Datasoevereiniteit staat bij veel overheidsorganisaties op de agenda. Wij merken dit in de gesprekken met onze opdrachtgevers en vooral bij aanbestedingen die we begeleiden. Begrippen als “digitale autonomie” en “regie op data” vliegen ons om de oren. Maar als je het concreet maakt, wordt het al snel lastiger: waar héb je vandaag daadwerkelijk invloed op?
- Het goede nieuws: meer dan je denkt.
- Het minder goede nieuws: je moet wel bewust aan de knoppen draaien.
In dit blog maak ik dat concreet. Geen abstracte discussies, maar praktische stappen die je vandaag al kunt zetten — technisch, juridisch en organisatorisch.
Eerst even scherp: wat bedoelen we met datasoevereiniteit?
Voor gemeenten en andere overheden gaat datasoevereiniteit in de kern over drie dingen:
- Waar staat je data?
- Wie kan erbij (en onder welke wetgeving)?
- Wie bepaalt wat ermee gebeurt?
Het gaat dus niet alleen over cloud of hosting, maar vooral over controle en afhankelijkheden.
Stap 0: bouw eerst kennis op
Datasoevereiniteit is geen puur technisch onderwerp. Het raakt juridische kaders (AVG, CLOUD Act), architectuurkeuzes én contractmanagement.
Toch zie je vaak dat organisaties die het parkeren bij IT of het juist alleen juridisch benaderen. Wat je nodig hebt:
- een gedeeld basisbegrip binnen IT, inkoop en juridische zaken;
- inzicht in begrippen als datalokatie, encryptie, toegangsbeheer en jurisdictie;
- awareness bij management: dit is een strategisch thema, geen detailvraag.
Zonder deze basis ga je in latere stappen verkeerde aannames maken.
Stap 1: breng de huidige situatie in beeld
Dit is waar het vaak spannend wordt. Want de realiteit is complexer dan gedacht.
Veel organisaties weten wel:
- waar hun eigen systemen staan,
- maar niet waar data bij leveranciers daadwerkelijk wordt opgeslagen of verwerkt.
Vragen die je minimaal moet kunnen beantwoorden:
- In welke landen staat onze data (primair en backups)?
- Welke partijen hebben toegang (ook onderaannemers)?
- Onder welke wetgeving vallen deze partijen?
- Hoe is toegang technisch geregeld (encryptie, keys, logging)?
- Wat gebeurt er met data bij incidenten of support?
Belangrijk: dit is geen interne exercitie. Je moet dit actief uitvragen bij leveranciers en doorvragen.
Vaak ontdek je dan dat data verspreid is over meerdere regio’s, dat support toegang heeft buiten de EU of dat afspraken minder hard zijn dan gedacht.
Stap 2: bepaal je risico’s (en prioriteiten)
Niet alle data en systemen zijn gelijk. Een burgerzakensysteem heeft een ander risicoprofiel dan een openbare website. Persoonsgegevens vragen iets anders dan open data. Daarom je het beste keuzes maken en je focussen op risico’s:
- Juridisch (toegang door buitenlandse overheden)
- Operationeel (vendor lock-in)
- Continuïteit (wat als een leverancier uitvalt of verandert?)
- Reputatie (verlies van vertrouwen van burgers)
Vooral als overheids organisatie is het belangrijk de vraag te stellen: Waar willen wij als organisatie écht controle houden en waar accepteren we afhankelijkheid? Datasoevereiniteit is geen alles-of-niets verhaal. Het is bewust kiezen waar het ertoe doet.
Stap 3: stel eisen en maak ze concreet
De grootste invloed van een overheidsorganisatie is je rol als opdrachtgever.
Veel organisaties onderschatten hoeveel invloed ze hebben via inkoop en contracten. Maar dan moeten de eisen wel concreet zijn.
Voorbeelden van knoppen waar je aan kunt draaien:
Juridisch / contractueel
- Data moet binnen de EU worden opgeslagen en verwerkt
- Geen toegang vanuit niet-EU entiteiten zonder expliciete toestemming
- Transparantie over subverwerkers
- Exit-strategie en dataportabiliteit vastgelegd
Technisch
- Encryptie en het beheer ervan
- Logging en auditmogelijkheden
- Keuze voor datalocaties
Organisatorisch
- Periodieke controles en leveranciersgesprekken
- Verankering in architectuurprincipes
- Samenwerking met andere gemeenten (gezamenlijke eisen stellen)
Belangrijk: een eis die je niet controleert, is geen eis.
Realisme: volledige soevereiniteit bestaat niet
Een ongemakkelijke waarheid: je gaat afhankelijkheden nooit volledig elimineren. Ook Europese cloudoplossingen hebben ketens en afhankelijkheden. Ook on-premise oplossingen zijn niet “soeverein” als je afhankelijk bent van leveranciers of specifieke kennis. Het doel is dus niet perfectie, maar bewuste regie.
Wat kun je morgen doen?
Als je één ding uit dit blog meeneemt, laat het dit zijn: Begin klein, maar begin wel bewust.
Concreet:
- Organiseer een korte kennissessie intern (IT + juridisch + inkoop)
- Kies één kritisch systeem en breng de datasituatie in kaart
- Stel 5 basisvragen aan je leverancier
- Gebruik die inzichten om je eisen bij te stellen
Tot slot
Datasoevereiniteit klinkt groot en abstract, maar wordt concreet in de keuzes die je vandaag maakt. Niet alles ligt binnen je invloed. Maar méér dan je denkt wel.
De vraag is dus niet: Hebben we volledige controle? Maar: Gebruiken we de knoppen die we wél hebben?
Tips hoe je in je PvE kunt inspelen op een soevereine oplossing? Download ons basis PVE of neem contact op!