Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»?1 Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat het UWV en de SVB, die BNR met vijftien andere overheidsorganisaties onder de loep heeft genomen,2 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverwegen? Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Ja. SZW (inclusief de Nederlandse Arbeidsinspectie), UWV en de SVB volgen de geopolitieke ontwikkelingen en de reacties vanuit de Tweede Kamer en de demissionair Minister van Binnenlandse Zaken en Koninkrijksrelaties nauwgezet. De herziening van het rijksbreed cloudbeleid zal leiden tot een herziening van het eigen cloudbeleid. Aan de hand van het herziene beleid worden de keuzes voor digitale middelen geëvalueerd. Voor de UWV en SVB geldt dat zij niet vallen onder het rijkscloudbeleid, maar wel de belangrijke elementen uit het rijkscloudbeleid overnemen in hun eigen cloudbeleid.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Voor SZW geldt dat er geen processen, registers, (mail)communicatiediensten en/of organisatieonderdelen zijn ondergebracht in de public cloud van Amerikaanse dienstverleners. SZW maakt wel gebruik van een aantal softwareleveranciers die applicaties als SaaS (Software as a Service) oplossing leveren en daarbij gebruik maken van Amerikaanse clouddienstverleners. Dit betreft diverse nuttige tools, websites en een tiental toepassingen ter ondersteuning van processen voor de primaire taak van de organisatie. Verder maakt SZW gebruik van de rijkswerkplek, inclusief communicatiediensten, die door SSC-ICT (BZK) wordt geleverd.
UWV maakt gebruik van dienstverlening van Microsoft volgens de afspraken van SLM (Strategisch Leveranciersmanagement) Microsoft Rijk voor kantoorautomatisering. Daarnaast wordt er voor enkele niet-primaire processen gebruik gemaakt van ondersteunende software van een Amerikaanse leverancier.
De SVB gebruikt in beperkte mate clouddiensten voor primaire processen waar het risicoprofiel dat toestaat. Voor de secundaire processen wordt gebruik gemaakt van clouddiensten voor publicatieprocessen, communicatiediensten, samenwerkingsprocessen, datawarehouse-/ business intelligenceprocessen, en IT-systeemontwikkelprocessen.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20243 is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
SZW heeft geen geplande of voorgenomen migratie naar clouddiensten van Amerikaanse dienstverleners, zoals ook gecommuniceerd in de kamerbrief van november vorig jaar.
UWV maakt gebruik van verschillende Microsoft clouddiensten, waarbij een traject richting het gebruik van een vernieuwd CRM (Customer Relationship Management)-systeem voor toepassing binnen de dienstverlening van UWV zich in implementatie bevindt. Ook heeft UWV onlangs een aanbesteding voor een nieuwe ERP (Enterprise Resource Planning)-systeem gepubliceerd. Cloudgebruik vormt hierin een belangrijk uitgangspunt.
De SVB voorziet op dit moment geen grootschalige nieuwe migraties naar clouddiensten van Amerikaanse dienstverleners. Wel wordt op dit moment ingezet op Azure cloud voor de uitwijkvoorziening voor de kleine regeling van Verzetsstrijders en oorlogsslachtoffers (V&O). Er wordt daarnaast voortgebouwd op het bestaande gebruik van Microsoft 365 en Azure, binnen de kaders van het centrale Rijkscontract. Hiertoe is de SVB genoodzaakt omdat er geen alternatieven in infrastructuur zijn.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Voor SZW geldt dat de gevolgen van eventuele uitval van de dienstverlening hoogstwaarschijnlijk te ondervangen is door een andere werkwijze waarbij de impact voor de burgers en samenleving klein is. Ook is binnen SZW een programma digitale weerbaarheid gestart om dergelijke risico’s verder te mitigeren.
UWV is voor de continuïteit van zijn dienstverlening afhankelijk van IT-dienstverleners. Om mogelijke problemen te ondervangen zijn in het kader van Business Continuity Management samen met SZW, ketenpartners en leveranciers crisisplannen opgesteld om essentiële bedrijfsprocessen te blijven uitvoeren, ondanks externe afhankelijkheden. In het licht van de toegenomen aandacht voor digitale weerbaarheid heeft UWV zijn inzet op Business Continuity Management geïntensiveerd.
Voor de SVB geldt dat de informatiesystemen voor de uitvoering van de verschillende wetten en regelingen zelf niet in de publieke cloud draaien, met uitzondering van de kleinschalige regeling V&O. Een abrupte ontzegging van toegang tot Amerikaanse clouddiensten raakt wel essentiële ondersteunende processen zoals e-mail, samenwerking (via Teams), documentuitwisseling, ontwikkelomgevingen, web portalen en securitymonitoring en leidt daarmee tot verstoring in de dienstverlening. Bovendien wordt een deel van de communicatiestructuur getroffen. De huidige regelingen worden met het kernsysteem buiten de cloud uitgevoerd.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.4
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.
SZW volgt het rijkscloudbeleid, waarin altijd een risicoafweging wordt gemaakt. Op dit moment is geen sprake van opslag van bijzondere persoonsgegevens in de public cloud van Amerikaanse dienstverleners buiten de Europese Economische Ruimte (EER).
Ook UWV volgt, hoewel niet verplicht voor zbo’s, het Rijksbrede cloudbeleid en bijbehorende voorwaarden met bijbehorende risicoafweging voor gebruik van clouddiensten. Opslag en verwerking van persoonsgegevens vindt plaats conform geldende privacy-vereisten uit de Algemene verordening gegevensbescherming (AVG). UWV hanteert binnen het primaire proces als beleidsuitgangspunt dat persoonsgegevens in zaakdossiers verwerkt worden. Op dit moment worden voor zover UWV bekend zaakdossiers enkel binnen de EER verwerkt.
De SVB is zich bewust van de risico’s die voortvloeien uit Amerikaanse wetgeving. Daarom worden binnen publieke clouddiensten van Amerikaanse aanbieders géén bijzondere persoonsgegevens verwerkt. Bij het gebruik van Azure kiest de SVB expliciet voor datacenters binnen de EU, conform het principe van datalokalisatie. De continuïteit van de dienstverlening is maatschappelijk relevant, wat aanleiding is voor zorgvuldige inzet van digitale infrastructuur en leveranciersbinding.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s.3 die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
SZW, UWV en de SVB kijken heel zorgvuldig naar de risico’s, en hebben geen migraties stopgezet of heroverwogen naar aanleiding van de motie.

Vraag 8

Hoe geven uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s.4 die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

SZW, UWV en de SVB volgen de geopolitieke ontwikkelingen en de reacties vanuit de Tweede Kamer en de demissionair Minister van BZK nauwgezet. Dit zal leiden tot een herziening van het rijkscloudbeleid en daarmee ook aanscherping van het eigen cloudbeleid van SZW, UWV en de SVB en strikte toetsing op elke voorgenomen uitbreiding.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en / of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Zie vraag 5.
Bij het antwoord op vraag 5 zijn de overwegingen uiteengezet. SZW volgt het herziene rijksbrede cloudbeleid.

Vraag 10

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon»5 van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»?1

Ja.

Vraag 2

Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 3

Kunt u bevestigen dat Dienst Uitvoering Onderwijs (DUO), die Business News Radio (BNR) met zestien andere overheidsorganisaties onder de loep heeft genomen, de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverweegt? Zo ja, kunt u dit besluit onderbouwen?2

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Het Ministerie van OCW volgt de ontwikkelingen en de reacties vanuit de Tweede Kamer, de Staatssecretaris Digitalisering (BZK) en CIO Rijk nauwgezet. Dit zal leiden tot een herziening van het Rijkscloudbeleid en het OCW Cloudbeleid wat na de zomer wordt verwacht. Het OCW Cloudbeleid is een afgeleide van het Rijkscloudbeleid en vertaalt dit beleid naar de OCW specifieke situatie. Aan de hand daarvan zal OCW de keuzes die OCW (inclusief DUO) heeft gemaakt en nog gaat maken evalueren/heroverwegen.

Vraag 4

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen, die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Binnen het Ministerie van OCW zijn geen primaire processen of registers ondergebracht in de cloud van Amerikaanse dienstverleners. Wel is de werkplek van OCW afhankelijk van Amerikaanse producten. Overheidsdata die met behulp van Amerikaanse producten, zoals die van Microsoft, worden geproduceerd, zijn voornamelijk in de eigen OCW-infrastructuur opgeslagen. OCW heeft de keus voor de Amerikaanse producten destijds zorgvuldig afgewogen tegen het huidige Rijkscloudbeleid en OCW Cloudbeleid en die keus voldoet dan ook aan dit beleid.
Hiernaast wordt op korte termijn binnen het Ministerie van OCW een klantcontactsysteem (Microsoft Dynamics 365) gebruikt door DUO welke ondergebracht is in de cloud van een Amerikaanse dienstverlener.
Met inachtneming van de reactie op de moties van 18 maart 20253, wordt nu extra aandacht besteed aan bijvoorbeeld concrete exit-strategieën.

Vraag 5

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, DUO en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20244is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
In bovengenoemde kamerbrief heeft OCW aangegeven bezig te zijn met het verder implementeren van (cloud) functionaliteiten van de werkplek. Op dit moment is de implementatie nog in onderzoek en zijn geen besluiten genomen.

Vraag 6

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, DUO en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de aanscherping van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich deze kabinetsperiode in voor het realiseren van een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Bij ontzegging van gebruik van niet-Europese producten zal de ICT van vrijwel alle primaire processen en de werkplek-omgeving niet meer beschikbaar zijn. Daarmee kan OCW de digitale dienstverlening niet meer garanderen. OCW zal dan zo snel mogelijk alternatieven moeten implementeren. Dit zal veel tijd kosten. Dit geldt voor vrijwel alle overheidsorganisaties.

Vraag 7

Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving?

Zie vraag 6.

Vraag 8

Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

Zie vraag 6.

Vraag 9

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, DUO en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.5
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 10

Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Zie vraag 9.

Vraag 11

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie van het lid Kathmann c.s. die hiertoe oproept?3

Bij iedere migratie naar de public cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.

Vraag 12

Hoe geven uw departement, DUO en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie van het lid Six Dijkstra c.s. die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?4

Zie vraag 5.
Deze doelstelling wordt gehanteerd bij inrichting van de digitale dienstverlening.
OCW volgt de ontwikkelingen en de reacties vanuit de Tweede Kamer, de Staatssecretaris Digitalisering en CIO Rijk nauwgezet. De geopolitieke ontwikkelingen en de moties in de Tweede Kamer leiden binnen OCW al tot een andere risico-inschatting van aanbieders en levering van ICT-producten en -diensten.

Vraag 13

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, DUO en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en/of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

OCW maakt voor al haar technologiekeuzes een weloverwogen afweging op basis van kaders vanuit beleid, risico’s en bedrijfsbehoeften. Het te herziene rijksbrede cloudbeleid is voor OCW hierin van grote waarde om toekomstige keuzes vorm te geven. OCW zal strategische autonomie van Nederland en Europa bevorderen.

Vraag 14

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» van 2 juni 2025?5

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»1? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat Rijkswaterstaat, die BNR met zestien andere overheidsorganisaties onder de loep heeft genomen,2 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverweegt? Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Sinds december 2023 geldt er bij Rijkswaterstaat een cloud freeze. Dit betekent dat het uitgangspunt is dat er geen data, e-mail en applicaties naar de publieke cloud gaan. In oktober 2024 heeft Rijkswaterstaat de nieuwe ICT Strategie 2025–2030 vastgesteld. Bij RWS geldt het beleid dat missie-kritische systemen en bedrijfskritische systemen niet in de publieke cloud worden geplaatst.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Het Ministerie van Infrastructuur en Waterstaat maakt voor kantoortoepassingen onder andere gebruik van Microsoft 365 diensten (videoconferencing en voor een klein deel van de organisatie ook e-mail). Data blijven daarbij zoveel als enigszins mogelijk opgeslagen in eigen datacenters (bestanden, document management, samenwerkfunctionaliteit). Dit zijn diensten die worden aangeboden door Shared Service Centers (SSC’s) van de Rijksoverheid. Voor een aantal onderzoekstoepassingen en een aantal websites wordt gebruik gemaakt van clouddiensten op Microsoft Azure en Amazon Webservices (AWS). Voor deze diensten die nu in de cloud bij Amerikaanse dienstverleners zijn ondergebracht worden de afhankelijkheden verder onderzocht om maatregelen te kunnen treffen conform cloudbeleid en implementatiekader.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20243is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland.4 Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
Er zijn bij het Ministerie van Infrastructuur en Waterstaat geen nieuwe migraties gepland sinds de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
Verschillende ZBO’s hebben een sourcing strategie waar Amerikaanse cloudleveranciers een rol in spelen. Zij zijn niet gehouden aan het Rijksbreed cloudbeleid maar geven wel aan gebruik van het IenW cloudbeleid, waarin de regelingen van het Rijksbreed cloudbeleid en Implementatiekader zijn opgenomen.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Het Ministerie van Infrastructuur en Waterstaat neemt, net als andere departementen, diverse ICT-producten en diensten af van verschillende IT-leveranciers, waaronder Amerikaanse. Indien de toegang tot deze diensten wordt ontzegd heeft dit impact op de continuïteit van een aantal processen en dienstverlening. Naar aanleiding van de geopolitieke ontwikkelingen zet het Ministerie van Infrastructuur en Waterstaat, samen met het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, in op het aanscherpen van het Rijksbreed cloudbeleid, de beleidskaders voor digitale autonomie en soevereiniteit van de overheid en de IT-sourcingstrategie Rijk. Ook zet het Ministerie van Infrastructuur en Waterstaat, naast het verder onderzoeken van afhankelijkheden en het verder doorontwikkelen van bestaande exit-strategieën, samen met BZK in op het realiseren en in gebruik nemen van een soevereine overheidscloud als alternatief voor public clouddiensten.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.5
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s.3 die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
In lijn met de I-strategie van IenW en de ICT Strategie 2025–2030 van Rijkswaterstaat, ligt de focus op de bouw van een soevereine overheidscloud in eigen datacenter(s).

Vraag 8

Hoe geven uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s.4 die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Zie vraag 5.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en/of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Zie vraag 5.

Vraag 10

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» (Kamerstuk 36 574) van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer» (BNR, 20 mei 2025)? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat de Dienst Justitiële Inrichtingen (DJI), de Immigratie- en Naturalisatiedienst (IND) en het Centraal Justitieel Incassobureau (CJIB), die BNR met veertien andere overheidsorganisaties onder de loep heeft genomen,1 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverwegen? Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en / of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Op dit moment wordt er zeer beperkt gebruik gemaakt van clouddiensten van Amerikaanse dienstverleners.
Het Ministerie van Justitie en Veiligheid maakt voor de digitale werkplek gebruik van Microsoft 365-diensten. Deze worden niet in de online (cloud) variant afgenomen, maar als lokaal geïnstalleerde applicaties op de desktop (bij managed laptops) of als centrale applicaties via het OverheidsDataCenter (ODC) bij Citrix-werkplekken. Bestanden die in deze applicaties worden gemaakt, worden opgeslagen op de lokale schijf en/of op het ODC. Deze diensten worden conform de rijksbrede kaders ingezet, met een inrichting die specifiek is afgestemd op de beveiligings- en privacy vereisten van het Ministerie van JenV. Microsoft Teams wordt enkel gebruikt voor videoconferencing en chat.
Alle gebruikte digitale voorzieningen worden voortdurend gemonitord en waar nodig aangepast op basis van actuele dreigingen en technologische ontwikkelingen.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20242 is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland.3 Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
Momenteel loopt de vernieuwing van de oude werkplekvoorzieningen van o.a. DJI, IND en CJIB naar een toekomstige moderne werkplek voorziening. Hierin wordt het gebruik van MS365 inclusief de online producten als Teams-online onderzocht en worden de opties tussen on-premise en cloudvoorzieningen vergeleken.
Het Ministerie van JenV participeert tevens in het interdepartementale programma Beter Samenwerken (BSW) waarin het beoogde gebruik van MS Teams in de werkomgeving wordt heroverwogen.
De herziening van het rijksbreed cloudbeleid geeft aanleiding tot het te zijner tijd, conform Rijksbeleid, aanscherpen en aanpassen van het departementale cloudbeleid. In de tussentijd heeft het Ministerie van JenV een aanvullende tijdelijke Bestuurlijke Beleidslijn Cloud voor het Ministerie van Justitie en Veiligheid en Ministerie van Asiel en Migratie vastgesteld, waarin voorgenomen migraties moeten worden heroverwogen. Deze tijdelijke beleidslijn is van kracht zolang het nieuwe Rijks cloudbeleid nog niet is vastgesteld.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
De genoemde risico’s kunnen gemitigeerd worden door verschillende acties te ondernemen. Zo kan via Strategisch Leveranciersmanagement Rijk (SLM Rijk) de contractuele afspraken met de Amerikaanse leveranciers worden aangescherpt. Daarnaast is SLM Rijk voornemens een contractueel framework voor Europese alternatieven te realiseren; momenteel loopt er een Data Protection Impact Assessment (DPIA) op de clouddiensten van Stackit, een Duitse cloudprovider.
Een te grote afhankelijkheid van één of een enkele marktpartij is ongewenst. In de afweging welke data we in eigen beheer verwerken en wat in de public cloud moeten risicovolle strategische afhankelijkheden én marktconcentraties worden meegewogen.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, de DJI, de IND, het CJIB en en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.4
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.
SLM Rijk voert met regelmatig DPIA’s uit op de diensten van Microsoft, Google Cloud en AWS en heeft daarbij ook specifiek gekeken naar internationale doorgifte van persoonsgegevens (er is een zogeheten Data Transfer Impact Assessment (DTIA) uitgevoerd). Hierbij is rekening gehouden met de mogelijkheid dat gegevens toegankelijk zijn voor de Amerikaanse overheid op basis van met de AVG conflicterende Amerikaanse wetgeving.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s. (Kamerstuk 26 643, nr. 1315) die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2 en 4.

