Vertrouwde cloud, tweede bedrijf: van Microsoft 365 tot SecNumCloud, de jurisprudentie die de kaarten opnieuw schudt

Digitale soevereiniteit speelt zich zelden af in grote redevoeringen; ze speelt zich af in rechtszaken. Twee dossiers herinnerden ons daaraan deze lente. In Oostenrijk oordeelde de gegevensbeschermingsautoriteit dat het gebruik van Microsoft 365 Education in strijd was met de AVG, met name omdat verwerkingsverantwoordelijken de datastromen en de keten van subverwerkers niet echt konden beheersen. In Frankrijk kwam de zaak rond de keuze van Microsoft door Polytechnique begin juni weer op de voorgrond; de vakpers zag er een precedent in dat de kaarten voor de hele publieke sector opnieuw kan schudden. Tegelijk — en daarin schuilt de paradox — werd de raamovereenkomst tussen het nationale onderwijs en de Amerikaanse uitgever verlengd.

Wat deze uitspraken werkelijk zeggen

Het gemeenschappelijke kenmerk van deze zaken is niet het anti-amerikanisme dat men er soms in ziet. Het is een kwestie van effectieve controle: wie heeft toegang tot de data, onder welk recht, met welke afdwingbare waarborgen? Sinds de ongeldigverklaring van het Privacy Framework à la Schrems berust elke transferconstructie op effectbeoordelingen die de autoriteiten voortaan regel voor regel onderzoeken. Het Amerikaanse recht — FISA 702, CLOUD Act — blijft van toepassing op Amerikaanse aanbieders, waar de data ook gehost zijn. Geen enkele contractuele clausule neutraliseert een buitenlandse voorrangswet: het is die zuiver juridische vaststelling die de toezichthouders tot het einde beginnen door te trekken.

SecNumCloud, van doctrine naar aankoopcriterium

Aan Franse zijde dringt de SecNumCloud-kwalificatie van de ANSSI zich geleidelijk op als de scheidslijn: naast de technische eisen legt ze een criterium van immuniteit voor extraterritoriale wetgeving op via voorwaarden inzake kapitaalstructuur en governance. De doctrine „cloud centraal” reserveert in beginsel de gevoelige data van de staat voor gekwalificeerde aanbiedingen. Wat in 2026 verandert, is de uitbreiding voorbij de staat: gereguleerde operatoren, zorg, onderwijs, lokale overheden — en, bij weerkaatsing, hun leveranciers. Voor een softwaremaker wordt inzetbaar zijn bij een gekwalificeerde hostingpartij, of on-premise, een commercieel argument van de eerste orde, geen compliancevakje.

Wat CIO’s nu al kunnen doen

Ten eerste: in kaart brengen op basis van kriticiteit in plaats van gemak — welke data, welke verwerkingen vragen werkelijk om immuniteit voor extraterritoriale wetgeving? Het eerlijke antwoord is zelden „alles”, maar het is nooit „niets”. Ten tweede: omkeerbaarheid eisen vanaf het contract — open formaten, gedocumenteerde export, geplafonneerde uitstapkosten. Ten derde: versleutelen met in eigen beheer gehouden sleutels wanneer de workload bij een hyperscaler blijft — met in het achterhoofd dat versleuteling data die in verwerking is, niet beschermt. Ten vierde: „soevereine enclaves” bouwen — in plaats van een illusoire volledige migratie, de kritieke usecases isoleren op gekwalificeerde aanbiedingen of on-premise, en voor de rest hybride aanvaarden.

Het tweede bedrijf van de vertrouwde cloud wordt geen grote ommekeer in één nacht. Het wordt een opeenstapeling van beslissingen, aanbestedingen en contractverlengingen waarin, dossier na dossier, de vraag van de effectieve controle iets zwaarder gaat wegen. Organisaties die hun soevereine enclaves hebben voorbereid, zullen sereen kiezen. De andere zullen de agenda van de toezichthouders ondergaan.