Microsoft-klanten krijgen voor eind 2022 optie om gegevens in EU op te slaan

Microsoft werkt aan een mogelijkheid voor Europese Azure-, Microsoft 365- en Dynamics 365-klanten om ervoor te kiezen om hun persoonlijke gegevens alleen in de Europese Unie op te slaan en te verwerken. Zowel zakelijke klanten als consumenten krijgen die keuze.

Microsoft stelt dat zijn clouddiensten al voldoen aan EU-richtlijnen, maar met de nieuwe optie krijgen gebruikers de keuze om hun persoonlijke gegevens enkel in de EU op te slaan. Nu is het voor klanten niet duidelijk waar hun data precies staat en waar die wordt verwerkt.

Het gaat onder andere om persoonlijke gegevens in diagnostische data die door de diensten gegenereerd worden. Ook zegt Microsoft zijn technische tools voor het beheren van data uit te breiden, zoals Lockbox en encryptie beheerd door klanten. Deze zogenaamde EU Data Boundary Solutions worden volgens Microsoft in de kern van de clouddiensten geïntegreerd.

In de herfst houdt Microsoft een EU Cloud Customer Summit waarin meer details bekendgemaakt worden over het EU Data Boundary-plan. Het bedrijf zegt al begonnen te zijn aan de werkzaamheden en dat moet voor het eind van volgend jaar zijn afgerond. Vanaf wanneer gebruikers kunnen kiezen om hun data in de EU op te slaan, is nog niet duidelijk.

Microsoft begon in 2015 met een speciale dienst voor Europeanen om hun data tegen een meerprijs op te laten slaan in Duitse datacentra die door Deutsche Telekom werden beheerd. In 2018 stopte Microsoft met die dienst met als reden het opzetten van eigen Azure-datacenters in Duitsland. Microsoft heeft meerdere datacenters in Europa en klanten kunnen al kiezen uit regio's voor opslag van data.

Reacties (52)

Het gaat zowel om persoonlijke gegevens als om diagnostische gegevens die door de diensten gegenereerd worden.

Volgens het artikel van Microsoft gaat het om persoonlijke gegevens in diagnostische gegevens, niet om alle diagnostische gegevens. Die kunnen dus nog steeds de oceaan over. Subtiel verschil.

Scherp, aangepast

Het lijkt me nogal relevant of die keuze opt-out (gegevens staan standaard alleen in de EU, tenzij je daar niet voor kiest) , opt-in is of een verplichte keuze zelf te beslissen.

Het lijkt me onredelijk als dit voor EU bedrijven en inwoners opt-in zou zijn. Er is niet voor niets aangegeven dat je niet zomaar gegevens buiten de EU kunt laten verwerken. Dat lijkt me dus ook geen vrijblijvendheid voor Microsoft om dat voor EU klanten dan maar standaard niet perse te doen.

Microsoft kan daarbij wel beweren dat ze aan de wet voldoen, maar op geen enkele manier tonen ze aan dat als de VS om gegevens vraagt die door Microsoft verwerkt worden ze die niet zouden verstrekken. Ongeacht waar die gegevens staan. Dan kan je vast de kans verkleinen dat de gegevens niet verstrekt worden als ze oorspronkelijk alleen in de EU verwerkt horen te worden, maar dat is geen garantie dat het dus binnen de EU blijft omdat een klant dat verzoekt. Het probleem lijkt te blijven dat Microsoft beweringen doet zonder duidelijk te onderbouwen waarom dat klopt of redelijk is om op te vertrouwen.

Waarom niet een EU cloud provider gebruiken? Amerikaanse bedrijven zijn gebonden aan US wetgeving.