Vraag 8

Hoe geven uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s. (Kamerstuk 6643, nr. 1320) die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Het Ministerie van JenV zet, onder coördinatie van het Ministerie van BZK in op het herziening van het Rijksbreed cloudbeleid, de beleidskaders voor digitale autonomie en soevereiniteit van de overheid en de IT-sourcingstrategie Rijk. Momenteel worden mogelijkheden verkent die als alternatief kunnen worden ingezet om de continuïteit niet enkel afhankelijk te laten zijn van partijen uit de VS.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en / of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Het Ministerie van JenV en AenM zijn op dit moment bezig met een heroverweging, zie antwoorden op vraag 2, 4 en 8.
Het bevorderen van de strategische autonomie van Nederland en / of Europa staat vol op het netvlies. Het is in deze fase echter niet haalbaar en mogelijk om op korte termijn te realiseren. Ook zal het gepaard gaan met aanzienlijke kosten en realisatie inspanningen.
Om die reden zal afhankelijkheid van Amerikaanse Techgiganten vooralsnog blijven bestaan.

Vraag 10

Kunt u de Autoriteit Persoonsgegevens, als onafhankelijke autoriteit, vragen of zij bereid is om zelfstandig te reageren op vragen 2, 4, 5, 6, 8 en 9?

Ik heb uw verzoek doorgeleid naar de Autoriteit Persoonsgegevens.

Vraag 11

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» (Kamerstuk 36 574) van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»?1 Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat het UWV en de SVB, die BNR met vijftien andere overheidsorganisaties onder de loep heeft genomen,2 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverwegen? Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Ja. SZW (inclusief de Nederlandse Arbeidsinspectie), UWV en de SVB volgen de geopolitieke ontwikkelingen en de reacties vanuit de Tweede Kamer en de demissionair Minister van Binnenlandse Zaken en Koninkrijksrelaties nauwgezet. De herziening van het rijksbreed cloudbeleid zal leiden tot een herziening van het eigen cloudbeleid. Aan de hand van het herziene beleid worden de keuzes voor digitale middelen geëvalueerd. Voor de UWV en SVB geldt dat zij niet vallen onder het rijkscloudbeleid, maar wel de belangrijke elementen uit het rijkscloudbeleid overnemen in hun eigen cloudbeleid.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Voor SZW geldt dat er geen processen, registers, (mail)communicatiediensten en/of organisatieonderdelen zijn ondergebracht in de public cloud van Amerikaanse dienstverleners. SZW maakt wel gebruik van een aantal softwareleveranciers die applicaties als SaaS (Software as a Service) oplossing leveren en daarbij gebruik maken van Amerikaanse clouddienstverleners. Dit betreft diverse nuttige tools, websites en een tiental toepassingen ter ondersteuning van processen voor de primaire taak van de organisatie. Verder maakt SZW gebruik van de rijkswerkplek, inclusief communicatiediensten, die door SSC-ICT (BZK) wordt geleverd.
UWV maakt gebruik van dienstverlening van Microsoft volgens de afspraken van SLM (Strategisch Leveranciersmanagement) Microsoft Rijk voor kantoorautomatisering. Daarnaast wordt er voor enkele niet-primaire processen gebruik gemaakt van ondersteunende software van een Amerikaanse leverancier.
De SVB gebruikt in beperkte mate clouddiensten voor primaire processen waar het risicoprofiel dat toestaat. Voor de secundaire processen wordt gebruik gemaakt van clouddiensten voor publicatieprocessen, communicatiediensten, samenwerkingsprocessen, datawarehouse-/ business intelligenceprocessen, en IT-systeemontwikkelprocessen.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20243 is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
SZW heeft geen geplande of voorgenomen migratie naar clouddiensten van Amerikaanse dienstverleners, zoals ook gecommuniceerd in de kamerbrief van november vorig jaar.
UWV maakt gebruik van verschillende Microsoft clouddiensten, waarbij een traject richting het gebruik van een vernieuwd CRM (Customer Relationship Management)-systeem voor toepassing binnen de dienstverlening van UWV zich in implementatie bevindt. Ook heeft UWV onlangs een aanbesteding voor een nieuwe ERP (Enterprise Resource Planning)-systeem gepubliceerd. Cloudgebruik vormt hierin een belangrijk uitgangspunt.
De SVB voorziet op dit moment geen grootschalige nieuwe migraties naar clouddiensten van Amerikaanse dienstverleners. Wel wordt op dit moment ingezet op Azure cloud voor de uitwijkvoorziening voor de kleine regeling van Verzetsstrijders en oorlogsslachtoffers (V&O). Er wordt daarnaast voortgebouwd op het bestaande gebruik van Microsoft 365 en Azure, binnen de kaders van het centrale Rijkscontract. Hiertoe is de SVB genoodzaakt omdat er geen alternatieven in infrastructuur zijn.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Voor SZW geldt dat de gevolgen van eventuele uitval van de dienstverlening hoogstwaarschijnlijk te ondervangen is door een andere werkwijze waarbij de impact voor de burgers en samenleving klein is. Ook is binnen SZW een programma digitale weerbaarheid gestart om dergelijke risico’s verder te mitigeren.
UWV is voor de continuïteit van zijn dienstverlening afhankelijk van IT-dienstverleners. Om mogelijke problemen te ondervangen zijn in het kader van Business Continuity Management samen met SZW, ketenpartners en leveranciers crisisplannen opgesteld om essentiële bedrijfsprocessen te blijven uitvoeren, ondanks externe afhankelijkheden. In het licht van de toegenomen aandacht voor digitale weerbaarheid heeft UWV zijn inzet op Business Continuity Management geïntensiveerd.
Voor de SVB geldt dat de informatiesystemen voor de uitvoering van de verschillende wetten en regelingen zelf niet in de publieke cloud draaien, met uitzondering van de kleinschalige regeling V&O. Een abrupte ontzegging van toegang tot Amerikaanse clouddiensten raakt wel essentiële ondersteunende processen zoals e-mail, samenwerking (via Teams), documentuitwisseling, ontwikkelomgevingen, web portalen en securitymonitoring en leidt daarmee tot verstoring in de dienstverlening. Bovendien wordt een deel van de communicatiestructuur getroffen. De huidige regelingen worden met het kernsysteem buiten de cloud uitgevoerd.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.4
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.
SZW volgt het rijkscloudbeleid, waarin altijd een risicoafweging wordt gemaakt. Op dit moment is geen sprake van opslag van bijzondere persoonsgegevens in de public cloud van Amerikaanse dienstverleners buiten de Europese Economische Ruimte (EER).
Ook UWV volgt, hoewel niet verplicht voor zbo’s, het Rijksbrede cloudbeleid en bijbehorende voorwaarden met bijbehorende risicoafweging voor gebruik van clouddiensten. Opslag en verwerking van persoonsgegevens vindt plaats conform geldende privacy-vereisten uit de Algemene verordening gegevensbescherming (AVG). UWV hanteert binnen het primaire proces als beleidsuitgangspunt dat persoonsgegevens in zaakdossiers verwerkt worden. Op dit moment worden voor zover UWV bekend zaakdossiers enkel binnen de EER verwerkt.
De SVB is zich bewust van de risico’s die voortvloeien uit Amerikaanse wetgeving. Daarom worden binnen publieke clouddiensten van Amerikaanse aanbieders géén bijzondere persoonsgegevens verwerkt. Bij het gebruik van Azure kiest de SVB expliciet voor datacenters binnen de EU, conform het principe van datalokalisatie. De continuïteit van de dienstverlening is maatschappelijk relevant, wat aanleiding is voor zorgvuldige inzet van digitale infrastructuur en leveranciersbinding.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s.3 die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
SZW, UWV en de SVB kijken heel zorgvuldig naar de risico’s, en hebben geen migraties stopgezet of heroverwogen naar aanleiding van de motie.

Vraag 8

Hoe geven uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s.4 die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

SZW, UWV en de SVB volgen de geopolitieke ontwikkelingen en de reacties vanuit de Tweede Kamer en de demissionair Minister van BZK nauwgezet. Dit zal leiden tot een herziening van het rijkscloudbeleid en daarmee ook aanscherping van het eigen cloudbeleid van SZW, UWV en de SVB en strikte toetsing op elke voorgenomen uitbreiding.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, het UWV, de SVB en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en / of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Zie vraag 5.
Bij het antwoord op vraag 5 zijn de overwegingen uiteengezet. SZW volgt het herziene rijksbrede cloudbeleid.

Vraag 10

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon»5 van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»?1

Ja.

Vraag 2

Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 3

Kunt u bevestigen dat Dienst Uitvoering Onderwijs (DUO), die Business News Radio (BNR) met zestien andere overheidsorganisaties onder de loep heeft genomen, de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverweegt? Zo ja, kunt u dit besluit onderbouwen?2

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Het Ministerie van OCW volgt de ontwikkelingen en de reacties vanuit de Tweede Kamer, de Staatssecretaris Digitalisering (BZK) en CIO Rijk nauwgezet. Dit zal leiden tot een herziening van het Rijkscloudbeleid en het OCW Cloudbeleid wat na de zomer wordt verwacht. Het OCW Cloudbeleid is een afgeleide van het Rijkscloudbeleid en vertaalt dit beleid naar de OCW specifieke situatie. Aan de hand daarvan zal OCW de keuzes die OCW (inclusief DUO) heeft gemaakt en nog gaat maken evalueren/heroverwegen.

Vraag 4

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen, die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Binnen het Ministerie van OCW zijn geen primaire processen of registers ondergebracht in de cloud van Amerikaanse dienstverleners. Wel is de werkplek van OCW afhankelijk van Amerikaanse producten. Overheidsdata die met behulp van Amerikaanse producten, zoals die van Microsoft, worden geproduceerd, zijn voornamelijk in de eigen OCW-infrastructuur opgeslagen. OCW heeft de keus voor de Amerikaanse producten destijds zorgvuldig afgewogen tegen het huidige Rijkscloudbeleid en OCW Cloudbeleid en die keus voldoet dan ook aan dit beleid.
Hiernaast wordt op korte termijn binnen het Ministerie van OCW een klantcontactsysteem (Microsoft Dynamics 365) gebruikt door DUO welke ondergebracht is in de cloud van een Amerikaanse dienstverlener.
Met inachtneming van de reactie op de moties van 18 maart 20253, wordt nu extra aandacht besteed aan bijvoorbeeld concrete exit-strategieën.

Vraag 5

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, DUO en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20244is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
In bovengenoemde kamerbrief heeft OCW aangegeven bezig te zijn met het verder implementeren van (cloud) functionaliteiten van de werkplek. Op dit moment is de implementatie nog in onderzoek en zijn geen besluiten genomen.

Vraag 6

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, DUO en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de aanscherping van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich deze kabinetsperiode in voor het realiseren van een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Bij ontzegging van gebruik van niet-Europese producten zal de ICT van vrijwel alle primaire processen en de werkplek-omgeving niet meer beschikbaar zijn. Daarmee kan OCW de digitale dienstverlening niet meer garanderen. OCW zal dan zo snel mogelijk alternatieven moeten implementeren. Dit zal veel tijd kosten. Dit geldt voor vrijwel alle overheidsorganisaties.

Vraag 7

Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving?

Zie vraag 6.

Vraag 8

Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

Zie vraag 6.

Vraag 9

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, DUO en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.5
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 10

Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Zie vraag 9.

Vraag 11

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie van het lid Kathmann c.s. die hiertoe oproept?3

Bij iedere migratie naar de public cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.

Vraag 12

Hoe geven uw departement, DUO en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie van het lid Six Dijkstra c.s. die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?4

Zie vraag 5.
Deze doelstelling wordt gehanteerd bij inrichting van de digitale dienstverlening.
OCW volgt de ontwikkelingen en de reacties vanuit de Tweede Kamer, de Staatssecretaris Digitalisering en CIO Rijk nauwgezet. De geopolitieke ontwikkelingen en de moties in de Tweede Kamer leiden binnen OCW al tot een andere risico-inschatting van aanbieders en levering van ICT-producten en -diensten.

Vraag 13

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, DUO en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en/of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

OCW maakt voor al haar technologiekeuzes een weloverwogen afweging op basis van kaders vanuit beleid, risico’s en bedrijfsbehoeften. Het te herziene rijksbrede cloudbeleid is voor OCW hierin van grote waarde om toekomstige keuzes vorm te geven. OCW zal strategische autonomie van Nederland en Europa bevorderen.

Vraag 14

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» van 2 juni 2025?5

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het feit dat ernstige zedendelicten tegen minderjarigen op de BES-eilanden (Bonaire, Sint Eustatius en Saba) nog steeds kunnen verjaren, in tegenstelling tot dezelfde delicten in Europees Nederland?

Ja.

Vraag 2

Klopt het dat in Europees Nederland sinds 2013 geen verjaringstermijn meer geldt voor ernstige zedenmisdrijven tegen minderjarigen, juist om slachtoffers de ruimte te geven op hun eigen tempo aangifte te doen?

Ja, sinds de inwerkingtreding van de Wet aanpassing van de regeling van de vervolgingsverjaring op 1 april 2013 is geregeld dat misdrijven met een strafmaximum van twaalf jaar of meer niet meer verjaren (artikel 70, tweede lid, onderdeel 1°, Sr).1 In aanvulling op deze hoofdregel is de vervolgingsverjaring ook opgeheven ten aanzien van een aantal specifieke seksuele misdrijven gepleegd tegen minderjarigen waarop gevangenisstraf van minder dan twaalf jaren is gesteld (artikel 70, tweede lid, onderdeel 2°, Sr). Het ging destijds om ernstige misdrijven waarop een maximale gevangenisstraf van acht jaar of meer was gesteld. De achtergrond voor deze bijzondere verjaringsregeling voor ernstige seksuele misdrijven gepleegd tegen minderjarigen was inderdaad dat er soms ruime tijd voorbij gaat voordat slachtoffers naar buiten treden met hun verhaal.2
In de Wet seksuele misdrijven die op 1 juli 2024 in werking is getreden, is de verjaringsregeling voor seksuele misdrijven tegen kinderen verder aangescherpt. De ondergrens voor het niet verjaren van seksuele misdrijven gepleegd tegen kinderen is verlaagd naar misdrijven waarop een maximale gevangenisstraf van zes jaar of meer is gesteld. Hierdoor verjaart het recht tot strafvordering voor onder andere het delict kinderpornografie (artikel 252 Sr) niet meer.3

Vraag 3

Kunt u bevestigen dat op de BES-eilanden voor ernstige zedendelicten tegen kinderen – zoals verkrachting – nog een verjaringstermijn van twaalf jaar geldt? Zo ja, waarom is deze ongelijke behandeling nog steeds van kracht?

