Woordenlijst · Databeschermingsconcept Dataresidentie (Data Residency)
Een contractuele en technische verplichting dat data fysiek binnen een specifieke jurisdictie (doorgaans de EU/EER) wordt opgeslagen. Onderscheiden van datasoevereiniteit: residentie gaat over waar data staat, niet over wie er juridisch toegang toe heeft. Een leverancier met Amerikaanse moeder die EU-dataresidentie biedt, blijft onderworpen aan de CLOUD Act.
## Het concept
**Dataresidentie** is een — meestal contractuele — verplichting van de leverancier dat klantgegevens fysiek binnen een gedefinieerde jurisdictie worden opgeslagen, meestal de EU of EER. Het maakt vaak deel uit van een verwerkersovereenkomst onder AVG artikel 28 en is het antwoord dat de meeste leveranciers geven wanneer een Europese klant vraagt: waar staat onze data?
## Waarom residentie geen soevereiniteit is
Dataresidentie en **datasoevereiniteit** zijn verwante maar aparte concepten, en ze verwisselen is een veelvoorkomende en dure fout.
- **Dataresidentie** beantwoordt: *Waar wordt de data fysiek opgeslagen?*
- **Datasoevereiniteit** beantwoordt: *Wie kan juridisch openbaarmaking of toegang tot de data afdwingen, ongeacht waar die staat?*
Een in de VS gevestigde leverancier kan zich oprecht verbinden om Europese klantgegevens uitsluitend in een Frankfurts datacenter op te slaan. Die toezegging is technisch reëel. Ze verhindert echter niet dat Amerikaanse autoriteiten de leverancier dwingen die in Frankfurt gehoste data te overhandigen onder de **CLOUD Act** of **FISA Section 702**.
Het Europees Hof van Justitie maakte dit expliciet in Schrems II (2020): contractuele clausules, versleuteling en residentiële verplichtingen elimineren het risico op extraterritoriaal juridisch bereik niet wanneer de juridische moederentiteit van de leverancier onder een buitenlandse jurisdictie valt met verplichte openbaarmakingsbevoegdheden.
## Wat residentie wel oplevert
Dataresidentie is niet waardeloos — ze adresseert enkele reële risico's:
1. **Latentie en prestaties** — data fysiek dichter bij gebruikers presteert beter.
2. **Regionale regelgevende kaders** — sommige EU-lidstaten hebben nationale datalocalisatieregels (publieke sector, gezondheid, defensie) die opslag in eigen land vereisen.
3. **Sommige AVG-verplichtingen** — Hoofdstuk V-doorgifteregels worden eenvoudiger wanneer data de EER niet verlaat.
4. **Contracthandhaafbaarheid** — een leverancier die EU-residentie belooft, kan daar contractueel aan worden gehouden en overtredingen zijn juridisch afdwingbaar.
Het pakt alleen het probleem van CLOUD Act / FISA 702-blootstelling niet aan — daarvoor is *soevereiniteit* nodig, geen residentie.
## Het EU-regiopatroon bij cloudleveranciers
Elke grote Amerikaanse cloudprovider marketing nu EU-regio's:
- AWS EU (Frankfurt, Parijs, Stockholm, Milaan, Zürich, Ierland, Spanje)
- Microsoft Azure Europe (Amsterdam, Dublin, Parijs, Zürich, Milaan, Berlijn, Frankfurt)
- Google Cloud Europe (België, Nederland, Finland, Frankfurt, Parijs, Madrid, Milaan, Warschau, Zürich)
Elk hiervan is een dataresidentie-verplichting, geen datasoevereiniteitsgarantie. De moedermaatschappij — Amazon.com Inc., Microsoft Corporation, Alphabet Inc. — is Amerikaans opgericht. De CLOUD Act-verplichting volgt de bedrijfsmoeder, niet de fysieke serverlocatie.
Zelfs Microsofts EU Data Boundary (uitgerold 2023-2024, verder uitgebreid in 2026) — een echte engineeringprestatie die een bredere set verwerking beperkt tot EU-regio's — blijft een residentie-verplichting. Het vermindert de dagelijkse operationele blootstelling, maar elimineert het structurele CLOUD Act-bereik niet.
## Soevereine cloud versus alleen residentie
Twee categorieën Europees cloudaanbod pakken de soevereiniteitsvraag aan, niet alleen residentie:
1. **Franse Cloud de Confiance-certificering** — SecNumCloud + Qualification-SecNumCloud, vereist dat de operator onder exclusieve EU-eigendom en -controle staat. Bleu (joint venture van Orange + Capgemini rond Microsoft) en S3NS (Google + Thales) mikken hierop, maar hun structuur met Amerikaanse technologiepartner blijft onderwerp van debat.
2. **Werkelijk in de EU gevestigde leveranciers** — Hetzner (Duitsland), Scaleway (Frankrijk), OVHcloud (Frankrijk), Infomaniak (Zwitserland), Bunny.net (Slovenië), UpCloud (Finland). Deze zijn structureel EU op moederniveau.
## Hoe het verschil in de praktijk evalueren
Wanneer een leverancier 'AVG-conforme EU-dataresidentie' verkoopt, zijn de nuttige vervolgvragen:
1. Waar is de juridische moederentiteit opgericht? (Delaware of in de EU?)
2. Is de moeder genoteerd aan een Amerikaanse beurs en dient zij daarom SEC-verklaringen in?
3. Zijn er Amerikaanse dochterondernemingen in de bedrijfsketen die gedwongen kunnen worden EU-data af te geven onder de CLOUD Act?
4. Wat is de reactie als een Amerikaanse National Security Letter binnenkomt — en wat is de reactie als het de leverancier niet is toegestaan te openbaren dat er een NSL is binnengekomen?
Voor werkelijk gevoelige workloads — gereguleerde gezondheidsdata, financiële transactiedata, defensie-aangrenzende informatie, publieke sector-burgergegevens — vormen alleen bevestigende antwoorden op #1 en ontkennende antwoorden op #3 zinvolle bescherming. Dataresidentie alleen is onvoldoende.
## De conclusie
Dataresidentie is een nuttige en vaak noodzakelijke maatregel, maar deze gelijkstellen aan datasoevereiniteit is de meest voorkomende categoriefout in Europese leveranciersaanschaf. Als uw compliance-officer 'de data staat in Frankfurt' accepteert als antwoord op CLOUD Act-blootstelling, hebt u residentie, geen soevereiniteit — en onder de regelgeving van 2026 (NIS2, DORA, sectorspecifieke regels) is dat mogelijk niet meer genoeg.
Was dit nuttig?
Bedankt voor je feedback!