Azure EU is niet gebonden aan de USA wetgeving meer bepaald de Patriod act.
MS heeft hiervoor in Ierland een bedrijf waar de EU klanten hun contracten mee afsluiten. om te vermijden dat de Patriot act actief wordt is het geen echte wettelijke dochter onderneming maar een Sub-Co die die diensten levert aan MSFT die dan zelf alle dingen weer huurt van MSFT. kort door de bocht is het een postbus constructie. om EU zaken in EU te kunnen houden. klanten moeten er wel speciaal voor kiezen en het is inderdaad helemaal niet duidelijk vermeld.
Suilt niet uit de de CIA niet geïnfiltreerd kan zijn in Redmond en via allerlei achterpoortjes er toch gemakkelijk aan kan.
Dat is toch de info die ik een paar jaar geleden van MS Be intern begrepen heb.

De VS kan nog steeds gegevens vorderen via de CLOUD Act. Deze is waarschijnlijk in conflict met de AVG, maar dat is nog niet getoetst in een rechtzaak.

Is die constructie die bigbadbull beschrijft niet juist om de CLOUD Act tegen te gaan?

The CLOUD Act primarily amends the Stored Communications Act (SCA) of 1986 to allow federal law enforcement to compel U.S.-based technology companies via warrant or subpoena to provide requested data stored on servers regardless of whether the data are stored in the U.S. or on foreign soil.

Die CLOUD act verplicht Microsoft data in Ierland beschikbaar te maken.
Maar als dat bedrijf in Ierland geen wettelijke dochter onderneming van Microsoft is, en zij zijn niet gevestigd in de US, dan is de CLOUD Act niet op hun van toepassing. Net zo min als elk ander willekeurig bedrijf dat in de EU gevestigd is en alleen in de EU opereert.

Terechte opmerking, dit staat ook hier beschreven: https://blog.iusmentis.co...-is-de-cloud-act-nu-echt/

Hoe het in de praktijk uitpakt is afwachten denk ik.

"MS heeft hiervoor in Ierland een bedrijf waar de EU klanten hun contracten mee afsluiten. om te vermijden dat de Patriot act actief wordt is het geen echte wettelijke dochter onderneming maar een Sub-Co die die diensten levert aan MSFT die dan zelf alle dingen weer huurt van MSFT. kort door de bocht is het een postbus constructie. "

Ik geloof je direct dat MS Be je dit verteld heeft, maar volgens mij is het een onzin verhaal.
Ten eerste, wat is het verschil tussen een "sub-company" en een dochter onderneming? Als je als onderneming een andere onderneming sticht waarvan je zelf de aandelen bezit, dan is het een dochter. Als je de aandelen in een stichting of een ander juridisch vehikel stopt, waarvan je vervolgens weer de aandelen bezit, dan blijft het (misschien verborgen via een kerstboom) een dochter onderneming.

Ten tweede, als de Patriot Act al op zo'n simpele wijze te omzeilen zou zijn, dan kun je er van op aan dat daar als een speer aanvullende wetgeving op komt om die work-arounds dicht te zetten. Amerikanen zijn niet zo van het gedogen en houden helemaal al niet van ontwijking.

EDIT: Verder wat Athomer zegt...

[Reactie gewijzigd door dingo35 op 6 mei 2021 17:06]

Sub-Co is geen sub company maar een sub contractor.

Maar inderdaad de cloud act kan hiertegen een andere wet zijn.2018 is van na mijn info.

Waarom niet een EU cloud provider gebruiken? Amerikaanse bedrijven zijn gebonden aan US wetgeving.

Welke EU cloud provider?

De EU is bezig om een eigen, onafhankelijke, cloud te maken: GAIA-X

Zodra die klaar is kunnen we daarop aanhaken en vermindert onze afhankelijkheid van minder betrouwbaar gebleken landen.

[Reactie gewijzigd door wildhagen op 6 mei 2021 15:50]

Als ik het goed begrepen heb, is dit enkel een set van afspraken over waar een Europese cloud aan moet voldoen. Het uiteindelijke product moet door 3rd parties gebouwd worden, waarvan Microsoft oa deel uitmaakt. Ik vraag me af hoe zoiets in de praktijk gaat werken.

