Hosting en data
Waar staat de data van je organisatie, en waarom maakt het uit?
Kort antwoord
Het gaat om twee dingen: waar je data fysiek staat, en onder welk recht het bedrijf valt dat hem beheert. Een Amerikaanse leverancier kan je data in een Europees datacenter bewaren en toch onder de Amerikaanse CLOUD Act vallen, die hem kan verplichten gegevens af te geven. Wil je dat uitsluiten, dan kies je een leverancier die zelf onder Europees recht valt en de hardware zelf beheert.
Wat bedoelen mensen met “waar staat mijn data”?
Meestal twee dingen door elkaar. De eerste is de fysieke plek: in welk land, in welk datacenter, op welke machine. De tweede is het recht: welk bedrijf beheert die machine, en onder welke wetten valt dat bedrijf.
Die twee vallen niet altijd samen. Een server in Amsterdam kan worden beheerd door een bedrijf uit Seattle. Dan staat je data in Nederland, maar heeft een Amerikaans bedrijf er controle over.
Wat doet de CLOUD Act?
De CLOUD Act is een Amerikaanse wet uit 2018. Hij verplicht Amerikaanse aanbieders van online diensten om gegevens af te geven aan Amerikaanse opsporingsdiensten die een geldig bevel hebben. Het maakt daarbij niet uit of die gegevens in de Verenigde Staten staan of daarbuiten. Het Amerikaanse ministerie van Justitie zegt het zelf: het gaat om data die de aanbieder in bezit of onder controle heeft, waar die zich ook bevindt.
Dat betekent niet dat Amerikaanse overheden dagelijks in je mailbox kijken. Het betekent dat de mogelijkheid bestaat, en dat je leverancier daar niet zelf over beslist.
En de AVG?
De AVG regelt wanneer je persoonsgegevens buiten de EU mag laten verwerken. Voor de Verenigde Staten geldt sinds 10 juli 2023 het EU-VS Data Privacy Framework. Dat is een besluit van de Europese Commissie: persoonsgegevens mogen naar Amerikaanse bedrijven die zich bij het framework hebben aangemeld.
Het is de derde poging. De twee eerdere afspraken, Safe Harbor en Privacy Shield, zijn door het Hof van Justitie van de EU vernietigd. Het huidige framework is geldig, maar wie langer vooruit kijkt, houdt rekening met de kans dat het opnieuw wordt aangevochten.
Hoe zit het met Microsoft 365?
Microsoft heeft hier echt werk van gemaakt. Met de EU Data Boundary, afgerond in februari 2025, worden de gegevens van Europese klanten van onder meer Microsoft 365 binnen de EU en EVA opgeslagen en verwerkt. Ook supportgegevens blijven sindsdien binnen die grens.
Dat lost het eerste deel op: de fysieke plek. Het tweede deel blijft staan. Microsoft is een Amerikaans bedrijf, en de CLOUD Act gaat over controle, niet over locatie. Voor veel organisaties is dat een acceptabel risico. Voor een advocatenkantoor, een zorgaanbieder of een bedrijf met klanten die er expliciet naar vragen, soms niet.
Welke vragen stel je je leverancier?
Deze zes geven snel duidelijkheid:
- In welk datacenter, in welk land, staat mijn data?
- Van wie is de hardware: van jullie, of gehuurd bij een grotere cloudpartij?
- Onder welk recht valt het bedrijf dat de data beheert, en het moederbedrijf daarvan?
- Wie heeft toegang tot mijn data, en hoe wordt dat vastgelegd?
- Waar staan de back-ups?
- Hoe neem ik mijn data en configuratie mee als ik wil vertrekken?
Komt er bij de derde vraag een Amerikaans moederbedrijf naar boven, dan weet je wat de CLOUD Act voor je betekent.
Let ook op de keten. Een Nederlandse hoster die zijn servers huurt bij een Amerikaanse cloudpartij, zet je data in feite toch bij dat Amerikaanse bedrijf. De naam op de factuur zegt dan weinig over wie de hardware beheert.
Waar staat de data bij ons?
Op hardware die van ons is, in een datacenter in Hengelo. We huren geen capaciteit bij een Amerikaanse cloudpartij. We zijn een Nederlands bedrijf, dus er is geen moederbedrijf buiten Europa dat ergens toegang toe kan krijgen.
Daarop draaien je servers en websites bij hosting en cloud, en je bestanden, mail en agenda in JevanaHub. Wil je eerst weten wat voor jouw organisatie verstandig is, dan zoeken we dat samen uit bij advies. Soms is het antwoord gewoon Microsoft 365. Het verschil zetten we op een rij in Nextcloud of Microsoft 365.