Datasoevereiniteit begint niet bij het contract, maar bij inzicht in wat je hebt

15 oktober 2026

Op de VNG-ALV van 30 september kreeg collectieve digitalisering concreter vorm. Maar gezamenlijke afspraken over datasoevereiniteit werken alleen als gemeenten weten waar hun gegevens zich bevinden, welke leveranciers erbij kunnen en waar de afhankelijkheden zitten.

De voorstellen liggen er, het huiswerk ook

Ruim een jaar nadat gemeenten uitspraken om 80% van de gemeentelijke digitalisering samen te organiseren, krijgen de plannen vorm in de rapportage Samen uit de startblokken. In 2026 en 2027 liggen de eerste besluiten op tafel.

Een voorstel raakt direct aan datasoevereiniteit: gezamenlijk eisen stellen aan de verwerking van gevoelige gegevens. Maar hoe stel je zulke eisen als je niet precies weet welke gegevens je waar verwerkt, welke leveranciers erbij kunnen en van welke partijen je afhankelijk bent?

Datasoevereiniteit: meer dan een Nederlands datacenter

Datasoevereiniteit is geen nieuw, hip onderwerp. Wat opvalt is dat gemeenten al langer worstelen met de vraag hoeveel controle zij hebben over hun eigen digitale omgeving. Vrijwel alle gemeenten hebben de afgelopen jaren een beweging gemaakt van eigen serverruimtes naar cloudomgevingen. Nu zie je dat organisaties opnieuw onderzoeken waar hun systemen het beste kunnen draaien, mede vanuit de wens om meer controle te houden.

Dat het om meer gaat dan de plek van een datacenter, liet de Solvinity-casus zien. De voorgenomen overname van Solvinity, de leverancier van het platform waarop onder meer DigiD draait, door het Amerikaanse Kyndryl zorgde vanaf eind 2025 voor veel onrust. Het kabinet verbood de overname in mei 2026. Niet alleen de locatie van gegevens telt, maar ook de eigendomsstructuur van een leverancier en de invloed van buitenlandse wetgeving.

Stel dat dit morgen gebeurt bij de leverancier van jouw zaaksysteem. Weet je dan welke gegevens geraakt worden en hoe snel je kunt overstappen? Dat is geen ICT-vraag, maar een vraag over de continuïteit van je dienstverlening en het vertrouwen van inwoners.

Datasoevereiniteit gaat dus over de zeggenschap over gegevens: wie erbij kan, waarvoor gegevens worden gebruikt, onder welke voorwaarden worden ze verwerkt, welke wetgeving van toepassing is en of je die zeggenschap houdt als een leverancier verandert.

Afspraken maken is niet hetzelfde als controle hebben

Een stap in de goede richting is om eisen aan datasoevereiniteit contractueel vast te leggen, bijvoorbeeld via de GIBIT of de VNG-handreiking Eisen aan gemeentelijke cloudvoorzieningen. Hoe weet je echter of een leverancier zich daadwerkelijk aan die afspraken houdt? Wat kan je doen als de eigendomsstructuur verandert, een andere partij toegang krijgt of je wilt overstappen?

De Amerikaanse CLOUD Act maakt duidelijk waarom dit relevant is. Amerikaanse autoriteiten kunnen onder voorwaarden gegevens opvragen bij aanbieders die onder Amerikaanse rechtsmacht vallen, ook als die gegevens buiten de Verenigde Staten staan. Afspreken dat gegevens in Europa blijven, is dus niet genoeg.

Gemeenten moeten daarom niet alleen eisen stellen, maar ook kunnen aantonen dat ze worden nageleefd. En dat begint bij weten wat je hebt.

Wat wij in praktijk zien

Precies daar schuurt het. Vraag naar het applicatieoverzicht en je krijgt vaak een Excel-bestand dat al jaren niet is bijgewerkt. Vraag welke subverwerkers bij de gegevens kunnen en het wordt stil. De kennis is er wel, maar ze zit verspreid en niemand voelt zich er eigenaar van.

Tegelijk sluipt er een risico in: dat gemeenten achteroverleunen omdat ‘de VNG het wel regelt’. Collectiviseren is geen centraal feestje waarbij één partij alle oplossingen bedenkt en de rest kan aansluiten. Gezamenlijke eisen zonder lokaal inzicht blijven een papieren tijger.

Inzicht organiseren: waar begin je?

Door de hoeveelheid contracten, applicaties en clouddiensten zie je al snel door de bomen het bos niet meer. Begin klein en afgebakend: kies één kritieke gegevensbron of applicatie en werk die uit aan de hand van vier vragen:

1. Wat hebben we? Welke gegevens worden verwerkt en in welke applicaties en processen komen ze voor?
2. Waar gaan ze naartoe? Waar worden gegevens opgeslagen, verwerkt, gedeeld en geback-upt?
3. Wie heeft er zeggenschap over? Wie is verantwoordelijk, welke leveranciers en subverwerkers hebben toegang en welke contractuele afspraken gelden?
4. Hoe gevoelig zijn ze? Hoe zijn de gegevens geclassificeerd en welke beveiligings- en privacy-eisen volgen daaruit?

Leg de antwoorden vast in het applicatie- of gegevensoverzicht en vul aan met relevante metadata. Denk aan opslag- en verwerkingslocaties, dataclassificatie, toegangsrechten, betrokken leveranciers, verantwoordelijke proceseigenaren en contractuele afspraken. Het hoeft niet perfect, als iedereen maar naar hetzelfde actuele overzicht kijkt.

Je hoeft niet meteen alles te vervangen of opnieuw aan te besteden. Gebruik het inzicht om te prioriteren: waar zitten de gevoeligste gegevens, de grootste afhankelijkheden en de contracten die binnenkort aflopen? Juist bij een nieuwe aanbesteding kun je dan eisen stellen aan portabiliteit en overstapmogelijkheden.

Collectiviseren begint bij jezelf

Datasoevereiniteit bereik je niet met één contract, één datacenter of één overzichtsplaat. Het begint bij inzicht in je eigen organisatie. Het helpt om nu al te starten om straks gezamenlijke eisen te stellen die niet alleen op papier goed klinken, maar ook in de praktijk controleerbaar zijn. En met de ALV in december in zicht is ‘straks’ dichterbij dan je denkt.

Hoe zou jouw organisatie vandaag de vier vragen beantwoorden: wat hebben we, waar gaan onze gegevens naartoe, wie heeft er zeggenschap over en hoe gevoelig zijn ze?

Lukt dat nog niet, of weet je niet waar je moet beginnen? We sparren er graag over. Neem contact op met Willem Ottes.

Willem Ottes
06-26346875
w.ottes@nativeconsulting.nl