Dataresidentie is niet dezelfde vraag als compliance in het algemeen — het gaat specifiek om waar je data fysiek staat en de wetten van welk land erbij kunnen. Voor Europese bedrijven is die vraag de afgelopen jaren scherper geworden, niet minder scherp.
Wat dataresidentie precies betekent
Dataresidentie gaat over de fysieke en juridische locatie van je data: in welk land de servers staan, en dus welke wetten en regels voor overheidstoegang erop van toepassing zijn. Het is een engere, concretere vraag dan algemene AVG-naleving — zie onze AVG-checklist voor het bredere plaatje — maar het bepaalt in toenemende mate waar bedrijven überhaupt kiezen te hosten.
Waarom het sinds Schrems II meer telt
De Schrems II-uitspraak verklaarde het toenmalige EU-VS-kader voor gegevensdoorgifte ongeldig, omdat Amerikaanse surveillancewetgeving bij data kan komen die Amerikaanse providers beheren — zelfs in hun EU-datacenters. Het praktische effect: EU-persoonsgegevens doorgeven aan een provider die onder Amerikaans recht valt, brengt een reëel juridisch risico met zich mee, niet alleen een theoretisch risico, en standaardcontractbepalingen alleen dichten dat gat mogelijk niet volledig.
- EU-persoonsgegevens die naar een niet-EU-moederbedrijf stromen kunnen extra juridische waarborgen vereisen.
- Welke rechtbanken en instanties toegang tot je data kunnen afdwingen, hangt af van wie de infrastructuur beheert, niet alleen van waar de servers staan.
- Daarom eisen sommige toezichthouders en publieke inkopers nu specifiek infrastructuur die in EU-handen is en door een EU-partij wordt beheerd — "soevereiniteit", niet alleen "locatie".
Vragen die je aan elke hosting- of cloudprovider stelt
- In precies welk land staan onze servers fysiek, en kan dat contractueel worden gegarandeerd?
- Valt het beherende bedrijf (en de eventuele moedermaatschappij) onder niet-EU-wetten die toegang tot data kunnen afdwingen?
- Wat gebeurt er met onze data en toegang als we willen vertrekken — is er echte overdraagbaarheid, of lock-in?
- Blijven ook subverwerkers (back-ups, CDN, supporttools) binnen de EU, of verlaat data via de achterdeur de EU?
Vendor lock-in is hier de stille afweging: een volledig soevereine, EU-only stack kan minder integraties met grote namen betekenen. Voor de meeste Europese bedrijven is die ruil het waard — het risico zit in de data, niet in het gemak.