Wat het echt betekent om eigenaar van je data te zijn

Kun je bewijzen dat je eigenaar bent van je data?

Vraag een organisatie of ze eigenaar is van haar data en het antwoord komt snel: natuurlijk, het is onze data, over onze mensen, verzameld voor onze eigen doeleinden. Het bewijzen is een ander verhaal, en een simpele test laat zien waarom.

Neem een Nederlandse gemeente. Ze beheert de persoonsgegevens van haar inwoners: namen, adressen, uitkeringsgegevens, de alledaagse data die een gemeente nodig heeft om te draaien. De gemeente “heeft” die data onmiskenbaar. Maar de systemen waarop ze draait zijn van externe cloudleveranciers, en dat is geen gedachte-experiment: Nederlandse gemeenten zitten naar verluidt vast in Microsoft zonder realistische manier om over te stappen (Tweakers, 2025), onderdeel van een publieke sector die sterk afhankelijk is geworden van Amerikaanse cloudproviders (RTL Nieuws, 2025).

Zet dat nu op de proef. Stel dat een inwoner zijn recht uitoefent om elke kopie van zijn gegevens te laten wissen, en de gemeente moet aantonen dat die weg zijn: in de live systemen van de leverancier, in de back-ups en bij alle subverwerkers die zij inschakelt. Of de gemeente besluit van leverancier te wisselen en moet de data meenemen, en daarbij aantonen dat de oude kopie vernietigd is. Kan ze dat allebei op eigen gezag, en kan ze het aantonen? Waar het antwoord nee is, is de data alleen in naam van hen, terwijl de middelen om dat te bewijzen in het platform van iemand anders zitten.

Die kloof tussen data hébben en er controle over hebben is de hele vraag, en ze draait om de betekenis van één woord: “eigenaar”. Een woord waarop je je handelen wilt baseren, heeft een definitie nodig die dat gewicht kan dragen: wat Deming een operationele definitie noemde, “een waarmee mensen zaken kunnen doen” (Deming, 1986).

Eigenaarschap is drie rechten

Breng eigenaarschap terug tot de kern en er blijven drie rechten over: het recht om iets te bezittenBezittenHet recht om te verkrijgen, te behouden en te beheersen wat voor continuïteit nodig is.Lees meer →, het te gebruikenGebruikenHet recht om een voorziening zonder discretionaire toestemming van een leverancier te gebruiken, te inspecteren, te autoriseren, te integreren en te wijzigen.Lees meer → en het weg te doenWegdoenHet recht om in te trekken, te verwijderen, over te dragen, te vervangen of te vertrekken zonder achterblijvende data of onaanvaardbaar operationeel verlies, en het resultaat te bewijzen.Lees meer →. Die drieslag is oud recht: het Amerikaanse hooggerechtshof omschreef eigendomsrechten op een zaak als “het recht om het te bezitten, te gebruiken en weg te doen” (United States v. General Motors Corp., 1945), en de klassieke analytische beschrijving van eigenaarschap rekent bezit, gebruik en beschikking tot de kernbestanddelen (Honoré, 1961). Heb je alle drie, dan ben je eigenaar; verlies je er één, dan niet.

Data maakt dit ingewikkeld, want er is geen juridische titel om vast te houden. Juridisch gezien is niemand eigenaar van data. In het EU-, Engelse, Belgische, Franse en Duitse recht bestaat er op dit moment geen algemeen eigendoms- of eigenaarsrecht op digitale data (Determann, 2019; Geiregat, 2022), en zelfs de EU Data Act is, volgens diezelfde analyse van het concept ervan, “strikt genomen niet bedoeld om exclusief eigendom van data te creëren”. Onderzoekers uit de informatiesystemen komen tot hetzelfde oordeel: data is “niet te classificeren als private of collectieve goederen”, omdat “er geen juridisch bindende concepten bestaan over het eigenaarschap ervan” (von Scherenberg et al., 2024). Of zo’n recht er zou moeten zijn, wordt van beide kanten bepleit (Drexl, 2017; Zech, 2016). Voorlopig is het er niet, en die afwezigheid is niet neutraal: zonder een bewuste juridische toewijzing komt data toe aan wie in de positie verkeert om anderen ervan uit te sluiten (Purtova, 2015).

