"Wij hebben EU-dataresidentie nodig" is een van de meest voorkomende zinnen in een leveranciersvragenlijst van een Europese bank of verzekeraar. Het is ook een van de meest verkeerd begrepen zinnen. Geen enkele EU-verordening verplicht een financiële instelling om al haar gegevens binnen de Europese Unie te bewaren. Wat de wet wel vereist, is specifieker: de AVG stelt regels voor de doorgifte van persoonsgegevens buiten de EU, en DORA vereist dat u weet, documenteert en contractueel vastlegt waar uw ICT-dienstverleners gegevens verwerken en opslaan.

Dit artikel scheidt de wettelijke verplichtingen van de zakelijke keuze. Het legt uit wat de AVG, DORA en NIS2 werkelijk zeggen, waar hosting in de EU uw werk eenvoudiger maakt, en welke vragen u aan elke compliancetool moet stellen voordat u uw auditbewijs erin onderbrengt.

Residentie, lokalisatie, soevereiniteit: drie verschillende dingen

Deze begrippen worden vaak door elkaar gehaald, dus het helpt om ze eerst te definiëren.

Dataresidentie is de plaats waar gegevens worden opgeslagen. "EU-dataresidentie" betekent meestal dat de aanbieder uw gegevens opslaat in datacenters binnen de EU.
Datalokalisatie is een wettelijke eis dat gegevens in een land of regio moeten blijven. Het EU-recht kent er voor de private sector maar heel weinig. De AVG en DORA bevatten er geen.
Datasoevereiniteit gaat over welk rechtsstelsel toegang tot de gegevens kan krijgen. Een server in Frankfurt die wordt beheerd door een bedrijf dat een buitenlandse autoriteit moet gehoorzamen, staat in de EU, maar is niet volledig soeverein.

De meeste claims van leveranciers gaan over residentie. De meeste werkelijke risico's gaan over doorgifte en toegang. Houd dat verschil in gedachten voor de rest van dit artikel.

Wat de AVG werkelijk vereist

De AVG zegt niet waar persoonsgegevens moeten worden opgeslagen. Hoofdstuk V (artikelen 44 tot en met 50) bepaalt wanneer persoonsgegevens mogen worden doorgegeven aan een land buiten de Europese Economische Ruimte. Een doorgifte is rechtmatig als een van de volgende gronden van toepassing is:

Een adequaatheidsbesluit (artikel 45). De Europese Commissie heeft besloten dat het land een in wezen gelijkwaardig beschermingsniveau biedt. Sinds juli 2023 geldt dit ook voor Amerikaanse organisaties die zijn gecertificeerd onder het EU-US Data Privacy Framework.
Passende waarborgen (artikel 46), meestal de standaardcontractbepalingen (SCC's), of bindende bedrijfsvoorschriften (artikel 47) binnen een concern.
Een afwijking (artikel 49) voor specifieke situaties, zoals uitdrukkelijke toestemming. Deze zijn beperkt en niet bedoeld voor routinematige doorgiften.

Sinds het Schrems II-arrest van het Hof van Justitie (C-311/18, juli 2020), dat het oude Privacy Shield ongeldig verklaarde, zijn SCC's alleen niet altijd voldoende. U moet beoordelen of het recht van het land van bestemming ze ondermijnt, en aanvullende maatregelen nemen waar dat het geval is. Dit is de doorgiftetoetsing (transfer impact assessment).

Het overtreden van de doorgifteregels is kostbaar. Op grond van artikel 83, lid 5, onder c), kunnen boetes oplopen tot EUR 20 miljoen of 4 procent van de wereldwijde jaaromzet, als dat bedrag hoger is. Let echter op waarvoor de boete geldt: een onrechtmatige doorgifte, niet het loutere feit dat een server buiten de EU staat.

Wat DORA werkelijk vereist

De Digital Operational Resilience Act (Verordening (EU) 2022/2554) is van toepassing sinds 17 januari 2025. Zij bevat geen regel over dataresidentie. Zij bevat wel meerdere verplichtingen over de locatie van gegevens:

