TER BESLUITVORMING
Nota actief openbaar
Ja

Aan
Van

Staatssecretaris Koninkrijksrelaties en Digitale Zaken
CIO Rijk

Onze referentie
2023-0000028464
Datum
12 januari 2023
Opgesteld door

Implementatiekader ‘risicoafweging cloudgebruik’, SO
Cloudbeleid en brief AP cloudbeleid

Samengewerkt met
Bijlage(n)
6

Aanleiding
Naar aanleiding van het Rijksbreed cloudbeleid 2022 zijn een aantal documenten
opgesteld, te weten het implementatiekader ‘risicoafweging cloudgebruik’, een
reactie op een schriftelijk overleg, en een brief in reactie op een brief van de AP
hierover. Het implementatiekader heeft u voor het kerstreces al goedgekeurd. U
heeft aangegeven de drie documenten als één pakket aan de Kamer te willen
aanbieden.
Geadviseerde besluiten
1. Akkoord met verzending van het implementatiekader ‘risicoafweging
cloudgebruik’ aan de Kamer (bijlage 1a).
2. Akkoord te gaan met de reactie op het schriftelijk overleg en deze te
verzenden aan de Kamer (bijlage 1b).
3. Akkoord te gaan met de brief in reactie op een brief van de AP en deze te
verzenden aan de Kamer (bijlagen 1c en 1d).
4. Akkoord met de voorgestelde verwerking van de toezegging van een brief
over het Trans-Atlantic Privacy Data Framework in het schriftelijk overleg.
De vier documenten zullen worden verzonden als bijlagen bij de bijgevoegde
oplegbrief (bijlage 1)
Kern
Implementatiekader: Het implementatiekader is een nadere uitwerking van het
cloudbeleid en volgt de scope van het cloudbeleid nauwgezet. Het kader is
verzonden aan u en parallel ook aan de ICBR, die vanwege het verplichtende
karakter van het kader ermee in moet stemmen. Op 20 december jl. is het
implementatiekader geaccordeerd door het ICBR. Op 23 december bent u met het
kader akkoord gegaan, en is afgesproken dit tegelijktijdig met de reactie op het
schriftelijk overleg en de beleidsreactie op de AP brief te verzenden.
Schriftelijk overleg: Het schriftelijk overleg is ontvangen op 3 november jl. en
bevatte rond de 120 vragen. De beantwoording is interdepartementaal tot stand
gekomen. MinEZK heeft aangegeven te willen dat deze brief mede namens EZK
wordt verzonden. In de concept-antwoorden wordt tevens een openstaande
toezegging rondom het Trans-Atlantic Privacy Data Framework voldaan.

Pagina 1 van 5

Brief AP: Op 11 november jl. is een brief m.b.t. het Rijksbreed cloudbeleid 2022
van de Autoriteit Persoonsgegevens (AP) ontvangen. De brief in reactie daarop is
in samenwerking met JenV tot stand gekomen.