Ja. Op basis van artikel 72, onderdeel 3°, van het Wetboek van Strafrecht BES vervalt het recht tot strafvordering door verjaring in twaalf jaren voor alle misdrijven waarop tijdelijke gevangenisstraf van meer dan drie jaren is gesteld. Ernstige seksuele misdrijven begaan tegen kinderen, zoals verkrachting (artikelen 250 en 251 Sr BES), vallen onder deze categorie.
Ten tijde van de staatkundige veranderingen van 10 oktober 2010, waarbij de Nederlandse Antillen werden ontbonden en Bonaire, Sint Eustatius en Saba als openbare lichamen van Nederland werden opgenomen, is afgesproken in eerste instantie terughoudend te zijn bij het invoeren van nieuwe wetgeving in Caribisch Nederland. Dit uitgangspunt was bedoeld om – mede gelet op het beperkte absorptievernogen van de eilanden – een periode van rust en gewenning te bieden aan burgers en bestuurders van deze openbare lichamen.
De Wet aanpassing regeling vervolgingsverjaring dateert uit de periode van legislatieve terughoudendheid. Ook de Wet seksuele misdrijven is in deze periode voorbereid. Voor beide wetsvoorstellen geldt dan ook dat destijds niet is onderzocht in hoeverre de aanpassing van het Wetboek van Strafrecht BES aangewezen was. Sinds 2019 is uitgangspunt van het kabinetsbeleid dat bij nieuwe wetgeving en aanpassing van bestaande wet- en regelgeving steeds moet worden bezien of en hoe deze wetgeving van toepassing kan worden verklaard in Caribisch Nederland én of differentiatie nodig en wenselijk is.4
Sinds enkele jaren werkt het kabinet, samen met de openbare lichamen en in lijn met de motie-Ceder,5 toe naar aanvaarding van het Verdrag van de Raad van Europa inzake het voorkomen en bestrijden van geweld tegen vrouwen en huiselijk geweld (het Verdrag van Istanbul) voor Caribisch Nederland.6
Dit verdrag stelt eisen aan de aanpak van geweld tegen vrouwen en huiselijk geweld. Het trad voor Europees Nederland op 1 maart 2016 in werking, maar geldt nog niet voor Caribisch Nederland.7 Om te voldoen aan de verplichtingen van het Verdrag van Istanbul moeten er nog een aantal stappen gezet worden.
Belangrijk onderdeel daarvan is dat in kaart wordt gebracht welke bredere (beleids)maatregelen en aanvullende uitvoeringswetgeving nodig zijn voor de aanvaarding van het Verdrag van Istanbul voor Caribisch Nederland en of er dekking is voor de verwachte financiële consequenties. In dat kader wordt bezien welke wijzigingen nodig zijn om uitvoering te geven aan de verdragsverplichtingen in het Wetboek van Strafrecht BES, onder andere op het gebied van seksuele misdrijven. Het Verdrag van Istanbul verplicht onder andere tot het strafbaar stellen van het opzettelijk verrichten van seksuele handelingen zonder wederzijds goedvinden (artikel 36 van het verdrag). Daarbij wordt ook gekeken naar de verjaringstermijn voor seksuele misdrijven gepleegd tegen minderjarigen. Parallel hieraan wordt bezien in hoeverre de vormgeving en de inhoud van de overige bepalingen in Boek II Titel XIV van Misdrijven tegen de zeden in het Wetboek van Strafrecht BES modernisering behoeven. De inhoudelijke en systematische samenhang tussen de bepalingen in de titel is zodanig dat modernisering van de wetgeving op integrale wijze dient plaats te vinden. Het kabinet verwacht het Verdrag van Istanbul voor Caribisch Nederland op zijn vroegst in 2027 te kunnen aanvaarden, mede afhankelijk van de voortgang van het benodigde beleids- en wetgevingstraject.

Vraag 4

Deelt u de opvatting dat kinderrechten universeel zijn en niet afhankelijk zouden mogen zijn van geografische locatie binnen het Koninkrijk? Zo ja, hoe beoordeelt u de rechtsongelijkheid die door deze verjaringstermijn ontstaat?

Kinderrechten zijn universeel, zoals vastgelegd in het Internationaal Verdrag inzake de Rechten van het Kind (IVRK) van de Verenigde Naties.8 Het kabinet vindt het belangrijk dat aan kinderen voldoende bescherming wordt geboden. Minderjarigen die slachtoffer worden van een ernstig seksueel misdrijf moeten daarom de tijd krijgen om naar buiten te treden met hun verhaal. Zoals in het antwoord op vraag 3 is aangekondigd zal bij het in kaart brengen van de wijzigingen die nodig zijn in het Wetboek van Strafrecht BES om uitvoering te geven aan het Verdrag van Istanbul, ook worden gekeken naar de verjaringstermijn voor seksuele misdrijven gepleegd tegen minderjarigen.

Vraag 5

Bent u bereid om op korte termijn werk te maken van het gelijktrekken van de verjaringsregels op de BES-eilanden met die van Europees Nederland, zodat ook daar ernstige zedendelicten tegen minderjarigen niet meer kunnen verjaren?

Zie mijn antwoord op vraag 3. Beoogd wordt om het Verdrag van Istanbul ook te aanvaarden voor de BES-eilanden en in dat kader de wetgeving op het gebied van seksuele misdrijven aan te passen. Daaraan wordt de komende jaren gewerkt. Bezien wordt of een aanpassing van de verjaringstermijnen zo snel mogelijk kan worden verwezenlijkt, door deze op te nemen in het verzamelwetsvoorstel Justitie voor de BES dat op dit moment wordt voorbereid. Of de aanpassing hierin kan worden meegenomen is mede afhankelijk van de uitvoeringsconsequenties die een dergelijke wetswijziging met zich zou brengen. Deze worden op dit moment in kaart gebracht.

Vraag 6

Is er momenteel al een wetswijziging in voorbereiding of in overweging om dit verschil op te heffen? Zo nee, bent u bereid om deze wetswijziging spoedig te initiëren, desnoods via een spoedprocedure? Op welke termijn kan dit naar de Kamer worden gestuurd?

Zie antwoord vraag 5.

Vraag 7

Hoe waarborgt u dat slachtoffers van seksueel geweld op de BES-eilanden toegang hebben tot passende juridische, medische en psychosociale hulp – ook als zij pas jaren na het delict naar buiten treden?

Bij het bieden van passende hulp en ondersteuning aan slachtoffers van seksueel geweld in Caribisch Nederland, speelt Bureau Slachtofferhulp, dat onderdeel uitmaakt van het Korps Politie Caribisch Nederland (KPCN), een belangrijke rol.
Slachtoffers van seksueel misbruik kunnen altijd contact opnemen met het bureau, ook als het misbruik lang geleden heeft plaatsgevonden. Slachtoffers kunnen ook door de politiemensen werkzaam bij het Bureau Jeugd en Zeden Zaken worden doorverwezen naar Bureau Slachtofferhulp, als het slachtoffer dit wenst. Bij Bureau Slachtofferhulp wordt kortdurende hulpverlening (voor een periode van 2 maanden) verleend. Wanneer het slachtoffer een langdurige behandeling (bijvoorbeeld trauma therapie) nodig heeft, kan het slachtoffer via de huisarts naar specialistische psychologische hulp worden doorverwezen.
Ook kunnen slachtoffers van seksueel misbruik bij Bureau Slachtofferhulp KPCN de nodige ondersteuning krijgen om een aanvraag in te dienen bij het Schadefonds Geweldsmisdrijven. Dit geldt voor misdrijven gepleegd in Caribisch Nederland op of na 1 januari 2017 (inclusief misdrijven die vóór 1 januari 2017 zijn begonnen maar op die datum nog voortduren). Een aanvraag moet worden ingediend binnen tien jaar na de dag waarop het geweldsmisdrijf is gepleegd, tenzij de aanvrager een geldige reden heeft voor het feit dat hij/zij de aanvraag niet eerder indiende. In het geval van minderjarige slachtoffers begint de termijn te lopen op het moment dat het slachtoffer meerderjarig is geworden.9
In het geval dat een zaak voor de rechter komt, en als het slachtoffer zich wil gaan voegen als benadeelde partij in het strafproces, biedt Bureau Slachtofferhulp ook de nodige juridische ondersteuning aan het slachtoffer.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»1? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat Rijkswaterstaat, die BNR met zestien andere overheidsorganisaties onder de loep heeft genomen,2 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverweegt? Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Sinds december 2023 geldt er bij Rijkswaterstaat een cloud freeze. Dit betekent dat het uitgangspunt is dat er geen data, e-mail en applicaties naar de publieke cloud gaan. In oktober 2024 heeft Rijkswaterstaat de nieuwe ICT Strategie 2025–2030 vastgesteld. Bij RWS geldt het beleid dat missie-kritische systemen en bedrijfskritische systemen niet in de publieke cloud worden geplaatst.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Het Ministerie van Infrastructuur en Waterstaat maakt voor kantoortoepassingen onder andere gebruik van Microsoft 365 diensten (videoconferencing en voor een klein deel van de organisatie ook e-mail). Data blijven daarbij zoveel als enigszins mogelijk opgeslagen in eigen datacenters (bestanden, document management, samenwerkfunctionaliteit). Dit zijn diensten die worden aangeboden door Shared Service Centers (SSC’s) van de Rijksoverheid. Voor een aantal onderzoekstoepassingen en een aantal websites wordt gebruik gemaakt van clouddiensten op Microsoft Azure en Amazon Webservices (AWS). Voor deze diensten die nu in de cloud bij Amerikaanse dienstverleners zijn ondergebracht worden de afhankelijkheden verder onderzocht om maatregelen te kunnen treffen conform cloudbeleid en implementatiekader.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20243is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland.4 Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
Er zijn bij het Ministerie van Infrastructuur en Waterstaat geen nieuwe migraties gepland sinds de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
Verschillende ZBO’s hebben een sourcing strategie waar Amerikaanse cloudleveranciers een rol in spelen. Zij zijn niet gehouden aan het Rijksbreed cloudbeleid maar geven wel aan gebruik van het IenW cloudbeleid, waarin de regelingen van het Rijksbreed cloudbeleid en Implementatiekader zijn opgenomen.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Het Ministerie van Infrastructuur en Waterstaat neemt, net als andere departementen, diverse ICT-producten en diensten af van verschillende IT-leveranciers, waaronder Amerikaanse. Indien de toegang tot deze diensten wordt ontzegd heeft dit impact op de continuïteit van een aantal processen en dienstverlening. Naar aanleiding van de geopolitieke ontwikkelingen zet het Ministerie van Infrastructuur en Waterstaat, samen met het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, in op het aanscherpen van het Rijksbreed cloudbeleid, de beleidskaders voor digitale autonomie en soevereiniteit van de overheid en de IT-sourcingstrategie Rijk. Ook zet het Ministerie van Infrastructuur en Waterstaat, naast het verder onderzoeken van afhankelijkheden en het verder doorontwikkelen van bestaande exit-strategieën, samen met BZK in op het realiseren en in gebruik nemen van een soevereine overheidscloud als alternatief voor public clouddiensten.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.5
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s.3 die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
In lijn met de I-strategie van IenW en de ICT Strategie 2025–2030 van Rijkswaterstaat, ligt de focus op de bouw van een soevereine overheidscloud in eigen datacenter(s).

Vraag 8

Hoe geven uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s.4 die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Zie vraag 5.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, Rijkswaterstaat en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en/of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Zie vraag 5.

Vraag 10

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» (Kamerstuk 36 574) van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer» (BNR, 20 mei 2025)? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat de Dienst Justitiële Inrichtingen (DJI), de Immigratie- en Naturalisatiedienst (IND) en het Centraal Justitieel Incassobureau (CJIB), die BNR met veertien andere overheidsorganisaties onder de loep heeft genomen,1 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverwegen? Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en / of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Op dit moment wordt er zeer beperkt gebruik gemaakt van clouddiensten van Amerikaanse dienstverleners.
Het Ministerie van Justitie en Veiligheid maakt voor de digitale werkplek gebruik van Microsoft 365-diensten. Deze worden niet in de online (cloud) variant afgenomen, maar als lokaal geïnstalleerde applicaties op de desktop (bij managed laptops) of als centrale applicaties via het OverheidsDataCenter (ODC) bij Citrix-werkplekken. Bestanden die in deze applicaties worden gemaakt, worden opgeslagen op de lokale schijf en/of op het ODC. Deze diensten worden conform de rijksbrede kaders ingezet, met een inrichting die specifiek is afgestemd op de beveiligings- en privacy vereisten van het Ministerie van JenV. Microsoft Teams wordt enkel gebruikt voor videoconferencing en chat.
Alle gebruikte digitale voorzieningen worden voortdurend gemonitord en waar nodig aangepast op basis van actuele dreigingen en technologische ontwikkelingen.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20242 is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland.3 Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
Momenteel loopt de vernieuwing van de oude werkplekvoorzieningen van o.a. DJI, IND en CJIB naar een toekomstige moderne werkplek voorziening. Hierin wordt het gebruik van MS365 inclusief de online producten als Teams-online onderzocht en worden de opties tussen on-premise en cloudvoorzieningen vergeleken.
Het Ministerie van JenV participeert tevens in het interdepartementale programma Beter Samenwerken (BSW) waarin het beoogde gebruik van MS Teams in de werkomgeving wordt heroverwogen.
De herziening van het rijksbreed cloudbeleid geeft aanleiding tot het te zijner tijd, conform Rijksbeleid, aanscherpen en aanpassen van het departementale cloudbeleid. In de tussentijd heeft het Ministerie van JenV een aanvullende tijdelijke Bestuurlijke Beleidslijn Cloud voor het Ministerie van Justitie en Veiligheid en Ministerie van Asiel en Migratie vastgesteld, waarin voorgenomen migraties moeten worden heroverwogen. Deze tijdelijke beleidslijn is van kracht zolang het nieuwe Rijks cloudbeleid nog niet is vastgesteld.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
De genoemde risico’s kunnen gemitigeerd worden door verschillende acties te ondernemen. Zo kan via Strategisch Leveranciersmanagement Rijk (SLM Rijk) de contractuele afspraken met de Amerikaanse leveranciers worden aangescherpt. Daarnaast is SLM Rijk voornemens een contractueel framework voor Europese alternatieven te realiseren; momenteel loopt er een Data Protection Impact Assessment (DPIA) op de clouddiensten van Stackit, een Duitse cloudprovider.
Een te grote afhankelijkheid van één of een enkele marktpartij is ongewenst. In de afweging welke data we in eigen beheer verwerken en wat in de public cloud moeten risicovolle strategische afhankelijkheden én marktconcentraties worden meegewogen.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, de DJI, de IND, het CJIB en en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.4
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.
SLM Rijk voert met regelmatig DPIA’s uit op de diensten van Microsoft, Google Cloud en AWS en heeft daarbij ook specifiek gekeken naar internationale doorgifte van persoonsgegevens (er is een zogeheten Data Transfer Impact Assessment (DTIA) uitgevoerd). Hierbij is rekening gehouden met de mogelijkheid dat gegevens toegankelijk zijn voor de Amerikaanse overheid op basis van met de AVG conflicterende Amerikaanse wetgeving.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s. (Kamerstuk 26 643, nr. 1315) die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2 en 4.

Vraag 8

Hoe geven uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s. (Kamerstuk 6643, nr. 1320) die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Het Ministerie van JenV zet, onder coördinatie van het Ministerie van BZK in op het herziening van het Rijksbreed cloudbeleid, de beleidskaders voor digitale autonomie en soevereiniteit van de overheid en de IT-sourcingstrategie Rijk. Momenteel worden mogelijkheden verkent die als alternatief kunnen worden ingezet om de continuïteit niet enkel afhankelijk te laten zijn van partijen uit de VS.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, de DJI, de IND, het CJIB en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en / of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Het Ministerie van JenV en AenM zijn op dit moment bezig met een heroverweging, zie antwoorden op vraag 2, 4 en 8.
Het bevorderen van de strategische autonomie van Nederland en / of Europa staat vol op het netvlies. Het is in deze fase echter niet haalbaar en mogelijk om op korte termijn te realiseren. Ook zal het gepaard gaan met aanzienlijke kosten en realisatie inspanningen.
Om die reden zal afhankelijkheid van Amerikaanse Techgiganten vooralsnog blijven bestaan.

Vraag 10

Kunt u de Autoriteit Persoonsgegevens, als onafhankelijke autoriteit, vragen of zij bereid is om zelfstandig te reageren op vragen 2, 4, 5, 6, 8 en 9?

Ik heb uw verzoek doorgeleid naar de Autoriteit Persoonsgegevens.

Vraag 11

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» (Kamerstuk 36 574) van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»1? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat DNB, die BNR met vijftien andere overheidsorganisaties onder de loep heeft genomen2, de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverweegt? Zo ja, kunt u dit besluit onderbouwen?