Artikel 30, lid 2, onder b): elk contract voor ICT-diensten moet vermelden in welke regio's of landen de diensten worden verleend en waar gegevens worden verwerkt, inclusief de opslaglocatie. De aanbieder moet u vooraf informeren als hij van plan is deze te wijzigen.
Artikel 28, lid 3: u moet een informatieregister bijhouden van alle contractuele regelingen met derde aanbieders van ICT-diensten. Toezichthouders gebruiken dit register om te zien van wie, en waar, uw kritieke functies afhankelijk zijn.
Artikel 29: voordat u tekent, beoordeelt u het concentratierisico, inclusief lange onderaannemingsketens en aanbieders die in derde landen zijn gevestigd.
Artikel 28, lid 8: voor diensten die kritieke of belangrijke functies ondersteunen, hebt u een exitstrategie nodig.
Artikel 31, lid 12: u mag een ICT-aanbieder die door de Europese toezichthoudende autoriteiten als kritiek is aangewezen en die buiten de EU is gevestigd, alleen gebruiken als deze binnen 12 maanden een dochteronderneming in de Unie opricht. Dit gaat over de juridische vestiging van de aanbieder, niet over de plaats waar uw gegevens worden opgeslagen.

Nationale bevoegde autoriteiten kunnen bij overtredingen administratieve sancties en herstelmaatregelen opleggen (artikel 50). In de praktijk luidt de gebruikelijke bevinding niet "gegevens op de verkeerde plaats opgeslagen", maar "u wist of documenteerde niet waar ze zijn opgeslagen, en u hebt het risico niet beoordeeld".

Wat NIS2 vereist

NIS2 (Richtlijn (EU) 2022/2555) vraagt essentiële en belangrijke entiteiten om de beveiliging van de toeleveringsketen te beheren als onderdeel van hun maatregelen voor het beheer van cyberbeveiligingsrisico's (artikel 21). Ook NIS2 vereist geen opslag in de EU.

Waarom vragen zoveel afnemers dan om hosting in de EU?

Omdat het werk en risico wegneemt, ook als geen wet het afdwingt. Specifiek voor een compliancetool betekent hosting in de EU:

Minder doorgiften om te beoordelen. Als persistente gegevens in de EU blijven, hoeft u minder af te dekken met SCC's en doorgiftetoetsingen.
Eenvoudigere DORA-documentatie. De locatievermelding in uw contract en register is kort en stabiel.
Minder blootstelling aan buitenlandse wetten over toegang. Gegevens die bij een Amerikaanse aanbieder liggen, kunnen op grond van de Amerikaanse CLOUD Act onder Amerikaanse bevelen tot openbaarmaking vallen, ook als ze in Europa zijn opgeslagen. Een EU-aanbieder op EU-infrastructuur verkleint die blootstelling.
Eenvoudigere gesprekken met toezichthouders en klanten. Veel van uw eigen klanten, en sommige overheidscontracten, vragen in hun inkoopvoorwaarden om hosting in de EU. Dat is een contractuele eis, geen wettelijke, maar zodra hij is ondertekend, is hij net zo bindend.

Compliancebewijs is gevoelig. Het beschrijft uw zwakke punten in beheersmaatregelen, uw incidenten en uw leveranciers. Waar het is opgeslagen en wie er toegang toe kan krijgen, verdient dezelfde kritische blik als die u op klantgegevens richt.

Vragen die u aan elke compliancetool moet stellen

Stop niet bij "Biedt u EU-dataresidentie?". Stel in plaats daarvan deze vragen:

Waar worden persistente klantgegevens opgeslagen, inclusief back-ups? Vraag naar regio's, niet naar marketingtermen.
Welke subverwerkers verwerken onze gegevens, en waar? Een serieuze leverancier publiceert de volledige lijst.
Vindt er verwerking buiten de EU plaats? AI-functies maken vaak gebruik van aanbieders van grote taalmodellen. Zoek uit wie dat zijn, waar ze draaien en op welke doorgiftegrond (adequaatheid, SCC's).
Kunnen we AI-verwerking in de EU houden als dat nodig is?
Wat neemt u op in het contract? Controleer of de bovenstaande antwoorden in de overeenkomst staan, zoals DORA artikel 30, lid 2, onder b), vereist, samen met een clausule over het melden van wijzigingen.
Hoe stappen we uit? Exportformaten, verwijdering en termijnen voor de exitstrategie die DORA verwacht.

Veelgemaakte fouten

Residentie als het volledige antwoord beschouwen. Een tool kan gegevens in de EU opslaan en ze toch elders laten verwerken. Vraag naar verwerking, niet alleen naar opslag.
Onderaannemers vergeten. De aanbieders van uw aanbieder tellen mee. De beoordeling van het concentratierisico onder DORA omvat uitdrukkelijk onderaannemingsketens.
Vertrouwen op SCC's zonder beoordeling. Na Schrems II moet u documenteren waarom de bepalingen werken voor die bestemming.
Locaties buiten het contract laten. Onder DORA is dit op zichzelf al een compliancetekortkoming, ook als de website van de leverancier de juiste dingen zegt.
Back-ups en disaster recovery overslaan. Back-upregio's zijn ook datalocaties.