De juridische titel die je denkt te hebben, bestaat dus niet. De drie rechten bestaan echter nog wel, als praktische controle in plaats van eigendomsrecht. Je kunt je data bezitten door je eigen kopie te bewaren op infrastructuur die je zelf kiest; haar gebruiken door erop te draaien wat je wilt, haar te verplaatsen, haar te combineren; en haar wegdoen door haar te verwijderen en aan te tonen dat ze weg is. De adder onder het gras is dat de rechten over de hele stack moeten standhouden: de hardware waarop de data draait, de software die haar verwerkt, en de data zelf. Verlies je een laag, dan lekken de rechten daar weg, en dat is precies het probleem van de gemeente. Ze heeft de data; de hardware en software eronder zijn van iemand anders.

Die drie rechten hebben, over die drie lagen, op je eigen voorwaarden, heeft een naam.

Dus wat is datasoevereiniteit?

Die naam is datasoevereiniteitDatasoevereiniteitHet praktische vermogen om Bezitten, Gebruiken en Wegdoen uit te oefenen over de lagen Data, Software, Hardware en Organisatorisch, binnen een afgebakende klantgrens.Lees meer →. Soevereiniteit betekent zelfbeschikking: zelf bepalen hoe iets wordt gebruikt. Toegepast op data is het het vermogen van een persoon of organisatie om te bepalen hoe hun eigen data wordt gebruikt, oftewel: de drie rechten hebben én ze daadwerkelijk afdwingen.

Jarke, Otto en Ram definiëren het als “de zelfbeschikking van individuen en organisaties over het gebruik van hun data” (2019). Een recenter overzicht is botter over het doel ervan: datasoevereiniteit is “een instrument om controle te houden over het datagoed van een actor” (von Scherenberg et al., 2024). Recent werk trekt het verder dan controle alleen en beschrijft soevereiniteit via bescherming (basisrechten), participatie (wie de verantwoordelijkheid deelt) en voorziening (de mechanismen die die rechten behouden tijdens en na het delen) (Abbas et al., 2024). Het accent ligt op gebruik en op wie beslist, niet op het bezitten van een ding. Daarom is “eigenaar van je data” alleen een goede slogan als “eigenaar” de drie rechten betekent, en niet een eigendomsakte.

De term staat niet vast. Een overzicht van 341 publicaties vond geen overeengekomen definitie, en constateerde juist “een aanzienlijke mate van uiteenlopen en soms een gebrek aan helderheid over de bedoelde betekenissen van datasoevereiniteit” (Hummel et al., 2021). Eén gangbaar gebruik is puur jurisdictioneel en behandelt datasoevereiniteit als “het concept dat data onderworpen is aan de wet- en regelgeving van een bepaalde natie” (Docter & Fuchs 2020, geciteerd in von Scherenberg et al., 2024). Welk recht bij je data kan, doet ertoe, maar dat is een andere vraag dan of je de drie rechten daadwerkelijk kunt uitoefenen. Het model hieronder laat zien hoe die rechten in de praktijk overeind worden gehouden.

De anatomie van controle: zeven radertjes

Om zelfbeschikking over datagebruik concreet genoeg te maken om te kunnen toetsen, splitsen von Scherenberg et al. (2024) haar op in zeven op elkaar inwerkende onderdelen. De nummers hieronder komen overeen met de figuur.

Begin bij de gemeente. In het midden staat het datagoed (1): de dataset van de inwoners, dat wat onder controle moet blijven. Twee partijen hebben er belang bij. De dataleverancier (2) heeft het recht om dat goed te beheersen: de gemeente. De data-afnemer (3) wil het gebruiken, delen of hergebruiken: bijvoorbeeld een universitaire onderzoekspartner die om een deel van de data vraagt voor een studie. De cloudleverancier komt verderop in het model binnen, als de beheerder van de infrastructuur waarop de data staat.

Voordat er data van hand wisselt, hebben de twee vertrouwen (7) nodig, dat onder elke relatie in het model ligt. Vertrouwen alleen bindt niemand, dus zetten de leverancier en de afnemer het op papier, in een contractuele afspraak (4) die vastlegt wie de data mag aanraken en wat ze ermee mogen doen.

