Soevereiniteit
Een Europese en een Amerikaanse cloud onderscheiden zich in de eerste plaats door de vennootschap die de dienst controleert, vervolgens door het recht dat op die vennootschap van toepassing is, en pas daarna door het land van de servers. Twee identieke zalen in Frankfurt kunnen onder twee verschillende rechtsstelsels vallen.
Vaak worden kaarten met datacenters vergeleken: Parijs, Dublin, Frankfurt. Dat is eenvoudig en beantwoordt een bijkomstige vraag. Om te weten wie kan worden gedwongen uw gegevens te verstrekken, moet u kijken naar de vennootschap die ze in bezit heeft en naar het recht waaraan zij verantwoording aflegt. De nuttige vergelijking zet twee juridische posities tegenover elkaar, niet twee landen, en ze wijst geen winnaar aan: de juiste keuze hangt af van de toepassingen van de onderneming. Het begrip soevereiniteit wordt uitgelegd in wat is een soevereine cloud, en het inkoopraster in definitie, criteria en grenzen. Deze pagina vergelijkt.
Microsoft en Google zijn vennootschappen naar Amerikaans recht. Hun Europese contracten, hun dochterondernemingen en hun datacenters in de Unie doen dat feit niet verdwijnen. Wanneer een Amerikaanse autoriteit zich op grond van het Amerikaanse recht tot hen wendt, wordt de vraag: heeft de vennootschap de gegevens in bezit of onder controle, ook wanneer de schijven in Europa staan?
De CLOUD Act, een Amerikaanse wet uit 2018, geeft het antwoord voor leveranciers die onder de rechtsmacht van de Verenigde Staten vallen: een geldig bevel kan betrekking hebben op gegevens die de leverancier in bezit heeft, ongeacht de opslaglocatie. Het is geen permanente toegang. Het is een procedure. Het praktische punt voor de inkoper ligt elders: de Europese locatie van de schijf haalt de Amerikaanse leverancier niet uit die procedure.
Deze vennootschappen bieden reële voorzieningen voor gegevenslokalisatie. Microsoft beschrijft een Europese gegevensgrens (EU Data Boundary) voor in aanmerking komende diensten: klantgegevens en gepseudonimiseerde persoonsgegevens opgeslagen en verwerkt in de EU of de EVA, gegevens van professionele diensten opgeslagen in rust, met gedocumenteerde uitzonderingen (toegang op afstand door support, bepaalde escalaties, optionele functies, Multi-Geo-klanten buiten de reikwijdte). Google biedt dataregio’s voor gedekte inhoud, afhankelijk van de editie, en een toegangscontrole voor support (Access Management) die is voorbehouden aan specifieke edities en opties. Deze voorzieningen beperken de gegevensstromen. Ze veranderen de nationaliteit van de softwareleverancier niet.
Een Amerikaanse softwareleverancier die Europese klanten bedient, bevindt zich tussen twee rechtsstelsels. Het Amerikaanse recht kan hem verplichten gegevens die hij controleert te verstrekken. De AVG (Algemene verordening gegevensbescherming) bepaalt in artikel 48 dat een uitspraak van een gerecht of een besluit van een autoriteit van een derde land waarin de doorgifte of verstrekking van persoonsgegevens wordt geëist, alleen kan worden erkend of ten uitvoer gelegd als zij gebaseerd is op een internationale overeenkomst, bijvoorbeeld een verdrag inzake wederzijdse rechtshulp, die tussen dat land en de Unie of de lidstaat van kracht is. De tekst zegt niet hoe een softwareleverancier die twee eisen in een concreet geval met elkaar verzoent: het is aan de leverancier om zijn praktijk toe te lichten, en aan de klant om daarom te vragen.
Het Amerikaanse recht voorziet in een rechtsmiddel. Volgens 18 U.S.C. § 2703(h) kan de leverancier binnen 14 dagen na de betekening om vernietiging of wijziging van een bevel verzoeken, als hij van mening is dat de klant geen “United States person” is, niet in de Verenigde Staten woont, en dat de verstrekking hem zou blootstellen aan een ernstig risico het recht van een “gekwalificeerde buitenlandse regering” te schenden. Het gaat om een staat die met de Verenigde Staten verbonden is door een in werking getreden uitvoeringsovereenkomst. Het Amerikaanse ministerie van Justitie publiceert overeenkomsten met het Verenigd Koninkrijk (ondertekend op 3 oktober 2019) en Australië (ondertekend op 15 december 2021). Er is geen overeenkomst van kracht met de Europese Unie; de onderhandelingen tussen de EU en de Verenigde Staten over elektronisch bewijs zijn in 2023 hervat; de pagina van het ministerie vermeldt geen overeenkomst met Frankrijk. Dit specifieke bezwaarmechanisme veronderstelt nu juist zo’n overeenkomst.