Waar Matproof staat

Matproof is een platform voor complianceautomatisering voor Europese financiële dienstverleners. Om concreet te zijn over onze eigen opzet:

Persistente klantgegevens, inclusief uw auditbewijs, worden in Duitsland gehost.
Onze standaard AI-functies maken gebruik van OpenAI en Anthropic, Amerikaanse aanbieders, op basis van standaardcontractbepalingen. Gereguleerde klanten kunnen een EU-optie inschakelen die AI-verwerking in de EU houdt.
De volledige lijst van subverwerkers, met locaties, staat op onze privacypagina.

Wij hebben liever dat u dit controleert dan dat u een slogan op vertrouwen aanneemt.

Aan de slag

Breng uw gegevensstromen in kaart voor uw compliance- en GRC-tools: welke gegevens gaan waarheen, opgeslagen en verwerkt.
Werk uw informatieregister bij met de locaties die u vindt, en markeer hiaten.
Controleer elk ICT-contract op locatieclausules en het melden van wijzigingen.
Toets de doorgiftegronden voor elke verwerking buiten de EER, en voer doorgiftetoetsingen uit waar SCC's worden gebruikt.
Bepaal waar hosting in de EU voor u een vereiste is, op basis van de contracten van uw klanten en uw risicobereidheid, en maak er een selectiecriterium van in plaats van een aanname.

Veelgestelde vragen

V: Verplicht de AVG ons om persoonsgegevens in de EU op te slaan?
Nee. De AVG regelt de doorgifte van persoonsgegevens aan landen buiten de EER (hoofdstuk V). Doorgiften zijn rechtmatig met een adequaatheidsbesluit, passende waarborgen zoals standaardcontractbepalingen, of bindende bedrijfsvoorschriften.

V: Vereist DORA EU-dataresidentie?
Nee. DORA vereist dat ICT-contracten vermelden waar diensten worden verleend en waar gegevens worden verwerkt en opgeslagen (artikel 30, lid 2, onder b)), een informatieregister (artikel 28, lid 3) en een beoordeling van het risico van derde landen en het concentratierisico (artikel 29).

V: Is het EU-US Data Privacy Framework voldoende voor Amerikaanse tools?
Het is sinds juli 2023 een geldige doorgiftegrond, maar alleen voor Amerikaanse organisaties die eronder zijn gecertificeerd. Controleer de certificering, en houd er rekening mee dat eerdere kaders (Safe Harbor, Privacy Shield) door het Hof van Justitie ongeldig zijn verklaard.

V: Wat zijn de sancties?
Voor onrechtmatige doorgiften van persoonsgegevens kan op grond van artikel 83, lid 5, AVG een boete worden opgelegd van maximaal EUR 20 miljoen of 4 procent van de wereldwijde jaaromzet. Onder DORA stellen nationale autoriteiten administratieve sancties en herstelmaatregelen vast voor tekortkomingen in het beheer van ICT-risico's door derden (artikel 50).

V: Is hosting in de EU nog steeds de moeite waard?
Vaak wel. Het vermindert het aantal doorgiftetoetsingen, vereenvoudigt de DORA-documentatie en voldoet aan de inkoopvoorwaarden die veel klanten stellen. Behandel het als een weloverwogen keuze die wordt onderbouwd door uw risicobeoordeling, niet als een wettelijke verplichting.

Belangrijkste conclusies

Geen enkele EU-wet verplicht financiële instellingen om alle gegevens in de EU te bewaren.
De AVG regelt de doorgifte van persoonsgegevens buiten de EER. DORA vereist gedocumenteerde, contractueel vastgelegde datalocaties en een risicobeoordeling.
Hosting in de EU is een sterke keuze voor gevoelige gegevens zoals compliancebewijs, omdat het doorgiften, het risico van buitenlandse toegang en de documentatielast vermindert.
Vraag leveranciers naar opslag, verwerking, subverwerkers en AI, en zorg dat de antwoorden in het contract komen.

Voor een gratis beoordeling van uw compliance-opzet gaat u naar https://matproof.com/contact.

Gerelateerde artikelen

Klaar voor de volgende stap? Matproof voert doorlopend AI-penetratietesten en compliancemonitoring uit. Plan een demo.

EU-dataresidentie: wat de wet vereist en wanneer het helpt

Inhoudsopgave