Moet ik weg bij Microsoft of Google?

Of je weg moet bij Microsoft 365 of Google Workspace, volgt niet uit het nieuws maar uit je eigen data en risico's. Deze beslisboom loopt in vijf stappen naar een van vier uitkomsten. Voor de meeste organisaties is dat geen verhuizing, maar ook niet niets doen.

Stap 1: welke data heb je echt?

Deel je informatie in drie klassen. Gewoon: offertes, planningen, interne notities. Gevoelig: persoonsgegevens van klanten en personeel, contracten, financiële cijfers. Zeer gevoelig: bijzondere persoonsgegevens zoals medische gegevens, informatie over vitale processen, kennis die je bedrijf de kop kost als hij op straat ligt.

Die laatste groep is bijna altijd klein. Microsoft schat in de eigen documentatie over Double Key Encryption dat ongeveer 5 procent van de data van een gemiddelde organisatie in de zwaarste categorie valt. Wat je met die 5 procent doet, is een andere vraag dan wat je met de rest doet.

Stap 2: tegen wie bescherm je je?

Er zijn vier dreigingen, en elk vraagt een ander antwoord. Criminelen en eigen fouten veroorzaken de meeste incidenten. Daartegen helpt goed beheer, MFA en logging, en een andere leverancier verandert daar weinig aan. Dan de leverancier zelf, met beheerders die in theorie bij je data kunnen. Een buitenlandse overheid die via de rechter of een inlichtingendienst gegevens opvraagt. En als laatste afsluiting of druk: een dienst die stopt, sancties, of een prijs die je niet kunt weigeren.

Versleuteling met sleutels die je zelf beheert, helpt tegen de tweede en derde dreiging. Tegen de vierde helpt alleen een uitweg: een exitplan, een tweede omgeving of een andere aanbieder.

Stap 3: wat eist de wet of je klant?

De AVG verbiedt Amerikaanse clouddiensten niet. Je moet wel een geldige grondslag hebben voor doorgifte buiten de EER en passende maatregelen nemen. De Cyberbeveiligingswet geldt sinds 15 augustus 2026 voor organisaties in aangewezen sectoren en legt een zorgplicht op, geen verplichting om Europese cloud te gebruiken.

Hardere eisen komen uit drie hoeken. Klanten en opdrachtgevers die het in hun contract zetten. Toezichthouders voor specifieke sectoren: de Autoriteit Persoonsgegevens adviseert de zorg in haar praktijkgids over gezondheidsgegevens in de cloud om die gegevens in beginsel binnen de EER te verwerken bij een aanbieder die niet onder wetgeving van derde landen valt. En de overheid zelf, voor wie het Rijkscloudbeleid sinds juli 2026 strenger is.

Stap 4: hoe staat de doorgifte naar de VS ervoor?

Het EU-VS Data Privacy Framework is geldig. Het Gerecht van de EU wees op 3 september 2025 de vordering tot vernietiging af. Tegen die uitspraak loopt een hoger beroep bij het Hof (C-703/25 P). Daarnaast besliste het Amerikaanse Hooggerechtshof op 29 juni 2026 dat de president leden van de FTC vrij mag ontslaan, terwijl het adequaatheidsbesluit juist op de onafhankelijkheid van die toezichthouder leunt. De EDPB vroeg de Europese Commissie op 31 juli 2026 om te beoordelen wat dat betekent.

De vraag is dus niet of het nu mag, want dat mag. De vraag is of je een val van het framework kunt opvangen, zoals bij de twee voorgangers. Data in een Europese regio helpt daarbij, maar haalt de Amerikaanse rechtsmacht over de leverancier niet weg. Meer daarover staat bij wat de wet echt zegt.

Stap 5: de uitkomst

Leg je antwoorden naast deze tabel. Twijfel je tussen twee rijen, kies dan de lichtste en schrijf op waarom.

De meeste mkb-bedrijven komen uit bij 1 of 2. Dat is geen falen, maar een afweging die je kunt uitleggen aan een klant, een accountant of een toezichthouder.