De Amerikaanse CLOUD Act en digitale soevereiniteit: cloudkeuzes voor Europese universiteiten en hogescholen (2026)

Veel Europese universiteiten en hogescholen draaien e-mail, documenten en onderzoeksopslag op Amerikaanse cloudplatforms, en medewerkers vragen steeds vaker of Amerikaanse autoriteiten bij die gegevens kunnen. Deze gids scheidt de juridische feiten van het politieke debat: wat de CLOUD Act en FISA Section 702 zeggen, hoe het EU-recht daarop antwoordt, wat EU-databoundaries en soevereine clouds wel en niet veranderen, wat instellingen en onderzoeksnetwerken in verschillende landen doen, en hoe u hosting per datatype kiest met een realistisch exitplan.

Gepubliceerd 9 oktober 2026 · Bronnen geraadpleegd 9 oktober 2026

Ook beschikbaar in: English · Svenska · Norsk · Suomi · Dansk · Français · Español · Português

Dit is zowel een politiek als een juridisch onderwerp. In deze gids hebben uitspraken over het recht en gedocumenteerde feiten een bron. Onze eigen lezing van wat ze voor instellingen betekenen, is gemarkeerd als Validemics analyse. Standpunten van instellingen, medewerkersgroepen en autoriteiten worden als hun standpunt weergegeven, niet als vaststaand recht.

1. Wat zegt de CLOUD Act eigenlijk?

De CLOUD Act is een Amerikaanse wet uit 2018 die communicatie- en cloudaanbieders onder Amerikaans toezicht verplicht gegevens te verstrekken die zij beheersen als ze een geldig Amerikaans rechtsmiddel ontvangen, ook als de gegevens in het buitenland zijn opgeslagen. Het is een instrument voor strafrechtelijke handhaving, en de wet opende ook een route voor bilaterale overeenkomsten met buitenlandse regeringen.

De kernregel staat in 18 U.S.C. § 2713, toegevoegd op 23 maart 2018. Een aanbieder van een elektronische communicatiedienst of een dienst voor computing op afstand moet voldoen aan de verplichtingen uit de Stored Communications Act om communicatie en klantgegevens te bewaren, te back-uppen of te verstrekken die in zijn "possession, custody, or control" zijn, "regardless of whether such communication, record, or other information is located within or outside of the United States" (ongeacht of die communicatie, gegevens of andere informatie zich binnen of buiten de Verenigde Staten bevinden) [1].

Drie punten raken in het debat vaak uit beeld:

• Het is geen nieuwe toezichtsbevoegdheid. De wet breidt bestaande opsporingsinstrumenten uit de Stored Communications Act uit tot gegevens in het buitenland. Het besluit over het Data Privacy Framework vermeldt dat voor opgeslagen inhoud in het algemeen een rechterlijk bevel op basis van een redelijk vermoeden nodig is (overweging 96) [9].
• Er is een beperkte route om bezwaar te maken. Op grond van 18 U.S.C. § 2703(h) kan een aanbieder vragen een bevel te vernietigen of te wijzigen als de klant geen Amerikaanse persoon is en niet in de VS woont, en verstrekking een wezenlijk risico zou opleveren dat de wetten van een "qualifying foreign government" worden geschonden. Die term omvat alleen landen met een uitvoeringsovereenkomst onder de wet die aanbieders vergelijkbare rechten bieden [2].
• Er zijn overeenkomsten met enkele landen, niet met de EU. Het Amerikaanse ministerie van Justitie noemt overeenkomsten met het Verenigd Koninkrijk (ondertekend op 3 oktober 2019) en Australië (15 december 2021). Voor de EU noemt het een gezamenlijke verklaring over onderhandelingen uit 2019 en een aankondiging uit 2023 dat de onderhandelingen zouden worden hervat [3]. Op 9 oktober 2026 vonden we geen gesloten overeenkomst tussen de EU en de VS.

Validemics analyse Voor een instelling telt de toets van zeggenschap, niet de locatie. Als een aanbieder die onder Amerikaanse rechtsmacht valt bruikbare toegang tot de gegevens heeft, is een Amerikaans bevel aan die aanbieder juridisch mogelijk, ongeacht waar de server staat. Hoe vaak dat in de praktijk bij gegevens van instellingen gebeurt, is een andere vraag, die openbare bronnen niet volledig kunnen beantwoorden.

2. FISA 702, EO 12333 en Schrems II

De belangrijkste zorg achter het Schrems II-arrest was toezicht door Amerikaanse inlichtingendiensten, niet de CLOUD Act. Section 702 van de Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a) maakt het mogelijk niet-Amerikaanse personen in het buitenland te viseren met verplichte medewerking van Amerikaanse aanbieders. Executive Order 12333 regelt andere inlichtingenactiviteiten, waaronder verzameling buiten de Verenigde Staten [5].

In Schrems II (C-311/18, 16 juli 2020) oordeelde het Hof van Justitie dat noch Section 702 van de FISA, noch EO 12333 de minimale waarborgen bood die het evenredigheidsbeginsel vereist (punt 184). Het Hof oordeelde ook dat de ombudspersoon van het Privacy Shield betrokkenen geen voorziening bood die gelijkwaardig is aan artikel 47 van het Handvest (punt 197), en verklaarde het Privacy Shield-besluit ongeldig [5].