Ik heb al een paar keer op de site gelezen en youtube video's gekeken, maar kan GAIA-X Nogsteeds niet helemaal snappen.

Hoe ik het nu zie (en verbeter als dit niet klopt graag):

GAIA-X is een Europeese samenwerkende organisatie (federatie) die het protocol/opensource/gedragregels beheert. Huidige clouddiensten schrijven zich in voor deze federatieve samenwerking om hun cloud hosting/computing bij deze federatie aan te sluiten. Tegelijkertijd zorgt GAIA-X voor een grote samenwerking aan cloud en edge ontwikkelingen in AI, dataverwerking, etc... Waardoor GAIA-X in principe een inventory heeft van diensten en veel (kleinere gedecentraliseerde) hostservers door heel Europa heen.

Klanten/consumenten vragen dan een dienst aan bij GAIA-X die dan bij een van deze hosters wordt geplaatst...

GAIA-X is dan een (niet 1-op-1 aangezien Azure en AWS zelf ook onderdeel kunnen worden van de federatie) Europeese alternatief van de grote hostplatforms (Azure, AWS, Aliyun en Tencent Cloud) van hosting en cloudcomputing.



Klopt dit zo?

Lijkt me een echte EU ambtenarenorganisatie. Een keurig register met verder geen enkele relevante garantie voor de gebruikers.

Als het een aktieve organisatie is, dus geen papieren tijger, dan hoeft dat geen probleem te zijn. Maar het is wel weer een politiek spelletje geworden en je kan er donder op zeggen dat de goede ambtenaren binnen no-time zijn weggepromoveerd en wie er voor terugkomt duidelijk in de zak zit van de VS-software bedrijven.

Mag dan misschien een jaar of 4 tot 5 een beetje vervelender zijn voor die software bedrijven, maar daarna word de boot toch echt rechtgetrokken. Een goede politicus is nog zeldzamer dan een eenhoorn met een draak als huisdier.

Gaan die dan ook een open office client bouwen en integreren met email en AIP achtige encryptie.

Denk dat we dan 10 jaar verder zijn eerdat ze op het zelfde nivo zitten als MS heden daags.

Als je dat al haalt. Microsoft is al zo'n 15 jaar bezig met het ontwikkelen van hun cloud diensten. Dat begon vrij kleinschalig, maar toen BPOS (de voorloper van office365) er kwam in 2008 en 2 jaar later de eerste Azure dienst werd opgeleverd, was alles nog extreem beperkt. De ontwikkelingen zijn hard gegaan sindsdien en Microsoft heeft Amazon qua diensten en functionaliteiten bijgehaald (zo niet ingehaald).

Daarnaast heb je natuurlijk nog de vraag hoe je die Europese cloud dienst gaat ontwikkelen en neerzetten. Wat voor hardware, software, hypervisor etc, hoe ga je diensten ontsluiten, welke besturingssystemen ga je ondersteunen voor IaaS, welke SaaS en PaaS diensten ga je ontsluiten en als laatste: Hoe zorg je ervoor dat het gebruikersvriendelijk is en geadopteerd gaat worden in Europa.

Vergeet niet dat Amazon nog steeds veruit de grootste cloudspeler is (33% marktaandeel), Microsoft op 2 heeft 'slechts' 18%, Google op plek 3 komt op 9% marktaandeel, plek 4 is voor AliBaba met 5%. De overige 35% wordt verdeeld over alle anderen, waaronder IBM, SalesForce en Oracle.
In een markt waarin er voor de meeste wensen al meerdere mogelijkheden zijn, is er dus maar weinig waarmee je als nieuwe cloud provider echt een unique selling point kunt leveren.

Ik zie die Europese clouddienst, als deze er komt, zich dan ook eerst voornamelijk richten op (semi-)overheid of wellicht zelfs de Europese overheid, vanwege het enige echte USP dat een Europese cloud heeft, namelijk de data blijft echt binnen Europa (mits alles goed is beveiligd).

