Meerdere overheidsinstanties hebben geen exitstrategie voor het gebruik van Amerikaanse clouddiensten. Dat meldt BNR op basis van eigen onderzoek. De radiozender keek naar het cloudgebruik van zeventien grote overheidsorganisaties, waaronder de Nederlandse Zorgautoriteit (NZa), De Nederlandsche Bank (DNB), UWV en het RIVM. Deze instanties blijken allemaal van Amerikaanse clouddiensten gebruik te maken en hebben ook nog geen concrete stappen gezet het gebruik af te bouwen.
De overheidsinstanties stellen in een reactie dat de gegevens juridisch goed zijn beschermd, omdat die fysiek binnen de Europese Economische Ruimte (EER) zijn opgeslagen en zodoende onder Europese wetgeving vallen. "Wat je nu ziet is dat veel organisaties een soort trucje hebben gedaan. Die zeggen 'we zetten wel al die spullen in Amerika neer en daar zijn we wel totaal afhankelijk van, maar we houden onze meest gevoelige gegevens toch een beetje apart. Die zetten we ergens apart neer. En zo redden we ons daaruit.' Dat is toch niet helemaal hoe het werkt", zegt beveiligingsexpert Bert Hubert.
"De Amerikaanse wetgeving zegt dat Microsoft naar de Amerikaanse overheid moet luisteren en er staat geen voetnoot bij 'tenzij de server in Ierland staat'. Dat voetnootje hebben wij er collectief bij verzonnen, waardoor allerlei mensen zich tevreden stellen. Dan zeggen ze: 'Maar we staan op een speciale server in Europa'. Als je dan aan Microsoft vraagt of de Amerikaanse wet dan niet meer geldt laat het via een lange brief weten dat de Amerikaanse wet dan nog steeds geldt. Het is een doekje voor het bloeden."
De beveiligingsexpert stelt dat het dan ook niet zoveel uitmaakt waar de server staat. "Al staat hij bij jou in de trapkast, het gaat erom dat de server wordt beheerd door het Amerikaanse bedrijf Microsoft." Veel instanties onderbouwen het gebruik van Amerikaanse cloud omdat het handig is en binnen hun werkproces past. "Terwijl je bij dit soort gevoelige data juist extra streng zou moeten zijn – en dat gebeurt gewoon niet", gaat Hubert verder.
Het huidige rijksbrede cloudbeleid stelt dat organisaties zelf verantwoordelijk zijn voor hun cloudgebruik. Het gebruik van Amerikaanse clouddiensten is toegestaan, mits de veiligheid van gegevens is gewaarborgd. Het beleid wordt halverwege dit jaar herzien. Daarnaast is het beleid niet verplicht voor zelfstandig bestuursorganen (zbo's).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Senior Privacy Officer
Kunstmatige intelligentie, toenemende digitalisering en groeiende maatschappelijke verwachtingen rondom privacy en gegevensbescherming maken jouw vakgebied dynamischer en relevanter dan ooit. Als senior Privacy Officer maak je impact door het versterken, bewaken en verder professionaliseren van privacy binnen de provincie Noord-Holland.
