zie onze pagina over DORA.

Amerikaanse cloudleveranciers en de CLOUD Act

De Amerikaanse CLOUD Act kan Amerikaanse aanbieders verplichten om data te verstrekken die onder hun zeggenschap valt, ook als die data buiten de Verenigde Staten staat. Dat geldt dus ook voor data in een Europees datacenter van een Amerikaanse cloudleverancier.

Het is geen vrije toegang. Een verzoek loopt via een juridische procedure en moet aan wettelijke eisen voldoen. Het NCSC publiceerde in 2022 een onderzoek van advocatenkantoor Greenberg Traurig naar dit risico. De conclusie: toegang tot Europese data via de CLOUD Act is denkbaar, maar de kans is in de praktijk (zeer) klein (NCSC, Engelstalig).

Tegelijk is het restrisico reëel. Microsoft Frankrijk verklaarde in 2025 onder ede in de Franse Senaat dat het niet kan garanderen dat data van Europese gebruikers nooit aan Amerikaanse autoriteiten wordt verstrekt (Techzine, Engelstalig). Datasoevereiniteit is daarom geen ja-of-nee-vraag, maar een afweging van risico’s en maatregelen.

Hoe zit dat bij Msafe?

We vinden het belangrijk om hier open over te zijn, want klanten stellen deze vraag terecht.

• Hosting in Nederland. Msafe draait op Microsoft Azure, in datacenters in de regio Nederland. Uw data staat dus in Nederland.
• Microsoft is een Amerikaans bedrijf. Daarmee valt Microsoft onder Amerikaanse wetgeving, waaronder de CLOUD Act. Dat restrisico bestaat, ook al is de kans volgens de analyse van het NCSC klein.
• Versleuteling. Bestanden worden versleuteld opgeslagen met AES-256.
• Toegangsbeheer. Ontvangers bevestigen hun identiteit, u zet een vervaldatum op elke deling en u kunt toegang intrekken zolang een bestand niet is gedownload. Zo beperkt u hoe lang en voor wie gevoelige bestanden beschikbaar zijn.
• Audit trail. Elke overdracht wordt vastgelegd, zodat u kunt laten zien wie wanneer toegang had.
• Governance. Msafe is gecertificeerd volgens ISO/IEC 27001:2022.

Voor de meeste organisaties is dit een passend niveau voor het delen van vertrouwelijke bestanden. Verwerkt u gegevens waarbij ook een klein restrisico van buitenlandse toegang niet acceptabel is, maak die afweging dan bewust en leg hem vast.

8 vragen om uw leverancier te toetsen

Gebruik deze vragen bij elke clouddienst die gevoelige data verwerkt, ook bij bestandsdeling:

1. In welk land en welke regio staat onze data, inclusief back-ups?
2. Onder welke wetgeving valt de leverancier zelf, en die van zijn moederbedrijf?
3. Welke subverwerkers worden ingezet, en waar zitten die?
4. Hoe wordt data versleuteld, in opslag en tijdens transport?
5. Wie beheert de sleutels, en wie kan ze gebruiken?
6. Hoe gaat de leverancier om met verzoeken van overheden, en informeert hij klanten daarover?
7. Welke logging is beschikbaar, en kunnen wij die zelf inzien?
8. Hoe kunnen we overstappen en onze data meenemen?

Bestandsdeling is vaak het zwakste punt, omdat gevoelige documenten daar de organisatie verlaten. Lees ook waarom vertrouwelijke documenten mailen risico’s geeft, en hoe u dat aantoonbaar regelt.

Veelgestelde vragen over datasoevereiniteit

Wilt u weten hoe Msafe past bij uw eisen voor datasoevereiniteit? Plan een vrijblijvende demo, dan lopen we de acht vragen samen door.