Het Amerikaanse antwoord was Executive Order 14086 van 7 oktober 2022, die de waarborgen voor signaalinlichtingen versterkte en, samen met een regeling van de Attorney General, een beroepsmechanisme instelde met onder meer de Data Protection Review Court (DPRC). De Commissie baseerde zich daarop toen zij op 10 juli 2023 het adequaatheidsbesluit voor het Data Privacy Framework vaststelde [8] [9].

Section 702 in 2026

Section 702 werd in april 2024 voor het laatst verlengd, met een vervaldatum in april 2026. Na kortlopende verlengingen haalde een verdere verlenging het niet in het Huis van Afgevaardigden en verviel de wettelijke basis op 12 juni 2026. Associated Press meldde dat een uitspraak van de Foreign Intelligence Surveillance Court van maart 2026 "certified the program's renewal for another 12 months" (de verlenging van het programma voor nog eens 12 maanden certificeerde), zodat de verzameling naar verwachting niet direct zou stoppen [6]. Het Brennan Center, een Amerikaans beleidsinstituut, stelt dat het toezicht onder Section 702 tot maart 2027 doorgaat, ook als de wet vervalt [7].

In behandeling: op 9 oktober 2026 vonden we geen nieuwe verlenging van Section 702 die van kracht is. Of het Congres haar verlengt, en met welke wijzigingen, is van belang voor de monitoring van het Data Privacy Framework door de Commissie. Controleer dit opnieuw voordat u op deze alinea vertrouwt.

3. Hoe antwoordt het EU-recht op buitenlandse toegang?

Het EU-recht aanvaardt een buitenlandse rechterlijke uitspraak of een besluit van een buitenlandse autoriteit op zichzelf niet als rechtmatige grondslag om persoonsgegevens te verstrekken. Artikel 48 AVG bepaalt dat zulke uitspraken alleen kunnen worden erkend of ten uitvoer gelegd als ze zijn gebaseerd op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtshulp, onverminderd de andere gronden uit hoofdstuk V [10].

In hun gezamenlijke antwoord aan de LIBE-commissie van het Europees Parlement van 10 juli 2019 haalden de EDPB en de EDPS het standpunt van de Commissie aan dat "Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR" (artikel 48 maakt duidelijk dat een buitenlandse rechterlijke uitspraak een doorgifte op zichzelf niet rechtmatig maakt onder de AVG). Zij concludeerden dat zonder internationale overeenkomst of andere grondslag "service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests" (dienstverleners die onder EU-recht vallen de verstrekking en doorgifte van persoonsgegevens aan de VS niet rechtmatig op zulke verzoeken kunnen baseren) [11]. Ook vonden zij de meeste gronden uit artikel 6 en artikel 49 ongeschikt voor routinematige verzoeken onder de CLOUD Act.

Andere EU-regels wijzen dezelfde kant op:

• Art. 28, lid 3, sub a AVG. Een verwerker mag alleen verwerken op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, ook voor doorgifte, tenzij Unierecht of lidstatelijk recht hem daartoe verplicht. Een Amerikaans bevel is geen Unierecht of lidstatelijk recht [4].
• Standaardcontractbepalingen, clausule 15. Waar SCC's gelden, moet de importeur de exporteur onverwijld informeren over een juridisch bindend verzoek van een overheidsinstantie, zich zo goed mogelijk inspannen om ontheffing te krijgen als melden verboden is, en verzoeken registreren (clausule 15.1) [12].
• Art. 32 Dataverordening. Voor niet-persoonsgebonden gegevens, zoals ongepubliceerde onderzoeksresultaten of gegevens van de instelling, moeten aanbieders van dataverwerkingsdiensten "alle adequate technische, organisatorische en juridische maatregelen, waaronder overeenkomsten" nemen om toegang door overheden van derde landen te voorkomen die in strijd zou zijn met EU-recht of nationaal recht. Buitenlandse bevelen worden alleen erkend op basis van een internationale overeenkomst, of bij gebrek daaraan alleen onder de voorwaarden van art. 32, lid 3 [13].

Validemics analyse Deze regels creëren een conflict tussen rechtsstelsels, geen schild. Ze maken verstrekking vanuit EU-oogpunt onrechtmatig en geven de klant recht op informatie, maar ze kunnen een aanbieder niet beletten aan zijn eigen recht te voldoen. Daarom richten sommige autoriteiten zich op technische zeggenschap, zoals wie de encryptiesleutels beheert, en niet alleen op contractvoorwaarden.

4. De stand van het Data Privacy Framework op 9 oktober 2026

Het adequaatheidsbesluit voor het EU-VS Data Privacy Framework (DPF), Uitvoeringsbesluit (EU) 2023/1795, is van kracht en dekt doorgifte aan Amerikaanse organisaties op de DPF-lijst. Het behandelt toegang door inlichtingendiensten via EO 14086 en de DPRC, en beschrijft toegang door opsporingsinstanties onder de Stored Communications Act, de wet die door de CLOUD Act is gewijzigd [9].

• Gerecht, 3 september 2025. In Latombe tegen Commissie (T-553/23) verwierp het Gerecht het beroep. Het oordeelde dat de DPRC voldoende onafhankelijk is en dat Schrems II ten minste rechterlijke toetsing achteraf van bulkverzameling vereist, die het Amerikaanse recht via de DPRC biedt. Het merkte ook op dat de Commissie het Amerikaanse rechtskader voortdurend moet volgen en het besluit kan opschorten, wijzigen of intrekken [14].
• Hogere voorziening, C-703/25 P. De heer Latombe stelde op 31 oktober 2025 hogere voorziening in [15]. Die is aanhangig. Onze gids over het Data Privacy Framework (Engels) volgt de procedure, waaronder de toelating van Microsoft als interveniënt in juni 2026.
• EDPB. Op 31 juli 2026 schreef de EDPB de Commissie over het arrest Trump v. Slaughter van het Amerikaanse Supreme Court, dat gaat over de onafhankelijkheid van Amerikaanse agentschappen zoals de FTC [16].

