Waarom "EU-servers" niet hetzelfde is als "jouw servers"

"Onze data staat op EU-servers" klinkt geruststellend, maar het is geen belofte dat je gegevens veilig zijn. De vraag die telt is niet waar de servers staan, maar wie er juridisch en technisch bij kan. Een datacenter in Frankfurt dat eigendom is van een Amerikaans bedrijf valt gewoon onder de Amerikaanse CLOUD Act: die wet laat Amerikaanse autoriteiten gegevens vorderen bij Amerikaanse bedrijven, ongeacht in welk land die data fysiek staat [4]. Een EU-regio verandert daar niets aan zolang een partij buiten de EU de sleutels of het beheer in handen heeft. "Jouw servers" betekent iets anders: hardware die jouw organisatie bezit en beheert, in je eigen pand, zonder externe partij die er bij mag of kan. Dat is het verschil tussen datalocatie (waar de bits liggen), jurisdictie (welke wet erop van toepassing is) en controle (wie de sleutel heeft). Dit artikel legt die drie uit elkaar, zodat je een leveranciersclaim kunt toetsen in plaats van geloven.

Datalocatie, jurisdictie en controle: drie verschillende dingen

De verwarring begint doordat drie losse begrippen op één hoop worden gegooid. Het loont om ze uit elkaar te halen:

• Datalocatie — de fysieke plek waar de gegevens op schijf staan. "EU-servers" gaat alléén hierover. Het zegt iets over aardrijkskunde, niet over veiligheid.
• Jurisdictie — onder welke wet de partij valt die de data beheert. Een Amerikaans bedrijf met een datacenter in Amsterdam blijft onder Amerikaans recht vallen. De locatie van de kast bepaalt niet de wet die op het bedrijf van toepassing is.
• Controle — wie er technisch en juridisch bij de gegevens kan: wie de encryptiesleutels beheert, wie het systeem beheert, en wie gedwongen kan worden om toegang te verlenen.

Een leverancier die "EU-servers" belooft, doet een uitspraak over het eerste. De risico's zitten in het tweede en het derde. Zolang die twee niet geadresseerd zijn, is een datalocatie-belofte een half antwoord op een vraag die je niet had gesteld.

Waarom een EU-datacenter je niet buiten Amerikaans bereik houdt

De kern van het probleem is de Amerikaanse CLOUD Act uit 2018. Die wet bepaalt dat Amerikaanse autoriteiten bij Amerikaanse clouddienstverleners gegevens kunnen vorderen die in een ander land zijn opgeslagen [4]. Het maakt niet uit of de server in Ohio of in Ierland staat: bepalend is of het bedrijf onder Amerikaanse rechtsmacht valt — via een Amerikaans moederbedrijf of via feitelijke zeggenschap over de data. Voor zo'n vordering is een bevel van een Amerikaanse rechter nodig, maar dat bevel raakt data die fysiek in de EU ligt [4].

Daar komt een botsing van wetten uit voort. De AVG verbiedt in beginsel dat een EU-vestiging persoonsgegevens afgeeft aan een overheidsinstantie van een niet-EU-land [4]. Een bedrijf dat onder beide stelsels valt, komt daarmee klem te zitten: geeft het de gegevens af, dan overtreedt het de AVG; weigert het, dan overtreedt het de Amerikaanse wet. Die spagaat is precies waarom "onze servers staan in de EU" geen bescherming is als de beherende partij tegelijk onder een derde land valt. De datalocatie lost het jurisdictieprobleem niet op.

Het Data Privacy Framework: geldig, maar geen garantie

Sinds 10 juli 2023 bestaat er wél een legale route om persoonsgegevens naar de VS te sturen: het EU-US Data Privacy Framework (DPF). De Europese Commissie oordeelde met een adequaatheidsbesluit dat de VS voor gecertificeerde bedrijven een passend beschermingsniveau biedt [6]. In september 2025 hield dat besluit stand: het Gerecht van de EU verwierp een beroep tot vernietiging en bevestigde de adequaatheid [5]. Bedrijven die zich onder het DPF hebben gecertificeerd, mogen zich dus op dat mechanisme blijven baseren.

