{"id":2314,"date":"2026-09-24T12:03:17","date_gmt":"2026-09-24T11:03:17","guid":{"rendered":"https:\/\/sooma.com\/?p=2314"},"modified":"2026-09-24T12:33:14","modified_gmt":"2026-09-24T11:33:14","slug":"acht-vragen-die-een-overheidsinstantie-aan-haar-e-mailprovider-zou-moeten-stellen","status":"publish","type":"post","link":"https:\/\/sooma.com\/nl\/oito-perguntas-que-uma-entidade-publica-devia-fazer-ao-seu-fornecedor-de-email\/","title":{"rendered":"Acht vragen die een overheidsinstantie aan haar e-mailprovider moet stellen"},"content":{"rendered":"

In juni 2026 maakte de uitspraak van het Amerikaanse Hooggerechtshof in Trump v. Slaughter een einde aan de onafhankelijkheid van de Federal Trade Commission. Voor de meeste mensen was het nieuws over Amerikaanse politiek. Voor wie de informatiesystemen van een Portugese overheidsinstantie beheert, was het iets anders: het wegvallen van een van de pijlers onder de overeenkomst die het mogelijk maakt gegevens van Europeanen naar de Verenigde Staten door te geven.<\/strong><\/em><\/p>\n

Het is de derde schok in tien jaar. Safe Harbor viel in 2015, Privacy Shield viel in 2020, en de overeenkomst die ze verving, wordt nu aangevochten. Geen van deze episodes kwam voort uit kwade trouw van de onderhandelaars. Ze kwamen voort uit een fundamentele onverenigbaarheid tussen twee manieren om soevereiniteit te begrijpen, die geen enkel politiek akkoord kan oplossen.<\/p>\n

Ondertussen hebben onze Europese buren gehandeld. In Frankrijk behoudt de clouddoctrine systemen van de Staat met gevoelige gegevens voor aan gekwalificeerde infrastructuur die immuun is voor niet-Europese wetgeving. In Itali\u00eb zijn publieke gegevens naar kriticiteit geclassificeerd en zijn de gevoeligste geconcentreerd in gekwalificeerde nationale infrastructuur. In Duitsland migreerde \u00e9\u00e9n deelstaat de e-mail van zijn hele administratie, meer dan veertigduizend mailboxen, naar open oplossingen. In Nederland nam het parlement moties aan om onnodige migraties van de overheid naar Amerikaanse cloudaanbieders te stoppen.<\/p>\n

Portugal heeft zijn nationaal plan voor een soevereine cloud goedgekeurd, uit te voeren in de komende jaren. Het is een offici\u00eble erkenning dat de huidige afhankelijkheid een risico is. Maar een specifieke instantie, met een aanbestedingsprocedure die in de komende zes maanden moet worden gelanceerd, kan niet wachten tot het einde van het decennium.<\/p>\n

Dit zijn de acht vragen die u v\u00f3\u00f3r die procedure moet stellen. Ze vereisen geen technische kennis. Ze vereisen duidelijke antwoorden.<\/p>\n

1. Onder welk recht valt de entiteit die de dienst beheert, en wie heeft er zeggenschap over?<\/h2>\n

Het is de vraag die alle andere omvat, en ze wordt bijna nooit gesteld. Verwar ze niet met de locatie van de servers. Een bedrijf dat in de Verenigde Staten is opgericht, of door een Amerikaans bedrijf wordt gecontroleerd, blijft onder Amerikaans recht vallen, waar het zijn apparatuur ook plaatst.<\/p>\n

De zaak die dat bewees, was niet theoretisch. In 2013 eisten de Amerikaanse rechtbanken dat een technologiebedrijf de inhoud van een e-mailaccount zou overhandigen die in een datacenter in Dublin was opgeslagen. Het bedrijf weigerde en won voor de rechter. In 2018 nam het Congres wetgeving aan die de overhandiging verplicht van gegevens die deze bedrijven in bezit, bewaring of onder controle hebben, ongeacht het land waar ze zijn opgeslagen. De zaak eindigde met de overhandiging.<\/p>\n

Wat u moet vragen:<\/strong> identificatie van de contracterende entiteit, haar statutaire zetel, haar eigendoms- en zeggenschapsstructuur, en het recht waaronder zij valt.<\/p>\n

2. Waar bevinden de gegevens zich fysiek, en wie heeft toegang tot de locatie?<\/h2>\n

De locatie beslecht de jurisdictievraag niet, maar blijft relevant. U moet weten in welk land de apparatuur staat, wie de fysieke ruimte beheert, en of die beheerder logische toegang heeft tot de systemen.<\/p>\n

Wat u moet vragen:<\/strong> locatie van de datacenters, identificatie van de fysieke hostingleverancier, en een uitdrukkelijke verklaring of die leverancier al dan niet toegang heeft tot de gegevens.<\/p>\n

3. Zijn er doorgiften naar derde landen, ook incidentele?<\/h2>\n

De vraag moet alles omvatten, niet alleen de hoofddienst. Analytics van websiteverkeer, tools voor klantenondersteuning, betalingsverwerking, lettertypen die van externe servers worden geladen. Elk daarvan kan een doorgifte vormen.<\/p>\n