Validemics analyse Het DPF beantwoordt de doorgiftevraag voor Amerikaanse organisaties op de lijst. Het beantwoordt de soevereiniteitsvraag niet; die gaat over afhankelijkheid, continuïteit en zeggenschap. Een instelling kan een rechtmatige grondslag voor doorgifte hebben en toch besluiten dat bepaalde gegevens niet van één niet-Europese aanbieder afhankelijk mogen zijn. Voor de doorgiftekant, zie ons TIA-sjabloon (Engels) en de tool voor doorgiftemechanismen.

5. Dataresidentie is geen datasoevereiniteit

Dataresidentie betekent dat gegevens in een gekozen regio worden opgeslagen en verwerkt, zoals de EU. Datasoevereiniteit gaat over de vraag welke rechtsstelsels en welke organisaties de gegevens en de dienst kunnen beheersen, inzien of uitschakelen. Een dienst kan aan residentie-eisen voldoen terwijl de beheerder onder niet-Europees recht blijft vallen. In een leveranciersbeoordeling vragen beide om aparte vragen.

De Aanbevelingen 01/2020 van de EDPB beschrijven de grens van technische maatregelen helder. Voor clouddiensten die toegang tot gegevens in leesbare vorm nodig hebben (use case 6) kon de EDPB zich, gezien de stand van de techniek, geen doeltreffende technische maatregel voorstellen die onevenredige toegang door overheidsinstanties voorkomt; de EDPB zegt "incapable of envisioning an effective technical measure" [17]. Daarom zijn de meeste kantoorpakketten, die inhoud moeten lezen om te indexeren, te zoeken en AI-functies te draaien, moeilijk met alleen versleuteling te beschermen.

6. Wat de grote aanbieders bieden

De beschrijvingen hieronder komen van de eigen pagina's van elke leverancier. We beoordelen niet of ze aan een juridische norm voldoen; lees de contractvoorwaarden voor uw abonnement.

Microsoft: EU Data Boundary en soevereine aanbiedingen

Microsoft beschrijft de EU Data Boundary als een grens waarbinnen het toezegt klantgegevens en persoonsgegevens voor zijn online diensten voor organisaties op te slaan en te verwerken, waaronder Azure, Dynamics 365, Power Platform en Microsoft 365. Volgens de pagina gelden deze toezeggingen "subject to limited circumstances" (onder voorbehoud van beperkte omstandigheden) waarin gegevens toch buiten de grens worden doorgegeven, en die doorgiften worden apart gedocumenteerd. De grens omvat EU- en EVA-landen. Voor Microsoft 365 vallen tenants met een EU- of EVA-registratielocatie eronder, maar tenants met Multi-Geo Capabilities niet [18].

In april 2025 publiceerde Microsoft vijf "European digital commitments", waaronder de toezegging elk overheidsbevel tot opschorting van zijn Europese cloudactiviteiten aan te vechten en toezicht op Europese datacenters door een raad van Europese staatsburgers [19]. In juni 2025 kondigde het een Sovereign Public Cloud en Sovereign Private Cloud aan (beide toen in preview), Microsoft 365 Local, "Data Guardian" (toegang op afstand beperkt tot in Europa wonende medewerkers), extern sleutelbeheer en nationale partnerclouds zoals Bleu in Frankrijk en Delos Cloud in Duitsland [20].

Een voorbeeld uit het hoger onderwijs laat zien waarom residentie-instellingen bewaking nodig hebben. De update van mei 2026 van de DPIA van SURF op Microsoft 365 Copilot vermeldt dat Microsoft in maart 2026 "flex routing" invoerde, waardoor voor nieuwe tenants doorgifte buiten de EU Data Boundary mogelijk werd. SURF controleerde dat bestaande Nederlandse onderwijstenants niet waren gewijzigd, en nam het punt op als nieuw laag risico [21]. Zie ook onze factsheets over Microsoft 365 en Microsoft Copilot.

AWS European Sovereign Cloud

AWS kondigde op 15 januari 2026 de algemene beschikbaarheid aan van de AWS European Sovereign Cloud, met de eerste regio in Brandenburg, Duitsland. Volgens AWS is deze fysiek en logisch gescheiden van andere AWS-regio's en wordt ze beheerd door inwoners van de EU via een nieuwe moedermaatschappij en Duitse dochterondernemingen onder leiding van EU-burgers, met "zero operational control outside of EU borders" (geen enkele operationele zeggenschap buiten de EU-grenzen). AWS plant soevereine Local Zones in België, Nederland en Portugal [22].

Soevereine aanbiedingen van Google Cloud

Google noemt drie hoofdopties. Google Cloud Data Boundary biedt residentie- en toegangsbeheer in de publieke cloud, inclusief sleutels in klantbeheer en extern opgeslagen sleutels. Google Cloud Dedicated draait op geïsoleerde infrastructuur die door een lokale partner wordt beheerd; in Frankrijk is dat S3NS, een zelfstandige Franse entiteit met Thales, die volgens Google is ontworpen om aan de eisen van SecNumCloud te voldoen. Google Distributed Cloud draait on-premises, verbonden of volledig afgeschermd [23]. Zie onze factsheet over Google Workspace.