Maar een contract is slechts een belofte; toestemming die je geeft via voorwaarden waarover niemand onderhandelt, is een magere vorm van controle (Rhoen, 2016). Wat het afdwingt is de data-infrastructuur (6), de technische laag die de afgesproken voorwaarden in de praktijk toepast; voor de gemeente wordt die laag beheerd door haar cloudleverancier. Twee van de drie eerdere lagen zitten hier: de hardware en de software vormen de infrastructuur waardoorheen controle over de data wordt uitgeoefend, of verloren gaat. Afdwingen gebeurt op twee manieren:

• Toegangscontrole bepaalt wie de data überhaupt mag benaderen.
• Gebruikscontrole bepaalt wat ermee mag gebeuren zodra toegang is verleend: hoe het verwerkt, gecombineerd of doorgegeven mag worden.

Een gemeente die kan zien wie heeft ingelogd, heeft toegangscontrole. Een die daarnaast kan garanderen dat een onderzoekspartner wel een statistiek mag berekenen maar de ruwe gegevens nooit ergens anders naartoe kopieert, heeft ook gebruikscontrole. Precies die afdwingende laag bouwen is waar infrastructuurinitiatieven als Gaia-X en de International Data Spaces (IDS) op mikken: beleid toepassen dat met de data meereist nadat die de systemen van de leverancier heeft verlaten (Zrenner et al., 2019; Otto & Jarke, 2019).

Controle kan ook geen eenmalige check zijn op het moment van overdracht. Ze moet standhouden gedurende de hele levenscyclus (5): terwijl data wordt aangemaakt, opgeslagen, gebruikt, gedeeld, gearchiveerd en uiteindelijk vernietigd. Dat is wat het wisverzoek zo’n goede test maakt. Een garantie die vervalt zodra data naar een back-up wordt gekopieerd of aan een subverwerker wordt gegeven, is niet veel waard.

De verschuiving gaat van papier naar afdwinging: wat telt is controle die met de data meereist, op elke laag.

Wat datasoevereiniteit niet is

Drie naburige begrippen worden ermee verward, en ze uit elkaar halen scherpt de definitie aan.

Gegevensbescherming (AVG). De AVG legt een juridische ondergrens vast voor persoonsgegevens: ze omschrijft de rechten die mensen hebben over gegevens over henzelf (inzage, correctie, wissing) en de plichten van wie die verwerkt, een juridisch instrument op zichzelf en niet zomaar een privacyregel onder een andere naam (Lynskey, 2014). Voor persoonsgegevens trekt ze dezelfde kant op als datasoevereiniteit. Het is niet hetzelfde: de AVG dekt één categorie gegevens en een vaste set rechten, terwijl datasoevereiniteit gaat over het beheersen van het gebruik van al je data, of die nu persoonlijk is of niet.

Dataresidency en lokalisatie. Beide gaan over geografie. Dataresidency is waar data toevallig wordt opgeslagen of verwerkt; lokalisatie is een wettelijke eis dat data die in een land ontstaat, binnen de landsgrenzen blijft (IBM). Ze vertellen je waar de data staat, niet wiens recht erbij kan of wie bepaalt hoe die wordt gebruikt. De gegevens van de gemeente zouden op servers in Nederland kunnen staan en toch onder het thuisrecht van een buitenlandse leverancier vallen; fysieke locatie alleen bepaalt niet wiens recht bij de data kan (Hon et al., 2016), ook al eisen staten steeds vaker opnieuw controle op over wat zich binnen hun grenzen bevindt (Glasze et al., 2023). Locatie en controle zijn losse vragen.

Digitale (of technologische) soevereiniteit. Dit is het bredere idee: controle over de hele digitale stack waarop een organisatie steunt, van infrastructuur en hardware tot software en data (Floridi, 2020; Pohle & Thiel, 2020). Datasoevereiniteit is het data-deel van dat plaatje. De labels zijn in de praktijk glibberig: “digitale”, “technologische” en “cyber”-soevereiniteit worden zowel als synoniemen als als aparte lagen gebruikt (Couture & Toupin, 2019), dus het is het veiligst om datasoevereiniteit te zien als het onderdeel van het bredere debat dat op data is gericht, en niet als een vaste trede in een hiërarchie.