Onze referentie
2023-0000028464
Datum
12 januari 2023

Toelichting
1. Implementatiekader ‘risicoafweging cloudgebruik’:
Het implementatiekader (bijlage 1a) is reeds geaccordeerd door het CIO-beraad
en is tevens op 20 december 2022 geaccordeerd door het ICBR. Op 23 december
bent u met het kader akkoord gegaan, en is afgesproken dit tegelijktijdig met de
reactie op het schriftelijk overleg en de beleidsreactie op de AP brief te
verzenden.
2. Schriftelijk overleg:
In het schriftelijk overleg zijn vragen gesteld en opmerkingen gemaakt door de
VVD, D66, CDA, SP, GroenLinks en Volt. Iedere vraag is separaat beantwoord. De
voorgestelde beantwoording vindt u in bijlage 1b. De beantwoording wordt ook
voorgelegd aan MinEZK voor akkoord. Na akkoord van u en MinEZK kan de reactie
worden verzonden.
Op hoofdlijnen komen vragen over de volgende categorieën bij (vrijwel) alle
fracties terug:
Vragen over het Rijksbreed cloudbeleid 2022 zelf, bijvoorbeeld over hoe
privacy- en veiligheidsrisico’s worden gemitigeerd.
Verhouding Rijksbreed cloudbeleid 2022, en toegang tot informatie door
buitenlandse overheden, waaronder de VS (Cloud Act).
Europese ontwikkelingen, zoals EU-regelgeving en trajecten.
De antwoorden zijn afgestemd intern BZK (inclusief AIVD), en ook met EZK en
JenV. Per hoofdlijn wordt nu beknopt de antwoordrichting geschetst.
Vragen over het Rijksbreed cloudbeleid:
Hier is geput uit de tekst van het cloudbeleid zelf en het
implementatiekader. Er wordt vaak gewezen op de plicht tot het
doorlopen van een risicoanalyse. Er wordt ook steeds benadrukt welke
gegevens wel en ook niet in de cloud mogen, zoals het feit dat
staatsgeheime informatie niet in de cloud mag, en bijzondere
persoonsgegevens niet, tenzij.
Rijksbreed cloudbeleid en toegang tot informatie door overheden:
Er wordt onderkend dat overheden wetgeving hebben die hun toegang
kan verschaffen tot informatie. In reactie wordt aangegeven dat ter
mitigatie van eventuele risico’s de eerder genoemde risicoanalyse dient,
en staatsgeheime informatie niet in de cloud mag. Voor
persoonsgegevens worden de te volgen processen en eisen zoals vervat in
het beleid en het implementatiekader toegelicht. (Zie ook volgend kopje
over de toezegging brief Trans-Atlantic Privacy Data Framework.)
Europese ontwikkelingen:
In de beantwoording op vragen hierover wordt onder meer ingegaan op
Europese regelgeving zoals de komende Digital Markets Act en de
Dataverordening. De Nederlandse steun voor en betrokkenheid bij
trajecten als GAIA-X worden ook benoemd, omdat we hiermee Europese
mogelijkheden stimuleren.

Pagina 2 van 5

Vragen die vallen buiten de hiervoor genoemde hoofdlijnen zijn per keer gericht
beantwoord op basis van bestaande beleid, en afgestemd met dossierhouders
binnen of buiten BZK waar nodig. Een tweetal voorbeelden hiervan zijn:
Vragen over het economisch model van cloudaanbieders. In reactie wordt
aangegeven dat er contractuele afspraken gemaakt zullen worden over
noodzakelijke en proportionele toegang en gebruik van data.
Vragen over energie-efficiëntie: er wordt bevestigd dat dit een belangrijk
punt is, en al onderdeel is van het Rijksinkoopbeleid.