Validemics analyse Databoundaries veranderen vooral de locatie en de supporttoegang. Apart beheerde clouds proberen te veranderen wie zeggenschap heeft over de beheerder. Sleutels in eigen beheer en on-premises installaties veranderen wie de gegevens kan lezen. Als een leverancier "soeverein" zegt, vraag dan welke van deze drie hij bedoelt, voor welke diensten en bij welk abonnement.

Beoordeelt u op dit moment een leverancier? Validemic toetst de documenten van de leverancier aan de AVG en de AI-verordening, met een bron bij elke bevinding. Probeer de demo-omgeving

7. Certificering: EUCS en SecNumCloud

Op 9 oktober 2026 bestaat er geen vastgestelde EU-brede certificering van "soevereine" clouddiensten. De Europese cyberbeveiligingscertificeringsregeling voor clouddiensten (EUCS) is nog een kandidaat-regeling. De Franse SecNumCloud-kwalificatie is het meest gevestigde nationale keurmerk dat uitdrukkelijk bescherming tegen niet-Europees recht omvat.

• EUCS. De pagina van de Commissie over het kader voor cyberbeveiligingscertificering, laatst bijgewerkt op 9 september 2026, noemt de "European cybersecurity certification scheme for cloud services" bij de kandidaat-regelingen die ENISA moest voorbereiden, en noemt de Common Criteria-regeling (EUCC) als eerste vastgestelde regeling [24]. Eerdere ontwerpen die soevereiniteitseisen zouden toevoegen, waren onderwerp van langdurig debat tussen lidstaten; een definitieve regeling kan afwijken.
• SecNumCloud (Frankrijk). ANSSI stelt dat aanbiedingen met SecNumCloud-kwalificatie gevoelige gegevens willen beschermen "face à la menace cybercriminelle et à l'application de lois extraterritoriales" (tegen de cybercriminele dreiging en de toepassing van extraterritoriale wetten), en publiceert de lijst van gekwalificeerde diensten [25]. De richtlijn van de CNIL voor het hoger onderwijs, gedateerd 24 augustus 2026, noemt SecNumCloud-kwalificatie als voorbeeld van een manier om te waarborgen dat een aanbieder uitsluitend aan Europees recht is onderworpen [26].

8. Wat overheden en de publieke sector doen

Overheden in verschillende landen verminderen hun afhankelijkheid van een klein aantal niet-Europese aanbieders. De meeste initiatieven verlopen geleidelijk, en de genoemde redenen omvatten naast gegevensbescherming ook continuïteit en onderhandelingspositie.

• Frankrijk. In een antwoord op Kamervragen, gepubliceerd op 15 november 2022, schreef het ministerie van Onderwijs dat de digitale dienst van de staat in 2021 had vastgesteld dat Office 365 niet voldeed aan de doctrine "cloud au centre", dat de CNIL instellingen voor hoger onderwijs had geadviseerd aanbieders te gebruiken die uitsluitend aan Europees recht zijn onderworpen, en dat rectoren was gevraagd verdere uitrol van Microsoft en Google op scholen te stoppen [27]. Dat antwoord dateert van vóór het Data Privacy Framework van 2023.
• Duitsland. Een casuscatalogus uit 2026 van het Deense agentschap voor digitale overheid beschrijft de overstap van Sleeswijk-Holstein, begonnen in 2012, naar LibreOffice, Linux, Nextcloud en Open-Xchange, met als doel in 2029 op enkele kritieke producten na vrij te zijn van Microsoft; 24.000 van de 30.000 deelstaatmedewerkers gebruiken nu de nieuwe werkplek [28]. ZenDiS, een door de federale overheid gefinancierd bedrijf, ontwikkelt openDesk, een opensource kantoorpakket voor de overheid [29].
• Denemarken. Het agentschap voor digitale overheid meldt dat de begrotingswet van 2026 80 miljoen Deense kronen reserveert voor 2026 tot en met 2029 voor een actieplan voor digitale soevereiniteit [30]. De casuscatalogus beschrijft hoe de gemeente Aarhus voor ongeveer 60 oplossingen in één afdeling Microsoft Azure verving door de Duitse aanbieder Hetzner, en een analyse van de gemeente Kopenhagen van ongeveer 150 kritieke systemen die in december 2025 aan de gemeenteraad werd gerapporteerd [28].
• Nederland. In september 2026 publiceerde het Adviescollege ICT-toetsing (AcICT) een advies over cloudgebruik door overheidsorganisaties. De eerste aanbeveling is strategische afhankelijkheden zorgvuldig af te wegen, waaronder lock-in en exitmogelijkheden [31].
• Zwitserland. De kantonale privacytoezichthouders (privatim) namen in november 2025 een resolutie aan. Daarin achten zij het uitbesteden van bijzonder gevoelige of wettelijk geheime persoonsgegevens aan grote internationale SaaS-diensten "in den meisten Fällen (wie namentlich M365)" (in de meeste gevallen, met name bij M365) ontoelaatbaar, tenzij het overheidsorgaan de gegevens zelf versleutelt en de aanbieder geen toegang tot de sleutel heeft [32].
• Zweden. eSam, het samenwerkingsverband van Zweedse overheidsinstanties, schreef in september 2025 dat het adequaatheidsbesluit tussen de EU en de VS geldt tot het wordt ingetrokken of nietig verklaard, maar dat het vragen over buitenlandse toegang op grond van extraterritoriale wetgeving niet noodzakelijk oplost [33].

