Franse digitale soevereiniteit en veilige bestandshosting

De Franse eisen voor digitale soevereiniteit bij bestandshosting draaien om drie vragen: waar de gegevens fysiek staan, wie er juridisch toegang toe heeft, en of de aanbieder gedwongen kan worden ze af te geven op grond van buitenlands recht. Publieke sector en gereguleerde afnemers eisen steeds vaker SecNumCloud-kwalificatie van ANSSI, opslag op Frans of Europees grondgebied bij aanbieders onder Frans recht, en immuniteit tegen extraterritoriale wetten zoals de Amerikaanse CLOUD Act. De doctrine "Cloud au centre", geformaliseerd in de omzendbrief van de premier van mei 2021 en sindsdien versterkt, maakt dit een aanbestedingseis, geen voorkeur.

Waarom soevereiniteit ertoe doet bij bestandsoverdracht

Een Frans ziekenhuis dat patiëntbeelden verstuurt via een bestandsoverdrachtsservice van een Amerikaans moederbedrijf creëert drie problemen. Ten eerste staat de US CLOUD Act (2018) de Amerikaanse rechtshandhaving toe de aanbieder te dwingen klantgegevens te overleggen, ongeacht waar ze zijn opgeslagen. Ten tweede dekt FISA Section 702 communicatie van niet-Amerikanen op manieren die herhaaldelijk Schrems-uitspraken van het HvJ-EU hebben uitgelokt. Ten derde verwachten artikel 3 van de Franse Wet op de Militaire Programmering en de recente Cybersecuritywet dat gevoelige sectoren aanbieders gebruiken die immuun zijn voor dergelijke verplichtingen. Bestandsoverdrachtdata valt gewoonlijk niet onder "staatsgeheim", maar patiëntendossiers, juridische strategie en R&D-documenten vallen vaak onder sectorspecifieke beschermingen die in lijn liggen met soevereiniteitseisen.

SecNumCloud: wat de kwalificatie inhoudt

SecNumCloud is de cloudkwalificatie van ANSSI. De beoordeling toetst zowel technische veiligheid als juridische onafhankelijkheid. Het referentiekader v3.2 uit 2022, bijgewerkt naar v3.2bis in 2023-2024, voegde expliciete immuniteitscriteria toe: de aanbieder moet qua kapitaal, contracten en besluitvorming zo zijn gestructureerd dat niet-Europees recht geen gegevensopenbaarmaking kan afdwingen. In de praktijk betekent dit: meerderheids-Europees eigendom, contracterende entiteiten onder Europees recht, en Europese operationele zeggenschap. Gekwalificeerde aanbieders per 2026 zijn onder meer OVHcloud (Hosted Private Cloud), Outscale, Worldline, Bleu (de joint venture van Microsoft, Orange en Capgemini voor een soevereine Azure) en S3NS (Thales-Google Cloud). De lijst is kort omdat de drempel hoog is.

Hosting van Franse gezondheidsgegevens: HDS-certificering

Los van SecNumCloud vereist het hosten van gezondheidsgegevens in Frankrijk HDS-certificering (Hébergeur de Données de Santé) op grond van artikel L1111-8 van de Wet op de Volksgezondheid. HDS kent twee scopes — infrastructuurhosting en uitbestede hosting — en wordt geauditeerd aan de hand van een referentiekader afgestemd op ISO 27001 plus sectorspecifieke controles. Elke bestandsoverdrachtsservice die wordt gebruikt door Franse ziekenhuizen, klinieken of medische laboratoria die PHI verwerken, moet HDS-gecertificeerd zijn of achter een HDS-gecertificeerd platform draaien. De lijst van gecertificeerde hosts is openbaar op de website van eSanté. Niet-HDS-hosting van Franse gezondheidsgegevens is een contractuele en regelgevende schending, ook als de gegevens versleuteld zijn.

Frans recht over dataretentie en toegang door rechtshandhaving

De Franse rechtshandhaving kan opgeslagen bestanden opvragen op grond van de digitale onderzoeksartikelen in het Wetboek van Strafvordering, wat in de meeste gevallen een rechterlijk bevel vereist. Voor inlichtingendiensten staat de Loi du 24 juillet 2015 sur le renseignement specifieke interceptie toe na voorafgaande machtiging. Geen van beide regimes lijkt op de Amerikaanse National Security Letter of het geheime FISA 702-proces. Soevereine Franse hosting betekent dat uw gegevens nog steeds toegankelijk kunnen zijn voor Franse autoriteiten op grond van Frans recht met Franse rechterlijke toetsing — wat veel gereguleerde afnemers verkiezen boven buitenlandse openbaarmakingsregimes die ze niet zelf beheersen.