Waarom dit er nu toe doet

Het risico is niet nieuw; de urgentie wel. In februari 2025 stelden de Verenigde Staten de hoofdaanklager van het Internationaal Strafhof onder sancties; in mei was zijn Microsoft-mail naar verluidt op zwart gegaan en was hij overgestapt naar de Zwitserse aanbieder Proton Mail (Computer Weekly, 2025). Microsoft ontkende ooit diensten aan het hof zelf te hebben afgesloten (heise online, 2025), al had het eerder bevestigd dat een gesanctioneerde functionaris van zijn diensten was losgekoppeld (iBestuur, 2025). Wat het precieze mechanisme ook was, het voorval was een wake-upcall. Het hof heeft sindsdien bevestigd dat het Microsoft Office vervangt door openDesk, de opensource-kantoorsuite die voor de Duitse publieke sector is gebouwd (The Register, 2025), en de affaire stelde de vraag zo scherp mogelijk: als een buitenlandse leverancier kan worden gedwongen je uit te schakelen, heb je je eigen gereedschap niet volledig in de hand.

Die blootstelling is structureel. Onder de Amerikaanse CLOUD Act kan een in de VS gevestigde aanbieder worden verplicht data die onder zijn beheer valt af te geven, waar ter wereld die data ook staat, een EU-datacenter inbegrepen (Daskal, 2015; Cross-Border Data Forum). Dit is niet hypothetisch. Op 10 juni 2025 werd de directeur publieke en juridische zaken van Microsoft France onder ede gevraagd voor een enquêtecommissie van de Franse Senaat naar overheidsinkoop of hij kon garanderen dat gegevens van Franse burgers nooit aan de Amerikaanse overheid zouden worden doorgegeven zonder instemming van de Franse autoriteiten; hij antwoordde dat hij dat niet kon: “Non, je ne peux pas le garantir” (“Nee, dat kan ik niet garanderen”), waarbij hij opmerkte dat dit tot dan toe nooit was gebeurd (Sénat, 2025). Een contractuele belofte om data binnen de EU te houden, die Microsoft ook aanbiedt, verandert dat antwoord niet, omdat ze de Amerikaanse wet niet opzij kan zetten.

Soevereiniteit is intussen een productcategorie geworden: Microsoft bijvoorbeeld kondigde in juni 2025 “uitgebreide soevereine oplossingen” aan voor Europese organisaties (Microsoft, 2025). Er is inmiddels een naam voor de afstand tussen dat label en het echte ding, naar analogie van “greenwashing”: sovereignty washing, een soevereiniteitsclaim die als standaard wordt gepresenteerd maar inhoudelijk hol en in de praktijk onwerkbaar blijkt (Adler-Nissen & Eggeling, 2024). Wat zulke aanbiedingen technisch ook leveren, een label “soevereine cloud” verandert op zichzelf niet welk recht bij de leverancier kan: de Nederlandse technoloog Bert Hubert noemt de “soevereine” edities van de hyperscalers sprookjes die niet sanctiebestendig kunnen zijn zolang de Amerikaanse wet nog reikt tot het bedrijf dat ze draait (Hubert, 2025).

Dat bereik beperkt zich niet eens tot data die je een aanbieder toevertrouwt om te hosten. In mei 2026 gaven Microsoft en andere Amerikaanse bedrijven een commissie van het Amerikaanse Congres de namen en bijbehorende gegevens van Nederlandse ambtenaren bij de mededingings- en gegevensbeschermingstoezichthouders, in reactie op een dagvaarding die vasthing aan een onderzoek naar de Europese platformregels (NOS, mei 2026). Dit was een dagvaarding van het Congres, niet de CLOUD Act, en de gegevens kwamen uit de eigen bedrijfssystemen van de firma’s en niet uit iets wat ze voor de Nederlandse staat hosten; naar Amerikaans recht moesten de bedrijven meewerken. Het mechanisme verschilt, maar de les is dezelfde: gegevens over jou die in handen zijn van een Amerikaans bedrijf, vallen binnen het bereik van de Amerikaanse wet, zonder dat er een Nederlandse autoriteit aan te pas komt. De verantwoordelijke staatssecretaris noemde het “ontzettend onwenselijk”.

De afhankelijkheid is ook breed. Meer dan de helft van de belangrijkste publieke-cloud-diensten van de Nederlandse rijksoverheid wordt afgenomen bij Amazon, Microsoft en Google (Algemene Rekenkamer, 2025). Een NOS-onderzoek uit januari 2026 stelde vast dat 67% van de ongeveer 16.500 onderzochte domeinnamen van de publieke sector en vitale sectoren gekoppeld is aan minstens één Amerikaanse clouddienst (NOS, januari 2026). Dat is een signaal op DNS-niveau en geen telling van afhankelijke organisaties, maar wel een veelzeggend signaal. Op de Europese markt houden de Amerikaanse “hyperscalers” (de grootste cloudproviders: Amazon, Microsoft en Google) ongeveer 70% in handen, terwijl het aandeel van Europese aanbieders is gedaald van 29% in 2017 naar zo’n 15% in 2024 (Synergy Research Group, 2025).