9. Wat universiteiten en onderzoeksnetwerken doen

Europese instellingen bewandelen drie hoofdroutes: de grote Amerikaanse pakketten grondig beoordelen, gedeelde Europese alternatieven bouwen of inkopen via hun nationale onderzoeks- en onderwijsnetwerken (NREN's), en in Nederland een sectorbreed plan voor digitale autonomie.

Nederland: van open brieven naar een sectorplan

• Brieven van medewerkers. In maart 2025 schreven twee hoogleraren van de Universiteit Utrecht aan hun college van bestuur: "The fact that the data is stored on European servers offers no (legal) protection" (dat de gegevens op Europese servers staan, biedt geen (juridische) bescherming), met een verwijzing naar de CLOUD Act [34]. Vergelijkbare brieven volgden bij de Radboud Universiteit (maart 2025) [35] en de Rijksuniversiteit Groningen (april 2025) [36]. In een think paper van december 2025 schreven de Utrechtse auteurs dat de grote aanbieders "are subject to American jurisdiction (in particular the Cloud Act)" (onder Amerikaanse rechtsmacht vallen, in het bijzonder de Cloud Act) [37].
• Sectorplan. In mei 2026 kondigde Universiteiten van Nederland (UNL) aan dat de universiteiten, de rijksoverheid en SURF samen de digitale autonomie gaan versterken, met een verwijzing naar risico's voor kennisveiligheid, privacy, continuïteit en academische waarden. Een commissie gaat gezamenlijke inkoopvoorwaarden, alternatieven en internationale samenwerking voorstellen, te beginnen met een nulmeting van de risico's [38]. De nieuwssite van de TU Eindhoven meldde dat universiteiten en de staatssecretaris in juni 2026 een intentieverklaring ondertekenden [39].
• SURF. De cloud sourcing strategie van SURF (2024) bevat datasoevereiniteit als een van negen thema's en stelt dat de zeggenschap over gegevens nooit aan de leverancier wordt overgedragen [40]. In november 2025 kondigde SURF aan dat het vanaf januari 2026 Nextcloud aan alle aangesloten instellingen aanbiedt, met de opmerking dat door de dominantie van enkele grote techbedrijven "onze onafhankelijkheid en publieke waarden steeds verder onder druk" staan [41]. De DPIA's van SURF op Microsoft 365 Copilot zijn een voorbeeld van hoe een sectororganisatie één leverancier namens velen kan beoordelen [21].
• Realistische termijnen. Ongeveer 75 onderzoekers van vijf Nederlandse universiteiten testten sinds begin 2025 Nextcloud, meldde de Utrechtse universiteitskrant DUB [42]. De IT-directeur van de Universiteit Twente zei tegen de universiteitskrant dat de universiteit dit niet alleen kan, en beschreef een project voor een soevereine werkplek met Linux en LibreOffice [43].

Noordse landen

• Zweden. Sunet Drive is een opslag- en bestandsdeeldienst op basis van Nextcloud en de eigen S3-opslag van Sunet, op Zweedse servers. Sunet stelt dat de organisatie "har full kontroll över allt lagrat data" (volledige zeggenschap heeft over alle opgeslagen gegevens) [44]. Stockholm University biedt de dienst aan onderzoekers aan [45].
• Finland. CSC, het Finse IT-centrum voor de wetenschap, levert diensten voor gevoelige gegevens, waaronder ePouta, omschreven als "a secure cloud computing environment designed to process sensitive data" (een beveiligde cloudomgeving voor het verwerken van gevoelige gegevens) [46].
• Noorwegen. NREC, beheerd door de universiteiten van Bergen en Oslo met nationale partners, levert infrastructure-as-a-service vanuit datacenters in Bergen en Oslo voor het hoger onderwijs [47].

Duitsland, Zwitserland en Frankrijk

• sciebo (Noordrijn-Westfalen). Bij de lancering in 2015 meldde de Universität Münster dat de deelnemende universiteiten sciebo zelf exploiteren, met verwerking in Münster, Bonn en Duisburg-Essen [48]. De huidige site noemt het "a non-commercial cloud storage by universities for universities" (niet-commerciële cloudopslag door universiteiten voor universiteiten) [49].
• bwSync&Share (Baden-Württemberg). Sinds 1 januari 2014 beheerd door het Karlsruhe Institute of Technology op basis van Nextcloud, en open voor universiteiten in de deelstaat en, via DFN-Cloud, voor andere DFN-leden [50].
• Zwitserland. Switch Drive wordt gehost in de datacenters van Switch in Zwitserland; Switch stelt dat "All IT resources and usage data are located in Switch data centres" (alle IT-middelen en gebruiksgegevens zich in datacenters van Switch bevinden) [51].
• Frankrijk. RENATER presenteert zijn samenwerkingsdiensten als alternatief voor gratis online diensten, met de toezegging "garantir le stockage de vos données en France" (de opslag van uw gegevens in Frankrijk te garanderen) [52].

Europese inkoop: GÉANT OCRE

Het raamwerk Open Clouds for Research Environments (OCRE) van GÉANT laat NREN's commerciële clouddiensten tegen vooraf onderhandelde voorwaarden aan hun leden aanbieden. Restena, het NREN van Luxemburg, meldde dat het raamwerk OCRE 2024 op 3 februari 2025 inging, met IaaS, PaaS en SaaS, en dat in Luxemburg zeven platforms beschikbaar blijven, een mix van Amerikaanse en Europese aanbieders [53]. Vraag uw NREN welke aanbieders in uw land beschikbaar zijn.

