Tijdens een hoorzitting van de Franse Senaat heeft Microsoft Frankrijk bevestigd dat het de datasoevereiniteit van Europese klanten, inclusief overheidsinstellingen, niet volledig kan garanderen.
Onder druk van de Amerikaanse CLOUD Act kan Microsoft verplicht worden om klantgegevens over te dragen aan de Amerikaanse autoriteiten, zelfs als deze zijn opgeslagen in datacenters binnen de Europese Unie. Deze verklaring voedt de zorgen over de strategische afhankelijkheid van Europese landen van Amerikaanse cloudproviders.
Anton Carniaux, directeur publieke en juridische zaken van Microsoft Frankrijk, en Pierre Lagarde, technisch directeur publieke sector, benadrukten dat Microsoft verzoeken om gegevens zorgvuldig beoordeelt en alleen meewerkt als deze juridisch gegrond zijn. Niettemin gaf Carniaux onder ede aan dat hij niet kan uitsluiten dat data van Franse burgers bij een geldig Amerikaans verzoek toch toegankelijk worden voor de VS, zonder voorafgaande toestemming van de Franse overheid. Hoewel dit volgens hem nog nooit is voorgekomen, onderstreept het volgens senatoren de kwetsbaarheid van overheidsdata.
De hoorzitting vond plaats in het kader van een bredere Senaatsenquête naar digitale soevereiniteit en overheidsaanbestedingen. De commissie stelt vast dat veel publieke instellingen vastzitten in het ecosysteem van grote Amerikaanse spelers als Microsoft en dat dit haaks staat op de Europese ambities voor technologische autonomie. Hoewel Microsoft en andere aanbieders ‘soevereine’ cloudoplossingen promoten, blijven zij gebonden aan Amerikaanse wetgeving, wat de effectiviteit van die garanties ondermijnt.
De Franse Senaat pleit daarom voor een herziening van het aanbestedingsbeleid, met striktere eisen voor gegevensbescherming, interoperabiliteit en voorkeur voor Europese leveranciers. Zonder concrete alternatieven en politieke sturing dreigt Europa afhankelijk te blijven van buitenlandse technologie, aldus de commissie. De casus-Microsoft geldt daarbij als illustratief voorbeeld van hoe juridische en technische realiteiten botsen met het streven naar digitale soevereiniteit.
Nederland
Ook in Nederland groeit de politieke en maatschappelijke onrust over de afhankelijkheid van Amerikaanse cloudproviders voor kritische overheidssystemen. De Algemene Rekenkamer meldt dat de Rijksoverheid risicobeoordelingen mist voor twee derde van de belangrijkste clouddiensten waarvan meer dan de helft afkomstig is van Amerikaanse bedrijven zoals Microsoft, Amazon en Google.
De Tweede Kamer stemde in 2025 in met meerdere moties die oproepen tot de ontwikkeling van een nationale of Europese cloudinfrastructuur om de afhankelijkheid van Amerikaanse leveranciers te verminderen.
Ook branchevereniging Dutch Cloud Community spreekt zich uit voor een ‘Europees, tenzij’-beleid en waarschuwt dat zonder hervormde aanbesteding de Nederlandse cloudsector zou kunnen uitsterven.
