Regie over je eigen digitale omgeving

Binnenkort kunnen medewerkers van de Belastingdienst eindelijk thuiswerken. Tot nog toe gebruikt de Belastingdienst ouderwetse Microsoft-software, waardoor tegelijkertijd in een document werken bijvoorbeeld niet kan. Mailen en bestanden delen gaat nog via eigen servers, diep in een overheidsgebouw in Apeldoorn. Dat maakt thuiswerken ingewikkeld, want je kan alleen bij de bestanden als je je fysiek in het kantoor in Apeldoorn bevindt. Maar dat gaat nu veranderen: al sinds 2021 bereidt de overheidsdienst zich voor op een overstap naar diensten van Microsoft voor kantoorautomatisering (e-mailen, bestanden delen, dat soort dingen). Overstap naar het nieuwe Microsoft 365-pakket – als je ook maar een beetje een kantoorbaan in Europa hebt, klinkt dit vast bekend, want naar schatting heeft Microsoft hier een marktaandeel van zo’n 90 procent in kantoorsoftware – betekent dat alle e-mails tussen medewerkers voortaan altijd door een Microsoft-datacenter gaan.

Klinkt fijn voor de Belastingdienst, maar zachtjes uitgedrukt is niet iedereen fan van de overstap. De Algemene Rekenkamer beoordeelt het cloudgebruik van het Rijk als ‘zorgelijk’ en cyberexpert Bert Hubert noemt deze overstap “een idee om helemaal gek van te worden”. De Belastingdienst verliest met deze stap namelijk een belangrijk stukje digitale autonomie: straks zijn de medewerkers voor een groot gedeelte van hun werk afhankelijk van de grillen van het softwarebedrijf, ver weg in de Verenigde Staten. Hubert: “Dit geeft ruwweg twee problemen. Ten eerste: als je iets hebt uitbesteed aan Amerikaanse diensten, kan je die dingen alleen nog maar doen met medeweten van Amerika. Ten tweede: stel dat de Amerikanen je niet meer leuk vinden, dan kan je het überhaupt niet meer doen.” De Belastingdienst heeft deze bezwaren overigens wel meegenomen en gewogen, maar komt tot de conclusie dat er geen volwassen Europees alternatief beschikbaar is.

Haat tegen Trump

Dat Amerika ‘met ons kan meekijken’ is in de huidige geopolitieke situatie zeer problematisch, stelt Hubert. “Ik vind het persoonlijk heel eng. Er is een heel concreet voorbeeld: er was een burgerpetitie in Utrecht om Israëlische instanties te boycotten. Daarvoor moet de organisatie bewijzen dat de handtekeningen onder de petitie van mensen zijn die daadwerkelijk in Utrecht wonen. Dus die sturen allemaal hun paspoortgegevens mee met de petitie. Maar waar slaat de organisatie al deze gegevens op, deze lijst van Palestina-supporters? Op haar Microsoft OneDrive-cloudopslag? Als dat is gebeurd, ben ik benieuwd of die mensen de Verenigde Staten nog in komen.”

De Europese Unie doet een poging om haar burgers en hun privacy te beschermen door strenge wetgeving te introduceren. Dankzij onder meer die wetgeving blijft de meest gevoelige informatie – persoonsgegevens van de Belastingdienst bijvoorbeeld – aan deze kant van de oceaan: Microsoft belooft dat gevoelige informatie alleen opgeslagen wordt op Microsoft-datacenters die in Europa staan. Maar dan is daar de CLOUD-act (Clarifying Lawful Overseas Use of Data), een Amerikaanse wet die Amerikaanse bedrijven verplicht om data over te dragen (zoals persoonsgegevens die de Belastingdienst op hun kersverse Microsoft-clouddienst heeft opgeslagen), mits er verdenking is van een ernstig misdrijf, zoals terrorisme. Die verplichting geldt óók voor gegevens op datacenters die niet in de Verenigde Staten staan, maar wel van een Amerikaans bedrijf zijn, zoals Microsoft-datacenters in Nederland. Terrorisme klinkt als een kaart die lastig is te spelen, maar de link blijkt gauw gelegd: in maart dit jaar werd een Franse onderzoeker toegang tot de VS ontzegd, omdat bij een grenscontrole bleek dat hij een ‘persoonlijke mening over het wetenschapsbeleid van de regering-Trump’ had gedeeld met collega’s en kennissen. Zijn berichten werden bestempeld als ‘haat tegen Trump’ en vervolgens gekwalificeerd als terrorisme.