Validemics analyse In geen enkel land verlaten instellingen de Amerikaanse pakketten van de ene op de andere dag. Ze classificeren gegevens, houden de gevoeligste onderzoeksgegevens in diensten van het NREN of nationale diensten, bouwen gedeelde alternatieven voor bestandsdeling en laten sectororganisaties onderhandelen en beoordelen. Zie onze gids over cloudopslag van onderzoeksdata (Engels) en de factsheet over Nextcloud.

10. Hoe u het risico beoordeelt

Een beoordeling van de CLOUD Act en soevereiniteit past in het gewone AVG-proces. Combineer de doorgiftetoetsing voor alle gegevens die de EER verlaten met een bredere afhankelijkheidsbeoordeling van buitenlandse juridische toegang, continuïteit en exit. Doe dat per dienst en per datatype, niet één keer voor "de cloud".

1. Breng de dienst in kaart. Contractpartij, beherende entiteiten, opslag- en verwerkingslocaties, subverwerkers en supportlocaties. Gebruik de lijst met subverwerkers, niet de marketingpagina's.
2. Classificeer de gegevens. Gebruik de classificatie van uw instelling en markeer bijzondere persoonsgegevens, wettelijk geheime gegevens, onderzoek onder exportcontrole en gegevens onder geheimhoudingsafspraken met partners.
3. Stel doorgiften en het doorgifte-instrument vast. Toegang op afstand van buiten de EER geldt als doorgifte [17]. Controleer voor Amerikaanse ontvangers de vermelding op de DPF-lijst; gebruik anders SCC's met een doorgiftetoetsing. Onze tool voor doorgiftemechanismen en het TIA-sjabloon dekken deze stap.
4. Beoordeel buitenlandse juridische toegang apart. Valt de beheerder onder Amerikaanse (of andere niet-Europese) rechtsmacht, kan hij inhoud in leesbare vorm inzien, en wat zegt hij toe bij een verzoek: u informeren, het verzoek aanvechten, alleen het minimum verstrekken en transparantiegegevens publiceren (vergelijk SCC-clausule 15) [12]?
5. Beoordeel technische maatregelen. Wie beheert de sleutels? Is versleuteling aan de clientzijde of end-to-end beschikbaar voor de gegevens die dat nodig hebben? Welke functies werken dan niet meer?
6. Beoordeel afhankelijkheid en continuïteit. Wat gebeurt er als de dienst onbeschikbaar, veel duurder of voor bepaalde gegevens juridisch onbruikbaar wordt? Hoe lang zou een migratie duren?
7. Besluit en leg vast. Leg het restrisico vast, de gebruiksvoorwaarden (bijvoorbeeld "geen bijzondere persoonsgegevens") en wie het risico heeft aanvaard. Werk waar nodig de DPIA bij; zie ons DPIA-sjabloon.
8. Blijf volgen. Let op wijzigingen in hosting, subverwerkers, standaardinstellingen en het Amerikaanse recht (Section 702, de hogere voorziening C-703/25 P, de DPF-evaluatie van de Commissie). Het voorbeeld van flex routing bij SURF laat zien dat standaardinstellingen kunnen veranderen.

Heeft een sectororganisatie de dienst al beoordeeld (bijvoorbeeld de DPIA's van SURF), begin dan daar en controleer of uw configuratie overeenkomt met de uitgangspunten van die beoordeling. Voor het bredere proces, zie leveranciersbeoordeling voor universiteiten en onze NIS2-gids (beide Engels).

11. Keuzetabel: hosting per datatype

De tabel hieronder is Validemics analyse, geen wettelijke eis. Ze toont een gangbaar patroon dat aansluit bij de standpunten uit de bronnen hierboven. Uw nationale recht, onderzoekscontracten en de classificatie van uw instelling gaan voor.

AI-functies vragen extra aandacht, omdat ze vaak verwerkingslocaties en subverwerkers toevoegen. Onze gids over AI-diensten van Noordse universiteiten (Engels) laat zien hoe sommige instellingen daarom zelf AI hosten.

12. Exitstrategieën

Een exitstrategie is een vastgelegd en getest plan om een dienst en de gegevens binnen een vastgestelde tijd en een vastgesteld budget naar een andere aanbieder of naar eigen beheer over te brengen. Het is de meest praktische soevereiniteitsmaatregel, omdat het de schade van elke toekomstige wijziging in wet, prijs of beleid beperkt. De Dataverordening geeft cloudklanten nu afdwingbare overstaprechten.

Wat de Dataverordening eist

Hoofdstuk VI van Verordening (EU) 2023/2854 is sinds 12 september 2025 van toepassing [13]. Aanbieders van gegevensverwerkingsdiensten moeten belemmeringen voor overstappen wegnemen (art. 23), en het contract moet onder meer bevatten (art. 25, lid 2):

• een maximale opzegtermijn voor het starten van de overstap van ten hoogste twee maanden;
• een verplichte maximale overgangsperiode van 30 kalenderdagen, waarin de aanbieder bijstand verleent, de continuïteit handhaaft en de gegevens beveiligd houdt;
• een verplichting om de exitstrategie van de klant te ondersteunen;
• een uitputtende specificatie van de gegevens en digitale activa die kunnen worden overgezet;
• een periode om gegevens op te halen van ten minste 30 kalenderdagen na de overgangsperiode;
• volledige wissing van exporteerbare gegevens na de ophaalperiode.

