De Nederlandse overheid moet de privacyrisico's van dataopslag bij Amerikaanse clouddiensten beter beschrijven. De Autoriteit Persoonsgegevens zegt dat staatssecretaris Van Huffelen van Digitalisering die risico's in haar nieuwe wetsvoorstel niet goed heeft onderbouwd.
De Autoriteit Persoonsgegevens uit in een brief aan de staatssecretaris stevige kritiek op het cloudbeleid van de Rijksoverheid. Staatssecretaris Alexandra van Huffelen presenteerde in augustus een nieuw cloudbeleid voor overheidsinstanties. Daarin staat opgenomen welke overheidsinstellingen op welk moment en onder welke voorwaarden buitenlandse clouddiensten mogen gebruiken, zoals Google Workspace of Microsoft 365. Inmiddels zouden zulke diensten veilig genoeg zijn om te gebruiken door overheden. De privacytoezichthouder zegt nu dat de staatssecretaris meer moet doen om de privacyrisico's in dat beleid af te dekken.
De AP heeft drie problemen met het voorstel. Het eerste is dat de privacyrisico's 'vollediger moeten worden geadresseerd' en die moeten leidend worden bij de vraag of een clouddienst kan worden ingezet. In het voorstel wordt een scheiding gemaakt tussen publieke en private clouddiensten. Op basis daarvan worden de privacyrisico's ingeschat, maar de AP zegt dat die risico's moeten worden ingeschat ongeacht de vorm van de clouddienst. Zo'n beoordeling van de privacyrisico's past volgens de AP ook beter in het beleid van de staatssecretaris, die vorig jaar stelde dat de Rijksoverheid 'de plicht heeft om grondrechten en publieke waarden te beschermen'.
Een tweede probleem is dat Van Huffelen in haar beleid niet genoeg specificeert wat de risico's zijn van het gebruik van clouddiensten. Het gaat dan specifiek om het opslaan van data van Nederlanders in landen buiten Europa. De AP vindt dat de vraag of er gegevens buiten Europa worden opgeslagen 'leidend moet zijn' in een besluit om met een aanbieder in zee te gaan. Het beleid houdt ook niet genoeg rekening met de mogelijkheden dat gegevens vanuit Europa naar de VS kunnen worden doorgegeven via bijvoorbeeld leveranciers. Daarom zou er bij elke clouddienstkeuze een transfer impact assessment moeten worden uitgevoerd. In zo'n tia worden dan die risico's afgedekt.
De Autoriteit Persoonsgegevens vindt ook dat de Nederlandse overheid meer zou moeten kijken naar Nederlandse of Europese alternatieven voor clouddiensten. De overheid werkte ooit aan een private 'Rijkscloud', maar die is er nooit gekomen omdat er 'geen gemeenschappelijke behoefte aan was'. De AP vindt dat Van Huffelen dat niet goed onderbouwt en dat Nederland meer zou moeten kijken naar de mogelijkheden om Europese initiatieven zoals Gaia-X te ondersteunen. "Juist vanuit een centraal Rijksbreed cloudbeleid kunnen deze ontwikkelingen worden gestimuleerd en, op termijn, als alternatief gaan dienen voor grote commerciële partijen", schrijft de AP. "Door dit onvoldoende te onderzoeken of onvoldoende bij te dragen aan de ontwikkeling hiervan ontstaat juist een situatie waarbij een te grote afhankelijkheid bestaat van grote commerciële partijen van buiten Europa."
De toezichthouder heeft gesproken met Van Huffelen over de kritiek. De staatssecretaris heeft die 'ter harte genomen'.