Boreas

Inleiding

Het opslaan van overheidsdata bij commerciële clouddiensten brengt grote privacyrisico's met zich mee. Privacytoezichthouder AP heeft dit aangegeven bij staatssecretaris Van Huffelen, die verantwoordelijk is voor Digitalisering, in een brief op 11 november 2022. Hierin adviseert de AP: “om onderzoek uit te voeren om nader uit te werken op welke wijze clouddienstverleners die binnen Nederland of de EER persoonsgegevens verwerken, kunnen bijdragen aan dienstverlening waarbij de risico’s voor betrokkenen langdurig worden gemitigeerd”.

Huidige situatie

Op dit moment gebruiken veel overheidsklanten software van leveranciers die zijn overgestapt op een van de grote commerciële clouddiensten:

• AWS (Amazon)
• Google Suite
• Azure (Microsoft)

Zij zijn afhankelijk van deze softwarehuizen middels aanbestedingen in het verleden en doordat dit soms bedrijfskritische software betreft. Maar deze cloudoplossingen voldoen niet aan de Nederlandse wet- en regelgeving voor wat betreft de verwerking van persoonsgegevens. Hiervoor waarschuwt de AP.

Probleemstelling

De overheden en OZB’s hebben de keuze voor de hosting van hun data niet zelf in handen: dit beslist het softwarehuis. Daarom worden met name overheidsorganen nu voor lastige vraagstukken geplaatst. Voor dit vraagstuk, waar ook klanten van ITCS (OZB’s en ministeries) mee te maken hebben en die hiervoor ITCS gevraagd hebben een oplossing te vinden, willen wij een concrete oplossing kunnen aanbieden.

Onderzoeksvraag

Los hiervan willen wij onderzoeken in hoeverre dit voorkomen kan worden door (technische en juridische) afspraken reeds in aanbestedingen en in de contracten (SLA’s) vast te leggen.

Alternatieve oplossingen

We willen onderzoeken of er een alternatieve methode haalbaar is waardoor gegevens beter beschermd worden, en die past binnen het Cloudbeleid 2022 van de Nederlandse overheid. Alleen dan heeft deze oplossing vatbaarheid in de markt.

Implementatie

Het moet heel concreet iets zijn wat onze klanten liefst direct kunnen implementeren, gezien deze vraag nu aan ons gesteld is. Dit zal altijd moeten gebeuren in afstemming met de betrokken softwareleveranciers.