Wat kosten betreft mochten aanbieders vanaf 11 januari 2024 alleen verlaagde overstapkosten in rekening brengen, niet hoger dan de directe kosten. Vanaf 12 januari 2027 mogen ze helemaal geen overstapkosten meer rekenen (art. 29). Art. 31 zondert sommige maatwerkdiensten en testversies uit van delen van deze regels. Zie onze uitleg van de Dataverordening.

Het plan opbouwen

1. Inventarisatie. Diensten, datavolumes, koppelingen (single sign-on, leeromgeving, onderzoekssystemen) en afhankelijke gebruikers.
2. Formaten. Kies bij voorkeur open formaten en controleer of exports metadata, rechten en versiegeschiedenis bevatten.
3. Identiteit. Houd identiteitsbeheer onder controle van de instelling of de federatie, zodat een andere aanbieder niet betekent dat elk gebruikersaccount verandert.
4. Alternatieven. Benoem per kritieke dienst ten minste één realistisch alternatief, vaak via uw NREN of een nationale gedeelde dienst.
5. Testen. Voer elk jaar een gedeeltelijke export en import uit voor een voorbeeldafdeling. Een ongetest exitplan is een hoop, geen plan.
6. Budget en tijd. Leg de verwachte kosten en duur van een migratie vast. De Deense casuscatalogus laat zien dat zelfs een beperkte overstap (ongeveer 60 oplossingen in één afdeling in Aarhus) ongeveer zes maanden kostte [28].

13. Contractbepalingen om te vragen

Contractvoorwaarden kunnen niet veranderen welke wetten op een aanbieder van toepassing zijn, maar ze kunnen de instelling wel informatie, tijd en keuzemogelijkheden geven. Gebruik de onderstaande bepalingen bij aanbestedingen en verlengingen, aangepast aan uw nationale aanbestedingsregels. Onze vragenlijstgenerator voor leveranciers kan ze in vragen omzetten.

Onderhandelt uw sectororganisatie centraal (SURF, Sikt, Sunet, CSC, Jisc, DFN of GÉANT via OCRE), controleer dan welke van deze voorwaarden al in de raamovereenkomst staan voordat u zelf gaat onderhandelen. Voor de voorwaarden uit artikel 28 zelf legt onze verwerkersovereenkomst-checker een concept punt voor punt naast de wet, en de tool voor meldingen bij wijzigingen van subverwerkers helpt u wijzigingen na ondertekening op te merken.

