EU-datasoevereiniteit voor compliancedocumenten: waarom jurisdictie ertoe doet als je het bestand niet mag verwijderen
Datasoevereiniteit is een van die onderwerpen die meer stof doen opwaaien dan ze ophelderen. Soms wordt het neergezet als protectionisme in een juridisch jasje, soms als een serieus governancevraagstuk. Bij alledaagse applicatiegegevens is het onderscheid vaak academisch.
Voor compliancegevoelige documenten (facturen met een bewaarplicht van 7 jaar, contracten onder legal hold, indieningen bij toezichthouders die niet gewijzigd of verwijderd mogen worden) is het onderscheid niet academisch. Het heeft juridische gevolgen.
Dit artikel verdedigt één specifieke stelling: als je een document niet mag verwijderen, doet de plek waar het staat er meer toe dan anders, en “waar” betekent dan jurisdictie, niet alleen geografie.
Het gebruikelijke argument voor dataresidentie
Het meest gehoorde argument voor in de EU gehoste infrastructuur is naleving van de AVG: persoonsgegevens horen de Europese Economische Ruimte niet te verlaten zonder passende waarborgen. Dat is een reële eis, en voor applicaties die persoonsgegevens verwerken is hij belangrijk.
Maar het is niet het sterkste argument om compliancedocumenten in Europa te houden. Het AVG-argument gaat over gegevens die al dan niet persoonsgegevens bevatten. Compliancedocumenten bevatten vaak wel persoonsgegevens, maar dat is bijna bijzaak naast de kernvraag.
Het sterkere argument gaat over wat er gebeurt met documenten die je wettelijk moet bewaren en wettelijk niet mag verwijderen.
Bewaarwetgeving en het probleem van toegang tot de infrastructuur
Bewaartermijnen voor facturen in de EU bedragen doorgaans 7 jaar. Voor Nederlandse overheidsarchieven kan de Archiefwet een bewaartermijn van 20 jaar vereisen. Dit zijn geen vrijblijvende richtlijnen. Wie de vereiste stukken niet bewaart, riskeert fiscale boetes, verlies van het recht op btw-aftrek en sancties van toezichthouders.
De keerzijde van bewaarplichten is dat de bewaarde documenten tijdens de bewaartermijn niet verwijderd mogen worden. Documenten onder legal hold mogen helemaal niet worden verwijderd totdat de hold is opgeheven.
Vanuit infrastructuuroogpunt ontstaat zo een ongebruikelijke situatie: je hebt gegevens die je wettelijk moet bewaren, die je wettelijk misschien niet mag verwijderen, opgeslagen op infrastructuur die een derde partij beheert. De vraag is: wie heeft er verder toegang tot die gegevens, op welke wettelijke grondslag, en wat kan die partij ermee?
De CLOUD Act-vraag
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act) is een Amerikaanse federale wet uit 2018 waarmee Amerikaanse opsporingsinstanties Amerikaanse bedrijven, cloudproviders inbegrepen, kunnen dwingen gegevens op hun servers te overhandigen, ongeacht waar die servers fysiek staan.
Het praktische gevolg: de gegevens van een Europees bedrijf op infrastructuur van een Amerikaanse hyperscaler zijn in principe toegankelijk voor Amerikaanse opsporingsinstanties zonder dat het Europese bedrijf daarvan op de hoogte wordt gesteld, met inachtneming van de procedurele vereisten van de CLOUD Act.
Voor de meeste gegevens is dit een theoretische zorg. De hoeveelheid routinematige bedrijfsgegevens waarop daadwerkelijk een CLOUD Act-verzoek betrekking heeft, is klein, en de procedures om zulke gegevens te verkrijgen zijn niet triviaal.
Voor compliancedocumenten ligt de afweging om twee redenen anders.
Ten eerste raken compliancedocumenten vaak de commercieel meest gevoelige kanten van een bedrijf: inkoopprijzen van leveranciers, klantvoorwaarden, contractwaarden, aangiften bij toezichthouders. Het zijn documenten waartoe concurrenten en overheden met handelsbelangen juist actief toegang zouden willen hebben.
Ten tweede zorgen bewaarplichten ervoor dat de gegevens lang blijven bestaan. Een CLOUD Act-verzoek in jaar 5 van een bewaartermijn van 7 jaar betreft gegevens die per definitie van belang zijn voor de lopende bedrijfsvoering.
De CLOUD Act betekent niet dat het gebruik van infrastructuur van Amerikaanse hyperscalers illegaal is, of dat gegevens routinematig worden opgevraagd. Hij betekent dat het juridische kader dat die mogelijkheid schept van toepassing is, en dat de cloudprovider zich maar beperkt kan verzetten tegen een geldig bevel. Het risicoprofiel is anders dan bij infrastructuur die volledig binnen de EU blijft.
Wat “EU-soeverein” in de praktijk betekent
“EU-soeverein” wordt in marketing losjes gebruikt, en het loont om precies te zijn over wat het vereist.
EU-soevereine infrastructuur betekent minimaal:
Alle gegevens blijven binnen de Europese Economische Ruimte. Niet alleen de primaire regio: ook back-ups, disaster recovery en elke vorm van replicatie moeten binnen de EER blijven. Doorgifte naar jurisdicties buiten de EER vereist een adequaatheidsbesluit (dat kan worden ingetrokken) of bindende passende waarborgen.