Het kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
DNB valt als zbo niet onder het rijksbrede of departementale cloudbeleid. DNB geeft aan dat de risico's verbonden met de clouddiensten in een continu proces worden gemonitord en dat op basis van een integrale risicoafweging passende maatregelen worden genomen. Op basis van de huidige risicoafweging en businesscase ziet DNB voor de korte tot middellange termijn geen noodzaak tot heroverweging. Wel onderzoekt DNB voor hoog-kritische systemen exit/fallbackscenario's en back-up van data.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en / of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Het Ministerie van Financiën maakt in lijn met het huidige rijksbrede cloudbeleid beperkt gebruik van clouddiensten, waarbij er sprake kan zijn van Amerikaanse aanbieders. Dit ter ondersteuning van de bedrijfsvoeringsprocessen, en in beperkte gevallen als onderdeel van het primaire proces van de uitvoering. Zo maakt de Douane gebruik van Microsoft Azure ter ondersteuning van het keuzeproces binnen het toezicht op grensoverschrijdend goederenverkeer, wat onderdeel is van het primaire proces. Voor alle toepassingen geldt dat risico’s rond afhankelijkheden en gegevensbescherming zorgvuldig worden meegewogen.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, DNB en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20243is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
In het Jaarplan 2025 Belastingdienst dat uw Kamer op 11 december 2024 heeft ontvangen4, is aangegeven dat de Belastingdienst voornemens is om in 2025 de kantoorautomatisering naar Microsoft365 te migreren. De implementatie van de migratie is op dit moment nog niet gestart. De applicaties binnen de primaire processen voor de heffing en inning blijven draaien in hun huidige on-premise omgeving, op door de Belastingdienst zelf beheerde servers. De Belastingdienst volgt de recente (geo)politieke ontwikkelingen en doorloopt, in afstemming met CIO Rijk, een zorgvuldig besluitvormingstraject. Zodra er een definitief besluit is genomen, zal uw Kamer hierover worden geïnformeerd.
De Domeinen Roerende Zaken maakt per medio 2024 gebruik van Microsoft365. Deze stap is gezet, nadat de benodigde compliantie op het gebied van informatiebeveiliging en privacy was geborgd.
Na zorgvuldige heroverweging van risico’s, kosten en benefits gaat DNB door met de reeds voorgenomen migraties naar clouddiensten. DNB voorziet op dit moment geen grootschalige nieuwe migraties.
AFM heeft reeds een migratie gepland van Sharepoint naar Sharepoint online. Daarnaast zijn er geen nieuwe migraties gepland.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, DNB en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s worden gemitigeerd?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Het Ministerie van Financiën neemt, net als andere departementen, diverse ICT-producten en diensten af van verschillende IT-leveranciers, waaronder Amerikaanse. Indien de toegang tot deze diensten wordt ontzegd heeft dit impact op de continuïteit van een aantal processen en dienstverlening. Bij voorgenomen cloudmigraties wordt daarom een exit-strategie opgesteld en een zorgvuldig besluitvormingstraject doorlopen. Elke ICT-oplossing (of deze nu wordt ingekocht of intern ontwikkeld) brengt een zekere mate van afhankelijkheid van leveranciers met zich mee. Ook bij on-premise oplossingen geldt dat bij het wegvallen van bijvoorbeeld Microsoft- of Apple-ondersteuning, cruciale functionaliteit kan uitvallen. Dit onderstreept dat het hier niet alleen een cloudvraagstuk betreft, maar in de kern een licentie- en leveranciersafhankelijkheidsvraagstuk is.
Belastingdienst, Douane en Toeslagen onderzoeken verder hoe samenwerking met de markt kan bijdragen aan een toekomstbestendige IT-inrichting. De domeinarchitectuur fungeert hierbij als richtinggevend kader. Uitgangspunt is het benutten van marktstandaarden, borging van kerncompetenties en heldere verantwoordelijkheidsverdeling. Dit draagt bij aan een wendbare, betrouwbare en toekomstvaste informatievoorziening, passend binnen de eisen en kaders van publieke dienstverlening.
DNB volgt, net als veel andere publieke en financiële instellingen in Europa, de ontwikkelingen over dataopslag in de cloud op de voet en zal beleid indien nodig aanscherpen. DNB onderzoekt binnen het Eurosysteem de mogelijkheden om de afhankelijkheid van Amerikaanse IT-leveranciers te verkleinen en implementeert waar nodig oplossingen om de risico’s te mitigeren.
Ook AFM geeft aan de ontwikkelingen uit de markt en vanuit de Rijksoverheid nauwgezet te volgen. AFM geeft daarnaast aan dat haar cloudprovider eraan werkt om Europa juridisch los te koppelen van Amerikaanse regelgeving. Indien nodig zal AFM haar beleid op basis hiervan aanpassen.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, DNB en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.5
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s. [Kamerstuk 26 643-1315] die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
Het Ministerie van Financiën handelt conform rijksbrede kaders en EU-wetgeving. Leveranciers kunnen uitsluitend worden uitgesloten wanneer zij niet voldoen aan het bestek of als er een juridische grondslag is. Banden met de Amerikaanse overheid vormen op zichzelf geen uitsluitingsgrond onder de EU-aanbestedingsregels. Tegelijkertijd is de IT-afhankelijkheid van Amerikaanse bedrijven groot. Onafhankelijkheid op korte termijn is dan ook niet realistisch.
Risico’s kunnen worden beheerst via contractuele afspraken en een goed uitgewerkte exit-strategie. Het onderhouden van werkbare relaties met Amerikaanse leveranciers blijft daarbij essentieel.
Zie verder vraag 2.

Vraag 8

Hoe geven uw departement, DNB en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s. [Kamerstuk 6643-1320] die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Het Ministerie van Financiën onderschrijft het belang van continuïteit en weerbaarheid in de digitale dienstverlening. Er wordt daarom, op basis van risicoafwegingen, rekening gehouden met het effect op de continuïteit door eventuele strategische afhankelijkheid van leveranciers ongeacht het land waar de leverancier is gevestigd. Zoals geschetst in de Kamerbrief over uitvoering ontraden aangenomen moties debat migraties overheids-ICT naar het buitenland van 7 april jl., vereist digitale soevereiniteit een evenwichtige benadering waarbij samenwerking met strategische partners wordt gecombineerd met het versterken van de Europese en nationale regie over digitale infrastructuur. Het Ministerie van Financiën erkent daarnaast het belang van de ontwikkeling van een soevereine overheidscloud als onderdeel van een breder pakket aan maatregelen binnen het huidige rijkscloudbeleid en de IT-sourcingstrategie Rijk.
DNB en AFM hebben cloudbeleid opgesteld met eisen waar de systemen die worden gebruikt aan moeten voldoen, onder meer op het gebied van privacy en informatiebeveiliging, certificering en geldende Europese en Nederlandse wet- en regelgeving. Zo is er isolatie van gegevens en gegevensverwerking, en moeten de gegevens binnen de EER gehost zijn.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, DNB en andere overheidsorganisaties onder uw gezag niet verder zal toenemen en dat het bevorderen van de strategische autonomie van Nederland en/of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag wordt genomen?

Zie vraag 5.

Vraag 10

Kunt u de AFM, als onafhankelijke autoriteit, vragen of zij bereid is om zelfstandig te reageren op vragen 2, 4, 5, 6, 8 en 9?

Ik, de Minister van Financiën, heb de AFM geraadpleegd voor de beantwoording van de aan haar gerichte vragen. Hetzelfde geldt voor de vragen gericht aan DNB.

Vraag 11

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» [Kamerstuk 36 574] van 2 juni 2025?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»1? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat Logius, die BNR met zestien andere overheidsorganisaties onder de loep heeft genomen, de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverweegt?2 Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s3 – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is.4 In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Logius maakt voor het exploiteren van haar voorzieningen gebruik van een eigen platform dat wordt gehost in datacentra van de Rijksoverheid. Daarbij geldt dat Logius de Generieke Digitale Infrastructuur levert aan de Digitale Overheid. Logius maakt voor het exploiteren van onze voorzieningen dus geen gebruik van Amerikaanse Clouddiensten en heeft ook geen plannen daartoe. Een heroverweging is daarmee niet aan de orde.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en / of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Op dit moment wordt er zeer beperkt gebruik gemaakt van clouddiensten van Amerikaanse dienstverleners. De werkplekken maken gebruik van kantoorsoftware waarbij de dataopslag in de eigen overheidsdatacenters plaats vindt.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, Logius en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20245 is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
In november 2024 zijn drie geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners aan de kamer gemeld.
Eerder is de kamer geïnformeerd over de ontwikkeling van werkplekdienstverlening van SSC-ICT (DWR 2.0) en het beperken van de cloud afhankelijkheid bij het opslaan van data. Documenten en e-mails van de gebruikers van de DWR werkplek blijven vooralsnog opgeslagen in het datacenter van SSC-ICT.
Binnen het interdepartementale programma Beter Samenwerken (BSW) wordt het beoogde gebruik van MS Teams in de werkomgeving heroverwogen en worden alternatieven onderzocht.
De in november genoemde aanbesteding van het Rijksvastgoedbedrijf is afgerond en gegund aan een Europese dienstverlener.
Er zijn sinds november geen nieuwe geplande of voorgenomen migraties van materieel public cloudgebruik aangemeld.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, Logius en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de na het zomerreces verwachte Visie digitale autonomie en soevereiniteit overheid.
De directe gevolgen voor de digitale dienstverlening van BZK organisaties als Logius en RvIG zijn beperkt. Deze organisaties maken voor de dataopslag en uitvoering van de primaire processen geen gebruik van digitale diensten van Amerikaanse dienstverleners.
Zoals bij vraag 4 beantwoord, zijn er geen directe gevolgen voor de huidige en toekomstige werkplekdiensten van SSC-ICT door de genomen mitigerende maatregelen. Bij langdurige ontzegging van toegang tot de dienstverlening kunnen wel problemen ontstaan wanneer bijvoorbeeld de geldigheid van licenties niet verlengd kan worden.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, Logius en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.6
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s. die hiertoe oproept?3

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
Er zijn geen lopende migraties naar digitale diensten van Amerikaanse techgiganten.

Vraag 8

Hoe geven uw departement, Logius en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s. die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?4

Zie vraag 5.
Deze doelstelling wordt al gehanteerd bij inrichting van de digitale dienstverlening.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, Logius en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en / of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Zie vraag 5.

Vraag 10

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» van 2 juni a.s.?5

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer» (BNR, 20 mei 2025)? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?

Ja.

Vraag 2

Kunt u bevestigen dat de KvK, het CBS en de RVO, die BNR met veertien andere overheidsorganisaties onder de loep heeft genomen,1 de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverwegen? Zo ja, kunt u dit besluit onderbouwen?

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
Genoemde partijen volgen het rijkscloudbeleid. Periodieke heroverweging is hier geen onderdeel van. Op het moment dat situaties daar aanleiding toe geven wordt er naar gekeken. Maar ook dan zijn er beleidsmatige beperkingen (aanbestedingsregelgeving, lopende contracten etc.). In het eerdere debat inzake migraties van overheids-ICT naar het buitenland dd. 13 maart jl. over dit onderwerp heeft de Staatssecretaris Koninkrijksrelaties en Digitalisering aangegeven «niet alle cloudmigraties terug te willen draaien en wel een (her)overweging toe te willen passen bij nieuwe cloudmigraties.»

Vraag 3

Welke processen, registers, (mail)communicatiediensten en / of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
Binnen het Departement en de daaronder ressorterende organisatieonderdelen wordt conform de mogelijkheden van het rijkscloudbeleid gebruik gemaakt van clouddienstverleners. Onder de afspraken van SLM rijk betreft dit diensten van Amerikaanse dienstverleners Microsoft en Amazon Web Services.
Voor de werkplek maakt het departement van EZ gebruik van MS365 in de public cloud van Microsoft.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, de KvK, het CBS, de RVO en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20242is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
Eerder voorgenomen migraties worden nader beschouwd, rekening houdend met de herziening, mede o.b.v. de aangenomen Kamermoties, van het Rijksbreed cloudbeleid. In de recent departementaal besloten cloudstrategie zijn hiervoor aanvullende en aangescherpte criteria vastgesteld.
Er wordt gewerkt aan een generiek MS Azure platform voor data verwerking. Het gebruik wordt heroverwogen.
De voorgenomen migratie van de Oracle ERP-oplossing naar Oracle Fusion, is heroverwogen met als voorlopig resultaat dat dit binnen de EER gehost gaat worden met extra risicogaranties en -afspraken.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, de KvK, het CBS, de RVO en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Het niet meer kunnen gebruiken van dienstverlening door Amerikaanse leveranciers zou op dit moment tot onoverkomelijke verstoring kunnen leiden van de dienstverlening. Daarom wordt door het departement actief meegewerkt aan de pilot voor het inzetten van «Mijn Bureau« als een van de mogelijke alternatieven. Bovendien worden er in Europees verband (Eurocloud) mogelijkheden onderzocht.
Voor het opvangen van piekmomenten in de dienstverlening blijft het belangrijk om snel te kunnen op- en afschalen. NL/EU alternatieven worden onderzocht.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, de KvK, het CBS, de RVO en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.3
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige Cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het Cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s. (Kamerstuk 26 643, nr. 1315) die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
Ja, de voorgenomen migratie van de Oracle ERP-oplossing naar Oracle Fusion, is heroverwogen met als voorlopig resultaat dat dit binnen de EER gehost gaat worden met extra risicogaranties en -afspraken.

Vraag 8

Hoe geven uw departement, de KvK, het CBS, de RVO en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s. (Kamerstuk 26 643, nr. 1320) die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Zie vraag 5.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, de KvK, het CBS, de RVO en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en / of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Departementaal is er een aangescherpte cloudstrategie vastgesteld, binnen de kaders van het huidige Rijksbreed cloudbeleid, met daarin aanvullende criteria die ondersteunen in het bevorderen van de strategische autonomie en waar dat mogelijk is zich richten op het beperken van de afhankelijkheid van enkele aanbieders.

Vraag 10

Kunt u de ACM, als onafhankelijke autoriteit, vragen of zij bereid is om zelfstandig te reageren op vragen 2, 4, 5, 6, 8 en 9?

Ja, ik ben bereid dat te doen en heb dat inmiddels aan de ACM gevraagd. De ACM geeft aan dit zo snel mogelijk te beantwoorden.

Vraag 11

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» (Kamerstuk 36 574) van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het bericht: «Overheidsorganisaties blijven in de Amerikaanse cloud, ondanks zorgen in de Tweede Kamer»? Bent u tevens bekend met het feit dat de hoofdaanklager van het Internationaal Strafhof onlangs de toegang tot Microsoft-diensten is ontzegd op laste van de Amerikaanse regering?1

Ja.

Vraag 2

Kunt u bevestigen dat het RIVM, die BNR met zestien andere overheidsorganisaties onder de loep heeft genomen, de overstap naar clouddiensten van Amerikaanse dienstverleners niet heroverweegt? Zo ja, kunt u dit besluit onderbouwen?2

Het Kabinet is het met de indieners eens dat zorgvuldige afwegingen bij cloudmigraties van groot belang zijn. Daarom moeten volgens het huidige beleid al een reeks van aspecten afgewogen worden. Onderdelen van de Rijksdienst zijn verplicht het Rijksbreed cloudbeleid 2022 te volgen. Hierin wordt reeds aandacht besteed aan de risico’s rondom marktconcentratie. Zbo’s zijn niet verplicht het Rijksbreed cloudbeleid te volgen, maar het wordt hen wel aangeraden. Daarnaast zijn zbo’s verplicht – op basis van de Kaderwet zbo’s – om op de voet van de ter zake voor de Rijksdienst geldende voorschriften maatregelen te nemen.
De continuïteit van de dienstverlening, nationale veiligheid en publieke waarden zijn daar verdere voorbeelden van. Ook dienen beveiligingsmaatregelen genomen te worden en risicoanalyses geactualiseerd te worden wanneer daar aanleiding toe is. In de herziening van het Rijksbreed cloudbeleid wordt tevens aandacht besteed aan het verder beperken van afhankelijkheid van enkele leveranciers, de zogeheten marktconcentratie- en continuïteitsrisico’s.
De NZa heeft een terugkeer naar de situatie voor de overstap naar Amerikaanse clouddiensten niet in overweging. De NZa is nu in de afrondende fase van een cloudmigratieproject. Er is voorafgaand en tijdens de overstap aandachtig gekeken naar de risico's, op gebied van informatiebeveiliging en privacy. Aanvullend is er advies gevraagd aan de CISO Rijk. Uit de risico-inventarisaties is gebleken dat er geen hoge restrisico's aanwezig waren. Wijzigingen in een vernieuwd Rijksbreed cloudbeleid zal de NZa uiteraard verwerken in hun strategie.

Vraag 3

Welke processen, registers, (mail)communicatiediensten en/of organisatieonderdelen die onder uw verantwoordelijkheid vallen, zijn op dit moment reeds ondergebracht in de cloud van Amerikaanse dienstverleners?

Voor de beantwoording limiteren wij ons tot het gebruik van materieel public cloudgebruik. Materieel public cloudgebruik is gebruik van public clouddiensten ten behoeve van het uitvoeren van de primaire taak van een organisatie. Met andere woorden, voor de organisatie is die (cloud)dienst van wezenlijk belang.
De concernorganisaties van het Ministerie van VWS zijn verdeeld tussen organisaties die afhankelijk zijn van (interne) shared service centers, zoals SSC-ICT, en organisaties die afhankelijk zijn van public cloud leveranciers. Wanneer een shared service center wordt gebruikt voor werkplekdiensten, kantoorautomatiseringssoftware en communicatiediensten, dan zijn zij niet direct afhankelijk van Amerikaanse dienstverleners. Deze diensten berusten namelijk niet op public cloud. De andere groep organisaties is hier wel afhankelijk van en zij gebruiken diverse public cloud diensten. Zij nemen deze diensten af onder voorwaarden van Strategisch Leveranciersmanagement Rijk (SLM-Rijk) en de data opslag en verwerking vindt plaats binnen de Europese Economische Ruimte (EER).
Vanuit het CIBG en DUS-I kan ik melden dat er geen processen, registers en/of knooppunten zijn ondergebracht in de public cloud doordat zij zowel SSC-ICT gebruiken als ook Nederlandse service providers. Diverse processen worden ondersteund door applicaties met een directe afhankelijkheid van public cloud leveranciers. Dit betreft onder andere processen die klantcontact ondersteunen, publicatie van informatie, bedrijfsvoering, geldstromen en de uitvoering van diverse regelingen. Reeds gerealiseerde cloudmigraties zijn hierdoor in lijn met het huidige geldende Rijksbrede cloudbeleid.

Vraag 4

Kunt u een overzicht geven van de geplande en voorgenomen migraties naar clouddiensten van Amerikaanse dienstverleners, daar waar het uw departement, het RIVM en andere overheidsorganisaties onder uw gezag betreft?

