S01E06 - Data staat in Europa — maar is het ook van Europa? Datasouvereiniteit en de bewijslast van datatransport

Data die op een Europese server staat is niet automatisch Europees. De Amerikaanse CLOUD Act verplicht Amerikaanse cloudproviders om data te overhandigen aan de VS-overheid — ongeacht de serverlocatie. Europese toezichthouders legden in 2025 meer dan €7,1 miljard aan GDPR-boetes op, een groot deel voor schendingen van grensoverschrijdende doorgifte. De vraag is niet meer óf data de EU verlaat — de vraag is of organisaties het kunnen bewijzen als het gebeurt, en of ze kunnen aantonen dat de juridische grondslag op dat moment geldig was. Michael en Nadine leggen het volledige wetgevingskader uit: GDPR Hoofdstuk V met de Schrems II-verplichtingen (Transfer Impact Assessment verplicht bij elke Artikel 46-doorgifte), de EU Data Act (Verordening EU 2023/2854, van toepassing per 12 september 2025) met zijn verplichting voor cloudproviders om EU-data te beschermen tegen niet-EU-overheidstoegang, en de Data Governance Act als basis voor Europese dataruimten. Ze bespreken GAIA-X Trust Framework 3.0 "Danube" (november 2025) en de meer dan 15 operationele Europese dataruimten — van Catena-X in de maakindustrie tot GAIA-X Health. En ze leggen het cruciale onderscheid uit: dataresidensy betekent dat data op een Europese server staat. Datasouvereiniteit betekent dat data aantoonbaar onder Europees recht valt — en dat zijn twee fundamenteel verschillende dingen. Het centrale inzicht: contracten, SCCs en TIA's bewijzen intentie, niet uitvoering. Toezichthouders vragen naar technisch bewijs van feitelijk datatransport. Attesto levert die laag — tamper-evidente logging van elk data-event als cryptografisch onweerlegbaar bewijs via het Proof of Evolution-systeem. De Nova/IVC-laag draait al live in productie.