Dit gaat niet alleen over contracten. Onderzoek uit de informatiesystemen en de marketing laat zien dat “lock-in” ook ontstaat als op vaardigheid gebaseerde gewoonte en status-quo-traagheid, waarbij afhankelijkheid in aannames neerslaat lang voordat ze in een inkoopdocument opduikt (Murray & Häubl, 2007; Limayem et al., 2007; Polites & Karahanna, 2012); ons eigen onderzoek vindt hetzelfde patroon in gereguleerde organisaties (Everaars, 2024). De economie is niet subtieler: met overstapkosten kunnen gevestigde partijen “invest then harvest” — eerst investeren, dan oogsten —, klanten goedkoop binnenhalen en de vastzittende klant later laten betalen (Klemperer, 1987, 1995). Lock-in zit net zo goed in het spiergeheugen als in de raamovereenkomst, en beide moeten worden losgetrokken.

Een deel van dit verlies aan controle is van eigen bodem. In de Nederlandse ggz blijft het gedetailleerde dossier van iemands behandeling niet bij de instelling die het bijhoudt; het stroomt naar een paar centrale organen, en de grens tussen wie behandelt, wie betaalt en wie de data houdt vervaagt. Jarenlang stuurden zorgaanbieders de uitkomstvragenlijsten van patiënten (Routine Outcome Monitoring, die scoort hoe depressief, angstig of suïcidaal iemand is) naar een centrale datakluis, beheerd door een benchmarkstichting en betaald door de zorgverzekeraars zodat zij op basis van de resultaten zorg konden inkopen. Patiënten is nooit om toestemming gevraagd, terwijl dit persoonsgegevens waren die de instelling verlieten richting een externe partij (van Os, 2019). De Autoriteit Persoonsgegevens, de Nederlandse toezichthouder voor gegevensbescherming, oordeelde in december 2019 dat hiermee persoonsgegevens waren verwerkt “zonder wettelijke grondslag”; de opvolger van de stichting kreeg een berisping en de oorspronkelijke dataset werd vernietigd (Akwa GGZ, 2019).

Bij de toezichthouder gebeurde het opnieuw. Toen de Nederlandse Zorgautoriteit landelijk intieme vragenlijstgegevens over ggz-patiënten begon te verzamelen, bleek uit onderzoek dat ze in eerste instantie aan diezelfde privacytoezichthouder niet had uitgelegd wat ze verzamelde, en de gevoelige vragenlijst alleen als een technische regel diep in een bijlage vermeldde (NOS, 2023). Een rechtbank stond het verzamelen in 2025 toe, met het oordeel dat de gepseudonimiseerde gegevens in handen van de toezichthouder geen persoonsgegevens waren (Rechtbank Midden-Nederland, 2025), een oordeel dat de eisers verwerpen. Elke zaak draait om zijn eigen feiten. Samen stellen ze de soevereiniteitsvraag in binnenlandse vorm: wie bij de data kan, en hoe die het leest, wordt bepaald door hoe ze geconcentreerd is en onder welke voorwaarden ze wordt gedeeld, niet door in welk land de servers staan. De overheid is op hetzelfde punt uitgekomen en definieert digitale autonomie in haar visie van december 2025 aan de hand van controle in plaats van locatie: het vermogen om je eigen technologie te kiezen en van leverancier te wisselen (Rijksoverheid, 2025).

De regelgeving trekt in elk geval de goede kant op. De datastrategie van de EU (COM(2020) 66 final) zette de koers uit. De Data Governance Act (Reg. (EU) 2022/868) is van toepassing sinds 24 september 2023, en de Data Act (Reg. (EU) 2023/2854), van toepassing sinds 12 september 2025, verplicht cloudproviders om overstappen makkelijker te maken.

