Dataresidency
Waar je data fysiek staat. Het is een noodzakelijke vraag en verre van een voldoende vraag, want locatie is een zwakke proxy voor controle.
Een Nederlands datacenter dat wordt beheerd door een aanbieder met hoofdkantoor in de VS valt nog steeds onder Amerikaans recht, dus residency beantwoordt waar de data staat en laat open wie toegang kan afdwingen.
Dataresidency is het meest overschatte begrip in dit vakgebied. Het is makkelijk te verifiëren, makkelijk in een brochure te zetten en het voelt als een antwoord. Meestal is het dat niet.
Residency vertelt je waar de bytes rusten. Soevereiniteit vraagt wie er iets mee kan doen. Die twee vallen uit elkaar zodra de beheerder van een faciliteit, of diens moederbedrijf, onder een ander rechtsregime valt dan de vlag op het gebouw. Waar je data staat en wie erbij kan, zijn aparte vragen, en alleen de tweede gaat over controle.
Dit is niet theoretisch. Een inventarisatie van Nederlandse dossiersystemen in de geestelijke gezondheidszorg liet zien dat er veel draaien op, of verwijzen naar, Amerikaanse hyperscaler-clouds, zelfs waar de marketing een binnenlands onderkomen suggereerde. De les is breder toepasbaar: behandel residency als één input naast andere, en verwar het nooit met bewijs van controle.
Veelgemaakte misvattingen
Onze data staat in een EU-datacenter, dus is die soeverein.
Residency legt de postcode vast. Wie de faciliteit beheert, wiens wet de beheerder bereikt, wie de sleutels heeft en of je zou kunnen vertrekken zijn allemaal aparte vragen, en dát zijn de vragen die controle bepalen.
Een EU-regio van een hyperscaler neemt de blootstelling aan buitenlands recht weg.
Jurisdictie volgt de zeggenschapsketen van het bedrijf, niet de kaart. Een EU-regio van een aanbieder met een Amerikaans moederbedrijf kan alsnog onder extraterritoriaal recht vallen.