Wat u moet vragen:<\/strong> een volledige lijst van subverwerkers en ontvangers, met hun locatie, en een verklaring over doorgiften naar derde landen.<\/p>\n

4. Hoe lang worden verkeerslogs bewaard, en op welke grond?<\/h2>\n

Veel leveranciers bewaren communicatiemetadata maanden- of jarenlang, uit technische gewoonte. Het is goed het huidige kader in herinnering te brengen: het Portugese Grondwettelijk Hof verklaarde de regels die een algemene bewaring van verkeersgegevens gedurende \u00e9\u00e9n jaar voorschreven ongrondwettig, met algemeen bindende werking, en verklaarde later opnieuw een poging tot ongedifferentieerde bewaring gedurende drie maanden ongrondwettig.<\/p>\n

Met andere woorden: langdurige bewaring van metadata zonder specifiek doel is vandaag geen verplichting meer. Het is een risico.<\/p>\n

Wat u moet vragen:<\/strong> concrete bewaartermijnen per type log, en het doel dat ze rechtvaardigt.<\/p>\n

5. Hoe worden verzoeken van autoriteiten behandeld, ook buitenlandse?<\/h2>\n

Een overheidsinstantie heeft er een bijzonder belang bij te weten wat er gebeurt als iemand toegang tot haar gegevens vraagt, en vooral als die iemand een autoriteit uit een ander land is.<\/p>\n

Wat u moet vragen:<\/strong> een beschrijving van de interne procedure voor de beoordeling van verzoeken, en een verklaring over hoe rechtstreekse verzoeken van autoriteiten uit derde landen worden behandeld, die de mechanismen voor justiti\u00eble samenwerking via de Portugese autoriteiten moeten volgen. Vraag ook of de leverancier een transparantierapport publiceert.<\/p>\n

6. Hoe worden het ambtsgeheim en het beroepsgeheim beschermd?<\/h2>\n

Tuchtprocedures, gezondheidsgegevens, gerubriceerde informatie, communicatie met advocaten. Als deze zaken over infrastructuur lopen die onder de jurisdictie van een derde land valt, hangt de geheimhoudingsplicht niet langer alleen van de instantie af.<\/p>\n

Wat u moet vragen:<\/strong> een verklaring over de toegang van de leverancier tot de inhoud van de communicatie, en over de omstandigheden waarin die toegang kan plaatsvinden.<\/p>\n

7. Neemt de leverancier de rol van verwerker op zich, en biedt hij een<\/h2>\n

verwerkersovereenkomst?<\/p>\n

Voor de gegevens die in de mailboxen zijn opgeslagen, is de overheidsinstantie de verwerkingsverantwoordelijke en de leverancier de verwerker. Dit vereist een schriftelijke overeenkomst met de inhoud zoals bepaald in artikel 28 van de Algemene Verordening Gegevensbescherming. Een leverancier die er geen aanbiedt, is niet in staat om met een overheidsinstantie te contracteren.<\/p>\n

Wat u moet vragen:<\/strong> een concept-verwerkersovereenkomst, met bijlagen over subverwerkers en beveiligingsmaatregelen.<\/p>\n

8. Wat gebeurt er aan het einde van het contract?<\/h2>\n

Omkeerbaarheid wordt bij het contracteren vaak vergeten en is bij het be\u00ebindigen pijnlijk.<\/p>\n

Wat u moet vragen:<\/strong> formaten en protocollen voor gegevensexport, bewaartermijn na be\u00ebindiging, termijn en wijze van verwijdering, en of er ondersteuning wordt geboden bij de overgang naar een andere leverancier.<\/p>\n

Een laatste opmerking over wat er op het spel staat<\/h2>\n

Geen van deze vragen gaat over technologie. Ze gaan allemaal over verantwoordelijkheid.<\/p>\n

Wie beslist over de communicatie-infrastructuur van een overheidsinstantie, kiest niet zomaar een dienst. Hij bepaalt onder welke rechtsorde de communicatie tussen de Staat en de burgers die hij dient, zal vallen. Het is een soevereiniteitsbeslissing, genomen in een bestek.<\/p>\n

 <\/p>\n

Het goede nieuws is dat niets hiervan vereist dat u op nationale plannen wacht. Het vereist dat u acht vragen stelt, en kiest op basis van de antwoorden.<\/strong><\/em><\/p>","protected":false},"excerpt":{"rendered":"

Een checklist voor digitale soevereiniteit, te gebruiken v\u00f3\u00f3r de volgende aanbestedingsprocedure.<\/p>","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_titles_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_fb_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_twitter_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[35],"tags":[],"class_list":["post-2314","post","type-post","status-publish","format-standard","hentry","category-sector-publico"],"_links":{"self":[{"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/posts\/2314","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/comments?post=2314"}],"version-history":[{"count":0,"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/posts\/2314\/revisions"}],"wp:attachment":[{"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/media?parent=2314"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/categories?post=2314"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sooma.com\/nl\/wp-json\/wp\/v2\/tags?post=2314"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}