Als ik zo eens door de aangesloten bedrijven blader, krijg ik niet echt het idee dat het een onafhankelijke cloud gaat zijn/worden; met bedrijven als Alibaba, Amazon, Cisco, Fujitsu, Hewlett Packard, Huawei, IBM, Intel, Microsoft, Oracle, Palantir Technologies, Palo Alto Networks, Salesforce, Snowflake Inc. en VMWare in het rijtje...

Klinkt meer als een vroeg inhaken zodat ze een graantje mee kunnen pikken mocht het wat worden; of van binnenuit de nek om kunnen draaien...

Dat is geen onafhankelijke cloud, maar meer een keurmerk waaraan public cloud aan zou moeten voldoen volgens EU standaarden. KPN, Capgemini en Atos bouwen hun eigen Public Cloud gewoon nog zelf en het is absoluut gedoemd te mislukken omdat je niet vrij kan innoveren. Innovatie kan ook verkeerd gaan (love Azure, hate the missing S3 API op de storage bijvoorbeeld) maar in de regel wordt er nu niet geïnnoveerd, omdat, je raad het al, GAIA dat moet goedkeuren

Too little too late. Zoals bijna alle IT trajecten in de EU.

Bijvoorbeeld OVH. We hebben er genoeg in de EU.

Bieden ze dan een Office/Microsoft 365 omgeving aan?

https://www.ovh.nl/office-365/

Dat is gewoon een MS Office licentie die kan iedereen verkopen, maar het is geen gehoste office omgeving, geen exchange, onedrive en sharepoint online op hun omgeving.

De Lidl toch?
https://www.computable.nl...ordt-cloud-aanbieder.html

ik deel je mening , maar die cloudproviders hebben natuurlijk niet dezelfde software als Microsoft.
Dat is net de kracht van Azure

Kip-ei verhaal. Zolang bedrijven in de EU de GDPR negeren en persoonsgegevens blijven werken bij Amerikaanse bedrijven, dan zal hier ook het geld ontbreken voor zulke investeringen.

je kan je ook afvragen waarom in een tijdperk waar we naar multi planetaire sameleveing gaan we nog steeds zoveel concurentie proberen te doen op aarde.

waarom wil je zoon grote belasting op EU gebied met geld financiren om een clone te bouwen van iets wat je al hebt. Als je die energy nu eens steekt in unifying the world. Dan kan het straks een stuk sneller gaan.

het is ook niet realistisch dat we ooit een multi-planitaire samenleving worden. Ooit zal Aarde 1 cultuur en volk zijn, omdat het internet iedereen onder 1 dak brengt... maar de lichtsnelheid speelt ons parter. Een kolonie op Mars zou nooit met ons kunnen bellen, omdat er gewoon 15-45 minuten vertraging is.

Buiten ons sterrenstelsel wordt het alleen maar erger... het zou makkelijk 500 jaar duren om de laatste hits door te sturen naar onze 'naasten' in een ander sterrestelsel. In de praktijk zal hun cultuur zich dus onafhankelijk van de onze ontwikkelen, en zou onze 1-Aarde-mensheid nooit verenigd kunnen worden.

Ooit was 1 oceaan genoeg om van 1 volk, twee volken te maken. De lichtsnelheid garandeert echter dat als we ooit andere planeten gaan koloniseren, dat die bewoners geen Aardlingen zullen zijn: Ze zullen hun eigen tong van goed en kwaad spreken.

ehmm, nee,

als je quantum communicatie mee neemt dan vind er geen tranactie plaats dus zijn bijde deeltjes altijd gelijk . gezien er geen data overdracht is kun je dus sneller communiceren dan met een lichtstraal.

Daardoor kun je enorme afstanden toch data versturen in realtime.

