Soeverein Europa

Inleiding

Eens in de zoveel tijd staan er grote veranderingen op til. We gingen van DOS naar Windows, van WordPerfect naar Word, van Lotus 1-2-3 naar Excel, van COREL naar Adobe. Allemaal veranderingen in het propriëtaire landschap. Op de achtergrond gebeurde er echter meer. Sinds 1992 begon de opmars van Linux, wat leidde tot een complete overname van de servermarkt. Met zo’n 96% van alle servers wereldwijd is Linux de standaard, en is vrije open-source software niet meer weg te denken. Dat is niet zo gek, gezien de voordelen veel doorslaggevender zijn dan eventuele nadelen. Zelfs cloudinfrastructuren van Microsoft, Google en Amazon, maar ook AI-bedrijven zoals OpenAI en Anthropic draaien op Linux.

Nu de impact van de CLOUD Act en de Foreign Intelligence Surveillance Act (FISA) langzaam in Europa duidelijk begint te worden, en er een run op soevereiniteit en vrije open source zich begint te manifesteren, beginnen allerlei propriëtaire partijen en hun handlangers en lobbyisten nerveus te worden. Immers, hun businessmodellen komen onder druk te staan. Ze beginnen te roepen en te posten dat het allemaal wel meevalt: de hardware staat immers in Europa, of je moet niet zo negatief denken. Het valt allemaal wel mee. Ook zie je de komst van propriëtaire Europese partijen die hun product neerzetten als soeverein. Maar laten we daar duidelijk over zijn: soevereiniteit betekent dat je zelf in controle bent, zeggenschap en macht hebt over je eigen data en applicaties. Bij een propriëtaire oplossing kan daar nooit sprake van zijn.

In dit artikel leggen we haarfijn uit waarom het allemaal niet meevalt en waarom de weg van vrije open-source software de enige weg is naar een soeverein Europa.

De Onzichtbare Bedreiging: Amerikaanse Wetgeving en Europese Data

De afgelopen decennia is de digitale wereld steeds verder verweven geraakt met onze dagelijkse realiteit. Bedrijven, overheden en particulieren slaan hun data op in de cloud, vaak zonder zich bewust te zijn van de juridische implicaties. De CLOUD Act (Clarifying Lawful Overseas Use of Data Act), aangenomen als onderdeel van de Consolidated Appropriations Act, 2018 [1], heeft de manier waarop Amerikaanse autoriteiten toegang kunnen krijgen tot data wereldwijd ingrijpend veranderd. Deze wet stelt Amerikaanse opsporingsdiensten in staat om, via een bevel, toegang te eisen tot data die is opgeslagen bij Amerikaanse technologiebedrijven — ongeacht waar ter wereld die data fysiek staat.

Dit betekent dat als een Europees bedrijf gebruikmaakt van een Amerikaanse cloudprovider, zoals Microsoft Azure, AWS of Google Cloud, de data van dat bedrijf onderworpen kan zijn aan Amerikaanse wetgeving. De Stored Communications Act (SCA) van 1986 [2], gewijzigd door de CLOUD Act, biedt de juridische basis voor deze toegang. Met name § 2703 [3] en § 2713 [4] van de SCA regelen hoe de overheid toegang kan krijgen tot opgeslagen communicatie en vertraagde kennisgevingen aan gebruikers. Dit houdt in dat bedrijven niet eens hoeven te weten dat hun data is opgeëist — laat staan dat ze daartegen in beroep kunnen gaan.

Maar de CLOUD Act is niet de enige bedreiging. National Security Letters (NSL’s) [5], gebaseerd op de Electronic Communications Privacy Act (ECPA) en de USA PATRIOT Act, stellen Amerikaanse inlichtingendiensten in staat om zonder rechterlijke toestemming toegang te eisen tot telefoon- en transactiegegevens. Onder FISA (Foreign Intelligence Surveillance Act) [6], met name Section 702 [7], kunnen Amerikaanse inlichtingendiensten op grote schaal data verzamelen van niet-Amerikaanse burgers buiten de VS — zolang er een redelijk vermoeden is dat de data relevant is voor buitenlandse inlichtingen. De FISA Court (FISC), een geheime rechtbank, toetst deze verzoeken, maar de procedures zijn op zijn zachtst gezegd ondoorzichtig [8].

Daarnaast zijn er Executive Orders zoals Executive Order 12333 (uit 1981) [9], die Amerikaanse inlichtingendiensten brede bevoegdheden geeft om buitenlandse signalen te intercepten, en Executive Order 14086 (uit 2023) [10], die safeguards introduceert voor signal intelligence-activiteiten — maar deze bieden weinig tot geen bescherming voor niet-Amerikaanse burgers of bedrijven. Tot slot kunnen administrative subpoenas [11], zoals die onder de Dodd-Frank Act of de Federal Trade Commission Act, Amerikaanse autoriteiten de mogelijkheid geven om data op te eisen zonder traditionele juridische waarborgen.

En alsof dat nog niet genoeg is, stelt de Computer Fraud and Abuse Act (CFAA) [12] het strafbaar om onbevoegd toegang te krijgen tot een computer — een bepaling die zo breed geïnterpreteerd kan worden dat zelfs ethisch hacken of security-onderzoek in de problemen kan komen.