Er is een uitweg

Loskomen van hyperscaler-lock-in kan “bijna onmogelijk” lijken. Dat is het niet; het is een kwestie van het in de juiste volgorde doen. Je doorbreekt afhankelijkheid niet door alles in één keer eruit te rukken, en weerstand tegen het in één klap veranderen van systemen is zelf goed gedocumenteerd (Kim & Kankanhalli, 2009). Je doet het in fasen: begin bij een hyperscaler, maar op een platform dat is gebouwd om te verhuizen, stap over naar een Europese aanbieder wanneer je er klaar voor bent, en draai op je eigen hardware waar het er het meest toe doet. Elke stap houdt de bedrijfsvoering draaiende: je verplaatst het platform in plaats van het van de grond af opnieuw te bouwen.

Dat is het werk dat wij bij HOIST IT doen. Wij “verlenen” geen soevereiniteit en verkopen haar niet als add-on; we helpen gereguleerde organisaties haar zelf te bereiken, op “volwassen” dataplatforms die zijn ontworpen om overal te draaien en om binnen dagen te staan, niet maanden. We brengen die aanpak nu in de praktijk met AMALT, een learning-analytics-platform voor het Nederlandse Ministerie van Defensie dat we samen met Next Learning Valley, TNO en NLR bouwen, ontworpen om training te leveren aan 200.000 militairen onder NAVO-beveiligingseisen.

Van eigenaarschap naar bewijs

Daarmee zijn we terug bij het begin. “Kun je bewijzen dat je eigenaar bent van je data?” rust nu op een definitie waarmee je zaken kunt doen: “eigenaar zijn” betekent controle die je daadwerkelijk kunt uitoefenen en aantonen.

Afdwinging is de toets van controle. Ze moet vanaf het begin in het platform worden ontworpen; tegen de tijd dat de data al ergens anders staat, zijn de opties versmald.

Soevereiniteit is geen functie. Zij is het fundament.

Dat is de vlag die het waard is om boven je eigen data te hijsen. Host waar je wilt, bezit alles.

Wat er hierna komt in deze serie

Dat is de definitie. De volgende twee delen worden praktisch. Deel 2 kijkt naar de laag die bepaalt of je een van deze rechten kunt uitoefenen: het contract dat je als eerste tekent en als laatste leest. Deel 3 gaat over architectuur en tooling: de dataruimtes, infrastructuur en standaarden erachter.

