EU-hosting is geen soevereiniteitsgarantie: jurisdictie volgt het bedrijf, niet de server

"Non, je ne peux pas le garantir." Nee, dat kan ik niet garanderen. Dat waren de woorden van de hoogste jurist van Microsoft France, onder ede, voor een commissie van de Franse Senaat. De vraag was zo simpel als ze maar kon zijn: kunt u garanderen dat de gegevens van Franse burgers die bij Microsoft staan, nooit aan de Amerikaanse overheid worden overhandigd? Anton Carniaux, directeur juridische en publieke zaken, kon die garantie niet geven. Niet "dat ligt genuanceerd", niet "alleen onder strikte voorwaarden". Gewoon nee.

En daar valt de belofte die half zakelijk Nederland zichzelf verkoopt in duigen. De meeste organisaties denken dat ze hun data soeverein hebben gemaakt op het moment dat de servers in een Europees datacenter draaien. Dat is een misverstand, en het kost geld, tijd en vals vertrouwen. Mijn stelling is scherp: de Amerikaanse CLOUD Act hangt de jurisdictie niet aan de plek waar je data fysiek staat, maar aan het bedrijf dat de sleutels beheert. Is dat bedrijf Amerikaans, dan reist de Amerikaanse overheid mee, tot in een datacenter in Amsterdam of Parijs.

De wet leest geen landkaart

Begin bij de wet zelf, want daar zit de denkfout. De CLOUD Act, aangenomen in maart 2018, geeft Amerikaanse justitie het recht om gegevens te vorderen die een Amerikaanse aanbieder in bezit, beheer of onder controle heeft, ongeacht in welk land die zijn opgeslagen. Het aanknopingspunt is niet de serverlocatie, maar de zeggenschap over de data. Een Europees datacenter verandert de postcode, niet de vraag wie er met een gerechtelijk bevel voor de deur kan staan.

Dat is het hele punt, en het is contra-intuïtief genoeg dat verkopers er handig omheen praten. "Uw data blijft in de EU" klinkt als een juridische geruststelling, maar het beantwoordt een vraag over geografie terwijl het probleem er een van nationaliteit is. De sleutel ligt bij het moederbedrijf, en het moederbedrijf valt onder Amerikaans recht.

Het bedrijf gaf het zelf toe

Je hoeft dit niet van mij of van een privacyactivist aan te nemen. De aanbieders zeggen het inmiddels zelf, alleen niet in hun verkoopfolder. De verklaring van Carniaux voor de Franse Senaat op 10 juni 2025 was geen uitglijder, het was een jurist die onder ede geen loze belofte wilde doen.

En het reikt verder dan alleen Amerikaanse hoofdkantoren. Jeff Bullwinkel, juridisch topman van Microsoft voor Europa, waarschuwde eind 2025 dat er een wijdverbreid misverstand bestaat dat de CLOUD Act alleen voor Amerikaanse bedrijven geldt, terwijl de wet volgens hem elk bedrijf met een zakelijke of online band met de VS raakt, tot een Franse aanbieder als OVHcloud aan toe. Microsoft gebruikte dat argument om de zorgen te relativeren, maar het staat er wel: de reikwijdte van de wet stopt niet bij de landsgrens en ook niet netjes bij de nationaliteit van de vlag op het pand.

Dat maakt de belofte van "EU-hosting" niet alleen zwak, maar misleidend. Ze verkopen je een adres en laten je geloven dat je een rechtsregime hebt gekocht.

De tegenstrijdigheid staat op het hoogste niveau

Als je wilt zien hoe ongemakkelijk deze waarheid is, kijk dan naar hoe de Rijksoverheid er zelf mee worstelt. Deze zomer kreeg Google Cloud van de Rijksoverheid groen licht na een privacytoets, mits organisaties de aanbevolen maatregelen doorvoeren. Klinkt geruststellend, tot je ziet waar die goedkeuring op leunt: op de aanname dat dataverkeer naar Amerikaanse servers legaal is via het EU-VS Data Privacy Framework. En precies dat fundament kraakt, nu een uitspraak van het Amerikaanse Hooggerechtshof de onafhankelijkheid van toezichthouders ondermijnt en daarmee de dataovereenkomst waarop je cloudgrondslag rust. In de Tweede Kamer leidde dat tot schriftelijke vragen aan de staatssecretaris over de gevolgen voor de Nederlandse cloudgrondslag.

