Blijven met extra maatregelen
Microsoft en Google bieden steeds meer maatregelen voor Europese klanten. Ze lossen elk een ander probleem op. Het belangrijkste onderscheid: waar je data staat zegt iets over doorgifte, wie de sleutel heeft zegt iets over wat de leverancier kan afgeven.
Microsoft 365
De EU Data Boundary is sinds februari 2025 compleet. Klantdata, gepseudonimiseerde logs en supportgegevens worden voor de kernservices in de EU en EVA opgeslagen en verwerkt. Microsoft beschrijft zelf de uitzonderingen, bijvoorbeeld voor beveiliging. Tenants met Multi-Geo vallen erbuiten.
Customer Key versleutelt data in rust met jouw rootsleutels. Microsoft gebruikt die sleutels wel om diensten als zoeken en eDiscovery te laten werken en houdt een beschikbaarheidssleutel. Het helpt vooral bij aantoonbare controle en bij cryptografisch wissen als je vertrekt. Double Key Encryption gaat verder: zonder jouw sleutel kan Microsoft de inhoud niet lezen. Daarmee verlies je co-auteurschap, Office voor het web, zoeken, eDiscovery en Copilot op die bestanden. Microsoft adviseert het daarom alleen voor de zwaarste categorie.
In oktober 2026 kondigde Microsoft meer controles aan: External Key Management met Azure Managed HSM is algemeen beschikbaar, en Data Guardian moet toegang van Microsoft-engineers laten meekijken door een Europese partner.
Google Workspace
Met dataregio's sla je de betreffende data in rust op in de EU. Dat kan vanaf Business Standard. Client-side encryption versleutelt bestanden, mailinhoud, agenda-omschrijvingen en Meet in de browser met sleutels die Google niet heeft. Titels, metadata en mailheaders blijven onversleuteld. CSE zit in Enterprise Plus, Frontline Plus en Education Standard en Plus. Voor toegangsgoedkeuring en extra controles op support verwijst Google naar Assured Controls Plus, een add-on.
Wat elke maatregel oplost
| Maatregel | Lost op | Lost niet op | Licentie |
|---|---|---|---|
| EU Data Boundary | Opslag en verwerking in de EU | Amerikaanse rechtsmacht over Microsoft | Standaard voor EU-tenants |
| Customer Key | Controle over rootsleutels, wissen bij vertrek | Toegang door de dienst zelf | Microsoft 365 E5 of Purview-add-on, zie servicebeschrijving |
| Double Key Encryption | Leverancier kan inhoud niet lezen | Samenwerken, zoeken en AI op die bestanden | E5 of Purview-add-on |
| Google-dataregio's | Opslag van data in rust in de EU | Rechtsmacht, verwerking buiten de regio | Vanaf Business Standard |
| Google CSE | Leverancier kan inhoud niet lezen | Metadata, titels, mailheaders | Enterprise Plus en enkele andere |
Contract en transparantie
Maatregelen werken pas als je ze vastlegt. Leg in je verwerkersovereenkomst vast op welke doorgiftebasis je steunt en wat de leverancier doet bij een buitenlands bevel. Google publiceert een transparantieverslag over overheidsverzoeken, Microsoft doet hetzelfde. Kijk ook of je exit in het contract staat, zoals de Data Act vraagt.