Ten behoeve van de Kamerbrief van 22 november 20243is een uitvraag gedaan bij alle departementen ten behoeve van een overzicht van alle geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland. Het Ministerie van Defensie is daarin buiten beschouwing gelaten omdat zij buiten de scope van het Rijksbreed cloudbeleid vallen. Dit neemt niet weg dat Defensie wel gebruik maakt van clouddiensten. De departementen zijn zelf verantwoordelijk voor de implementatie van het cloudbeleid en daarom is het hun eigen afweging en invulling over wat zij onder (materiële) cloudmigraties verstaan.
Voor dit overzicht verwijst het Kabinet naar de Kamerbrief over geplande en voorgenomen cloudmigraties van overheids-ICT naar het buitenland van 22 november jl.
De VWS organisaties zijn te verdelen in organisaties die geen voorgenomen migratie naar public cloud diensten hebben gepland en organisaties die al enige migraties hebben uitgevoerd. De migraties naar public cloud ondersteunen het primaire proces met diverse tooling. Tevens zijn er migraties in heroverweging door recente ontwikkelingen op dit thema. Alle heroverwegingen worden gedaan in afstemming met de VWS CIO Office Concern.
De NZa is de cloudmigratie aan het afronden. Er is daarnaast een voorgenomen migratie van het klantbeheersysteem via een aanbestedingsprocedure. De NZa zal hierbij het geldende Rijkscloudbeleid volgen.

Vraag 5

Kunt u illustreren wat de directe gevolgen zouden zijn voor de continuïteit van de processen, dienstverlening en dataopslag binnen uw departement, het RIVM en andere overheidsorganisaties onder uw gezag, wanneer deze de toegang tot Amerikaanse digitale dienstverlening zouden worden ontzegd, zowel op dit moment als na de geplande en voorgenomen migraties? Welke merkbare gevolgen zou dit hebben voor Nederlandse burgers en voor de samenleving? Hoe gaat u ervoor zorgen dat die risico’s gemitigeerd worden?

De Verenigde Staten is en blijft een belangrijke bondgenoot, niet op de laatste plaats voor onze welvaart en veiligheid. Nederland zet zich er daarom voor in dat we als EU blijven samenwerken en optrekken met de VS, maar tegelijkertijd zelf verantwoordelijkheid nemen en ook eensgezind met de EU optrekken waar het onze kernbelangen betreft. Het kabinet is het wel met u eens dat een te grote afhankelijkheid van één of enkele marktpartijen ongewenst is. In de afweging welke data we in eigen beheer dan wel in de public cloud verwerken, moeten strategische afhankelijkheden én marktconcentraties worden meegewogen.
Dit nemen wij momenteel mee in de herziening van het Rijksbreed cloudbeleid, maar ook in de beleidskaders voor digitale autonomie en soevereiniteit van de overheid, en in de IT-sourcingstrategie Rijk. Ook zet het Kabinet zich in voor een verkenning naar een soevereine overheidscloud als alternatief voor public clouddiensten.
Deze voorziening moet de kloof overbruggen voor digitale dienstverlening waarvoor het gebruik van public cloud onwenselijk is, bijvoorbeeld vanwege de gevoeligheid van gegevens of wanneer ongewenste afhankelijkheden vermeden moeten worden.
Afhankelijkheden zijn echter niet te voorkomen en zijn ook niet altijd ongewenst. Het is van belang om op case-by-case basis zorgvuldig afwegingen te maken, om te bepalen waar en op welke wijze risicovolle strategische afhankelijkheden waar nodig voorkomen kunnen worden. Dit speelt op meer gebieden dan alleen cloud.
Het onderwerp «Strategische Autonomie» heeft uitgebreid aandacht van de Rijksoverheid. Onder andere middels de Agenda Digitale Open Strategische Autonomie (DOSA) en de medio dit jaar verwachte Visie digitale autonomie en soevereiniteit overheid.
Indien de toegang tot Amerikaanse digitale dienstverlening wordt ontzegd, zal dit leiden tot een brede variatie aan verstoringen. Systemen die niet afhankelijk zijn van de public cloud zullen ongehinderd door draaien. Organisaties die voor hun werkplekken afhankelijk zijn van public cloud zullen directe impact ervaren op toegang tot hun werkplekken, e-mail en overige communicatiediensten. Ook deze risico's zijn beschouwd: om de continuïteit van de organisatie te kunnen waarborgen zijn er al plannen ontwikkeld om over te kunnen gaan op alternatieve middelen.
De Inspectie Gezondheidszorg en Jeugd (IGJ) ontvangt (verplichte) meldingen, Europese meldingen en overige meldingen. Wanneer de meldingen niet meer worden ontvangen of hier geen toegang meer toe is, kan dit consequenties hebben voor de kwaliteit van het toezicht.
Organisaties die afhankelijk zijn van public cloud diensten zullen in alle gevallen een directe impact ervaren in dat deel van een proces. Afhankelijk van de rol in dit proces zal dit in meer of mindere mate significante gevolgen hebben voor de interne organisatie en wellicht merkbaar zijn voor burgers en maatschappij. Hier is dus geen eenduidig antwoord op te geven. Binnen het Ministerie van VWS wordt er continu onderzoek gedaan naar de impact op de continuïteit van onze dienstverlening.
Voorafgaand aan de transitie naar de cloud zijn alle waarborgen en mitigerende maatregelen op basis van de toen geldende risico's, doorgevoerd. Daarmee is de NZa voorbereid op veel denkbare scenario's.
Het ontzeggen van de toegang tot Amerikaanse digitale dienstverlening zou het meest extreme scenario zijn. Dan liggen op de korte termijn vrijwel alle toezichten reguleringswerkzaamheden van de NZa stil.
De werkomgeving zit volledig in de cloud, dus mailen, overleggen of gezamenlijk werken in bestanden is dan niet mogelijk. De NZa kan dan kortom niet aan wet- en regelgeving voldoen en zal een hernieuwde I-strategie uitzetten op basis van het vernieuwde Rijksbrede cloudbeleid.

Vraag 6

Kunt u onderbouwen wat Amerikaanse wetgeving, zoals de CLOUD Act en de Foreign Intelligence Surveillance Act, in het ergste geval betekent voor de vertrouwelijkheid van de data die uw departement, het RIVM en andere overheidsorganisaties onder uw gezag hebben opgeslagen in de cloud van Amerikaanse dienstverleners? Wat zou het gevolg zijn voor Nederlandse burgers en de samenleving wanneer al deze data tezamen in handen van een statelijke actor zou belanden?

Diverse landen kennen wet- en regelgeving met extraterritoriale werking die medewerking aan veiligheidsdiensten verplicht, zoals de CLOUD Act in de VS. Dergelijke wet- en regelgeving kan, in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens wanneer dit conflicteert met regelgeving als de AVG. Op basis van het advies van GreenbergTraurig kan echter geconcludeerd worden dat in het geval van de CLOUD Act het risico klein is.
Ongeacht de wijze van verkrijging, is het in ieder geval onwenselijk dat alle data tezamen in handen van een statelijke actor kunnen belanden. Om dit te voorkomen kent het huidige cloudbeleid al diverse regels omtrent de typen data die in de public cloud verwerkt mogen worden. In de herziening van het cloudbeleid wordt ook hier aandacht aan besteed.

Vraag 7

Heeft u migraties naar digitale diensten van Amerikaanse techgiganten stopgezet of heroverwogen naar aanleiding van de aangenomen motie-Kathmann c.s. (Kamerstuk 26 643-1315) die hiertoe oproept?

Bij iedere migratie naar de Public Cloud moet zorgvuldig overwogen worden of de migratie leidt tot risico’s. Er zijn migraties heroverwogen naar aanleiding van onder meer de motie Kathmann. Met bijvoorbeeld als gevolg dat verwerking van data alleen binnen de EER plaatsvindt.
Zie verder vraag 2.
Er zijn bij de meeste organisaties geen nieuwe migraties gestart, noch stopgezet. Bij nieuwe contracten wordt vanaf heden ook naar de geopolitieke situatie gekeken, zodat bij toekomstige aanbestedingen de afhankelijkheid van technologie leveranciers een grotere rol kan spelen in de beoordelingscriteria conform het Rijkscloudbeleid.

Vraag 8

Hoe geven uw departement, het RIVM en andere overheidsorganisaties onder uw gezag voorts invulling aan de aangenomen motie-Six Dijkstra c.s. (Kamerstuk 6643–1320) die oproept om als doelstelling te hanteren dat de continuïteit van digitale overheidsdienstverlening niet rechtstreeks afhankelijk is van partijen uit de Verenigde Staten?

Zie vraag 5.

Vraag 9

Kunt u toezeggen dat de afhankelijkheid van Amerikaanse techgiganten binnen uw departement, het RIVM en andere overheidsorganisaties onder uw gezag niet verder zal toenemen, en dat het bevorderen van de strategische autonomie van Nederland en/of Europa het uitgangspunt is bij elk besluit omtrent digitale diensten dat onder uw gezag genomen wordt?

Zie vraag 5
Digitale autonomie en soevereiniteit zijn belangrijke thema’s voor VWS door onze rol in de maatschappij via mijn meldpunten, registers en diensten. De geopolitieke veranderingen hebben er voor gezorgd dat de risico’s op gebied van beschikbaarheid en continuïteit goed in beeld worden gehouden en we ondersteunen de ontwikkeling van het nieuwe Rijksbrede cloudbeleid.
Het Rijksbrede cloudbeleid is voor de NZa het uitgangspunt. Daarnaast maakt de NZa proactief en zorgvuldig afwegingen over de veiligheid van data en functionaliteit van hun IT-oplossingen.

Vraag 10

Kunt u de Nederlandse Zorgautoriteit (NZa), als onafhankelijke autoriteit, vragen of zij bereid is om zelfstandig te reageren op vragen 2, 4, 5, 6, 8 en 9?

rden van de NZa zijn verwerkt bij de relevante vragen.

Vraag 11

Kunt u deze vragen afzonderlijk beantwoorden vóór het notaoverleg over de initiatiefnota «Wolken aan de horizon» (Kamerstuk 36 574) van 2 juni a.s.?

De verzending heeft zo spoedig mogelijk plaatsgevonden.

Vraag 1

Bent u bekend met het feit dat jeugdstrafzaken in Europees Nederland tegen minderjarigen tot 18 jaar standaard achter gesloten deuren worden behandeld, conform artikel 495b van het Wetboek van Strafvordering (Sv)?

Ja.

Vraag 2

Klopt het dat op de BES-eilanden, alsmede in andere Caribische delen van het Koninkrijk zoals Curaçao, in beginsel een openbare strafzitting geldt voor jongeren vanaf 16 jaar (onder andere artikel 488 Sv BES)? Zo ja, wat is de juridische en praktische onderbouwing voor dit verschil?

Dat klopt. Belangrijk is om hierbij op te merken dat als uitgangspunt wordt genomen de leeftijd op het tijdstip waarop de vervolging tegen de verdachte is aangevangen. Het kan dus zo zijn dat voor een verdachte van 17 jaar, tegen wie de vervolging is aangevangen op het moment dat hij of zij nog geen 16 jaar was, als uitgangspunt geldt dat de zitting niet openbaar is.
Wat betreft de eilanden Bonaire, Sint Eustatius en Saba (hierna: BES-eilanden) is de achtergrond van artikel 488 Sv BES gebaseerd op het rapport van de commissie Anneveldt.1 Deze commissie is ingesteld in 1979 om een herziening van het Nederlandse jeugdstrafrecht te onderzoeken. De commissie overwoog of de destijds bestaande bepaling die voorschreef dat het rechtsgeding in jeugdstrafzaken in principe niet openbaar zou plaatsvinden, diende te worden gehandhaafd.2 De commissie kwam destijds tot de conclusie dat dit wel zo was voor 12- tot 16-jarigen, maar niet voor 16- tot 18-jarigen. De commissie erkende dat een niet-openbare behandeling kan worden gerechtvaardigd vanuit de beschermingsgedachte en de pedagogische doelstelling en er eveneens indirect toe kan dienen het privéleven van de familie waartoe de jeugdige behoort, te beschermen. De commissie oordeelde dat een kind tot 16 jaar nog zozeer betrokken is bij dat gezin dat voor de bescherming van dat gezin een niet-openbare behandeling de voorkeur verdient. Voor de 16- tot 18-jarigen gold volgens de commissie echter dat de voordelen van openbaarheid (zoals de mogelijkheid tot controle op het functioneren van het openbaar ministerie en de rechter) zwaarder lijken te wegen dan de nadelen.3
Gelet op de huidige tekst en plek van artikel 495b Sv is de commissie Anneveldt niet gevolgd wat betreft de Nederlandse wetgeving. Dit blijkt uit het gegeven dat het artikel is geplaatst onder de afdeling die ziet op «Strafvordering in zaken betreffende personen die de leeftijd van 18 jaar nog niet hebben bereikt».4 Wat betreft artikel 488 Sv BES is wel aansluiting gezocht bij de commissie Anneveldt. Dit verschil hangt samen met het feit dat de regeling die uitgaat van de openbaarheid van zittingen voor jeugdigen van 16 jaar en ouder oorspronkelijk afkomstig is uit het Wetboek van Strafvordering van de Nederlandse Antillen.5 Bij de omvorming van dit wetboek in 2010 in het kader van de staatkundige hervormingen tot het Wetboek van Strafvordering BES is de op dat moment bestaande regeling behouden.
Voor de autonome landen binnen het Koninkrijk der Nederlanden (Curaçao, Aruba en Sint-Maarten, hierna: CAS-landen) geldt dezelfde leeftijdsgrens als op de BES-eilanden als het gaat om de openbaarheid van zittingen. De CAS-landen zijn zelf verantwoordelijk voor de regelgeving op dit terrein en kunnen dus zelf de leeftijdsgrens bepalen.
De CAS-landen hebben gewerkt aan de herziening van het Wetboek van Strafvordering waarbij door een gezamenlijke commissie is geschreven aan een wetboek dat voor alle drie de landen zou kunnen gelden. De leeftijdsgrens van 16 jaren wordt hier opnieuw gehanteerd. Wel is hierin expliciet de mogelijkheid opgenomen om het rechtsgeding dat in principe in het openbaar moet plaatsvinden, geheel of gedeeltelijk achter gesloten deuren te houden. De voorstellen voor een nieuw Wetboek van Strafvordering in de CAS-landen bevinden zich momenteel in verschillende stadia van goedkeuring, bekrachtiging en uitvoering.

Vraag 3

Acht u het wenselijk dat jongeren van 16 en 17 jaar, die juridisch als minderjarig worden beschouwd en vaak nog volop in ontwikkeling zijn, in delen van het Koninkrijk wel publiekelijk terecht kunnen staan, terwijl zij in Europees Nederland beschermd worden door besloten zittingen?

Voor een antwoord op deze vraag wil ik de uitkomsten betrekken van een onderzoek dat het Wetenschappelijk Onderzoeks- en Datacentrum (WODC) onlangs op mijn verzoek is gestart naar de werking van het jeugdstrafrecht op de BES-eilanden. Dit onderzoek richt zich op het in kaart brengen van juridische en organisatorische knelpunten van het jeugdstrafrecht BES en beoordeelt in hoeverre het huidige wettelijke kader aansluit bij de pedagogische en resocialiserende doelstellingen van een uitvoerbare strafrechtspleging voor jeugdigen. Daarnaast beoogt het onderzoek aanbevelingen te formuleren voor mogelijke aanpassingen in wetgeving en uitvoering, met als doel de effectiviteit en uitvoerbaarheid van het jeugdstrafrecht BES te versterken. De resultaten van dit onderzoek zijn naar verwachting medio 2026 beschikbaar, waarna ik uw Kamer daarover zal informeren.
Zoals ik heb aangegeven in antwoord op vraag 2, zijn de CAS-landen autonome landen binnen het Koninkrijk der Nederlanden en zelf verantwoordelijk voor hun wetgeving ten aanzien van dit onderwerp. Het is niet aan mij om daar over te oordelen.

Vraag 4

Hoe verhoudt dit verschil zich volgens u tot het Internationaal Verdrag inzake de Rechten van het Kind (IVRK), dat stelt dat alle kinderen onder de 18 jaar recht hebben op bescherming van hun privacy in het strafproces?

Op 11 januari 2008 heeft de Hoge Raad zich in een specifieke zaak uitgelaten over de vraag of sprake was van strijdigheid met artikel 40 van het IVRK dat gaat over de bescherming van kinderen binnen het strafproces (ECLI:NL:HR:2008:BB4130). Deze zaak speelde zich af op Aruba. De verdachte had op het tijdstip waarop de vervolging was aangevangen de leeftijd van 16 jaar bereikt. De zitting van deze verdachte is daarom in de openbaarheid behandeld. Het in deze zaak toepasselijke artikel 488 Wetboek van Strafvordering van de Nederlandse Antillen (hierna: Sv NA) houdt in dat het rechtsgeding in het openbaar wordt behandeld, tenzij de verdachte of diens medeverdachten op het tijdstip waarop de vervolging tegen hen is aangevangen de leeftijd van zestien jaren nog niet hebben bereikt.
De Hoge Raad heeft geoordeeld dat er geen sprake was van strijdigheid met artikel 40 van het IVRK. De Hoge Raad oordeelde dat de in artikel 488 Sv NA opgenomen grond voor het niet in het openbaar behandelen van het rechtsgeding hier niet van toepassing was. Bij dit oordeel is opgemerkt dat het proces-verbaal van de terechtzitting van het Hof niet inhoudt dat door of namens de verdachte is verzocht om een niet-openbare behandeling van de zaak dan wel dat aldaar beroep is gedaan op genoemde verdragsbepaling.