Noodklok

Naast orwelliaanse surveillancepraktijken is er de vrees dat essentiële diensten worden afgesloten als de Amerikanen dat zint. Wordt de soep zo heet gegeten? Wel bij de hoofdaanklager van het Internationaal Strafhof in Den Haag, toen die een arrestatiebevel uitvaardigde tegen onder meer de Israëlische premier Benjamin Netanyahu voor oorlogsmisdaden in Gaza. Trump noemde de aanklacht een ‘onrechtmatige en ongegronde actie, gericht tegen Amerika en onze nauwe bondgenoot Israël’. Prompt kon de hoofdaanklager niet meer bij zijn Microsoft-mail en andere diensten, wat werken onmogelijk maakte. Ook de Franse Rechter Nicolas Guillou staat hierdoor op de Amerikaanse sanctielijst. Al zijn accounts bij Amazon, Airbnb, PayPal, Expedia en andere Amerikaanse bedrijven zijn gesloten en hij kan zijn creditcards van Visa en Mastercard niet meer gebruiken.

Dit lijkt een extreem voorbeeld, maar het punt is dat je als burger in je dagelijks leven voor veel zaken totaal afhankelijk bent van publieke clouddiensten. Denk er maar eens over na: hoeveel essentiële diensten kun je bedenken waarvoor je afhankelijk bent van zo’n bedrijf? Microsoft-software op je pc of laptop, of MacOS op je MacBook, je telefoon gebruikt Android van Google of iOS van Apple, je whatsappt dankzij Meta, zelfs Whatsapp-alternatief Signal en Wikipedia werken niet zonder de publieke cloud van Amazon, zagen we toen op 21 oktober een storing bij Amazon deze (en nog veel meer) apps platlegde. Dat zijn de apparaten waarmee je bank- en burgerzaken regelt, contact onderhoudt met naasten en de snelste weg naar het ziekenhuis opzoekt. De CEO’s van deze vijf megabedrijven zaten bij Trumps inauguratie allemaal op de eerste rij.

Misschien nog belangrijker: ook de instituten die jouw veiligheid en eerste levensbehoeften waarborgen, zoals de Nederlandse overheid, zijn digitaal afhankelijk. De Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB) luidden de noodklok wegens digitale afhankelijkheid van Microsoft, Google en Amazon, en 71 procent van de IT-bazen in de zorg maakt zich zorgen dat buitenlandse overheden en inlichtingendiensten toegang hebben tot patiëntendossiers. Door een storing op Windows-apparaten stonden op 19 juli 2024 veel vliegvelden helemaal stil, en moesten ziekenhuizen in Emmen en Hoogeveen die dag alle operaties schrappen en de spoedeisende hulp tijdelijk sluiten. Dat kwam door een storing, maar het laat wel zien hoe afhankelijk essentiële systemen hier van Amerikaanse software zijn. Met andere woorden: als de ‘shit hits the fan’, doet Silicon Valley zo de lichtknop in Europa uit.

Open brief

Genoeg redenen om gauw een oplossing te verzinnen dus. Hoe kan de wetenschap ons daarbij helpen? José van Dijck, hoogleraar media en digitale samenleving aan de Universiteit Utrecht, is initiatiefnemer van een open brief over digitale autonomie van Nederlandse universiteiten. Is haar universiteit ook digitaal afhankelijk? “Zeer! We gebruiken voor alles Microsoft, ook voor communicatie- en informatietoepassingen. Dat geldt voor bijna alle universiteiten en dat is ook logisch. Universiteiten proberen altijd zo efficiënt mogelijk te werken. Het is efficiënt om clouddiensten te gebruiken, omdat je je behoeftes makkelijk kan afstemmen op wat je inhuurt. Het zelf in beschikking nemen van die infrastructuur is ook veel duurder.”

