Google Cloud krijgt DPIA-goedkeuring en mag in publieke sector gebruikt worden

In dit artikel:

De Nederlandse overheid heeft Google Cloud goedgekeurd voor gebruik binnen de centrale publieke sector, na een data protection impact assessment (DPIA) van SLM Rijk. Volgens die toets blijven er, als overheidsorganisaties de aanbevolen instellingen en maatregelen toepassen, geen bekende hoge privacyrisico’s over. Daarmee komt er naast Microsoft Azure een tweede formeel beoordeelde grote publieke cloudoptie bij voor het Rijk.

De goedkeuring betekent wel niet dat het gebruik automatisch veilig of probleemloos is: systeembeheerders moeten de juiste privacy-instellingen zelf doorvoeren, en die staan vaak niet standaard aan. Google heeft de benodigde technische middelen wel beschikbaar gesteld. Eerder kreeg ook Google Workspace al groen licht, en nu volgt Google Cloud Platform.

De timing is echter gevoelig, omdat de juridische basis voor gegevensuitwisseling tussen de EU en de VS onder druk staat. De goedkeuring leunt mede op het EU-US Data Privacy Framework, maar dat kader wordt in de Verenigde Staten juridisch aangevochten. Als die regeling wankelt, kan dat gevolgen hebben voor de geldigheid van Amerikaanse clouddiensten in Europa.

SLM Rijk laat hiermee zien hoe streng zulke beoordelingen zijn: eerder werden bij Google verschillende privacyproblemen gevonden, zoals onduidelijkheid over metadata en de rolverdeling tussen partijen, maar die zijn inmiddels aangepast. Tegelijk blijft de vraag hoe ver de Nederlandse overheid kan leunen op Amerikaanse cloudproviders, terwijl de Algemene Rekenkamer al waarschuwde dat het Rijk beperkt zicht heeft op zijn cloudgebruik.