'Dit is het moment voor kritische vragen'

De overheid heeft in 2021 een DPIA laten doen, waaruit tien veiligheidsrisico's naar voren kwamen. Zo was onvoldoende beschreven wat er met de persoonlijke data uit accounts gebeurt en was er te weinig transparantie over data in ruime zin. Er zijn nieuwe afspraken gemaakt met Google, maar we weten niet wat die afspraken inhouden. Als ik samen met journalist Maurits Martijn vraag wat Google concreet van plan is om de risico’s af te dekken, krijg ik een witgelakt document toegestuurd.

Het risico op een vendor lock-in ligt op de loer. Je stopt je data in één systeem en als je vervolgens niet meer gebruik wil maken van dat systeem, omdat het privacygevoelig of duur blijkt te zijn, kun je er niet meer uit zonder veel problemen en hoge kosten. José van Dijck, hoogleraar digitale samenleving en mediacultuur aan de Universiteit Utrecht,  waarschuwt in mijn boek: als we niet oppassen, zitten we vast aan Google zoals Duitsland aan het Russische gas.
Een ander risico is dat Google geen onderscheid maakt tussen data van de overheid en andere data. Het stuurt alle data door één datastroom, die wordt opgeslagen in Middenmeer of de Eemshaven. Als overheid moet je dan vragen waarom het niet mogelijk is om fysiek een afslag te maken. Er wordt vaak gedaan alsof het heel ingewikkeld is, maar uiteindelijk gaat het om data op een harde schijf, waar de overheid in theorie bij moet kunnen. Zet een extra container neer met het label ‘overheid’ erop.

Dat ze het moment van vragen stellen zo makkelijk voorbijlopen, doet mij vermoeden dat ze meedeinen met de ingemasseerde antwoorden van Google dat het nu wel goed is geregeld. Vergelijk het met het moment in 2007 dat advertentieplatform DoubleClick door Google werd gekocht. De EU stelde als voorwaarde dat de data nooit met elkaar verbonden zouden worden. Afgelopen jaar is dat toch gebeurd. Indachtig de vendor lock-in: wat kunnen we straks nog beslissen als Google vindt dat ze de afspraken niet meer hoeven na te komen? Niks, want op dat moment kunnen we onze data er niet meer uit krijgen. Dan heeft de overheid een structureel probleem.

Microsoft Azure, Google Cloud en Amazon Web Services hebben een samenwerkingsverband waarbinnen ze interoperabiliteit organiseren binnen hun cloudsystemen. Straks kunnen we data uitwisselen binnen Big Tech, maar niet met Gaia-X (de Europese cloud in wording) of een Nederlandse speler. Een andere oplossing lijkt al bijna uit het oog verloren, omdat de technische achterstand te groot is. Daarom is het zaak om juist nu waakzaam te zijn.