Toch is dat geen rustpunt. Het is hetzelfde type kader dat in 2015 (Safe Harbor) en 2020 (Privacy Shield) door het Europese Hof onderuit werd gehaald. De uitspraak van 2025 is bovendien nog niet het laatste woord: tegen het oordeel van het Gerecht staat nog hoger beroep bij het Hof van Justitie open [5]. Een leverancier die vandaag "DPF-gecertificeerd en dus in orde" zegt, leunt op een raamwerk dat juridisch gezond is maar politiek en juridisch onder druk staat. Dat is een risico dat je bewust neemt — geen garantie die je kunt wegstrepen.

Wat de Autoriteit Persoonsgegevens adviseert

De Nederlandse toezichthouder is hier expliciet over. In de praktijkgids Gezondheidsgegevens in de cloud van 23 maart 2026 schrijft de Autoriteit Persoonsgegevens dat leveranciers die (mede) onder de wetgeving van een derde land vallen — zoals de Verenigde Staten — verplichtingen kunnen hebben die het beschermingsniveau van de AVG ondermijnen [1]. Het advies: schakel in beginsel een leverancier in die niet onder de wet- en regelgeving van een derde land valt, en beoordeel dat risico minimaal jaarlijks opnieuw [1][3].

De AP wijst er daarbij op dat geopolitieke verhoudingen in rap tempo veranderen, waardoor de toegang tot data die vandaag theoretisch is, morgen praktijk kan zijn [3]. En één principe blijft altijd staan: je organisatie is en blijft verwerkingsverantwoordelijke. Die verantwoordelijkheid kun je niet uitbesteden aan een cloudleverancier, hoe de servers ook geografisch verdeeld zijn [1]. Een EU-vinkje op een offerte verschuift de aansprakelijkheid niet weg bij jou.

Wanneer is data écht van jou?

Data is pas in volle zin "van jou" als de drie lagen samenvallen: de gegevens staan op hardware in je eigen beheer, die hardware valt onder Nederlands/EU-recht, en er is geen externe partij die technisch of juridisch toegang kan afdwingen. Dat is wat een lokale (on-premise) opzet doet: de verwerking gebeurt op een machine die jij bezit en beheert, in je eigen netwerk, zonder dat gegevens naar een derde partij worden verzonden. Er is dan geen buitenlandse jurisdictie waaronder je leverancier valt, simpelweg omdat er geen leverancier is die je data in handen krijgt.

Zo is Verbinn gebouwd: één Mac in je eigen pand — de Kern — doet de transcriptie en het opstellen van het verslag lokaal, en het uitgangspunt is dat geen woord van het gesprek de organisatie verlaat, wat controleerbaar is doordat de Kern laat zien welke uitgaande verbindingen er wél zijn. Dat is een andere keuze dan een clouddienst met EU-regio, met andere afwegingen rond kosten en beheer. Wil je die afweging volledig maken, lees dan Zelf Whisper hosten vs. een kant-en-klare lokale AI-scribe en de TCO-vergelijking tussen cloud-abonnement en lokaal. Lokaal is niet automatisch beter voor elk gebruik — maar het is het enige model waarbij "jouw servers" letterlijk klopt.

Checklist: vier vragen om een datalocatie-claim te toetsen

Krijg je "EU-servers" of "data blijft in Europa" voorgeschoteld? Vraag dan door:

• Onder welke jurisdictie valt de leverancier? Is er een Amerikaans (of ander niet-EU) moederbedrijf, dan is de CLOUD Act in beeld — ongeacht de serverlocatie [4].
• Wie beheert de encryptiesleutels? Als de leverancier de sleutels heeft, kan die gedwongen worden de data te ontsleutelen. Sleutels onder jouw controle veranderen het plaatje wezenlijk.
• Op welke overdrachtsgrond leunt de dienst? Als het antwoord "DPF" is, weet dan dat dat kader juridisch geldig maar betwist is [5], en dat het jou niet ontslaat van je eigen risicobeoordeling.
• Kun je het controleren? Een claim die je niet kunt verifiëren, is een belofte. Meetbare afwezigheid van externe verbindingen is bewijs. Vraag naar het bewijs, niet naar de geruststelling.