Van Dijck is al sinds 2018 met dit onderwerp bezig, maar pas het afgelopen jaar gaat het balletje écht rollen. “Er zijn de afgelopen tijd veel signalen geweest, op veel verschillende gebieden, dat we heel erg moeten uitkijken om ons hele hebben en houwen bij Amerikaanse clouddiensten te plaatsen. Als ik bijvoorbeeld kijk naar Amerikaanse collega’s die onderzoek doen naar klimaat, dan zijn sommigen op enig moment toegang tot hun eigen data ontzegd. Er bestaan erg veel zorgen over dataveiligheid, ook door onze eigen klimaatwetenschappers, want zij zijn voor een deel afhankelijk van die Amerikaanse wetenschappers in internationaal onderzoek.”

Dankzij de open brief is er een hoop op gang gekomen. Veertien universiteiten in Nederland experimenteren, in samenwerking met SURF (een overkoepelende coöperatie die zich bezighoudt met digitalisering binnen onderwijs en onderzoek), met tools en software die niet binnen de ecosystemen van Big Tech-bedrijven vallen, maar die open, inzichtelijk en flexibel zijn: opensource dus. “Er wordt op dit moment een plan gemaakt om digitaal onafhankelijk te worden. Dat is niet iets waarvan je kunt zeggen: we gaan dat morgen anders doen. En het is ook niet: we moeten zo snel mogelijk van alle Big Tech af. Het gaat vooral over de vrijheid om diensten te kiezen en te voorkomen dat we gedwongen worden tot één digitaal ecosysteem.” Makkelijk wordt het niet, maar samen wordt het wel minder ingewikkeld. “Dit is een enorme transitie – dat beseffen we eigenlijk nu pas. We moeten van elkaar leren; het is een fictie dat we allemaal in ons eentje autonoom kunnen worden. Daarom heb ik de term ‘collectieve autonomie’ uitgevonden: samen de regie nemen over je digitale omgeving, want in je eentje kan dat niet.”

Handje helpen

Van Dijck benadrukt dat digitale autonomie vooral niet betekent dat je helemaal niets meer met Big Tech-bedrijven doet: “Digitale autonomie betekent dat instituties, zoals het onderwijs, eigenstandig kunnen handelen, dat gaat over regie nemen over je eigen digitale omgeving. Dat betekent keuzevrijheid, maar ook zeggenschap ten aanzien van software, data en systemen. We willen niet gedwongen worden tot één ecosysteem, één set van tools van één bedrijf. We willen keuzevrijheid houden, nadrukkelijk op basis van publieke waarden, zoals privacy en transparantie.”

Het klopt dat er - zoals de Belastingdienst claimt - geen volwassen Europese alternatieven zijn, zegt van Dijck. “Daar hebben ze wel een punt. Europa is zo dom geweest om het leeuwendeel van de datacentercapaciteit in handen te geven van Amerikaanse bedrijven, en daar geen eisen aan te stellen. Bijvoorbeeld dat ze gebaseerd moeten zijn op publieke waarden. Europa heeft weinig geïnvesteerd in zijn eigen infrastructuur.”

Volgens van Dijck valt er best samen te werken met Big Tech-bedrijven, zolang de Europese Unie strikte voorwaarden stelt aan de manier waarop ze hier opereren. Daarnaast wordt er gelukkig al gewerkt aan manieren om Europese bedrijven een handje te helpen, zegt ze. “Er zijn best Europese alternatieven, maar die zijn nog vrij klein. Daarvoor moet de komende jaren flink geïnvesteerd worden. Het Europese cloudbeleid op dit moment onderschrijft dat Europese cloudbedrijven voorrang krijgen, mits ze diensten leveren op basis van die publieke waarden en voldoen aan Europese wetgeving. Daar hebben Amerikaanse bedrijven wel een probleem.”