De overheid is al enige tijd in beraad over het migreren van kritieke systemen en data naar Microsoft, een publieke cloudaanbieder. Dit tast de zogenoemde datasoevereiniteit van de overheid, stelt Machiel van der Wal, winnaar van de Internetscriptieprijs die recent werd uitgereikt door advocatenkantoor Brinkhof. Volgens zijn onderzoek kunnen Amerikaanse inlichtingendiensten op grond van Amerikaanse wetgeving vertrouwelijke stukken van de Nederlandse overheid inzien, ook als die data bijvoorbeeld in Europa worden opgeslagen. PONT | Data & Privacy ging in gesprek met Van der Wal en Anke Strijbos, jurylid en advocaat bij Brinkhof, over dit actuele onderwerp.
Digitale infrastructuur is allesbepalend voor het functioneren van de moderne wereld, dus ook voor overheden. De discussie over datasoevereiniteit speelt hierin een cruciale rol: wie heeft het recht en de macht om gegevens te beheren en beschermen? Deze kwestie raakt niet alleen aan fundamentele rechten zoals privacy, maar ook aan nationale veiligheid en economische onafhankelijkheid. Het winnende onderzoek van Machiel van der Wal, bekroond met de Internetscriptieprijs 2024, brengt deze aspecten samen in een grondige analyse van de datasoevereiniteit van de Nederlandse overheid.
Van der Wal combineerde zijn expertise in technische en juridische disciplines tijdens zijn masters aan de TU Delft en het Instituut voor Informatierecht (IViR). Geïnspireerd door actuele debatten rondom het Rijksbreed Cloudbeleid en het EU Cloud Certification Scheme, onderzocht hij – onder begeleiding van Dr. K. Irion - in zijn scriptie hoe de overheid controle kan houden over haar data bij migratie naar publieke clouds.
Een belangrijk aandachtspunt in het onderzoek van Van der Wal betreft het Rijksbreed Cloudbeleid van de Nederlandse overheid. "De overheid slaat data op in publieke clouds van private aanbieders, die vaak onder jurisdictie van derde landen zoals de Verenigde Staten vallen", legt hij uit. Dit brengt risico’s met zich mee: op basis van wetten zoals de Amerikaanse CLOUD Act kunnen aanbieders worden verplicht gegevens te delen met de Amerikaanse overheid, ongeacht waar die data fysiek is opgeslagen. Van der Wal: “Technische maatregelen om dit te voorkomen, zoals versleuteling, zijn soms mogelijk, maar hangen af van het specifieke type clouddienst en de wijze van versleuteling. Bovendien ligt de implementatie hiervan vaak bij de cloudaanbieder. Contractuele maatregelen tussen de cloudaanbieder en de afnemer hebben geen externe werking, waardoor het een bevel of uitvoering daarvan op zichzelf niet kan voorkomen.”
Hoewel het Rijksbreed Cloudbeleid de meest gevoelige staatsgeheimen uitsluit van publieke clouds, blijven andere soorten data, zoals overheidsmails, kwetsbaar. "Het implementatiekader biedt wel richtlijnen, maar deze zijn niet concreet genoeg om een duidelijke risicoafweging te maken," aldus Van der Wal. Hij pleit daarom voor strengere eisen, geïnspireerd door landen zoals Frankrijk, waar datasoevereiniteit zwaarder weegt in het cloudbeleid. Van der Wal: “Dit zou Nederland kunnen doen door overheidsmails zodanig op te slaan dat ze alleen onder Nederlandse jurisdictie vallen. Dit zou een groot deel van de Nederlandse overheidscommunicatie, die potentieel erg gevoelig is, beschermen.”
De Internetscriptieprijs is opgericht door advocatenkantoor Brinkhof om juridische studenten aan te moedigen innovatieve oplossingen te vinden voor de uitdagingen van de digitale samenleving. "De prijs biedt een podium voor jong talent en stimuleert diepgaande analyses van actuele juridische vraagstukken," aldus Anke Strijbos, jurylid en advocaat bij Brinkhof.
Volgens Strijbos springt van der Wal scriptie eruit vanwege de multidimensionale aanpak. "Datasoevereiniteit is een complex en urgent onderwerp dat raakt aan technologie, beleid en recht. Van der Wal werk biedt waardevolle inzichten voor zowel wetgeving als de praktijk."
Strijbos benadrukt het belang van datasoevereiniteit: “Datasoevereiniteit is essentieel omdat het bepaalt in hoeverre een land controle heeft over de gegevens van zijn burgers en overheid. In een tijdperk waarin data waardevolle bronnen van informatie, macht en economische kracht zijn, is het belangrijk dat overheden zelf kunnen beslissen hoe en waar deze data worden beheerd, opgeslagen en beschermd. Datasoevereiniteit voorkomt ook dat buitenlandse actoren directe of indirecte invloed kunnen uitoefenen op essentiële gegevens en kan bijdragen aan het waarborgen van de privacy en fundamentele rechten van burgers. Het bevordert bovendien de nationale veiligheid en helpt landen zich te weren tegen digitale dreigingen en economische afhankelijkheid.”
