Staatssecretaris: datadoorgifte naar VS kan vooralsnog gewoon doorgaan

Lekker dan... “voorlopig” dus. Bij privacy en de Amerikanen weet je gewoon: eerst alles doorsturen en later kijken we wel of het juridisch mocht. En als het misgaat mag de burger weer formulieren invullen.

Het lastige is dat SCC’s op papier keurig kunnen zijn, maar een Nederlands bedrijf daarmee geen Amerikaanse overheidsdienst buiten de deur houdt als die toegang opeist. Organisaties zouden daarom niet alleen moeten vragen “mag het?”, maar ook “kan ik dit systeem morgen vervangen?”; die tweede vraag bepaalt pas echt hoe afhankelijk we zijn.

Het gaat niet alleen om waar de data juridisch mág staan, maar ook om wie de stekker eruit kan trekken als Washington morgen van mening verandert. “Voorlopig” is bij privacy inmiddels gewoon de IT-versie van een nooduitgang zonder deur.

Het onderschatte punt is de bewijslast bij organisaties zelf. Een SCC tekenen is geen vrijbrief: je moet in casu kunnen aantonen dat de Amerikaanse ontvanger feitelijk voldoende bescherming biedt en ingrijpen als dat niet zo is. Dat vraagt om doorlopende controles, niet om één vinkje bij de contractverlenging.

Men vergeet gemakkelijk dat dit niet alleen een privacykwestie is, maar ook een kwestie van staatsmacht en continuïteit. Een Nederlandse gemeente of ziekenhuis kan zich niet afhankelijk maken van een buitenlandse leverancier die morgen door een politieke beslissing onbereikbaar wordt; dan is een Europese back-up geen luxe maar gewoon behoorlijk bestuur. Juridisch kan het voorlopig doorgaan, maar bestuurders moeten verder kijken dan de geldigheidsdatum van een besluit.

Het juridische moeras wordt zo langzamerhand belangrijker gemaakt dan de praktische vraag of organisaties hun gegevens nog kunnen beheersen. Bovendien verschuift de verantwoordelijkheid handig naar bedrijven en instellingen: zij moeten zelf maar beoordelen of Amerikaanse toegang een risico vormt, terwijl de benodigde kennis en onderhandelingsmacht daar vaak ontbreken. Een regeling die alleen werkt zolang iedereen dezelfde politieke interpretatie deelt, is geen stevige rechtsbasis maar uitgesteld gedoe.

Leuk dat wij wel naar Amerika mogen doorsturen, maar een Amerikaanse CLOUD-boer hoeft hier niet eens fysiek te zitten om mee te kijken. Zet gevoelige zooi gewoon op Europese servers en laat die cowboys lekker hun eigen data bewaren, ey.

Wat in dit soort discussies vaak ontbreekt: de kleine organisaties die helemaal geen privacyjurist of ICT-afdeling hebben. Ik zie dagelijks instellingen die een Amerikaans pakket gebruiken omdat het ooit goedkoop en makkelijk was; van hen verwachten dat ze zelf geopolitieke risico’s blijven beoordelen is geen bescherming maar afschuiven van verantwoordelijkheid.

Dat “voorlopig” gaat vooral over de rechtsgeldigheid van het besluit, niet over de veiligheid van jouw gegevens — dat verschil wordt hier wel erg makkelijk weggepoetst. En ondertussen worden publieke instellingen afhankelijk gemaakt van Amerikaanse bedrijven die winst boven publieke controle zetten; digitale soevereiniteit is geen luxeproject, maar macht terughalen uit handen van Big Tech.

Dat “voorlopig” juridisch klopt, zegt nog weinig over de praktijk. Veel organisaties zitten jarenlang vast aan systemen door contracten, migratiekosten en personeelstekort; tegen de tijd dat Brussel ingrijpt, is overstappen geen knop maar een meerjarig project. Daarom zou de overheid niet alleen doorgifte toestaan, maar ook eisen dat kritieke instellingen een realistisch exitplan en Europese noodvoorziening hebben. Anders belonen we afhankelijkheid en noemen we dat rechtszekerheid.

De medische praktijk laat zien hoe kwetsbaar dit is: patiëntgegevens staan vaak in cloudsystemen die meerdere leveranciers en onderaannemers gebruiken. Bij een juridisch conflict merk je daar als patiënt niets van tot een dossier niet beschikbaar is of een leverancier toegang moet geven; dan ben je te laat om nog rustig een alternatief te kiezen.

De goedkoopste knop in een softwarepakket blijkt later nogal eens de duurste afhankelijkheid. Overheden zouden bij aanbestedingen daarom niet alleen op prijs en certificaten moeten letten, maar ook eisen dat gegevens er zonder jarenlange ellende weer uit kunnen; een wijs man bouwt zijn huis niet op zand.

Ja lekker, “vooralsnog”... ondertussen moeten scholen, huisartsen en gemeentes wel gewoon nieuwe contracten afsluiten en systemen koppelen. Als later blijkt dat het niet mocht, krijgt niemand z’n data terug en zegt de leverancier dat ge zelf akkoord bent gegaan.

“Voorlopig” is hier niet alleen juridisch onzeker, maar ook bestuurlijk gemakzuchtig. Zolang organisaties data blijven verplaatsen omdat overstappen duur en lastig is, ontstaat er geen prikkel voor Europese alternatieven en blijft ons digitale ecosysteem afhankelijk van beslissingen in Washington. Maak een overgangsplan verplicht, anders zitten we over drie jaar nog precies hetzelfde debat te voeren.

Ach ja, op papier gaat het gewoon door, maar ondertussen moet een school of kleine zorginstelling maar uitzoeken welke gegevens waar terechtkomen. En als het straks wordt teruggedraaid, ligt de rekening van die overstap weer bij mensen die daar al helemaal geen tijd of geld voor hebben.

Goh, er wordt wel erg makkelijk gezegd dat het “voorlopig” kan, maar ondertussen moeten scholen, huisartsen en kleine bedrijven gewoon door met systemen waar ze niet zomaar vanaf kunnen. Geef tenminste een duidelijke overgangstermijn en geld voor Europese alternatieven, anders is dit vooral uitstel van paniek toch?

Wat me hier ook zorgen baart: organisaties gaan nu waarschijnlijk uit angst voor gedoe nóg langer wachten met overstappen, want zolang het “mag” voelt vervangen als weggegooid geld. Ondertussen zitten medewerkers en burgers met de gevolgen van die onzekerheid, terwijl leveranciers vrolijk hun lock-in uitbreiden.

Tja, voor een chauffeur is het simpel... als de boordcomputer eruit ligt door een besluit in Washington sta je gewoon stil, juridisch gelijk of niet. Zorg eerst voor een werkende Europese noodoplossing, dan mag Den Haag daarna weer vergaderen.

Het echte risico zit straks niet in de vraag of het mag, maar in de helpdeskmedewerker die per ongeluk de complete patiëntenlijst naar “[email protected]” mailt, maar goed, daar helpt geen geopolitiek verdrag meer tegen.

Alles naar Amerika sturen omdat het kan, is geen wijsheid maar gemakzucht. Wie de sleutel van zijn huis weggeeft, moet niet verbaasd zijn als een ander binnenkomt.