Microsoft 365 bij de overheid: wat de CLOUD Act voor je gemeente betekent

De gemeenteraad stelt een schriftelijke vraag: kan de Amerikaanse overheid bij onze gegevens in Microsoft 365? Het antwoord moet volgende week naar de griffie. Je weet dat het eerlijke antwoord geen simpel ja of nee is.

Dit stuk zet de feiten op een rij, met bronnen. Het is geen pleidooi om morgen alles op te zeggen. Het helpt je het risico uit te leggen aan je bestuur, je auditor en die gemeenteraad.

Wat de CLOUD Act regelt

Microsoft is een Amerikaans bedrijf. Daarmee valt het onder de Clarifying Lawful Overseas Use of Data Act uit 2018, de CLOUD Act.

Die wet verplicht Amerikaanse aanbieders om gegevens af te geven aan Amerikaanse opsporingsdiensten die daar met een geldig bevel om vragen. Waar de gegevens staan, maakt niet uit. Een datacenter in Amsterdam of Dublin verandert daar niets aan. Soms mag de aanbieder de klant niet vertellen dat er een verzoek was.

Microsoft zegt zulke verzoeken aan te vechten waar het kan, en publiceert zelf hoeveel overheidsverzoeken het krijgt. Dat is een terechte nuance. Het neemt niet weg dat de juridische zeggenschap buiten Europa ligt.

Schrems II en wat daarna kwam

In juli 2020 verklaarde het Europese Hof van Justitie het Privacy Shield ongeldig (zaak C-311/18, Schrems II). De reden: Amerikaanse surveillancewetten beschermen de persoonsgegevens van Europeanen onvoldoende. Sinds juli 2023 is er een opvolger, het EU-US Data Privacy Framework.

Ook dat kader ligt onder vuur. Het is al aangevochten bij de Europese rechter, en privacyorganisaties als noyb hebben verdere stappen aangekondigd. Voor een gemeente betekent dat: de basis onder doorgifte naar de VS kan opnieuw wegvallen.

Wat de BIO vraagt

De Baseline Informatiebeveiliging Overheid (BIO) is het normenkader voor alle overheidslagen en is gebaseerd op ISO 27001 en 27002. Houd de actuele versie aan; die vind je via digitaleoverheid.nl. Bij clouddiensten zijn vier onderwerpen het lastigst:

• weten waar gegevens worden opgeslagen en verwerkt
• bepalen wie toegang heeft, en dat kunnen aantonen
• toegang loggen en die logs zelf kunnen inzien
• de risico's van leveranciers beheersen

In Microsoft 365 kun je veel daarvan inrichten, maar niet alles in eigen hand houden. Sleutelbeheer en logging lopen via Microsoft, en de uiteindelijke zeggenschap ligt bij een Amerikaans bedrijf. Opties als eigen sleutels verkleinen het risico, maar lossen de jurisdictievraag niet op.

Sinds 15 augustus 2026 geldt ook de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2 (rijksoverheid.nl, 15 augustus 2026). Overheid is een van de sectoren. De wet vraagt je de risico's in je toeleveringsketen te beheersen, en je cloudleverancier hoort daarbij.

Wat de DPIA's lieten zien

De Rijksoverheid laat sinds 2018 via SLM Rijk DPIA's uitvoeren op Microsoft-producten. Die rapporten zijn openbaar. Ze vonden meermaals hoge privacyrisico's, onder meer rond diagnostische gegevens die naar de VS gingen. Microsoft heeft daarna aanpassingen gedaan en de Rijksoverheid maakte aanvullende afspraken.

Contractuele afspraken helpen, maar de jurisdictievraag los je er niet mee op. Een contract tussen jou en Microsoft houdt een Amerikaans bevel niet tegen.

Wat je nu kunt doen

1. Maak een overzicht van de gegevens in Microsoft 365, per classificatie. Beleidsstukken zijn iets anders dan zaakdossiers met persoonsgegevens.
2. Lees de meest recente DPIA van SLM Rijk en noteer welke maatregelen je gemeente zelf heeft genomen.
3. Zet de CLOUD Act-vraag in je risicoregister, met een bestuurlijke afweging.
4. Onderzoek voor de gevoeligste gegevens een Europees alternatief. Je hoeft niet alles tegelijk te verhuizen.
5. Onderbouw je antwoord aan de raad met bronnen, zoals de links in dit stuk.

Waar Noveu past

Noveu is een Nederlands bedrijf. Gegevens en back-ups staan in een Hetzner-datacenter in Falkenstein, Duitsland. Mail, bestanden en documenten zijn live; chat is beta en videobellen is gepland. Wat dat per BIO-onderwerp betekent, lees je op onze pagina voor de overheid.