Vraag 5

Kunt u aangeven of – en hoe – in de huidige situatie rekening wordt gehouden met kwetsbare jongeren met bijvoorbeeld een licht verstandelijke beperking, die extra risico lopen op stigmatisering en psychische schade bij openbare zittingen?

Op de BES-eilanden bestaat de mogelijkheid om een zaak die in de openbaarheid zal worden behandeld toch achter gesloten deuren te behandelen. De verdachte, zijn/haar advocaat, of het openbaar ministerie kan daar om verzoeken (artikel 309, eerste lid, Sv BES). De rechter zal daar per zaak over oordelen. Ook kan de rechter daartoe ambtshalve overgaan. Over hoe vaak en in welke zaken dat gebeurt, heb ik geen gegevens beschikbaar. Zoals aangegeven in het antwoord op vraag 3, wordt in het kader van het WODC-onderzoek naar de werking van het jeugdstrafrecht BES nagegaan in hoeverre het huidige wettelijke kader aansluit bij de pedagogische en resocialiserende doelstellingen van een uitvoerbare strafrechtspleging voor jeugdigen.

Vraag 6

Zou u het wenselijk vinden als er meer uniformiteit zou zijn binnen het koninkrijk op het gebied van beslotenheid van jeugdstrafzittingen tot 18 jaar? Waarom wel of waarom niet?

Vraag 7

Hoe zou zo’n uniforme norm zich verhouden tot de autonomie van de landen binnen het Koninkrijk? Bent u bereid hierover het gesprek aan te gaan met de verantwoordelijke Ministers van Justitie van Aruba, Curaçao en Sint Maarten, met respect voor hun eigenstandigheid?

Ik verwijs naar het antwoord op vraag 6, waarin ik aangeef eerst de uitkomsten van het WODC-onderzoek met betrekking tot de situatie op de BES-eilanden af te willen wachten. Afhankelijk van de resultaten van het WODC-onderzoek voor de BES-eilanden en mijn reactie daarop ben ik, indien gewenst en gevraagd door de autonome landen, bereid het gesprek te voeren over een uniforme norm op het gebied van de beslotenheid van jeugdstrafzittingen binnen het Koninkrijk der Nederlanden.

Vraag 8

Bent u bereid om – in samenwerking met de landen en de ketenpartners – te verkennen hoe dit onderwerp op korte termijn gezamenlijk kan worden opgepakt, zodat jeugdigen binnen het gehele Koninkrijk kunnen rekenen op gelijke bescherming? Zo ja, op welke termijn en wijze wilt u dit aanpakken?

Ik verwijs hiervoor naar het antwoord op de vorige vraag.

Vraag 1

Klopt het dat de toegang tot de e-mail van de hoofdaanklager van het Internationaal Strafhof (ICC) op bevel van de Amerikaanse overheid door Microsoft is afgesloten? Zo ja, wat vindt u hiervan?1

Het is niet aan het kabinet om berichtgeving over de implementatie van sancties die door andere staten zijn opgelegd te bevestigen of te ontkennen. In algemene zin keurt het kabinet de tegen de ambtsdragers van het Internationaal Strafhof (ISH) opgelegde sancties af. Het werk van het Hof is essentieel in de strijd tegen straffeloosheid en het Hof dient zijn mandaat zonder belemmeringen uit te kunnen voeren. De sancties tegen de hoofdaanklager en vier rechters van het Hof hebben impact op het onafhankelijk functioneren van het Hof. Tegelijkertijd erkent het kabinet de rechtsmacht die de VS heeft over Amerikaanse bedrijven. Het kabinet is op meerdere niveaus in gesprek met de VS om de effecten van de sancties tegen de ambtsdragers van het Hof zo veel mogelijk te beperken.

Vraag 2

Heeft Microsoft stappen ondernomen om zich tegen dit bevel van de Amerikaanse overheid te verzetten? Zo ja, welke? Zo nee, wat vindt u hiervan?

Het is aan Amerikaanse bedrijven zelf om te wegen hoe ze met de sanctiewetgeving in hun eigen land omgaan en wat ze daarover communiceren.

Vraag 3

Welke stappen onderneemt u richting Microsoft en de Amerikaanse overheid om de toegang voor het Internationaal Strafhof tot diensten zoals e-mail te herstellen? Bent u bereid om hierover zowel met Microsoft als de Amerikaanse overheid in gesprek te gaan?

Het kabinet erkent de rechtsmacht die de VS heeft over Amerikaanse bedrijven. Het kabinet is op meerdere niveaus in gesprek gebleven met de VS om de reikwijdte en effecten van de sancties tegen de ambtsdragers van het Hof zo veel mogelijk te beperken. Zo heeft de Minister van Buitenlandse Zaken de Nederlandse zorgen over de sancties recentelijk nog nadrukkelijk onder de aandacht gebracht bij de Amerikaanse Secretary of StateRubio. Naar aanleiding van de recente uitbreiding van de sanctielijst van de VS met vier rechters van het Hof is de Amerikaanse tijdelijk zaakgelastigde uitgenodigd op het Ministerie van Buitenlandse Zaken om een toelichting te geven op de sancties. Dit gesprek heeft inmiddels plaatsgevonden, waarbij is aangegeven dat Nederland de sancties tegen ambtsdragers van het ISH afkeurt en pal achter het Hof staat. Daarnaast staat Nederland in contact met het (Nederlandse) bedrijfsleven over de kwestie van Amerikaanse sancties tegen het Internationaal Strafhof, onder meer om zogenaamde overcompliance(verder gaan dan de sancties vergen) te voorkomen. Wegens de vertrouwelijkheid kan er niet in detail worden getreden over de inhoud van deze gesprekken. Ook blijft Nederland zowel in EU-verband, als in een veelvoud van bilaterale contacten, andere verdragspartijen oproepen om eveneens een actieve rol te spelen bij het mitigeren van de sancties. Alle 125 verdragspartijen hebben namelijk een rol te spelen om het Hof zo onbelemmerd mogelijk te laten functioneren.

Vraag 4

Welke verantwoordelijkheid draagt u als gastheer van het Internationaal Strafhof om de onafhankelijkheid en het effectief functioneren van het Internationaal Strafhof te beschermen?

Als gastland van het Hof heeft Nederland een aantal specifieke verplichtingen om het Hof te faciliteren in de (onafhankelijke) uitoefening van zijn werkzaamheden. Deze zijn vastgelegd in het Zetelverdrag tussen het Internationaal Strafhof en het Gastland.2 Nederland staat in regelmatig en nauw contact met het Hof over hun zorgen ten aanzien van de sancties en om te bezien wat het gastland kan en moet doen in het kader van de gastlandverplichtingen. Nederland zal bindende internationaalrechtelijke en verdragsmatige verplichtingen te goeder trouw nakomen.
Nederland draagt de verantwoordelijkheid voor het zo onbelemmerd mogelijk laten functioneren van het Hof niet alleen. Alle 125 verdragspartijen hebben hier een rol in te spelen. Daarnaast zijn er 79 verdragspartijen, waaronder Nederland, aangesloten bij het Verdrag betreffende de privileges en immuniteiten van het Internationaal Strafhof3, waar eveneens een aantal specifieke verplichtingen uit voortvloeit, zoals bijvoorbeeld ten aanzien het waarborgen van de immuniteit van de fondsen van het Hof. In dit kader blijft Nederland, zowel in EU-verband als in een veelvoud van bilaterale contacten, andere verdragspartijen oproepen om eveneens een actieve rol te spelen bij het mitigeren van de sancties.

Vraag 5

Klopt het dat deze maatregel in de praktijk betekent dat elke (overheids)organisatie die gebruikmaakt van Amerikaanse digitale diensten, zoals ministeries en de Tweede Kamer, de toegang hiertoe op elk moment kan verliezen, zonder enige vorm van checks & balances zoals tussenkomst van een rechter?

Deze Amerikaanse sancties zijn een specifieke maatregel voor een specifieke situatie. Het kabinet is zich ervan bewust dat afhankelijkheid van een klein aantal techaanbieders voor digitale diensten zorgt voor risico's op het vlak van o.a. concurrentiepositie, digitale open strategische autonomie en continuïteit van dienstverlening. Om deze risico’s te mitigeren wordt in het kader van onder meer de vernieuwing van het cloudbeleid voor de (rijks)overheid gekeken naar mogelijkheden om cloudtechnologie op verantwoorde wijze in te zetten.

Vraag 6

Zo ja, deelt u dat dit een ernstige uitholling van de democratie en haar instituties betekent?

Er is momenteel geen sprake van een ernstige uitholling van de democratie en haar instituties. In voorkomend geval kunnen digitale afhankelijkheden ervoor zorgen dat het digitaal functioneren van instituties geraakt kan worden door dergelijke maatregelen. Sommige digitale afhankelijkheden in het overheidsdomein kunnen derhalve een risicoafweging en aanvullende beveiligingsmaatregelen vereisen. Mede hierdoor besteedt het kabinet uitgebreid aandacht aan het thema digitale autonomie. Concreet wordt medio dit jaar een visie voor digitale autonomie en soevereiniteit voor de overheid verwacht.

Vraag 7

Welke maatregelen neemt u om de digitale soevereiniteit van Nederland en de Europese Unie (EU) te verhogen, door de afhankelijkheid van Amerikaanse digitale diensten af te bouwen? Bent u bereid om hiervoor een concrete agenda met de Kamer te delen?

Zoals u eerder toegekomen is in de Agenda DOSA (Digitale Open Strategische Autonomie) het kabinetsstandpunt dat digitale afhankelijkheden in algemene zin niet te voorkomen zijn en horen bij het open handelssysteem. Het is onmogelijk, onwenselijk en niet noodzakelijk om Europa volledig digitaal autonoom te maken. Wederzijdse afhankelijkheden vormen de ruggengraat van het open handelssysteem en de internationale samenwerking waar Nederland en de EU veel profijt van hebben en die ons een sterkere geopolitieke positie opleveren.
Ook is het kabinet van mening dat we strategischer moeten kijken naar digitale technologie, en in het bijzonder naar strategische afhankelijkheden met een hoog risico. Het bewuster worden van eigen krachten in het digitale domein en zelf opbouwen van strategische capaciteit op sleutelposities kan behulpzaam zijn.
Sommige digitale afhankelijkheden kunnen echter wel een risicoafweging en daaruit voortvloeiende aanvullende maatregelen vereisen. Een consequentie van een aangescherpt overheidsbeleid is bijvoorbeeld dat er mogelijk minder digitale diensten van de rijksoverheid in de public cloud kunnen worden ontwikkeld, afhankelijk van de te beschermen belangen bij de desbetreffende overheidsdiensten.
Zoals reeds aangekondigd in de kabinetsreactie op de initiatiefnota «Wolken aan de horizon», zal er voor bepaalde diensten onderzocht gaan worden of er een soevereine overheidscloud kan worden opgezet. Daarnaast werkt het kabinet actief samen met Europese partners aan alternatieve oplossingen en een goedwerkende Europese markt.
Het is echter van belang om te realiseren dat bepaalde maatregelen wel een lange doorlooptijd kennen. Het afbouwen van dergelijke afhankelijkheden is niet een traject van enkele weken tot maanden, maar van jaren.

Vraag 1

Bent u bekend met het bericht: «Rol Microsoft bij Amerikaanse sancties ICC «ernstige wake-up call»»?1

Ja.

Vraag 2

Vindt u het acceptabel dat de marktmacht van Amerikaanse techbedrijven door de regering-Trump wordt ingezet als drukmiddel jegens onafhankelijke instituten als het Internationaal Strafhof?

Het kabinet keurt de tegen de ambtsdragers van het Internationaal Strafhof (ISH) opgelegde sancties af. Het werk van het ISH is essentieel in de strijd tegen straffeloosheid en het Hof dient zijn mandaat zonder belemmeringen uit te kunnen voeren. De sancties hebben impact op het onafhankelijk functioneren van het Hof. Tegelijkertijd erkent het kabinet de rechtsmacht die de VS heeft over Amerikaanse bedrijven. Het kabinet is op meerdere niveaus in gesprek met de VS gebleven om de reikwijdte en de effecten van de sancties zo veel mogelijk te beperken. Zo heeft de Minister van Buitenlandse Zaken de Nederlandse zorgen over de sancties recent nog nadrukkelijk onder de aandacht gebracht bij de Amerikaanse Secretary of State Rubio. Naar aanleiding van de recente uitbreiding van de sanctielijst van de VS met vier rechters van het Hof is de Amerikaanse tijdelijk zaakgelastigde uitgenodigd op het Ministerie van Buitenlandse Zaken om een toelichting te geven op de sancties. Dit gesprek heeft inmiddels plaatsgevonden, waarbij is aangegeven dat Nederland de sancties tegen ambtsdragers van het ISH afkeurt en pal achter het Hof staat. Ook blijft Nederland zowel in EU-verband, als in een veelvoud van bilaterale contacten, andere verdragspartijen oproepen om eveneens een actieve rol te spelen bij het mitigeren van de sancties. Alle 125 verdragspartijen hebben namelijk een rol te spelen om het Hof zo onbelemmerd mogelijk te laten functioneren.

Vraag 3

Bent u van mening dat Microsoft zich dient te verzetten tegen dergelijke verzoeken van de regering-Trump?

Het is aan Amerikaanse bedrijven zelf om te wegen hoe ze met de sanctiewetgeving in hun eigen land omgaan.

Vraag 4

Bent u in gesprek met Microsoft over de invloed van de regering-Trump op de handelingsvrijheid van het bedrijf om eisen van de Amerikaanse president af te slaan? Zo niet, bent u bereid dit alsnog te doen?

Het kabinet staat in contact met het (Nederlandse) bedrijfsleven over de kwestie van Amerikaanse sancties tegen het ISH, onder meer om zogenaamde overcompliancete voorkomen (verder gaan dan de sancties vergen). Wegens de vertrouwelijkheid kan er niet in detail worden getreden over de inhoud van deze gesprekken.

Vraag 5

Is Microsoft voornemens om de sancties te bestrijden, zoals wordt gesuggereerd in het recente BNR-interview van de vicevoorzitter van het bedrijf en in de beloftes die onder andere aan de Nederlandse overheid zijn gedaan?2 3

Het kabinet kan geen uitspraken doen over hoe Amerikaanse bedrijven omgaan met de sanctiewetgeving in hun eigen land.

Vraag 6

Gaat u Microsoft aan de gedane beloftes houden? Welke conclusies trekt u als Microsoft niet handelt in lijn met de gedane beloftes om zich te verweren tegen dergelijke verzoeken van de regering-Trump?

Zie de antwoorden op vraag 4 en 5.

Vraag 7

Komt door deze sancties ook de onafhankelijkheid en neutraliteit van andere sectoren die afhankelijk zijn van Amerikaanse techdiensten in gevaar, waaronder vitale infrastructuur en alle overheidslagen?

Nee, door deze sancties komt de onafhankelijkheid en neutraliteit van de vitale en de digitale infrastructuur niet in gevaar. Dit geldt ook voor de overheidslagen.

Vraag 8

Is hier sprake van het misbruiken van de marktdominantie in het digitale domein om druk uit te oefenen op de onafhankelijke rechtspraak? Wat doet u om de marktdominantie op te breken?

Zoals aangegeven in de kabinetsreactie op de initiatiefnota «Wolken aan de Horizon» vindt het kabinet het sterk geconcentreerde marktaanbod op zichzelf problematisch voor onze concurrentiepositie en onze digitale open strategische autonomie. De beleidsinzet op de markt voor clouddiensten delen we als kabinet in langs de drie pijlers uit de Agenda DOSA (Digitale Open Strategische Autonomie), welke op nationaal en Europees gebied worden ingezet:4 Protect: met wet- en regelgeving gebruikers beschermen en marktpartijen een eerlijk speelveld bieden;5 Promote: innovatie en de toetreding van nieuwe cloudaanbieders stimuleren. Door samen te werken en te clusteren met overheidspartijen in binnen- en buitenland is het ook mogelijk om schaal te creëren en hiermee Europese aanbieders te stimuleren;6 Partnership: samenwerking en contact met marktpartijen en overheden, zowel decentraal als Europees, voor het uitwisselen van expertise en best practices. Zie voor de nadere invulling van deze drie pijlers de kabinetsreactie op de initiatiefnota «Wolken aan de horizon».

Vraag 9

Is het mogelijk dat Nederlandse burgers ook toegang tot hun Microsoft-account en bankrekening wordt ontnomen door sancties van de regering-Trump? Wat doet u om dit te voorkomen?

Amerikaanse bedrijven vallen onder de rechtsmacht van de Verenigde Staten en Amerikaanse bedrijven moeten zich aan de sanctiemaatregelen van de Amerikaanse overheid houden.
Het is ook mogelijk dat Nederlandse financiële instellingen verplicht zijn volgens Amerikaanse wetgeving om deze maatregelen te implementeren, bijvoorbeeld in het geval van transacties in dollars. Daarnaast kunnen Amerikaanse sancties financiële instellingen in Nederland en andere landen onder druk zetten om hun dienstverlening aan door de VS gesanctioneerde personen te beëindigen of te beperken.
Het kabinet is doorlopend met de VS in gesprek om dergelijke vergaande maatregelen te voorkomen.