14. Checklist

Bronnen

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (geraadpleegd op 9 oktober 2026).
2. 18 U.S.C. § 2703, subsection (h), comity analysis, Legal Information Institute (geraadpleegd op 9 oktober 2026).
3. US Department of Justice: CLOUD Act Resources (geraadpleegd op 9 oktober 2026).
4. Verordening (EU) 2016/679 (AVG), artikelen 28, 32, 44 en 48 (geraadpleegd op 9 oktober 2026).
5. Hof van Justitie, arrest van 16 juli 2020, Facebook Ireland en Schrems, C-311/18, punten 184, 197 en 201, gelezen via het Publicatiebureau van de EU (geraadpleegd op 9 oktober 2026).
6. Associated Press: A key U.S. government surveillance program is set to expire. A look at what that means, 12 juni 2026 (geraadpleegd op 9 oktober 2026).
7. Brennan Center for Justice: Section 702 of FISA, 2026 resource page, bijgewerkt op 17 september 2026 (geraadpleegd op 9 oktober 2026).
8. Hof van Justitie van de EU, persbericht nr. 106/25 over zaak T-553/23, met een beschrijving van EO 14086 van 7 oktober 2022 en de DPRC (geraadpleegd op 9 oktober 2026).
9. Uitvoeringsbesluit (EU) 2023/1795 van de Commissie (EU-VS Data Privacy Framework), overwegingen 96 en 97, gelezen via het Publicatiebureau van de EU (geraadpleegd op 9 oktober 2026).
10. Artikel 48 AVG, Niet bij Unierecht toegestane doorgiften of verstrekkingen (geraadpleegd op 9 oktober 2026).
11. EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act, bijlage van 10 juli 2019 (geraadpleegd op 9 oktober 2026).
12. Uitvoeringsbesluit (EU) 2021/914 van de Commissie (standaardcontractbepalingen), clausule 15 (geraadpleegd op 9 oktober 2026).
13. Verordening (EU) 2023/2854 (Dataverordening), artikelen 23, 25, 29, 31, 32 en 50, gelezen via het Publicatiebureau van de EU (geraadpleegd op 9 oktober 2026).
14. Gerecht, Latombe tegen Commissie, T-553/23, persbericht van 3 september 2025 (geraadpleegd op 9 oktober 2026).
15. Hogere voorziening ingesteld op 31 oktober 2025 door Philippe Latombe, zaak C-703/25 P, PB C/2025/6610 (geraadpleegd op 9 oktober 2026).
16. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31 juli 2026 (geraadpleegd op 9 oktober 2026).
17. EDPB, Aanbevelingen 01/2020 over aanvullende maatregelen, versie 2.0, randnummer 13 en use case 6 (geraadpleegd op 9 oktober 2026).
18. Microsoft Learn: What is the EU Data Boundary? (geraadpleegd op 9 oktober 2026).
19. Microsoft: Microsoft announces new European digital commitments, Brad Smith, 30 april 2025 (geraadpleegd op 9 oktober 2026).
20. Microsoft: Announcing comprehensive sovereign solutions empowering European organizations, 16 juni 2025 (geraadpleegd op 9 oktober 2026).
21. SURF: Privacy risks Microsoft 365 Copilot remain 'orange' despite improvements, 27 mei 2026 (geraadpleegd op 9 oktober 2026).
22. AWS: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15 januari 2026 (geraadpleegd op 9 oktober 2026).
23. Google Cloud: Sovereign Cloud (geraadpleegd op 9 oktober 2026).
24. Europese Commissie: EU Cybersecurity Certification Framework, laatst bijgewerkt op 9 september 2026 (geraadpleegd op 9 oktober 2026).
25. ANSSI: SecNumCloud pour les fournisseurs de services cloud (geraadpleegd op 9 oktober 2026).
26. CNIL: Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24 augustus 2026 (geraadpleegd op 9 oktober 2026).
27. Assemblée nationale, schriftelijke vraag nr. 971 en antwoord van de minister, antwoord gepubliceerd op 15 november 2022 (geraadpleegd op 9 oktober 2026).
28. Digitaliseringsstyrelsen: Digital suverænitet, casekatalog (opgesteld door PA Consulting), januari 2026, casussen 3, 11 en 13 (geraadpleegd op 9 oktober 2026).
29. openDesk (ZenDiS) (geraadpleegd op 9 oktober 2026).
30. Digitaliseringsstyrelsen: Digital suverænitet (geraadpleegd op 9 oktober 2026).
31. Digitale Overheid: Cloud, met het advies van het AcICT over cloudgebruik, 8 september 2026 (geraadpleegd op 9 oktober 2026).
32. privatim: Resolution zu internationalen Cloud-Lösungen en persbericht, 24 november 2025 (geraadpleegd op 9 oktober 2026).
33. eSam: Uppdatering kring adekvansbeslutet i en turbulent tid, 26 september 2025 (geraadpleegd op 9 oktober 2026).
34. Universiteit Utrecht: Open letter to the Executive Board calling for a transformation to digital autonomy, 25 maart 2025 (geraadpleegd op 9 oktober 2026).
35. Medewerkers van de Radboud Universiteit: open brief over afhankelijkheid van Big Tech, 10 maart 2025 (geraadpleegd op 9 oktober 2026).
36. Rijksuniversiteit Groningen: Open letter to the Executive Board to end dependence on Big Tech, 10 april 2025 (geraadpleegd op 9 oktober 2026).
37. Universiteit Utrecht, IOS Think Paper 7: Towards a collective digital autonomy for Dutch universities, december 2025 (geraadpleegd op 9 oktober 2026).
38. Universiteiten van Nederland: Universiteiten lanceren plan om digitaal autonomer te worden, 6 mei 2026 (geraadpleegd op 9 oktober 2026).
39. Cursor (TU Eindhoven): Universities and government join forces on digital autonomy, 26 juni 2026 (geraadpleegd op 9 oktober 2026).
40. SURF: Cloud sourcing strategie, 2024 (geraadpleegd op 9 oktober 2026).
41. SURF: Onderwijs en onderzoek gaan verder met Nextcloud, 24 november 2025; Engelse versie: Education and research move forward with Nextcloud (geraadpleegd op 9 oktober 2026).
42. DUB (Universiteit Utrecht): Can Dutch universities do without Microsoft?, 24 november 2025 (geraadpleegd op 9 oktober 2026).
43. U-Today (Universiteit Twente): Breaking free from big tech? UT can't do it alone, 9 december 2025 (geraadpleegd op 9 oktober 2026).
44. Sunet: Sunet Drive (geraadpleegd op 9 oktober 2026).
45. Stockholm University: Sunet Drive (Nextcloud), bijgewerkt op 24 november 2025 (geraadpleegd op 9 oktober 2026).
46. CSC: Sensitive data services (geraadpleegd op 9 oktober 2026).
47. NREC: Norwegian Research and Education Cloud (geraadpleegd op 9 oktober 2026).
48. Universität Münster: persbericht over de lancering van sciebo, 28 januari 2015 (geraadpleegd op 9 oktober 2026).
49. hochschulcloud.nrw: sciebo (geraadpleegd op 9 oktober 2026).
50. Karlsruhe Institute of Technology: bwSync&Share (geraadpleegd op 9 oktober 2026).
51. Switch: Switch Drive (geraadpleegd op 9 oktober 2026).
52. RENATER: Services (geraadpleegd op 9 oktober 2026).
53. Restena: Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14 februari 2025 (geraadpleegd op 9 oktober 2026).

Over deze pagina

Bronnen geraadpleegd op 9 oktober 2026. We hebben de wetteksten gelezen (de US Code via het Legal Information Institute; EU-handelingen in de versies van het Publicatieblad van het Publicatiebureau van de EU), rechterlijke stukken, pagina's van de EDPB, de Commissie en nationale autoriteiten, pagina's van leveranciers en de pagina's van instellingen en onderzoeksnetwerken hierboven. Beschrijvingen van leveranciers zijn die van de leveranciers zelf; we hebben de diensten niet getest. Citaten uit anderstalige bronnen staan in de oorspronkelijke taal, met onze eigen Nederlandse vertaling tussen haakjes. Waar we een eigen interpretatie geven, staat die gemarkeerd als Validemics analyse. Deze pagina bevat algemene informatie en is geen juridisch advies. Het Amerikaanse toezichtsrecht, de hogere voorziening tegen het Data Privacy Framework en de Europese certificeringsregeling voor de cloud kunnen allemaal veranderen; we werken deze pagina dan bij. Ziet u een fout of een verouderd punt? Neem contact met ons op, dan corrigeren we het.