De vraag is in Frankrijk publiekelijk gesteld. Op 10 juni 2025 werd de directeur publieke en juridische zaken van Microsoft France voor de parlementaire onderzoekscommissie van de Senaat over overheidsopdrachten gevraagd of hij onder ede kon garanderen dat de gegevens van Franse burgers die via de Ugap aan Microsoft zijn toevertrouwd nooit, na een bevel van de Amerikaanse regering, zouden worden doorgegeven zonder de uitdrukkelijke toestemming van de Franse autoriteiten. Hij antwoordde: “Nee, dat kan ik niet garanderen, maar, nogmaals, dat is nog nooit gebeurd.” Het antwoord bevat beide elementen van het debat: een garantie die de vennootschap niet kan geven, en een geval dat zich volgens haar niet heeft voorgedaan.
Een Europese cloud, in de nuttige zin van het woord, wordt beheerd door een vennootschap naar Europees recht, die niet afhankelijk is van een groep die onder een Amerikaanse verplichting tot afgifte van gegevens valt. OVHcloud is een Franse vennootschap. Nextcloud GmbH is een Duitse vennootschap: zij geeft software uit, die de klant of een hostingprovider beheert. BlueMind is een Franse aanbieder van e-mail. Infomaniak is een Zwitserse vennootschap: Zwitserland ligt in Europa, buiten de Europese Unie, en geniet een adequaatheidsbesluit van de Commissie. Het als “Amerikaans” indelen zou onjuist zijn. Het als “Europese Unie” indelen zou eveneens onjuist zijn.
Europees recht is geen eenduidig schild. Een Franse operator valt onder Frans recht, een Duitse operator onder Duits recht. Verzoeken van autoriteiten bestaan. Ze lopen via de rechter en de regels van het land van de operator.
Het Europese karakter kan ook verloren gaan via uitbesteding: een Europese beheerder die back-ups, filtering of support toevertrouwt aan een Amerikaanse leverancier, brengt opnieuw binnen wat de inkoper wilde vermijden. De pagina een onderneming beschermen tegen de CLOUD Act werkt dit punt uit.
| Vraag | Cloud van een Amerikaanse softwareleverancier, gegevens in Europa | Cloud beheerd door een Europese vennootschap |
|---|---|---|
| Waar staan de schijven? | Vaak naar keuze, in een EU-regio, met schriftelijk vastgelegde uitzonderingen | Volgens het contract: Frankrijk, Duitsland, een ander EU-land, of bij de klant |
| Wie kan in de Verenigde Staten worden gedagvaard om de gegevens die hij controleert te verstrekken? | De Amerikaanse softwareleverancier, als hij ze in bezit of onder controle heeft | In beginsel de Europese beheerder niet, tenzij hij afhangt van een groep of een verwerker voor wie dat wel geldt |
| Welke rechter bij een lokaal verzoek? | Recht van het contract, vaak aangevuld met het Amerikaanse recht van de softwareleverancier | Recht van het land van de beheerder |
| De geavanceerde kantoorfuncties | Zeer uitgebreid (Office, Excel, Teams, of Docs en Google-zoeken) | Wisselend per product. Zelden gelijkwaardig op het vlak van geavanceerd Excel, Power BI of het Teams-ecosysteem |
| Gegevens terughalen | Reële exporttools, chat- en automatiseringsgeschiedenis vaak onvolledig | Per aanbod te beoordelen. De e-mailexport (IMAP) is doorgaans het eenvoudigst |
Geen enkele kolom wint overal: de Amerikaanse softwareleverancier wint op de breedte van de functies, de Europese beheerder op de juridische positie. Beslissen betekent weten welke rij voor uw onderneming het zwaarst weegt.
Ook met gegevens die in Europa zijn opgeslagen, brengt een dienst van een Amerikaanse softwareleverancier doorgiften met zich mee (toegang door support, escalaties, optionele functies), die op een grondslag uit de AVG moeten berusten.
Het vorige kader, het Privacy Shield (besluit 2016/1250), werd op 16 juli 2020 door het Hof van Justitie van de Europese Unie ongeldig verklaard (zaak C-311/18, bekend als Schrems II), met name vanwege de reikwijdte van de Amerikaanse surveillanceprogramma’s en het ontbreken van een effectief rechtsmiddel. De modelcontractbepalingen blijven geldig, maar vereisen een beoordeling per geval.
Op 5 oktober 2026 kunnen doorgiften naar gecertificeerde Amerikaanse organisaties steunen op adequaatheidsbesluit (EU) 2023/1795, bekend als het Data Privacy Framework. Het is van kracht. Het wordt betwist, zoals de advocatenkantoren DAC Beachcroft en WilmerHale opmerken. Volgens dat laatste kantoor heeft het Gerecht van de Europese Unie op 3 september 2025 een beroep tot nietigverklaring verworpen, en is op 31 oktober 2025 hogere voorziening ingesteld bij het Hof van Justitie. Een voorzichtige onderneming documenteert deze grondslag in haar register en legt vast wat zij doet als die wegvalt.
Hij blijft geschikt wanneer het werk steunt op geavanceerd Excel, Power BI, Office-invoegtoepassingen, Teams als sectorstandaard, of tientallen integraties die al in productie zijn. Van tool wisselen om een juridische reden en vervolgens de toepassing verliezen die de onderneming draaiende houdt, is een slechte rekensom. De pagina Microsoft 365 tegenover een soevereine oplossing werkt deze drempel uit.