Maar ook al zou er een enorme vertraging zijn dan kun je nogsteeds samen werken aan 1 goal ipv ieder zijn eigen eilandje op laten bouwen en zelfde resources 100x verbranden tot het zelfde doel dat is totaal niet economische en sustainable.

Of gewoon eigen servers in beheer nemen. Alles wat je uitbesteedt moet iemand anders aan verdienen. Cloud is wel handig als je meteen wat capaciteit nodig hebt maar op de lange termijn echt veel te duur.

Euhm nee. Juist dat eigen beheer is altijd duur, nooit goed en door de regel achterhaalt. Je kan echt niet op tegen "infra as a service", zeker niet als klein bedrijf. En grote bedrijven willen helemaal geen specialisten in dienst daarvoor, laat iemand anders lekker die infra doen.

Daar heb je ook niet altijd gelijk in. Ik werk toevallig in een groot multinational bedrijf met een IT afdeling dat globaal opgezet is. Onze omgeving is best divers en hybrid (public cloud, private cloud, colo en hier en daar nog wat onprem). Dat private cloud is dus uitbesteed beheer. Maar we zijn er gewoon niet 100% blij mee, zeker gezien we gewoon meer uit onze eigen servers kunnen halen qua dienstverlening. Dus gezien we toch al alles inhouse hebben zitten we te denken om onze private cloud oplossingen te verhuizen naar VMC. OS beheer blijft bij ons, de rest kan naar AWS dus.

Verwacht dat er geen mensen bij hoeft hiervoor anders huren we wat extra Indische collega's in

Euhm nee. Juist dat eigen beheer is altijd duur, nooit goed en door de regel achterhaalt. Je kan echt niet op tegen "infra as a service", zeker niet als klein bedrijf. En grote bedrijven willen helemaal geen specialisten in dienst daarvoor, laat iemand anders lekker die infra doen.

Klinkt als iemand die niet beseft wat voor een oor hij zichzelf aannaait. En blind wil vertrouwen op de woorden van cloud-providers, met zo weinig mogelijk en zo goedkoop mogelijke werknemers diensten aanlevert. Dan kan je wel verwachten dat jouw contractje als eerste door ongetestte werknemers word opgelost, maar ben er gerust op dat er altijd een ander is die meer heeft betaald en dus ook eerder aan de beurt komt voor een oplossing.

Die cloud provider werknemenrs werken niet voor jou en hebben dus hele andere prioriteiten dan wat ze brabbelen, c.q. beloven in boiler-plate contracten.

Maar uit jouw woorden begrijp ik dat jij dat alleen op de harde manier wil leren. Net zoals er genoeg mensen zijn die liever een trap krijgen van een voet in een laklederen schoen dan de handdruk van een eeltige hand.

Dump alles maar in de cloud, zie algemene computer kennis vervagen tot niets en dan als een speelbal zijn overgeleverd aan diezelfde cloud providers. Net zoals vroeger, toen er geen keuze was dan alles via hele dure mainframes te moeten doen.

Cloud is voor sommige zaken inderdaad handig, maar zeer zeker niet voor alles. En het is ook niet goedkoper, ga maar eens over afgesproken limiten heen (om wat voor reden dan ook) en zie je rekening omhoog schieten.

Ben ik ouderwets? Misschien. Ben echter wel bekend met mainframes en bijbehorende ellende zoals kostbare afhankelijkheden in zowel tijd als geld. Jij klaarblijkelijk niet, anders zou je er wel voor uitkijken om je hele hebben en houden in de cloud te proppen.

Doe software-ontwikkeling met 10 werknemenrs in een land waar het electriciteitsgrid en internet bij lange na niet zo stabiel zijn als in Nederland. Door alles in de cloud te proppen betaal ik me niet alleen blauw aan cloud kosten, maar ook aan salarissen als de werknemers niets kunnen doen omdat internet er weer eens uitligt en/of veel te sloom is. Het hebben en onderhouden van een diesel generator en genoeg brandstof voor een werkdag is ook niet gratis.