Referenties

• Abbas, A. E., van Velzen, T., Ofe, H., van de Kaa, G., Zuiderwijk, A., & de Reuver, M. (2024). Beyond control over data: Conceptualizing data sovereignty from a social contract perspective. Electronic Markets, 34(1), Article 20. https://doi.org/10.1007/s12525-024-00695-2
• Adler-Nissen, R., & Eggeling, K. A. (2024). The discursive struggle for digital sovereignty: Security, economy, rights and the cloud project Gaia-X. JCMS: Journal of Common Market Studies, 62, 993–1011. https://doi.org/10.1111/jcms.13594
• Couture, S., & Toupin, S. (2019). What does the notion of “sovereignty” mean when referring to the digital? New Media & Society, 21(10), 2305–2322. https://doi.org/10.1177/1461444819865984
• Daskal, J. C. (2015). The un-territoriality of data. Yale Law Journal, 125(2), 326–398. https://www.yalelawjournal.org/article/the-un-territoriality-of-data
• Deming, W. E. (1986). Out of the crisis. MIT Center for Advanced Engineering Study. https://archive.org/details/outofcrisis000demi
• Determann, L. (2019). No one owns data. Hastings Law Journal, 70(1), 1–44. https://repository.uclawsf.edu/hastings_law_journal/vol70/iss1/1/
• Drexl, J. (2017). Designing competitive markets for industrial data – Between propertisation and access. JIPITEC, 8(4), 257–292. https://nbn-resolving.de/urn:nbn:de:0009-29-46365
• Everaars, R. (2024). Cognitieve lock-in bij Microsoft 365 (research paper). Nyenrode Business University.
• Floridi, L. (2020). The fight for digital sovereignty: What it is, and why it matters, especially for the EU. Philosophy & Technology, 33(3), 369–378. https://doi.org/10.1007/s13347-020-00423-6
• Geiregat, S. (2022). Who owns “your” (business’s) digital data? Oxford Business Law Blog (blog post). https://blogs.law.ox.ac.uk/oblb/blog-post/2022/12/who-owns-your-businesss-digital-data-new-eu-law-making
• Glasze, G., Cattaruzza, A., Douzet, F., et al. (2023). Contested spatialities of digital sovereignty. Geopolitics, 28(2), 919–958. https://doi.org/10.1080/14650045.2022.2050070
• Hon, W. K., Millard, C., Singh, J., Walden, I., & Crowcroft, J. (2016). Policy, legal and regulatory implications of a Europe-only cloud. International Journal of Law and Information Technology, 24(3), 251–278. https://doi.org/10.1093/ijlit/eaw006
• Honoré, A. M. (1961). Ownership. In A. G. Guest (Ed.), Oxford essays in jurisprudence (pp. 107–147). Oxford University Press. https://archive.org/details/oxfordessaysinju0000unse_c8m0
• Hummel, P., Braun, M., Tretter, M., & Dabrock, P. (2021). Data sovereignty: A review. Big Data & Society, 8(1). https://doi.org/10.1177/2053951720982012
• Jarke, M., Otto, B., & Ram, S. (2019). Data sovereignty and data space ecosystems. Business & Information Systems Engineering, 61(5), 549–550. https://doi.org/10.1007/s12599-019-00614-2
• Kim, H.-W., & Kankanhalli, A. (2009). Investigating user resistance to information systems implementation: A status quo bias perspective. MIS Quarterly, 33(3), 567–582. https://doi.org/10.2307/20650309
• Klemperer, P. (1987). Markets with consumer switching costs. The Quarterly Journal of Economics, 102(2), 375–394. https://doi.org/10.2307/1885068
• Klemperer, P. (1995). Competition when consumers have switching costs. The Review of Economic Studies, 62(4), 515–539. https://doi.org/10.2307/2298075
• Limayem, M., Hirt, S. G., & Cheung, C. M. K. (2007). How habit limits the predictive power of intention: The case of information systems continuance. MIS Quarterly, 31(4), 705–737. https://doi.org/10.2307/25148817
• Lynskey, O. (2014). Deconstructing data protection: The “added-value” of a right to data protection in the EU legal order. International and Comparative Law Quarterly, 63(3), 569–597. https://doi.org/10.1017/S0020589314000244
• Murray, K. B., & Häubl, G. (2007). Explaining cognitive lock-in: The role of skill-based habits of use in consumer choice. Journal of Consumer Research, 34(1), 77–88. https://doi.org/10.1086/513048
• Otto, B., & Jarke, M. (2019). Designing a multi-sided data platform: Findings from the International Data Spaces case. Electronic Markets, 29(4), 561–580. https://doi.org/10.1007/s12525-019-00362-x
• Pohle, J., & Thiel, T. (2020). Digital sovereignty. Internet Policy Review, 9(4), Article 1532. https://doi.org/10.14763/2020.4.1532
• Polites, G. L., & Karahanna, E. (2012). Shackled to the status quo: The inhibiting effects of incumbent system habit, switching costs, and inertia on new system acceptance. MIS Quarterly, 36(1), 21–42. https://doi.org/10.2307/41410404
• Purtova, N. (2015). The illusion of personal data as no one’s property. Law, Innovation and Technology, 7(1), 83–111. https://doi.org/10.1080/17579961.2015.1052646
• Rhoen, M. (2016). Beyond consent: Improving data protection through consumer protection law. Internet Policy Review, 5(1), Article 404. https://doi.org/10.14763/2016.1.404
• United States v. General Motors Corp., 323 U.S. 373 (1945). https://www.law.cornell.edu/supremecourt/text/323/373
• von Scherenberg, F., Hellmeier, M., & Otto, B. (2024). Data sovereignty in information systems. Electronic Markets, 34(1), Article 15. https://doi.org/10.1007/s12525-024-00693-4
• Zech, H. (2016). A legal framework for a data economy in the European Digital Single Market: Rights to use data. Journal of Intellectual Property Law & Practice, 11(6), 460–470. https://doi.org/10.1093/jiplp/jpw049
• Zrenner, J., Möller, F. O., Jung, C., Eitel, A., & Otto, B. (2019). Usage control architecture options for data sovereignty in business ecosystems. Journal of Enterprise Information Management, 32(3), 477–495. https://doi.org/10.1108/JEIM-03-2018-0058

Verder lezen

• European Commission (2020). A European strategy for data, COM(2020) 66 final. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A52020DC0066
• EU Data Act, Reg. (EU) 2023/2854 and Data Governance Act, Reg. (EU) 2022/868
• Gaia-X and International Data Spaces