Hij blijft ook geschikt wanneer de juridische analyse van de doorgifte, de verwerkersovereenkomst (DPA) en de opties voor gegevensresidentie voldoen aan de werkelijke behoefte van het register. Veel Europese ondernemingen gebruiken Microsoft 365 of Google Workspace binnen dit kader. Dat benoemen hoort bij een eerlijke vergelijking. De uit te voeren controles worden beschreven in AVG en Microsoft 365 en AVG en Google Workspace.
Hij wordt geschikt wanneer de directie wil dat de vennootschap die de e-mails en bestanden in bezit heeft een Europese vennootschap is, dat de support binnen dat kader bereikbaar is, en dat de toepassingen passen binnen e-mail, bestanden en het online bewerken ervan, videoconferenties, een CRM en telefonie. Hij wordt ook geschikt voor een implementatie bij de klant, wanneer de onderneming helemaal geen cloud wil.
De twee opties sluiten elkaar niet uit. Een onderneming kan een Amerikaans pakket behouden voor de werkplekken die ervan afhangen en de rest toevertrouwen aan een Europese beheerder. Deze opzet vraagt meer beheer; hij is gerechtvaardigd wanneer de scheiding van de toepassingen duidelijk is.
De gids Europese alternatieven voor Microsoft 365 bespreekt Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, andere spelers en Klytic, met voor elk het toepassingsgebied.
Hypothetisch geval. Een industrieel mkb-bedrijf heeft twee vestigingen. Het ontwerpbureau werkt in geavanceerd Excel en communiceert met zijn opdrachtgevers via Teams. De werkplaats, inkoop en administratie gebruiken vooral e-mail en gedeelde mappen, waarin zich tekeningen bevinden.
Een opdrachtgever vraagt dat zijn tekeningen in bezit zijn van een Europese vennootschap. Voor het ontwerpbureau zou het verlaten van geavanceerd Excel en Teams de samenwerking met klanten ontwrichten: het Amerikaanse pakket blijft gerechtvaardigd, met een gedocumenteerde analyse van de doorgifte. Voor de tekeningen en de e-mail van de andere afdelingen voldoet een Europese beheerder aan het verzoek zonder verlies aan functionaliteit. De beslissing volgt de rijen van de tabel, niet een principe.
Nee. De CLOUD Act heeft betrekking op gegevens die een leverancier die onder Amerikaans recht valt in bezit of onder controle heeft, ongeacht de opslaglocatie. De Europese regio beperkt de doorgiften. Ze verandert niets aan de vennootschap die de gegevens in bezit heeft.
Ja, als hij afhangt van een groep die onder dat recht valt of als hij gegevens toevertrouwt aan een verwerker voor wie dat geldt. Daarom moet u de moedermaatschappij en de lijst met verwerkers bekijken, niet alleen de naam van de beheerder.
Het biedt een grondslag voor doorgiften naar gecertificeerde Amerikaanse organisaties, in het licht van de AVG. Het is van kracht en wordt betwist. Het verandert niets aan de nationaliteit van de softwareleverancier, noch aan de reikwijdte van het bevel waarin het Amerikaanse recht voorziet.
Klytic valt in de tweede kolom van de tabel. Het wordt beheerd door Dedicace Software, een Franse vennootschap. Hosting is mogelijk in elke geografische zone die overeenkomt met het toepasselijke rechtsgebied, onder voorbehoud van de beschikbaarheid van de vereiste diensten, bijvoorbeeld in Europa of op Mauritius, of op de servers van de klant.
De e-maildienst berust op Zimbra, uitgegeven door Synacor in de Verenigde Staten en beheerd door Klytic. De documenten berusten op een eigen Nextcloud-instantie per klant. Klytic is niet SecNumCloud-gekwalificeerd en vervangt geavanceerd Excel, Power BI en Teams niet. De diensten worden afzonderlijk afgenomen: een onderneming kan Microsoft 365 behouden en alleen de Klytic MTA-filtering toevoegen, die vóór haar e-maildienst wordt geplaatst. De details over de hosting staan op de pagina hosting en soevereiniteit.
Deze pagina beschrijft een algemeen kader. Ze vervangt niet de analyse van uw contract.
Juridische stand van zaken op 5 oktober 2026. Deze tekst vervangt geen analyse van een contract. Het adequaatheidsbesluit EU–VS (EU) 2023/1795 is van kracht. Het wordt aangevochten. Voor SecNumCloud is de catalogus van het ANSSI bepalend.
Geraadpleegd in oktober 2026.
E-mail, documenten, videoconferentie, CRM en telefonie, gehost in de zone die bij uw rechtsgebied past, bijvoorbeeld in Europa of op Mauritius, of bij u op locatie.
Welkomstaanbod
Proefaanbod zonder verplichtingen. Een adviseur belt u terug om uw behoeften te begrijpen en uw Klytic-omgeving voor te bereiden.