Na jouw hele cloud-ophemeling wil je me zeker ook nog een brug verkopen?

Ga jij ook nog steeds je eigen auto bouwen?je eigen er oppompen en filteren? Voor specifieke niches kan dat best, maar voor de meesten is dat toch echt onzin

Al die miljardenwinsten die Amazon met AWS en Microsoft met Azure behaalt komen van bedrijven die denken geld te 'besparen' in de cloud ... Alles wat je uitbesteedt moet iemand anders aan verdienen. En of je gegevens veilig zijn voor de Amerikaanse overheid valt te betwijfelen.

Een "Cloud Provider" is wel een zeer algemeen begrip. Als het je alleen om wat opslag ruimte gaat heb je in elk geval veel meer keuze dan als je bijvoorbeeld een enterprise level CRM/HRM/ERP SaaS applicatie nodig hebt, wat Dynamics365 probeert te zijn volgens mij.

[Reactie gewijzigd door Jazco2nd op 6 mei 2021 15:50]

Is er dan een EU cloud provider die Microsoft 365 aanbiedt?

Het staat nog even terloops gemeld, maar dit is toch wel vrij cruciaal. Je kan in azure al duidelijk aangeven in welke locatie je resources wilt deployen.

"Microsoft heeft meerdere datacenters in Europa en klanten kunnen al kiezen uit regio's voor opslag van data."

Klopt, alleen is dit niet voor elk product mogelijk. Tot voor kort (misschien nog steeds) stond bijvoorbeeld metadata van WVD machines nog in US-East.

Gegevens opslaan incl diagnostische en metadata is 1 ding. Maar als je cloud monitoring centre en je support centre niet in de EU is of je cloud solution (bijvoorbeeld die van Microsoft) bepaalde specialistische support/operations resources nodig heeft uit bijvoorbeeld de US of India, om de klant te helpen mert een specifiek verzoek of om een update uit te rollen is de kans aanwezig dat zo een persoon, die niet in de EU bevindt en wellicht ook geen EU ingezetene is toegang nodig heeft tot de data in Europa en daarbij diagnostische data dus de grens overschrijdt.

Wat Microsoft niet vermeld en bepaalde net zo grote maar minder bekende cloud provider tegenwoordig wel voor een select aantal enterprise producten:
Dat ook het personeel alleen EU personeel is en je personeel van buitenaf alleen toegang kan geven middels klant approval en door klant released credentials (doordat klant de database master key managed).

Denk wel dat dat uiteindelijk de enige oplossing is, om zover te gaan (voor organisaties). En natuurlijk ervoor zorgen dat je zoveel mogelijk resources (mensen) voor support en operations in de EU hebt.

[Reactie gewijzigd door Jazco2nd op 6 mei 2021 15:53]

Niet vergeten dat ook opslag in de EU door Microsoft kan betekenen dat er een data transfer is (en heel het probleem van Schrems II is hier dus niet mee opgelost).

Niet vergeten dat een Amerikaanse bedrijf nooit gdpr compliant kan zijn. Daarom dat er ook dat gehocus pocus was met de safe harbor.

Hier zie je van alle services op azure / dynamics / o365 waar je data staat.

https://azure.microsoft.c...structure/data-residency/

De Amerikaanse overheid kan ongeacht waar de data is opgeslagen een opdracht uitvaardigen om de data op te vragen. Eventueel gevolgd door een geheimhoudingsorder (Gag order). Derhalve biedt het opslaan van gegevens in de EU niet heel veel meerwaarde.

Zet er dan gelijk "Groningen" bij.

Er zijn naast Azure west Europe nog 7 regio’s in de eu, en nog een stuk of 6 gepland.

Sommige landen in de eu hebben bovendien government clouds. Zeg dus niet zomaar Groningen

Of Zeewolde