Hoeveel alarmbellen zijn er nog nodig voordat we onze digitale afhankelijkheid serieus nemen?
Jarenlang hebben we onszelf gerustgesteld met de gedachte dat de juridische basis voor gegevensuitwisseling tussen Europa en de Verenigde Staten uiteindelijk wel weer zou worden gerepareerd. In 2015 verdween eerst de Safe Harbor-overeenkomst. En in 2020 sneuvelde vervolgens de opvolger Privacy Shield. Sinds 2023 is er een nieuw verdrag: het EU-US Data Privacy Framework (DPF). Het moest opnieuw voor een periode van zekerheid zorgen.
Maar de recente uitspraak van het Amerikaanse Hooggerechtshof in de zaak Trump versus Slaughter zet dat fundament opnieuw onder druk.
De kern van de uitspraak lijkt op het eerste gezicht technisch. Het Hof oordeelde dat de onafhankelijkheid van de Amerikaanse Federal Trade Commission (FTC) niet verenigbaar is met de Amerikaanse grondwet. Daarmee volgt het de zogenoemde Unitary Executive Theory: uitvoerende overheidsinstanties vallen uiteindelijk onder directe zeggenschap van de president.
Dat klinkt als een puur Amerikaanse staatsrechtelijke discussie. Voor Europa is het veel meer dan dat.
Het fundament onder het Data Privacy Framework wankelt
Het huidige Data Privacy Framework rust namelijk op een belangrijke aanname: dat er in de Verenigde Staten onafhankelijk toezicht bestaat op de naleving van privacyregels. Juist daarom accepteerde de Europese Commissie dat persoonsgegevens onder voorwaarden naar Amerikaanse bedrijven mogen worden doorgestuurd.
Wanneer die onafhankelijkheid juridisch niet langer bestaat, ontstaat een fundamenteel probleem. Privacyorganisatie noyb heeft inmiddels aangekondigd opnieuw naar de rechter te willen stappen. Niet omdat het DPF al formeel ongeldig is verklaard, maar omdat de juridische onderbouwing ervan ernstig is verzwakt.
Dat zou niemand moeten verrassen. We hebben dit scenario immers al twee keer eerder gezien. De Oostenrijkse privacyactivist en advocaat Max Schrems wist zowel Safe Harbor als Privacy Shield succesvol aan te vechten. Niet verwonderlijk dat hij erelid is van noyb, de privacyorganisatie die nu terecht de noodklok luidt. De befaamde Schrems-uitspraken draaiden om een belangrijk manco. De persoonsgegevens van Europese burgers bleken onvoldoende beschermd tegen de Amerikaanse inlichtingendiensten.
Dit voelt als een déjà vu.
Wachten kan niet meer
Veel organisaties reageren afwachtend. Alsof er nog voldoende tijd is. Het Data Privacy Framework bestaat immers nog steeds, is de redenatie. En ja, juridisch verandert er vandaag misschien nog niets. Maar strategisch verandert er juist alles. En daardoor is er geen tijd meer te verliezen.
Voor organisaties is de belangrijkste boodschap vooral praktisch. Je hoeft morgen niet alles te verhuizen, maar je moet wel een concreet exitplan hebben. Dus ben je digitaal afhankelijk van Amerikaanse leveranciers: kom in actie. Liever gisteren dan vandaag. Praat met je leverancier over waar je data staan en wat de plannen zijn. En maak vervolgens een exitplan en voer het uit.
Gemak is geen strategie
Jarenlang was de keuze voor Amerikaanse hyperscalers logisch. Ze waren innovatief, goedkoop, schaalbaar en eenvoudig beschikbaar. Maar gemak is inmiddels een slechte reden geworden om afhankelijk te blijven.
Digitale infrastructuur is niet langer alleen een technische keuze. Het is een geopolitieke keuze. Iedere nieuwe ontwikkeling laat opnieuw zien hoe kwetsbaar afhankelijkheden kunnen worden wanneer wetgeving, politiek en internationale verhoudingen veranderen.
Daarom is digitale soevereiniteit geen ideologisch debat meer. Het gaat over bedrijfscontinuïteit.
Wat moet Europa doen?
De Europese Commissie staat voor een ingewikkelde keuze. De eerste mogelijkheid is opnieuw onderhandelen met de Verenigde Staten over aanvullende veiligheidsmaatregelen of een nieuwe onafhankelijke toezichthouder. Dat kost tijd en biedt geen garantie dat een volgende rechter hetzelfde oordeel niet opnieuw onderuit haalt.
De tweede mogelijkheid is erkennen dat de structurele verschillen tussen Europese privacywetgeving en Amerikaanse surveillancewetgeving steeds opnieuw tot dezelfde uitkomst leiden.
Dat vraagt om een andere benadering
Niet steeds een nieuw juridisch pleisterverband, maar investeren in een Europees cloud-ecosysteem waarin persoonsgegevens zo veel mogelijk binnen Europese jurisdictie blijven en onder Europese wetgeving vallen.
Actie in plaats van uitstel en wel nu
We hebben de afgelopen vijfentwintig jaar meerdere waarschuwingen gekregen. Safe Harbor verdween. Privacy Shield verdween. Nu staat ook het Data Privacy Framework opnieuw onder druk. Dat maakt deze uitspraak niet tot een nieuw waarschuwingssignaal, maar tot een oproep om in actie te komen.
Als je afhankelijk bent van Amerikaanse leveranciers, weet je waarschijnlijk al welke risico's daarbij horen. En je weet dat dit debat niet meer verdwijnt. De vraag is dus niet meer of je moet nadenken over digitale soevereiniteit. De vraag is hoe lang je nog wacht voordat je er daadwerkelijk naar gaat handelen. Om digitale soevereiniteit te bereiken, is er maar een weg: zakendoen met een Europese aanbieder, die in de infrastructuur-keten gebruikmaakt van Europese leveranciers.
De uitspraak is dus geen nieuw waarschuwingssignaal. Ze bevestigt wat we al jaren weten: afwachten is geen strategie meer. Het is tijd om te handelen.
Door: Robert van der Meulen (foto), Director Product Strategy, Leaseweb Global