De beheerder van de infrastructuur valt voor de betreffende gegevens niet onder toegangswetten van buiten de EU. Dat betekent dat de beheerder geen Amerikaans bedrijf of dochteronderneming daarvan is die voor de gegevens die je bij hem opslaat onder verplichtingen uit de CLOUD Act zou vallen. Bedrijven in de EU zonder Amerikaanse vennootschapsstructuur vallen niet onder de CLOUD Act.
De fysieke toegangsbeveiliging valt onder EU-jurisdictie. De exploitatie van het datacenter valt onder EU-recht, niet onder het recht van de jurisdictie waar de hyperscaler is opgericht.
Er is geen afhankelijkheid van infrastructuur van Amerikaanse herkomst waarmee toegang tot de gegevens kan worden verkregen. Wie een Europees datacenter gebruikt voor de primaire opslag maar al het verkeer via een CDN van Amerikaanse herkomst laat lopen, of leunt op sleutelbeheer van Amerikaanse herkomst, haalt via de achterdeur alsnog jurisdictionele afhankelijkheden binnen.
Echte soevereiniteit gaat niet over de vlag op het gebouw. Het gaat over het juridische kader dat bepaalt wie toegang kan krijgen tot de gegevens, en onder welke omstandigheden.
Waarom dit juist telt voor documenten die je niet mag verwijderen
Terug naar de oorspronkelijke vaststelling: compliancedocumenten hebben bewaarplichten. Ze mogen tijdens de bewaartermijn niet worden verwijderd.
Combineer dat nu met de vraag naar soevereine infrastructuur. Een document op infrastructuur buiten de EU, onder een juridisch kader van buiten de EU, dat je 7 jaar niet mag verwijderen, is een document waarvan je 7 jaar lang niet volledig in de hand hebt wie er toegang toe heeft.
Voor een factuur met een gewone bewaarplicht kan dat een aanvaardbaar risico zijn. Voor een contract met een gevoelige prijsstructuur, een indiening bij een toezichthouder of documenten onder legal hold in een lopend geschil ligt het risicoprofiel anders.
Dat je het document niet mag verwijderen, betekent ook dat je de blootstelling niet kunt beperken door de gegevens weg te halen. Met cloud-objectopslag onder Object Lock in COMPLIANCE-modus ben je er bij ontwerp aan gebonden dat het document gedurende de bewaartermijn blijft bestaan. De keuze voor een jurisdictie is dus niet eenvoudig terug te draaien zodra de vergrendeling is ingesteld.
De on-premises-optie
Voor organisaties waarvoor datasoevereiniteit een harde eis is (geen voorkeur, maar een wettelijke of contractuele verplichting) is een on-premises-installatie de meest volledige oplossing.
Bij een on-premises-installatie staan de gegevens volledig op de eigen infrastructuur van de organisatie, onder haar eigen beveiligingsmaatregelen, zonder afhankelijkheid van externe cloudproviders. De jurisdictievraag wordt dan: welke wetten gelden voor de eigen infrastructuur van de organisatie? Voor EU-organisaties die binnen de EU opereren, is het antwoord: EU-recht.
Een on-premises-installatie brengt operationele kosten mee: de organisatie is zelf verantwoordelijk voor beschikbaarheid, back-ups, disaster recovery en capaciteitsplanning. Maar voor gereguleerde organisaties waarvoor dataresidentie een compliance-eis is, zijn die kosten doorgaans al aanvaard als onderdeel van de basisbeveiligingsarchitectuur.
BYOS (je eigen S3-compatibele opslag meebrengen) is een tussenoptie. De applicatielaag blijft een dienst, maar de gegevens staan in de eigen opslagbucket van de organisatie, binnen haar eigen cloudaccount en onder de jurisdictie die zij kiest. De applicatieleverancier bewaart de documenten niet; hij verwerkt ze en schrijft ze weg naar de bucket van de organisatie.
De praktische vraag voor complianceteams
Voor complianceteams die documentinfrastructuur beoordelen, is de vraag niet of EU-soevereiniteit prettig is om te hebben. De vraag is of de juridische en risicovereisten van de opgeslagen documenten (bewaarplichten, legal hold-procedures, gevoeligheid voor toezichthouders) erom vragen.
Voor routinedocumenten met een gewone bewaartermijn van 7 jaar kan het risico van afhankelijkheid van een Amerikaanse hyperscaler aanvaardbaar zijn. Veel organisaties maken die afweging, en dat leidt zelden tot problemen.
Voor documenten onder legal hold, met lange bewaartermijnen, met een hoge commerciële gevoeligheid of met expliciete eisen aan dataresidentie in de kaders van gereguleerde sectoren, verdient de vraag serieuze aandacht voordat de infrastructuurkeuze vastligt.
Zodra de Object Lock is ingesteld en de klok van de bewaartermijn loopt, is de jurisdictievraag lastiger te heroverwegen.
SealDoc draait op EU-infrastructuur in ISO 27001-gecertificeerde Europese datacenters, zonder afhankelijkheid van Amerikaanse hyperscalers. Met BYOS op Enterprise brengen organisaties hun eigen S3-compatibele opslag mee en bepalen ze zelf waar hun documenten staan en onder welke jurisdictie die vallen.