Vraag 10

Hoe is het technisch mogelijk dat een bedrijf als Microsoft op last van de Amerikaanse president toegang tot digitale diensten kan ontzeggen? Welke grondslag heeft de Amerikaanse regering om hiertoe te kunnen besluiten en had Microsoft dit kunnen weigeren?

Zie ook het antwoord op vraag 9. Als de VS sanctiemaatregelen uitvaardigt tegen een persoon of entiteit, dan moeten Amerikaanse bedrijven zich daaraan houden.

Vraag 11

Kunt u deze vragen afzonderlijk van elkaar en gezien de urgentie binnen 14 dagen beantwoorden?

De vragen zijn zo spoedig mogelijk beantwoord.

Vraag 1

Bent u bekend met het bericht «Autoriteit Persoonsgegevens: maak nu bezwaar als je niet wil dat Meta AI traint met jouw data»1?

Ja.

Vraag 2

Klopt het dat er zonder ingrijpen voor miljoenen Nederlanders ongemerkt foto's en berichten gebruikt gaan worden voor het trainen van de AI van Meta?

Meta heeft inderdaad het voornemen bekend gemaakt om, wanneer daartegen geen bezwaar wordt gemaakt, openbare data van volwassen gebruikers aan te wenden om Meta AI te trainen. Dit heeft de aandacht van de Europese gegevensbeschermingsautoriteiten. De Ierse toezichthouder (DPC) is hierin leidend, omdat de Europese hoofdvestiging van Meta en veel andere techbedrijven in Ierland zijn gevestigd. In verband met de inzet van gebruikersdata voor Artificiele Intelligentie (AI) training door Meta, heeft de DPC op 21 mei 2025 een verklaring afgelegd over de plannen van Meta om publieke content van volwassen gebruikers op Facebook en Instagram in de Europese Unie (EU) en de Europese Economische Ruimte (EER) te gebruiken voor het trainen van generatieve AI- modellen. De DPC heeft eerder in juni 2024 zorgen geuit over deze plannen en heeft Meta verzocht de training van het model te pauzeren. Meta heeft hierop gereageerd door de training uit te stellen en aanvullende maatregelen te nemen, waaronder verbeterde transparantie voor gebruikers, een vereenvoudigd bezwaarformulier en technische waarborgen zoals de-identificatie en filtering van datasets. De DPC blijft, als leidende toezichthoudende autoriteit, de situatie nauwlettend volgen en heeft Meta verzocht een rapport op te stellen met een bijgewerkte evaluatie over de effectiviteit en passendheid van de genomen maatregelen en waarborgen bij de verwerking van persoonsgegevens. Het rapport wordt verwacht in oktober 2025.2

Vraag 3

Deelt u de grote zorgen van de Autoriteit Persoonsgegevens over de plannen van Meta om zonder enige toestemming AI te trainen met data van gebruikers?

Met de Europese toezichthouders, waaronder de AP, deel ik de zienswijze dat een zorgvuldige en rechtmatige omgang met persoonsgegevens van groot belang is. Ik vind het dan ook belangrijk dat de toezichthouders de ontwikkelingen nauwlettend volgen en waar nodig bijsturen.

Vraag 4

Op welke wijze moet Meta gebruikers hierover informeren en hoe kunnen gebruikers terughalen wat er is gebeurd met hun data?

Zoals gemeld in antwoord 2 heeft Meta op verzoek van de Ierse toezichthouder een aantal maatregelen en aanpassingen doorgevoerd. Dit betreft onder meer verbeterde transparantie, een gebruiksvriendelijker bezwaarformulier, opties voor gebruikers om alle gepubliceerde berichten van openbaar naar privé te wijzigen (zodat training voor het model wordt vermeden) en bijgewerkte maatregelen ter bescherming van betrokkenen. Het is aan de toezichthouders om te beoordelen of deze maatregelen voldoende zijn.

Vraag 5

Waarom staat u het toe dat data van Nederlandse gebruikers zonder toestemming gebruikt worden voor het trainen van AI? Vindt u dit in lijn met de privacywetgeving en voldoet dit aan Europese afspraken hierover?

Het is niet aan mij om dit toe te staan of te verbieden. De taken en bevoegdheden om op te treden tegen overtredingen van de AVG zijn toegekend aan de toezichthoudende autoriteiten. Zij kunnen daartoe handhaven, advies verstrekken, samenwerken met andere toezichthoudende autoriteiten en klachten behandelen over een inbreuk op de bescherming van persoonsgegevens. Zij toetsen of sprake is van strijdigheid met de Europese gegevensbeschermingsregels.

Vraag 6

Wat gaat u eraan doen om ervoor te zorgen dat gebruikers expliciet toestemming moeten geven, in plaats van bezwaar moeten maken?

Ook op dit punt heb ik geen rol. De voorwaarden waaronder persoonsgegevens mogen worden verwerkt volgen uit de AVG. De EDPB heeft op 17 december 20243 een advies aangenomen over het gebruik van persoonsgegevens bij het ontwikkelen en in gebruik nemen van AI-modellen. De AVG biedt ruimte om ook zonder toestemming van de betrokkene op basis van de verwerkingsgrondslag «gerechtvaardigd belang» persoonsgegevens te verwerken (artikel 6, eerste lid onder f AVG). Nadat een verwerkingsverantwoordelijke een gerechtvaardigd belang heeft geïdentificeerd, dient aan twee verdere voorwaarden te zijn voldaan: de beoogde verwerking van persoonsgegevens is noodzakelijk ter behartiging van het bovengenoemde gerechtvaardigde belang en de belangen of fundamentele rechten en vrijheden van betrokkenen die door de verwerking van persoonsgegevens worden geraakt, wegen niet zwaarder dan het gerechtvaardigde belang dat met de verwerking wordt gediend. Hoe een belangenafweging in concrete situaties uitvalt, wordt bepaald door de omstandigheden van het geval. Daaruit zal moeten blijken dat het gebruik van persoonsgegevens echt nodig is en dat hetzelfde doel niet kan worden bereikt met bijvoorbeeld geanonimiseerde gegevens. In deze afweging spelen de «redelijke verwachtingen» van de betrokkenen een belangrijke rol. Bij het vaststellen daarvan dient onder meer rekening te worden gehouden met de context van de verwerking en de informatie die de verwerkingsverantwoordelijke aan de betrokkene aanbiedt. De verwerkingsverantwoordelijke kan daarbij op de concrete omstandigheden van het geval toegespitste maatregelen nemen om de impact van de verwerking op de belangen van betrokkenen te mitigeren. Dit is een onderdeel van het toetsingskader van de Europese toezichthouders.

Vraag 1

Bent u op de hoogte dat door het beperkte budget voor het Tijdelijk Noodfonds Energie en de grote stormloop door het lange wachten veel mensen nu geen aanvraag kunnen doen?1 2 3

Ja, hier ben ik van op de hoogte.

Vraag 2

Erkent u dat het uw verantwoordelijkheid is om te zorgen dat middelen vanuit het Noodfonds rechtvaardig worden verdeeld en dat het systeem goed functioneert?

Het energiefonds 2025 is net als het Noodfonds in 2023 en het Noodfonds in 2024 een publiek-private samenwerking. De subsidie die het Rijk heeft verstrekt aan Stichting Tijdelijk Noodfonds Energie (TNE) is € 56,3 miljoen. Deze gelden zijn verstrekt ten behoeve van huishoudens. Vanuit de bijdragen van de energiesector worden de uitvoeringskosten van het fonds betaald. Er is gekozen om samen met de energiesector en TNE nog een allerlaatste keer een publiek-private samenwerking aan te gaan, zoals aangegeven in de Kamerbrief van 4 april jl.4 Dit was noodzakelijk om in 2025 het energiefonds te openen.

Vraag 3

Erkent u dat het beperkte budget en de technische problemen zorgen voor een schrijnende en oneerlijke situatie, waarin mensen die pech hebben of minder digitaal vaardig zijn worden buitengesloten van financiële steun?

Het is heel frustrerend en vervelend voor mensen dat het indienen van een aanvraag niet (goed) is gelukt. Vanwege de drukte in de eerste uren deden zich problemen voor in de wisselwerking tussen verschillende systemen. Daardoor konden meerdere huishoudens hun aanvraag niet (volledig) indienen. Na geringe tijd waren de problemen verholpen. TNE heeft de mensen die een aanvraag in wilden dienen en niet konden voltooien, benaderd om het opnieuw te proberen. Mensen die hulp nodig hadden bij het indienen van een aanvraag, konden hierin worden ondersteund. SZW heeft een subsidie verstrekt aan de Nederlandse Schuldhulproute (NSR) die een landelijk dekkende sociale kaart heeft. Met behulp van deze sociale kaart, is in samenwerking met Landelijk Steunpunt Thuisadministratie (LSTA) een doorverwijsroute ingericht naar lokale hulp. Specifiek hulp aan de keukentafel voor huishoudens die niet zelfstandig een aanvraag kunnen indienen. De LSTA heeft ook een directe lijn met het klantcontactcentrum van TNE, met als gezamenlijke prioriteit om deze huishoudens te ondersteunen.

Vraag 4

Kunt u toezeggen dat u als eindverantwoordelijke aanvullende middelen beschikbaar stelt voor het Noodfonds zodat mensen alsnog het geld krijgen waar zij recht op hebben?

In de brief aan uw Kamer van 4 april jl. heb ik aangegeven dat het Tijdelijk Noodfonds Energie op basis van de huidige energieprijzen circa 100.000 huishoudens kon helpen.5 Daarbij heb ik ook aangegeven dat het goed is dat de Tweede Kamer zich realiseert dat met de beschikbare middelen mogelijk niet alle aanvragen konden worden gehonoreerd. Dat betekent dat op het moment dat een marge tot aan de grens van de € 56,3 miljoen zou worden bereikt, TNE zou overgaan tot sluiting. Het Rijk kan om bestuurlijke risico’s te voorkomen enkel middelen inleggen wanneer derde partijen ook meer dan één derde van de totale som financieel bijdragen. Met de huidige bijdrage van € 56,3 miljoen van het Rijk is die verhouding gewaarborgd. Er zijn van derde partijen en daarmee ook van het Rijk geen extra middelen beschikbaar. Ik wil daarbij benadrukken dat we blij zijn dat er voldoende bijdragen beschikbaar waren gesteld door de energiesector, zodat het fonds van start kon. Ik erken dat het ontzettend spijtig is dat met de € 56,3 miljoen niet alle huishoudens geholpen konden worden. Ik wil echter ook benadrukken dat met deze middelen ook heel veel huishoudens wel zijn bereikt.

Vraag 5

Kunt u garanderen dat het Noodfonds nog minimaal één week open blijft, zodat iedereen die nu is buitengesloten de kans heeft om een aanvraag in te dienen zonder technische problemen?

Nee, helaas was dat niet mogelijk. Er zijn geen aanvullende middelen van derde partijen en ook geen additionele publieke middelen. Dit betekent dat het energiefonds genoodzaakt was om te sluiten.

Vraag 6

Bent u bereid af te zien van de financiële constructie waardoor het toevoegen van publieke middelen aan het fonds afhankelijk is van de bijdrage van private partijen, zodat het Noodfonds beschikt over de middelen die nodig zijn?

Het energiefonds 2025 is het een publiek-private samenwerking waar niet meer van kan worden afgezien. Echter, begrijp ik uw zorg en werk ik aan de mogelijkheid voor een publiek energiefonds in de toekomst. Om die reden hebben het Ministerie van SZW en het Ministerie van Volkshuisvesting en Ruimtelijke Ordening gezamenlijk een voorstel uitgewerkt voor het Social Climate Fund (SCF), waarbij ingezet wordt op maatregelen die bijdragen aan verduurzaming. Ook richten de maatregelen zich specifiek op het energiezuiniger maken van woningen in combinatie met directe tijdelijke steun op de energierekening voor huishoudens in een financieel kwetsbare positie. Het kabinet heeft besloten, onder voorbehoud van goedkeuring van de Europese Commissie, om uit de middelen voor het SCF € 174,5 miljoen in te zetten voor een dergelijk publiek fonds.6 Samen met de € 60 miljoen uit de Rijksbegroting is hiervoor € 234,5 miljoen beschikbaar voor de periode van 2026 tot 2032. De hoogte van dit bedrag vraagt dus eveneens om keuzes bij de uitvoering. Bij de Voorjaarsnota is besloten om € 600 miljoen in te zetten voor het verlagen van de energiebelasting. Dit is, in tegenstelling tot het noodfonds, geen gerichte maatregel voor de doelgroep van het noodfonds, maar zal ook voor deze huishoudens zorgen voor een lagere energierekening.

Vraag 7

Wat gaat u verder doen om het Noodfonds maximaal te ondersteunen? Bent u bereid een actieve rol te spelen om technische problemen op te lossen en ondersteuning bij het aanvragen te versterken?

We hebben intensief contact met TNE. Waar mogelijk, bieden wij ondersteuning. Om huishoudens zo goed mogelijk te ondersteunen bij het doen van een aanvraag is, zoals bij vraag 3 aangegeven, er door SZW een subsidie verstrekt aan NSR.

Vraag 8

Bent u op de hoogte dat het maken van een op = op regeling voor financiële steun zorgt voor veel stress, waardoor mensen zo snel mogelijk hun aanvraag doen, met overbelasting van de website als gevolg? Vindt u dit een aanvaardbare manier om mensen financieel te ondersteunen?

Ik begrijp goed dat het frustrerend en vervelend is voor huishoudens die graag nog een aanvraag hadden willen indienen, niet meer in de gelegenheid zijn om dit te doen. Via vrijwilligersorganisaties en andere hulporganisaties zoals energiecoaches zijn huishoudens zo goed als mogelijk geïnformeerd en ondersteund in het doen van een aanvraag. Zoals eerder in deze beantwoording aangegeven heb ik de Kamer op 4 april jl. geïnformeerd over het feit dat met de beschikbare middelen mogelijk niet alle aanvragen gehonoreerd konden worden.

Vraag 9

Wat moeten mensen doen als hun aanvraag door technische problemen niet lukt? Wat adviseert u hen, zonder te zeggen «probeer het later nog een keer»?4

In de eerste uren, deden problemen zich voor waardoor meerdere huishoudens hun aanvraag niet (volledig) konden indienen. Na geringe tijd waren de problemen verholpen waarna TNE de mensen die hun aanvraag niet konden voltooien, per mail benaderd heeft om het opnieuw te proberen.
Huishoudens die geen aanvraag meer hebben kunnen doen, maar wel geldzorgen hebben, worden geadviseerd om contact op te nemen met hun gemeente of met hulporganisaties zoals Geldfit. Zij kunnen mogelijk helpen bij het vinden van alternatieve regelingen of andere vormen van ondersteuning.

Vraag 10

Bent u het met de indieners eens dat het Noodfonds een belangrijke publieke taak vervult en voor iedereen toegankelijk moet zijn, zowel digitaal als analoog?

Zoals bij vraag 2 aangegeven, was het dankzij de publiek-private samenwerking uiteindelijk toch mogelijk om het energiefonds te openen. Dit neemt niet weg dat het evidente beperkingen kent. Bijvoorbeeld, het beschikbare budget en het feit dat een aanvraag enkel met DigiD kon worden gedaan. Om de opening en de snelheid daarvan te borgen is ervoor gekozen om, binnen het beperkte budget, in te zetten op ondersteuning bij het indienen van een aanvraag. (Zie ook het antwoord op vraag 3 voor hoe de ondersteuning was vormgegeven). Het was uiteindelijk een keuze tussen geen energiefonds in 2025 of om de beperkingen te aanvaarden en een omvangrijk deel van de doelgroep te helpen. In nauw overleg met betrokken stakeholders en samenwerkingspartners is uiteindelijk voor het laatste gekozen. Verschillende moties en Kamervragen van uw Kamer vroegen hier ook expliciet om.8 Zoals gezegd is dit de laatste keer dat we het op deze manier doen.9 Voor de komende periode wordt gewerkt aan het voorstel voor het SCF.

Vraag 11

Kunt u toezeggen dat het Noodfonds en toekomstige fondsen voortaan als een volwaardige overheidsdienst worden aangemerkt en aanvragen ook analoog kunnen plaatsvinden?5

De grote belangstelling voor het energiefonds toont dat er een significante groep huishoudens is die moeite heeft met het betalen van de energierekening. Om die reden hebben het Ministerie van SZW en het Ministerie van VRO gezamenlijk een voorstel uitgewerkt voor het SCF, zie ook de beantwoording bij vraag 6.

Vraag 12

Bent u bekend met de herhaalde oproepen van de Nationale ombudsman, die vraagt om een DigiD niet verplicht te stellen voor aanvragen bij het Noodfonds?6 7

Ja, hier ben ik mee bekend.

Vraag 13

Waarom is het hebben van een DigiD voor de derde keer op rij verplicht voor het doen van een aanvraag, terwijl u op de hoogte bent van de problemen met toegankelijkheid?