Onze referentie
2023-0000028464
Datum
12 januari 2023

Toezegging brief Trans-Atlantic Privacy Data Framework
In het Commissiedebat digitaliserende overheid van 5 oktober jl. heeft u de
toezegging gedaan om de Kamer (Van Weerdenburg) een brief te sturen rondom
het Trans-Atlantic Privacy Data Framework. Dit is VS beleid in relatie tot de Cloud
Act. Een door Volt1 gestelde vraag gaat hier ook op in. De vraag en het antwoord
staan op pagina 31 van het schriftelijk overleg, en ook ter info in bijlage 2 bij
deze nota. Het antwoord op deze vraag is afgestemd met JenV. Er wordt
voorgesteld dat met dit antwoord de toezegging wordt afgedaan.
3. Brief AP
Op 11 november jl. heeft de AP, volgend op een gesprek met u, een brief
gestuurd in reactie op het Rijksbreed cloudbeleid 2022 (bijlage 1d). Deze brief is
ook op de website van AP gepubliceerd en daarmee openbaar. Een reactie
namens u op deze brief vindt u ter akkoord als bijlage 1c. De reactie is afgestemd
met JenV. Na akkoord zal deze brief als onderdeel van het gehele pakket aan de
Kamer worden gestuurd.
De AP geeft in haar brief drie adviezen ten aanzien van het Rijksbreed cloudbeleid
2022:
1. Het vollediger adresseren van de privacyrisico’s en dit leidend maken bij
de vraag of een clouddienst rechtmatig kan worden ingezet;
2. Nadrukkelijker adresseren van de specifieke risico’s die spelen bij de
doorgifte van persoonsgegevens naar landen buiten de EER; en
3. Verzekeren van de uitvoering van het Rijksbreed cloudbeleid 2022 om te
voorkomen dat de privacyrisico’s niet, of onvoldoende worden
geïdentificeerd door overheidsinstellingen.
Hieronder volgt beknopt de gekozen antwoordrichting per advies:
1. T.a.v. het vollediger adresseren van privacyrisico’s:
Het Rijksbreed cloudbeleid 2022 stelt aanvullende voorwaarden vast voor
het gebruik van de public cloud. Overige wet- en regelgeving, maar in het
bijzonder de AVG, blijven onverkort van toepassing.
2. T.a.v. doorgifte van persoonsgegevens naar landen buiten de EER:
In het implementatiekader zijn specifieke risico’s t.a.v. de doorgifte van
persoonsgegevens naar landen buiten de EER meegenomen, waaronder
het uitvoeren van Data Transfer Impact Assessments (DTIA’s).
1

De leden van de Volt-fractie vragen hoe de staatssecretaris oordeelt over de spanning
tussen de Europese AVG en de Amerikaanse Cloud Act. Op basis van de AVG moeten
immers afspraken gemaakt worden over de verwerking van persoonsgegevens met
derdelanden en tussen verantwoordelijken en verwerkers, maar die contractuele afspraken
houden in principe geen stand tegenover de verplichting in de Cloud Act om gegevens te
delen met de Amerikaanse overheid. Is het wel mogelijk om aan de Europese wettelijke
verplichtingen te voldoen en tegelijkertijd gegevens bij de Amerikaanse partij op te slaan?
Pagina 3 van 5

3. T.a.v. het verzekeren van de uitvoering van het Rijksbreed cloudbeleid
2022:
Met het implementatiekader en de nog te ontwikkelen handreiking worden
overheidsinstellingen ondersteund bij o.a. het uitvoeren van het
Rijksbreed cloudbeleid 2022 en het adequaat identificeren van
privacyrisico’s.

Onze referentie
2023-0000028464
Datum
12 januari 2023

Politieke context
Het Rijksbreed cloudbeleid heeft bij de Kamer tot veel interesse geleid. Op 20
oktober is over het Rijksbreed cloudbeleid 2022 een technische briefing verzorgd
door CIO Rijk met EZK.
Financiële/juridische overwegingen
Nvt
Krachtenveld
Nvt
Strategie
Nvt
Uitvoering
Nvt
Communicatie
Het schriftelijk overleg en/of de reactie op de brief van AP kan mogelijk leiden tot
aandacht vanuit de Kamer of (vak)media. Hierop is met woordvoering voorbereid.
Informatie die niet openbaar gemaakt kan worden

Motivering
In de openbaar gemaakte versie van deze nota zijn alle persoonsgegevens van
ambtenaren geanonimiseerd.

Bijlagen
Volgnummer

Naam

1

Oplegbrief

1a

Implementatiekader
‘risicoafweging cloudbeleid’

1b

Antwoorden Schriftelijk Overleg

1c

Reactie BZK op brief AP

1d

Brief AP dd 11-11-2022

Informatie

Pagina 4 van 5

2

Vraag in reactie op toezegging
brief Trans-Atlantic Privacy
Framework

Onze referentie
2023-0000028464
Datum
12 januari 2023

Pagina 5 van 5