Waarom Propriëtaire 'Soevereine' Oplossingen Tekortschieten

Europese bedrijven die denken dat ze veilig zijn omdat ze gebruikmaken van een Europese cloudprovider of propriëtaire software, hebben het mis. Zolang de onderliggende technologie afhankelijk is van Amerikaanse bedrijven — of dat nu de hardware, het besturingssysteem, of de software is — blijft de dreiging van Amerikaanse wetgeving bestaan. Propriëtaire software, zelfs als deze in Europa is ontwikkeld, biedt geen echte soevereiniteit. De broncode is gesloten, wat betekent dat gebruikers niet kunnen verifiëren wat de software daadwerkelijk doet. Er kunnen backdoors, verborgen tracking-mechanismen of andere kwetsbaarheden in zitten waar de gebruiker geen weet van heeft. Bovendien zijn propriëtaire leveranciers vaak onderworpen aan dezelfde Amerikaanse wetgeving als hun Amerikaanse tegenhangers, of ze nu in Europa gevestigd zijn of niet.

Neem bijvoorbeeld een Europees bedrijf dat een propriëtaire soevereine cloudoplossing aanbiedt. Als dat bedrijf afhankelijk is van Amerikaanse hardware (zoals Intel- of AMD-processors) of Amerikaanse software (zoals een hypervisor of besturingssysteem), dan kan de Amerikaanse overheid alsnog toegang eisen via de CLOUD Act of FISA. De fysieke locatie van de data is in dit geval irrelevant — het is de juridische controle die telt.

Vrije Open Source: De Enige Weg naar Echte Soevereiniteit

Vrije open-source software (FOSS) biedt een fundamenteel andere benadering. Omdat de broncode openbaar is, kan iedereen deze inspecteren, auditen en aanpassen. Dit betekent dat:

• Transparantie: Gebruikers kunnen verifiëren dat er geen backdoors of verborgen functionaliteiten in de software zitten.
• Controle: Organisaties kunnen de software zelf hosten en beheren, zonder afhankelijk te zijn van derde partijen.
• Aanpasbaarheid: Software kan worden aangepast aan specifieke behoeften, inclusief het verwijderen of wijzigen van functionaliteiten die niet gewenst zijn.
• Juridische bescherming: Door gebruik te maken van software die volledig onder Europese jurisdictie valt (bijvoorbeeld door deze zelf te hosten op Europese hardware), kunnen organisaties de reikwijdte van Amerikaanse wetgeving beperken.

Linux is hier het schoolvoorbeeld van. Door de open aard van het besturingssysteem kunnen bedrijven en overheden hun eigen distributies maken, deze harden tegen specifieke bedreigingen, en ervoor zorgen dat geen externe partij toegang heeft tot hun systemen. Projecten zoals Nextcloud, Matrix/Element en Signal laten zien dat open-source alternatieven niet alleen veilig, maar vaak ook veiliger zijn dan hun propriëtaire tegenhangers, juist omdat ze onderworpen zijn aan wereldwijde scrutiny.

Bovendien biedt open source de mogelijkheid om eigen infrastructuur op te bouwen. In plaats van afhankelijk te zijn van Amerikaanse cloudproviders, kunnen Europese bedrijven en overheden hun eigen datacenters inrichten, met open-source software die volledig onder hun eigen controle staat. Dit elimineert niet alleen de afhankelijkheid van buitenlandse wetgeving, maar versterkt ook de digitale soevereiniteit van Europa als geheel.

De Toekomst: Een Soeverein Europa

De roep om digitale soevereiniteit in Europa wordt steeds luider. De European Data Strategy en initiatieven zoals Gaia-X [13] getuigen hiervan. Maar echte soevereiniteit kan alleen worden bereikt door fundamentele keuzes te maken: keuzes voor open standaarden, open-source software, en eigen infrastructuur.

Propriëtaire oplossingen, hoe Europees ze ook mogen lijken, zullen altijd afhankelijk blijven van externe partijen en onderworpen zijn aan buitenlandse wetgeving. Alleen vrije open-source software biedt de transparantie, controle en flexibiliteit die nodig zijn om deze afhankelijkheid te doorbreken.

Het is tijd om de les te leren uit het verleden. Net zoals Linux de servermarkt heeft veroverd door superieure technologie en vrijheid, kan open source ook de sleutel zijn tot een soeverein Europa. De keuze is aan ons: blijven we afhankelijk van gesloten systemen die onze data en autonomie bedreigen, of omarmen we de kracht van openheid en samenwerking?

Conclusie

De dreiging van Amerikaanse wetgeving zoals de CLOUD Act, FISA en NSL’s is reëel en onontkoombaar zolang we afhankelijk blijven van propriëtaire technologie. Alleen door over te stappen op vrije open-source software kunnen Europese bedrijven, particulieren en overheden echte soevereiniteit bereiken. Het is niet genoeg om alleen de fysieke locatie van data te controleren; we moeten ook de technologie zelf controleren. Open source is niet alleen een technische keuze — het is een politieke en ethische keuze voor vrijheid, transparantie en zelfbeschikking.