"EU-regio" versus een EU-soevereine cloud: het verschil dat er echt toe doet

Veel infrastructuurmarketing leunt op de zin "gehost in de EU" alsof dat de vraag over datasoevereiniteit op zichzelf al beslecht. Dat is niet zo, en het is de moeite waard om het onderscheid te begrijpen vóórdat het ertoe doet voor uw bedrijf — niet erna, wanneer het een juridische kwestie is geworden in plaats van een leesoefening.

De marketingzin versus de juridische realiteit

"Gehost in de EU" beschrijft een fysiek feit: de servers staan ergens in Europa. Het zegt niets over welk land daadwerkelijk het bedrijf reguleert dat ze beheert, aan wie dat bedrijf verantwoording aflegt, of wat er gebeurt wanneer een buitenlandse autoriteit een verzoek doet om uw data. Twee providers kunnen allebei technisch correct zijn met een EU-locatie te claimen, terwijl ze zich in volledig verschillende juridische posities bevinden.

Dat onderscheid komt zelden naar boven in een verkoopgesprek, omdat beide providers naar dezelfde kaart kunnen wijzen en hetzelfde kunnen zeggen. Het verschil wordt pas zichtbaar zodra u een specifiekere vraag stelt: niet "waar staan de servers", maar "wie is de beherende entiteit, en waar is die gevestigd".

Wat de Amerikaanse CLOUD Act werkelijk doet

Onder de Amerikaanse CLOUD Act kunnen Amerikaanse autoriteiten een provider met hoofdkantoor in de VS verplichten data af te staan die het bezit — waar ook ter wereld — ongeacht waar de servers fysiek staan of wat de lokale privacywet daarover zegt. De "EU-regio" van een niet-Europese hyperscaler houdt uw data fysiek in Europa, maar het bedrijf dat die infrastructuur beheert blijft onderworpen aan Amerikaans recht vanwege waar het gevestigd is, niet waar de datacenters staan.

Dit is geen hypothetische clausule verstopt in een contract dat niemand leest — het is een staand juridisch mechanisme dat van toepassing is ongeacht wat de marketingpagina van de provider zegt over Europese dataresidentie. De locatie van de server en de juridische blootstelling zijn twee afzonderlijke feiten, en meestal wordt er maar één van geadverteerd.

Twee verschillende juridische posities

Een EU-soevereine cloud is een wezenlijk andere positie: zowel de fysieke locatie als de beherende entiteit bevinden zich binnen de EU, waardoor die specifieke blootstelling niet op dezelfde manier geldt. Dit is geen marketingnuance — het verandert wie toegang tot uw data kan afdwingen en onder welk rechtssysteem.

Praktisch gezien is dit ook waarom "welke cloudprovider gebruikt u" een nuttigere vraag is dan "staat uw data in Europa". De eerste vraag raakt de rechtsmacht. De tweede vraag doet dat op zichzelf niet.

Wat "EU-gehost" niet automatisch garandeert

Zelfs bij een echt in de EU gevestigde provider beschrijft "EU-gehost" de overeengekomen architectuur voor die specifieke dienst — het betekent niet automatisch dat elke integratie van derden die een bedrijf koppelt ook uitsluitend binnen de EU werkt. Elke datacategorie moet op eigen voorwaarden worden gecontroleerd, niet aangenomen op basis van één algemene claim over de hoofdhosting.

Een CRM kan op soevereine infrastructuur staan, terwijl een e-mailmarketingintegratie of analysetool die het bedrijf apart heeft gekoppeld dat niet doet. Dat is geen tegenstrijdigheid — het is gewoon een herinnering dat soevereiniteitsclaims gelden voor specifieke systemen, niet voor de hele technologiestack van een bedrijf door associatie.

Vragen die het waard zijn om aan elke provider te stellen

In de praktijk betekent dit dat u een provider twee afzonderlijke vragen stelt in plaats van één: waar de servers fysiek staan, en waar het beherende bedrijf gevestigd en juridisch gedomicilieerd is. Een echt soeverein antwoord dekt beide. Een marketingantwoord dekt meestal alleen het eerste.

Waarom dit onderscheid voor sommige bedrijven meer telt dan voor andere

Niet elk bedrijf hoeft dit als harde eis te behandelen. Een bedrijf zonder bijzondere gevoeligheid rond wie er om zijn data zou kunnen vragen, en zonder regelgevende of contractuele reden om zich er druk om te maken, kan redelijkerwijs besluiten dat de EU-regio van een niet-Europese hyperscaler goed genoeg is voor zijn behoeften. Dat is een legitieme bedrijfsbeslissing, genomen met de feiten in het vizier.

De bedrijven voor wie dit onderscheid het meest telt, zijn degene die al zorgvuldig nadenken over klantvertrouwelijkheid, gereguleerde datacategorieën, of contractuele beloften die ze aan hun eigen klanten hebben gedaan over waar informatie wordt verwerkt. Voor hen is "gehost in de EU" geen afdoende antwoord op een vraag die hun eigen klanten of toezichthouders uiteindelijk zouden kunnen stellen — de specifiekere vraag over de beherende entiteit is degene die daadwerkelijk beantwoord moet worden.

De eigen documentatie van een provider lezen

Het meeste hiervan is te controleren zonder telefoontje. De eigen algemene voorwaarden, verwerkersovereenkomst of lijst van subverwerkers van een provider noemt meestal direct de beherende entiteit en het rechtsgebied, ook als de marketingpagina dat niet doet. Als die documentatie niet bestaat, bewust vaag is, of de marketingclaims tegenspreekt, is dat op zichzelf al iets om te noteren — een provider die zeker is van zijn positie documenteert dit meestal gewoon.

Wat het veranderen van provider werkelijk inhoudt

Als deze oefening een kloof aan het licht brengt tussen wat een bedrijf aannam en wat zijn provider werkelijk is, betekent dat niet per se een dringende migratie. Het verplaatsen van kritieke infrastructuur brengt een eigen risico met zich mee, en een overhaaste overstap gedreven door bezorgdheid in plaats van een duidelijk plan kan meer blootstelling creëren dan het wegneemt. De nuttigere volgende stap is meestal om de kloof precies te documenteren — welke systemen, welke datacategorieën, welke provider — en dit af te wegen tegen de werkelijke risicotolerantie van het bedrijf voordat er iets wordt besloten.

Voor een bedrijf dat wel besluit dat een verandering gerechtvaardigd is, gelden dezelfde twee vragen voor de vervanger: fysieke locatie en beherende entiteit, beide bevestigd in de eigen documentatie van de provider in plaats van overgenomen van een landingspagina. Due diligence bij binnenkomst is aanzienlijk goedkoper dan due diligence nadat een probleem zich al heeft voorgedaan.

Dit is geen reden om in paniek te raken over bestaande infrastructuur — veel regelingen zijn prima voor wat een bepaald bedrijf werkelijk nodig heeft. Het is een reden om de specifieke vraag te stellen in plaats van de algemene claim zomaar aan te nemen. We houden hierover een uitleg in gewone taal bij op onze eigen site, samen met wat "EU-gehost" in de praktijk wel en niet garandeert, om precies deze reden.