Europese alternatieven en Gaia-X

Naast puur Franse aanbieders biedt het bredere Europese cloud-ecosysteem soevereiniteit via het Gaia-X-kader, dat gefedereerde data- en servicecriteria definieert, inclusief lokalisering van de aanbieder en contractuele voorwaarden. Gaia-X-labels op verschillende niveaus geven de diepte van naleving aan. Aanbieders als OVHcloud, Scaleway, IONOS, Hetzner en T-Systems participeren. Voor bestandsoverdracht is de praktische vraag of de volledige infrastructuur van de leverancier — van de opslagbackend tot het CDN en de observability-tools — bij Europees-rechtelijke aanbieders zit, of dat stukjes van de stack lekken naar de Amerikaanse sfeer. Een overdrachtsservice op AWS Parijs met beheer door een Amerikaans moederbedrijf voldoet niet aan de SecNumCloud-soevereiniteitscriteria.

Extraterritorialiteit en de CLOUD Act in de praktijk

De US CLOUD Act machtigt de Amerikaanse overheid gegevens op te vragen bij Amerikaanse aanbieders, ongeacht waar de data is opgeslagen. In 2023 en 2024 sloten diverse prominente Franse aanbestedingsbeslissingen uitdrukkelijk Amerikaanse cloudoplossingen uit, zelfs wanneer die alleen EU-regio's aanboden. De juridische redenering: versleuteling in rust blokkeert openbaarmaking niet als de aanbieder de sleutels beheert. Een soevereine bestandsoverdrachtsservice bewaart sleutels uitsluitend bij Europese entiteiten, of maakt gebruik van end-to-end encryptie zodat de aanbieder geen leesbare tekst kan overleggen, ook niet onder dwang.

Aanbestedingstaal die soevereiniteit afdwingt

Franse publieke afnemers schrijven soevereiniteit steeds vaker in aanbestedingen met specifieke clausules. Gangbare formulering: de aanbieder moet SecNumCloud-gekwalificeerd zijn, data moet binnen Frans of EU-grondgebied blijven, de operator en zijn sub-verwerkers moeten onder EU-recht vallen, en toegang door niet-EU-autoriteiten op grond van buitenlands recht is niet toegestaan. Afdwingbare sancties zijn gekoppeld aan overtredingen. Private bedrijven in gereguleerde sectoren — bankwezen, verzekeringen, defensie — nemen vergelijkbare sjablonen over. De Franse Inlichtingenwet van 2023 en aankondigingen over de industriestrategie in 2024 hebben soevereiniteit tot een bestuurskameronderwerp gemaakt.

Gevolgen voor de keuze van bestandsoverdrachtstools

Voor Franse entiteiten die gevoelige gegevens verwerken, ziet de beslisboom er in 2026 als volgt uit: vallen de gegevens onder sectorspecifieke regels (zorg, defensie, publieke administratie)? Kies SecNumCloud-gekwalificeerd of HDS-gecertificeerd. Zijn de gegevens gevoelig maar niet gereguleerd? Kies een EU-rechts, EU-gehoste aanbieder met sterke contractuele verplichtingen. Zijn de gegevens weinig gevoelig? AVG-conforme EU-gehoste tools volstaan. In alle gevallen is de versleuteling bepalend: client-side, end-to-end encryptie neutraliseert veel openbaarmakingsrisico's omdat de aanbieder het bestand letterlijk niet kan lezen.

HexaTransfer versleutelt bestanden in de browser met AES-256-GCM vóór de upload, zodat de ciphertext op EU-infrastructuur niet leesbaar is voor de service of een partij zonder het linkfragment. Probeer het op hexatransfer.com — gratis, geen account vereist, maximaal 10 GB.

Franse digitale soevereiniteit is geen isolationisme. Het is een stelsel van concrete juridische en technische controles die openbaarmaking van gegevens bestuurbaar maken onder Frans of Europees recht. Voor bestandshosting combineert de juiste aanpak een gekwalificeerde aanbieder voor gereguleerde werklast, client-side encryptie voor al het overige, en contracten die Frans of EU-recht aanwijzen als toepasselijk recht. Minder dan dat laat een leemte die een vastberaden buitenlandse autoriteit kan benutten.