Digitale soevereiniteit: hoe houden we controle over de cloud?

Wat is soevereiniteit?

Soevereiniteit verwijst in de context van digitale diensten naar de mate waarin een land of organisatie controle heeft over zijn eigen data en infrastructuur. Bij het gebruik van public cloud, zoals diensten van hyper-scalers, is deze controle niet zonder meer vanzelfsprekend. Hoewel al deze bedrijven hun diensten vanuit Europese datacenters aanbieden, valt de juridische controle vaak onder Amerikaanse wetgeving, zoals de controversiële Cloud Act. Hierdoor ontstaat het potentieel dat de Amerikaanse overheid toegang kan krijgen tot privacygevoelige gegevens, zelfs als die fysiek in Europa zijn opgeslagen. En dat willen we natuurlijk niet.

Dit roept vragen op over wie daadwerkelijk toegang heeft tot data, hoe die data wordt beschermd en wat de gevolgen zijn voor de autonomie van overheidsinstellingen die dergelijke diensten gebruiken. Het gebruik van de public cloud brengt dus specifieke risico's met zich mee ten aanzien van de soevereiniteit. Voor overheidsinstanties en organisaties die gevoelige gegevens verwerken, zoals gezondheidsinformatie of basisregistraties, kunnen deze risico's aanzienlijk zijn.

Het verschil tussen private cloud en public cloud is hier van belang. Bij een public cloud wordt de infrastructuur gedeeld door meerdere klanten. Dit betekent dat de controle over data en processen vaak in handen ligt van de cloudprovider. Bij een private cloud wordt de infrastructuur exclusief door één organisatie gebruikt. Dit  leidt tot meer directe controle en minder soevereiniteitsrisico's. Soevereiniteitskwesties spelen vooral bij het gebruik van de public cloud, waar de juridische en operationele controle vaak ingewikkelder is.

Overheidsstandpunten

In Nederland heeft de overheid dit probleem erkend en in het Rijksbrede Cloudbeleid 2022 richtlijnen opgesteld om de risico's van cloudgebruik te beheersen. Dit beleid stelt vast dat er voor bepaalde typen overheidsdata speciale regels gelden. Hieronder een overzicht:

Het is interessant dat er voor basisregistraties een strenge regel geldt. Zo worden de basisregistraties alleen bij een expliciete toelichting toegestaan om op te slaan of te verwerken in de public cloud. Sommige basisregistraties bevatten immers open, voor iedereen toegankelijke informatie. Specifiek voor de Basisregistratie Personen (BRP) zijn al speciale regels opgenomen voor zowel ‘gewone’ als bijzondere persoonsgegevens. Is daarmee de toevoeging van de basisregistraties aan de bovenstaande uitzonderingslijst overbodig?

Gebrek aan competitieve Europese alternatieven

Een van de uitdagingen is het gebrek aan kwalitatief vergelijkbare Europese clouddiensten. Hoewel er initiatieven zijn, zoals Gaia-X, een Europees project dat een concurrerend cloud-ecosysteem wil opbouwen, blijven de grootste en meest innovatieve cloudspelers gevestigd buiten Europa. Dit zorgt voor een enorme uitdaging bij het balanceren van de soevereiniteit en de behoefte aan geavanceerde cloudoplossingen, inclusief de enorme voordelen die daar met dergelijke oplossingen gepaard gaan.

Zonder concurrerende Europese alternatieven blijven overheidsinstellingen afhankelijk van vooral Amerikaanse bedrijven voor hun cloudtransformatie. Dit stelt beleidsmakers voor een dilemma: vasthouden aan idealen van soevereiniteit of accepteren dat globalisering en technologische vooruitgang de realiteit zijn.

Goede balans

De afhankelijkheid van Amerikaanse cloudleveranciers, en de daarmee gepaarde discussie rondom soevereiniteitsrisico’s, is complex en genuanceerd. Toch is het duidelijk dat de public cloud enorme voordelen biedt. Het is de uitdaging om deze voordelen maximaal te benutten, zonder concessies te doen aan de soevereiniteit en gegevensbescherming. Het vinden van een goede balans vraagt om het implementeren van passende maatregelen, zodat de soevereiniteitsrisico’s zo veel mogelijk worden geminimaliseerd.