Het Rijk zegt dus twee dingen tegelijk. We mogen de Amerikaanse cloud gebruiken, en we bouwen ondertussen hard aan een eigen soevereine overheidscloud als uitweg. Dat is geen tegenspraak, het is de erkenning dat de goedkeuring een momentopname is op een bodem die schuift. Wie een plan B bouwt, gelooft niet echt dat het adres de garantie is.

De markt trekt dezelfde conclusie. In de financiële sector eist inmiddels ruim vier op de tien organisaties dat AI-data uitsluitend in Europa blijft, en over acht sectoren heen noemt veertig procent Europese hosting een harde inkoopeis. Dat is een gezond signaal. Maar let op wat die eis wel en niet afdekt: een Europees adres zegt nog niets over de jurisdictie waaronder de leverancier valt. Het is de eerste vraag, niet de laatste.

En dat het geen theorie is, bleek toen een beveiligingsonderzoeker ontdekte dat een Nederlandse voetbal-app paspoortgegevens naar een Amerikaanse cloud stuurde, met alle CLOUD Act-complicaties van dien, ondanks dat de servers in de EU stonden. De data zat keurig in Europa. Dat hielp niets.

Om eerlijk te zijn: EU-hosting is niet waardeloos

Nu de sterkste tegenwerping, want zonder die zou dit een rant zijn. EU-hosting doet wel degelijk iets, en wie het afserveert als pure schijn heeft het net zo goed mis als wie het als garantie verkoopt. Een Europees datacenter verlaagt de latency, het maakt je AVG-verplichtingen rond dataopslag eenvoudiger, en het dwingt een fatsoenlijke verwerkersovereenkomst af. Een Amerikaans bevel is bovendien geen vrijbrief: er is een rechter, een verdenking en een proces voor nodig, en een aanbieder kan zich onder omstandigheden op comity-rechten beroepen om terug te duwen. Voor een groot deel van je alledaagse, minder gevoelige data is een Europees adres een reële verbetering. De kern van waarheid in de mythe is dus echt: locatie doet ertoe.

Maar ze doet ertoe voor de verkeerde dreiging. Locatie beschermt tegen een inval in het datacenter, een storing, een lokaal juridisch geschil over waar iets fysiek staat. De as waarop je klem komt te zitten is niet de fysieke, maar de juridische: onder wiens recht valt het bedrijf dat je data kan uitlezen? Die as verhuist niet mee met de servers. EU-hosting bij een Amerikaanse aanbieder is een keurig ingevulde checkbox onder een vraag die je niet had moeten stellen.

Stel de vraag die er wel toe doet

De eerlijke vraag is niet "waar staat mijn data", maar "onder welk recht valt het bedrijf dat de sleutels heeft, en heb ik een uitweg als dat recht morgen tegen me werkt". Dat is geen ideologische keuze voor of tegen Amerika. Waar je data staat en van wie je software is, is een bedrijfsrisico dat op dezelfde plank hoort als een te grote klant of een leverancier waar je niet omheen kunt. De juridische invulling is alleen scherper dan de meeste risicoanalyses toegeven: het gaat niet om de landkaart, het gaat om de jurisdictie.

Dat betekent niet dat je in paniek je hele stack moet verhuizen. Het betekent dat je weet waar je staat: welke systemen welke data verwerken, of het moederbedrijf Europees of Amerikaans is, en waar je uitweg zit voordat je die nodig hebt. Dat in kaart brengen is minder werk dan een migratie en levert meteen grip op; het is precies de inventarisatie die hoort bij het bepalen waar je klantdata mag staan en het bijwerken van je verwerkersovereenkomsten.

Want dat is wat Carniaux onder ede blootlegde. Niet dat Microsoft de boeman is, maar dat een adres in Europa geen rechtsregime is. EU-hosting is geen soevereiniteitsgarantie, het is een postcode. Soevereiniteit is de vraag wie de sleutel heeft, en die vraag beantwoordt geen enkel datacenter voor je.