Rijk geeft Google Cloud groen licht na privacytoets, maar de Amerikaanse databodem wankelt

De Nederlandse centrale overheid mag Google Cloud officieel gaan gebruiken. Een privacytoets in de vorm van een DPIA (Data Protection Impact Assessment), uitgevoerd in opdracht van SLM Rijk, het strategisch leveranciersmanagement van de Rijksoverheid, concludeert dat er geen bekende hoge privacyrisico's meer overblijven zolang overheidsorganisaties de aanbevolen maatregelen doorvoeren. Daarmee valt een formele blokkade weg die overheidsdiensten lang tegenhield. Toch is dit geen onvoorwaardelijk groen licht: de goedkeuring leunt op een Europees-Amerikaanse data-afspraak die juist nu juridisch wankelt.

Wat het Rijk precies heeft goedgekeurd

Deze DPIA gaat over Google Cloud Platform, de infrastructuur waarop organisaties hun applicaties en data draaien. Dat is een aanvulling op een eerder positief oordeel over Google Workspace, de kantoorsuite met onder meer Gmail, Docs en Drive. Daarmee zijn nu beide hoofdonderdelen van Google's zakelijke aanbod door de privacytoets van het Rijk heen. Google bevestigde de uitkomst zelf via een blogpost van Marc Crandall (Global Head of Privacy) en Joost Smit (Country Lead BeNeLux), die schrijven dat de Nederlandse centrale publieke sector nu officieel Google Cloud kan gebruiken met een helder, goedgekeurd privacy-perspectief. Volgens SLM Rijk zijn alle belangrijke aandachtspunten uit de toets in overleg met Google opgelost.

Groen licht met voorwaarden, niet met een druk op de knop

Belangrijk om vast te stellen: dit betekent niet dat een overheidsorganisatie Google Cloud zomaar in de standaardstand kan aanzetten. De conclusie geldt uitdrukkelijk mits de aanbevolen maatregelen worden doorgevoerd. Beheerders moeten specifieke instellingen kiezen die niet standaard aan staan, er zijn afspraken over ruimere controle- en auditrechten voor de overheid, en Google neemt de rol van verwerker op zich in plaats van die van verwerkingsverantwoordelijke. Ook na die maatregelen blijven er nog enkele midden- en laaggeschaalde risico's over, vergelijkbaar met wat eerder naar boven kwam bij de DPIA over Microsoft Copilot, de tool waarmee het UWV wel proefdraaide maar bewust geen persoonsgegevens invoerde en nog geen besluit nam over structureel gebruik.

Het echte voorbehoud: de Amerikaanse databodem

Het grootste vraagteken staat niet in de DPIA zelf, maar eronder. De goedkeuring gaat ervan uit dat gegevensverkeer naar Amerikaanse servers legaal is via het EU-VS Data Privacy Framework. En precies dat fundament staat op losse schroeven, omdat een uitspraak van het Amerikaanse Hooggerechtshof over de onafhankelijkheid van toezichthouders de EU-VS dataovereenkomst ondergraaft waarop je cloudgrondslag rust. Privacyorganisatie noyb stelt dat het framework daarmee feitelijk is ingestort en dat de Europese Commissie de geldigheid opnieuw moet beoordelen. Valt die afspraak weg, dan verdwijnt de juridische bodem onder deze goedkeuring, en onder die van vrijwel elke andere Amerikaanse clouddienst.

Wat dit betekent voor jouw organisatie

De timing is veelzeggend. Vrijwel op hetzelfde moment dat Google zijn goedkeuring vierde, werd bekend dat de Rijksoverheid doorpakt op een eigen soevereine overheidscloud, met de eerste applicaties mogelijk eind 2026 in overheidsdatacenters. De overheid zegt dus twee dingen tegelijk: we mogen de Amerikaanse cloud gebruiken, en we bouwen ondertussen aan een uitweg. Dat is geen tegenstrijdigheid, het is risicobeheer.

Voor jou als ondernemer of bestuurder is dat de bruikbare les. Een goedkeuring met voorwaarden en een wankele juridische basis is geen vrijbrief, maar een momentopname. Waar je data staat en van wie je software is, is geen politieke keuze maar een bedrijfsrisico dat op dezelfde plank hoort als een te grote klant of een leverancier waar je niet omheen kunt. De vraag die het Rijk nu hardop stelt, hoort ook op jouw directietafel: als deze leverancier morgen onder een ander rechtsregime valt, kan ik dan door?

De DPIA haalt vandaag een blokkade weg. Maar wat hij vooral blootlegt, is hoe smal de juridische bodem onder de Amerikaanse cloud is geworden. De organisaties die daar nu al een plan B voor klaar hebben liggen, kopen de rust die een goedkeuring op zichzelf niet biedt.