Achtergrond

Waarom Europese datasoevereiniteit ertoe doet

Geen bangmakerij — gewoon de juridische feiten, met bronnen. Vijf minuten leeswerk dat verandert hoe je een host kiest.

1. Een server in Europa kan nog steeds aan Washington rapporteren

In 2018 nam de Verenigde Staten de CLOUD Act aan. Die verplicht Amerikaanse providers om data over te dragen die zij in “possession, custody, or control” hebben — waar ter wereld die ook is opgeslagen ^[1]. Het datacenter van een Amerikaans bedrijf in Frankfurt of Amsterdam valt dus gewoon binnen het bereik van een Amerikaans bevel. Dat geldt ook voor de Europese dochterondernemingen van Amerikaanse clouds.

Voor de precisie — want die telt hier: de CLOUD Act is geen massasurveillance. Er is een juridisch proces nodig, doorgaans een door de rechter goedgekeurd bevel in een strafrechtelijk onderzoek. Het aparte regime van FISA Section 702 gaat over inlichtingenvergaring gericht op niet-Amerikanen ^[2]. Twee verschillende wetten, één gemene deler: de Europese locatie van je data beschermt je niet als je provider Amerikaans is.

2. Microsoft bevestigde het — onder ede

Op 10 juni 2025 werd de juridisch directeur van Microsoft Frankrijk in een enquêtecommissie van de Franse Senaat gevraagd of hij kon garanderen dat gegevens van Franse burgers nooit zonder Franse instemming aan Amerikaanse autoriteiten zouden worden overgedragen. Zijn antwoord:

“Non, je ne peux pas le garantir.”
— “Nee, dat kan ik niet garanderen.”

Anton Carniaux, directeur publieke en juridische zaken, Microsoft Frankrijk, hoorzitting Franse Senaat, 10 juni 2025 ^[3]

Hij voegde toe dat het tot nu toe nooit is gebeurd en dat Microsoft zich verzet tegen ongegronde verzoeken. Allebei waar — en allebei niet het punt. Het punt is dat geen enkele provider met een Amerikaans moederbedrijf je iets anders kán beloven, omdat hun eigen wet dat verbiedt.

3. De juridische brug stort steeds opnieuw in

Datadoorgifte tussen de EU en de VS rust op adequaatheidsbesluiten — en die sneuvelen keer op keer. Safe Harbour viel in 2015 (Schrems I). Privacy Shield viel in 2020 (Schrems II), toen het EU-Hof van Justitie oordeelde dat Amerikaans surveillancerecht onverenigbaar is met Europese grondrechten ^[4]. De opvolger, het Data Privacy Framework, overleefde in september 2025 een eerste aanvechting — maar het hoger beroep ligt nu bij het hoogste EU-hof (zaak C-703/25 P) ^[5], terwijl de Amerikaanse toezichtsraad die het verdrag moet bewaken zijn quorum is kwijtgeraakt ^[6].

Als je hosting van een Amerikaanse provider afhangt, hangt je AVG-compliance af van het overleven van dat verdrag. Bij ons niet — omdat er simpelweg geen doorgifte naar de VS plaatsvindt.

4. Wat wij anders doen

• Je sites draaien uitsluitend bij infrastructuurproviders in Europese handen, in EU-datacenters — nooit op de EU-regio’s van Amerikaanse clouds.
• Back-ups blijven in de EU, bij Europese opslagproviders.
• Wij zijn een onafhankelijk Europees bedrijf — geen Amerikaans moederbedrijf, geen private-equity-verzamelclub.
• Bij elk pakket horen een verwerkersovereenkomst en een volledige, openbare subverwerkerslijst.
• Deze website zelf doet nul third-party requests — geen Amerikaanse fonts, geen Amerikaanse analytics, niets.

Eén eerlijke kanttekening, want eerlijkheid ís het product: “soevereiniteit” gaat over structurele juridische blootstelling, niet over magische onschendbaarheid. Europese providers vallen onder Europese rechters en Europees recht — zoals het hoort. Wat je met een Europese keten wegneemt, is de buitenlandse rechtsmacht over je data, en je afhankelijkheid van EU-VS-verdragen die telkens bij de rechter sneuvelen.