Veel ondernemers denken dat hun gegevens onder Nederlandse regels vallen zolang ze in Nederland staan. Zo simpel is het niet. Dat zegt het kabinet nu zelf. Op 7 oktober 2026 meldde Computable dat het kabinet voor het eerst duidelijk toegeeft dat de Amerikaanse Cloud Act kan botsen met de AVG, de Europese privacywet.
Wat is er gebeurd?
De Kamerleden René Claassen en Gidi Markuszower stelden vragen over Nederlandse zorgdata die bij Amerikaanse techbedrijven staan. Minister Mirjam Sterk (Langdurige Zorg, Jeugd en Sport) heeft die vragen beantwoord. Dit zijn de belangrijkste punten:
- Staan gegevens in een Nederlands datacenter van een Amerikaans bedrijf? Dan vallen ze daardoor nog niet onder Nederlandse wetgeving.
- Vraagt de Amerikaanse overheid zo'n bedrijf om gegevens, dan kan het onmogelijk aan allebei de wetten voldoen.
- De Amerikaanse overheid kan gegevens in het geheim opvragen. Het kabinet weet niet of dat ooit met Nederlandse zorgdata is gebeurd.
- Het gaat niet alleen om meekijken. Een dienst kan ook worden stopgezet of tijdelijk worden geblokkeerd.
Het kabinet wil wel geen extra controle voordat zorgdata naar een niet-Europese aanbieder verhuizen. Volgens het kabinet beschermt de AVG daar al genoeg tegen.
Wat is de Cloud Act eigenlijk?
De Cloud Act is een Amerikaanse wet. Daarmee kunnen Amerikaanse opsporingsdiensten een Amerikaans techbedrijf dwingen om data af te geven. Dat gaat met een dagvaarding of een bevel van de rechter. Het maakt niet uit of die data in de VS staan of ergens anders.
Het gaat dus niet alleen om waar je gegevens staan. Het gaat ook om van wie het bedrijf is dat ze voor je bewaart.
Wat betekent dit voor jou als ondernemer?
Het nieuws gaat over ziekenhuizen en patiëntgegevens. Maar hetzelfde geldt voor elk bedrijf. Denk aan je website, je zakelijke e-mail, je contactformulier, je nieuwsbrieflijst en je online opslag. Daar staan vaak gegevens van klanten in.
Voor de meeste kleine ondernemers hoef je je geen grote zorgen te maken. Toch is het goed om twee dingen te weten:
- Jij blijft verantwoordelijk. Je moet zorgvuldig omgaan met de gegevens van je klanten. Dat geldt ook als een ander bedrijf ze voor je bewaart.
- Afhankelijk zijn van één partij is ook een risico. Het kabinet zegt zelf dat een dienst kan worden stopgezet of geblokkeerd. Draait je bedrijf op één buitenlandse dienst? Bedenk dan wat je doet als die ineens wegvalt.
Je bent niet de enige die hierover nadenkt. Deze week presenteerde de Linux Foundation in Praag het rapport 2026 State of Open Source in Europe. Daaruit blijkt dat 94 procent van de Europese organisaties digitale soevereiniteit belangrijk vindt. Daarmee bedoelen ze: zelf de controle houden over je eigen data en systemen.
Wat kun je nu doen?
Je hoeft niet morgen alles om te gooien. Begin met een overzicht.
- Maak een lijstje. Schrijf op welke online diensten je gebruikt. Bijvoorbeeld voor je hosting, e-mail, formulieren, nieuwsbrief, boekhouding en het delen van bestanden.
- Stel bij elke dienst twee vragen. Waar staan mijn gegevens? En van wie is het bedrijf? Een Europees datacenter van een Amerikaans bedrijf is iets anders dan een Nederlands bedrijf met servers in Nederland.
- Begin met je gevoeligste gegevens. Werk je met medische, financiële of andere privégegevens van klanten? Dan is dit voor jou extra belangrijk.
- Vraag het gewoon na. Een goede provider vertelt je in gewone taal waar je gegevens staan en wie erbij kan.
- Zorg voor een plan B. Bewaar zelf een recente kopie van je website en je belangrijke bestanden. Dan kun je altijd verhuizen als dat nodig is.
Wil je meer doen aan de veiligheid van je website? Lees dan ook ons eerdere artikel over gekaapte domeinextensies en een WordPress-update.
Tot slot
De les uit dit nieuws is simpel: dat je gegevens in Nederland staan, zegt niet alles. Kijk ook naar wie de baas is over de dienst die je gebruikt. Met een kwartiertje en een lijstje heb je al een goed overzicht.
Wil je weten hoe dit bij Blurry Clouds geregeld is? Stel je vraag gerust aan onze Nederlandse support.