Twee maanden geleden was ik met het marketingteam op bezoek bij Leaseweb. Als marketeer kende ik de term datasoevereiniteit wel. Maar pas daar begreep ik wat het écht betekent. Het opende mijn ogen. Ik denk nu veel beter na over wat ik bijvoorbeeld online plaats. In mijn werk, maar zeker ook privé.

Van handig naar blind afhankelijk

Bijna elk bedrijf werkt dagelijks met Amerikaanse software. Denk aan systemen voor klantbeheer, handige AI-tools en e-mailprogramma’s. Dat is logisch. De software werkt fijn en is makkelijk te gebruiken. Maar we worden er wel steeds afhankelijker van. En daar zit precies het probleem.

Mijn bezoek aan Leaseweb zette me aan het denken. Echte datasoevereiniteit betekent namelijk dat een organisatie zélf bepaalt waar data leeft, wie er toegang toe heeft en welke wetgeving geldt, ongeacht leveranciers of politieke verschuivingen.

Veel mensen denken ten onrechte dat hun data veilig is zodra de server fysiek in Europa staat. Amerikaanse bedrijven moeten zich echter altijd houden aan de Amerikaanse wet, zoals de US CLOUD Act. Ook als hun computers in Amsterdam of Frankfurt staan. De Amerikaanse overheid mag in sommige situaties gewoon in die gegevens kijken. Lemontree benadrukt dat de rechtsmacht van het moederbedrijf altijd leidend blijft. Echte soevereiniteit vraagt daarom om systemen die vanaf de basis Europees zijn ingericht, met eigen encryptiesleutels en sluitende contracten. Helemaal zelfstandig zijn lukt bijna niemand. Maar voor 99,9% onafhankelijk worden? Dat kan wél door bewust te kiezen voor partijen die volledig onder Europese wetgeving vallen.

Het voorbeeld van Odido: hoe het dus níét moet

Een goed voorbeeld van hoe digitale soevereiniteit in de praktijk onder druk kan staan, is het cyberincident bij telecombedrijf Odido. Criminelen kregen via phishing toegang tot accounts van klantenservicemedewerkers en deden zich telefonisch voor als de ICT-afdeling. Zo wisten zij medewerkers te misleiden en een extra beveiligingsstap goed te keuren, waardoor zij toegang kregen tot een CRM-systeem met klantgegevens. Daaruit zijn op grote schaal gegevens opgevraagd, waaronder namen, adressen en contactgegevens. De omvang wordt nog onderzocht. (NOS)

Dit incident wordt vaak in verband gebracht met digitale soevereiniteit: de mate waarin organisaties controle houden over data, systemen en afhankelijkheden in een wereld van internationale techplatformen. Belangrijk is dat dit geen bewijs is van “controleverlies aan een cloudprovider”, maar van een aanval via menselijke misleiding en zwakke toegangsprocessen.

Tegelijk raakt het wel aan het soevereiniteitsvraagstuk: Europese organisaties blijven afhankelijk van externe software, infrastructuur en juridische kaders, wat vragen oproept over controle, toegang en autonomie. De kern is dat digitale soevereiniteit niet alleen over infrastructuur gaat, maar ook over beveiliging, processen en menselijke weerbaarheid.

Deze versturen we 3-4x per jaar.