De uitvoeringskosten van het energiefonds worden bekostigd door de energiesector. Wij zijn blij met de middelen die zij hiervoor beschikbaar hebben gesteld. Het totale beschikbare bedrag vroeg wel om het maken van keuzes in de uitvoering door TNE. Zoals bij vraag 10 aangegeven is extra hulp beschikbaar gesteld voor mensen die minder digitaal vaardig zijn. Het hebben van een DigiD was voorwaardelijk voor het indienen van een aanvraag, aangezien inkomensgegevens verzameld moeten worden voor de aanvrager. Dit is nodig om de steun gericht aan te kunnen bieden aan mensen met lage inkomens en een hoge energierekening. Dit betekent dat mensen zonder DigiD wordt gevraagd om een DigiD aan te vragen om een beroep te kunnen doen op het fonds. Om die reden is in de aanloop naar de opening van het loket actief gecommuniceerd dat mensen een DigiD moesten aanvragen indien ze die nog niet hadden.

Vraag 14

Hoe heeft u sociaal werkers, hulploketten en andere ondersteuners voorbereid op vragen over het Noodfonds? Zijn zij voldoende voorbereid op de grote hoeveelheid vragen over het Noodfonds?

De NSR in samenwerking met de LSTA hebben een handleiding gemaakt en een toolkit verspreid naar de verschillende betrokken maatschappelijke organisaties.
TNE heeft webinars en vragen uurtjes verzorgd voor o.a. de VNG, maatschappelijke en vrijwilligers organisaties. Zowel met de VNG als hulporganisaties deden rond 150 deelnemers aan mee. Die organisaties zijn tijdig geïnformeerd over het fonds zodat zij mensen voor de opening van het loket al konden wijzen op de toekomstige opening en de aanwezige ondersteuning. Bovendien heeft TNE met verschillende belangenorganisaties het aanvraagproces doorlopen en op basis van die inzichten verbeteringen doorgevoerd.
De toolkit bevatte naast de handleiding ook de een flyer en poster van TNE. Deze flyer zijn door een aantal maatschappelijke (en lokale) organisaties ook vertaald in andere talen. Daarnaast is de toolkit verspreid naar een grote variatie aan maatschappelijke organisaties die mensen helpen met financiële problemen of energie besparen. Ook zijn inlooppunten vanuit het programma Samen Erop vooruit ingeschakeld. De gemaakte toolkit is dus uitgebreid verspreid.
Graag zou ik de rol van deze vrijwilligers- en andere hulporganisaties benadrukken. Zij hebben huishoudens gedurende de hele week geholpen bij het doen van een aanvraag. Ik besef dat het voor hen erg lastig was toen problemen zich voordeden en zij mensen niet konden helpen. Ik ben hen erkentelijk dat zij, net als TNE en hun klant contactcentrum, ook in de avond- en weekenduren hebben gewerkt om zoveel mogelijk mensen nog te helpen bij het doen van een aanvraag.

Vraag 15

Bent u bereid om de technische problemen en de toegankelijkheid van het Noodfonds grondig te evalueren met aanvragers, sociaal werkers, hulploketten, de Nationale ombudsman, lokale overheden, maatschappelijke organisaties en belangenorganisaties?

Lessen en signalen op basis van het energiefonds van 2025 worden meegenomen in het mogelijke vervolgtraject van het SCF. Ik zal hierbij input meenemen van aanvragers, sociaal werkers, hulploketten, lokale overheden, maatschappelijke organisaties en belangenorganisaties. Met de Nationale ombudsman is onder andere de klachtenregeling van TNE besproken en is er regelmatig contact over de signalen.

Vraag 16

Kunt u met dezelfde partijen in kaart brengen op welke specifieke momenten mensen vastlopen in het systeem en werken aan oplossingen om die knelpunten gericht weg te nemen?

Het energiefonds 2025 is inmiddels gesloten. Daarmee is deze vraag niet meer van toepassing. TNE heeft vooraf de klantreis bij ervaringsdeskundigen gecheckt. Zie ook de Kamerbrief van 4 april jl.13 en de beantwoording bij vraag 15.

Vraag 17

Kunt u de Kamer per kwartaal informeren over de vervolgstappen die u gaat nemen naar aanleiding van deze schrijnende situatie?

Na het meireces volgt een kamerbrief over de sluiting en laatste stand van zaken rond het energiefonds. De lessen worden zoveel als mogelijk meegenomen in het mogelijke vervolgtraject van het SCF. Uw Kamer wordt geïnformeerd over het definitieve plan voor het SCF. Dit plan moet uiterlijk 30 juni worden ingediend bij de Europese Commissie.

Vraag 18

Kunt u vragen 1 t/m 11 uiterlijk op maandag 28 april los beantwoorden, en de rest van de vragen nog voordat het eerste geld aan aanvragers wordt uitgekeerd?

De vragen zijn zo snel als mogelijk en voor het uitkeren van steun aan aanvragers beantwoord.

Vraag 1

Bent u bekend met het bericht «Als je nu niet in actie komt, zit jouw foto straks in AI-bot van Instagram»1?

Ja.

Vraag 2

Bent u van mening dat de voorgenomen plannen van Meta om gebruikersdata in te zetten als AI-trainingsdata een grove inbreuk is op de privacy van gebruikers van platformen zoals Instagram en Facebook?

Ik begrijp dat de bedoelde plannen van Meta vragen oproepen naar de rechtmatigheid ervan in het licht van de Algemene Verordening Gegevensbescherming (AVG), maar een oordeel daarover komt mij niet toe. Het beoordelen van de rechtmatigheid van (voorgenomen) gegevensverwerkingen is aan de bevoegde toezichthoudende autoriteiten, in Nederland is dat de Autoriteit Persoonsgegevens (AP). Ten aanzien van Meta is niet de AP, maar de Ierse toezichthouder, de Data Protection Commission (DPC), leidend, omdat de Europese hoofdvestiging van Meta in Ierland zit. Toezichthouders zijn bij uitstek bevoegd om stappen te ondernemen indien sprake is van een overtreding van de regels die zijn neergelegd in de AVG.
In verband met de inzet van gebruikersdata voor Artificiele Intelligentie (AI) training door Meta, heeft de DPC op 21 mei 2025 een verklaring afgelegd over de plannen van Meta om publieke content van volwassen gebruikers op facebook en Instagram in de Europese Unie (EU) en de Europese Economische Ruimte (EER) te gebruiken voor het trainen van generatieve AI modellen. De DPC heeft eerder in juni 2024 zorgen geuit over deze plannen en heeft Meta verzocht de training van het model te pauzeren. Meta heeft hierop gereageerd door de training uit te stellen en aanvullende maatregelen te nemen, waaronder verbeterde transparantie voor gebruikers, een vereenvoudigd bezwaarformulier en technische waarborgen zoals de-identificatie en filtering van datasets. De DPC blijft, als leidende toezichthoudende autoriteit, de situatie nauwlettend volgen en heeft Meta verzocht een rapport op te stellen met een bijgewerkte evaluatie over de effectiviteit en passendheid van de genomen maatregelen en waarborgen bij de verwerking van persoonsgegevens. Het rapport wordt verwacht in oktober 2025.2

Vraag 3

Deelt u de opvatting dat het verlies van controle over de persoonsgegevens van gebruikers van Facebook en Instagram neerkomt op een aantasting van onze digitale soevereiniteit? Zo ja, wat voor stappen gaat u hiertegen ondernemen?

Het Europees Comité voor gegevensbescherming (EDPB), waarin de Europese gegevensbeschermingsautoriteiten samenwerken, heeft op 17 december 20243 een advies aangenomen over het gebruik van persoonsgegevens bij het ontwikkelen en in gebruik nemen van AI-modellen. Daarin wordt ook ingegaan op de verwerking van persoonsgegevens voor dit doel zonder dat daarvoor toestemming is verkregen van de gebruikers.
De AVG biedt zes grondslagen om persoonsgegevens te mogen verwerken. Toestemming van de betrokkene is een mogelijke grondslag voor het verwerken van persoonsgegevens (artikel 6, eerste lid, onder a, AVG), maar ook zonder toestemming van de betrokkene kan het verwerken van persoonsgegevens rechtmatig zijn. Dat kan het geval zijn als de verwerkingsverantwoordelijke een «gerechtvaardigd belang» (artikel 6, eerste lid onder f AVG) heeft voor de verwerking. Uit het advies van 17 december 2024 van de EDPB volgt dat een verwerkingsverantwoordelijke een gerechtvaardigd belang kan hebben dat erin bestaat dat gegevens worden gebruikt voor de ontwikkeling van een AI-model. Wel noemt de EDPB diverse voorwaarden voor het gebruik van deze grondslag bij het verwerken van persoonsgegevens ten behoeve van het ontwikkelen of inzetten van een AI-model. Zo moet worden vastgesteld dat, indien er sprake is van een gerechtvaardigd belang, aan twee verdere voorwaarden is voldaan: de beoogde verwerking van persoonsgegevens is noodzakelijk ter behartiging van het bovengenoemde gerechtvaardigde belang en de belangen of fundamentele rechten en vrijheden van betrokkenen die door de verwerking van persoonsgegevens worden geraakt, wegen niet zwaarder dan het gerechtvaardigde belang dat met de verwerking wordt gediend. Hoe een belangenafweging in concrete situaties uitvalt, wordt bepaald door de omstandigheden van het geval. Daaruit zal moeten blijken dat het gebruik van persoonsgegevens echt nodig is en dat hetzelfde doel niet kan worden bereikt met bijvoorbeeld geanonimiseerde gegevens. In deze afweging spelen de «redelijke verwachtingen» van de betrokkenen een belangrijke rol. Bij het vaststellen daarvan dient onder meer rekening te worden gehouden met de context van de verwerking en de informatie die de verwerkingsverantwoordelijke aan de betrokkene aanbiedt. De verwerkingsverantwoordelijke kan daarbij op de concrete omstandigheden van het geval toegespitste maatregelen nemen om de impact van de verwerking op de belangen van betrokkenen te mitigeren. Daarbij speelt de toegang tot rechten van betrokkenen onder de AVG een rol, zoals het recht op inzage en het recht op bezwaar. De toezichthouder beoordeelt uiteindelijk of (en zo ja: welke) stappen moeten worden ondernomen tegen een vorm van verwerking.

Vraag 4

Hoe verhoudt het «opt-out» model voor dataverzameling dat Meta gebruikt zich tot de vereisten van de Algemene Verordening Gegevensbescherming (AVG)?

Bij de beoordeling of de verwerkingsgrondslag «gerechtvaardigd belang» kan worden ingeroepen, weegt mee of de verwerkingsverantwoordelijke voldoende maatregelen heeft genomen om de impact van een gegevensverwerking op de belangen van betrokkenen te beperken. Het bieden van een onvoorwaardelijke «opt-out» kan volgens het advies van de EDPB worden beschouwd als een zodanige maatregel4, die de controle van individuen over de verwerking van hun persoonsgegevens versterkt. Of het opt-out model dat Meta gebruikt in overeenstemming is met de AVG, is ter beoordeling van de onafhankelijke toezichthouder.

Vraag 5

Welke bevoegdheden en middelen heeft de Autoriteit Persoonsgegevens (AP) om in te grijpen tegen praktijken van grote bedrijven zoals Meta? Acht u dit voldoende?

Elke toezichthoudende autoriteit heeft op grond van artikel 58 van de AVG verschillende bevoegdheden. De toezichthouder kan bijvoorbeeld de verwerkingsverantwoordelijke of verwerker waarschuwen, berispen of gelasten een verzoek van een gebruiker voor de uitoefening van zijn of haar rechten in te willigen. Ook kan er een geldboete worden opgelegd. De toezichthouder kan bovendien een tijdelijk of definitief verwerkingsverbod opleggen of gelasten de gegevensstromen naar een ontvanger in een derde land op te schorten. Ik acht dit instrumentarium toereikend om toe te zien op de naleving van de gegevensbeschermingswetgeving en waar nodig handhavend op te treden. Ten aanzien van Meta is als gezegd niet de AP maar de Ierse toezichthouder leidend. Wel staan de AP en de andere Europese toezichthouders hierover overeenkomstig artikel 60 van de AVG in contact met de Ierse toezichthouder.

Vraag 6

De AP stelt dat gebruikers momenteel zelf hun privacy moeten beschermen bij een bedrijf als Meta. Deelt u de opvatting dat de verantwoordelijkheid voor privacy niet bij de burgers zou moeten liggen? Ziet u een rol weggelegd voor de overheid om haar burgers te informeren over de bescherming van hun privacy en persoonsgegevens? Zo ja, welke?

Het is in de eerste plaats aan de verwerkingsverantwoordelijke om de gegevensbeschermingsregels na te leven en dat ook te kunnen aantonen, maar ook om duidelijk en transparant te communiceren naar haar gebruikers en hen in staat te stellen effectief hun rechten uit te oefenen. Het behoort verder tot de taken van de AP om voorlichting te geven over de AVG, bijvoorbeeld door in algemene zin te ondersteunen bij het uitoefenen van de rechten die de AVG biedt. Ik zie in deze situatie geen rol weggelegd voor de overheid, temeer nu de AP deze rol daadwerkelijk vervult. Haar oproep in de onderhavige kwestie geeft daar blijk van.

Vraag 7

Als Europese privacytoezichthouders hun onderzoek naar mogelijke schendingen van de Europese privacywetgeving door Meta niet vóór 27 mei afronden, is de Nederlandse overheid dan bereid om zelfstandig maatregelen te nemen om de privacy van Nederlandse gebruikers te beschermen? Deelt u de mening dat de waarschuwing van de AP aanvullende actie vanuit de overheid legitimeert?

Nee, daarmee zou de Nederlandse overheid op de stoel van de toezichthouders gaan zitten. In het stelsel zoals de AVG dat kent, is het aan verwerkingsverantwoordelijken om verplichtingen na te leven, aan de betrokkenen om rechten uit te oefenen en is het toezicht bij onafhankelijke instanties belegd, niet bij de overheid.

Vraag 1

Klopt het dat u de Rijkswet Aruba financieel toezicht definitief loslaat, ondanks de expliciet gestelde deadline van 1 mei 2025?1

Ja, de Rijkswet Aruba financieel toezicht (RAft) is na een besluit van de Rijksministerraad ingetrokken. Dit vanwege het ontvallen van steun door Aruba en dus de consensus over dit eerdere voorstel en de afspraak naar aanleiding daarvan over intrekking van het voorstel in het Bestuurlijk Akkoord van 4 juni 2024 (verder: akkoord). Ook de datum van 1 mei 2025 vloeit voort uit ditzelfde akkoord waarin Aruba en Nederland afspraken hebben gemaakt over een nieuwe ontwerprijkswet gericht op houdbare overheidsfinanciën voor Aruba, ter vervanging van het eerdere voorstel. Ter informatie voeg ik het akkoord als bijlage bij deze brief.

Vraag 2

Waarom kiest u nu voor een zogeheten consensus Rijkswet, terwijl eerder een reguliere Rijkswet als voorwaarde werd gesteld voor herfinanciering van de coronaleningen? Welke overwegingen liggen daaraan ten grondslag en wat is het verschil tussen de twee?

Ook het ontwerp voor de RAft betrof een consensusrijkswet. Een consensusrijkswet is een onderlinge regeling op grond van artikel 38, lid 2 van het Statuut over onderwerpen in de autonome sfeer van de landen, zoals overheidsfinanciën. De betrokken landen leggen in een consensusrijkswet met wederzijdse instemming afspraken daarover vast. In een «normale» rijkswet worden op grond van artikel 14 van het Statuut alleen Koninkrijksaangelegenheden geregeld, zoals de Rijkswet op het Nederlanderschap.

Vraag 3

Kunt u exact aangeven welke voorwaarden u verbindt aan deze nieuwe consensus Rijkswet? En op welke datum moet deze wet volgens u uiterlijk zijn overeengekomen?

De afspraken over de totstandkoming van de nieuwe rijkswet zijn vastgelegd in het Bestuurlijk Akkoord van 4 juni 2024. Daarin zijn onder meer afspraken vastgelegd over inhoudelijke elementen van de rijkswet, rentepercentages en onafhankelijk advies over de begrotingsnormen.

Vraag 4

Acht u het acceptabel dat Aruba, dat zich tot op heden niet heeft gehouden aan de gestelde voorwaarden en termijnen, nu de mogelijkheid krijgt een versoepeld traject te volgen? Acht u dit in overeenstemming met het beginsel van rechtsgelijkheid binnen het Koninkrijk? Zo ja, hoe verklaart u dit richting de regeringen van Curaçao en Sint Maarten, die wel met een reguliere Rijkswet hebben ingestemd?

Ik herken het beeld van een versoepeld traject niet. Er wordt gezamenlijk door Nederland en Aruba aan de nieuwe consensusrijkswet geschreven. Er is daarbij sprake van een gedegen wetgevingsproces. Er is geen sprake van gestelde voorwaarden waaraan Aruba zich eenzijdig niet heeft gehouden. Voorts is de Rijkswet financieel Toezicht Curaçao en Sint Maarten (Rft) ook een consensusrijkswet. Op dit moment is voor Aruba het financieel toezicht geregeld in de Landsverordening Aruba financieel toezicht en diverse protocollen, die een vergelijkbare strekking hebben als de Rft. Ik zie door het traject met Aruba voor de totstandkoming van een consensusrijkswet geen rechtsongelijkheid ontstaan.

Vraag 5

Bent u bereid de eerder toegekende renteverlaging van 1,8 procent voor Aruba alsnog terug te draaien, zolang er geen formele Rijkswet of consensus Rijkswet is vastgesteld? Zo nee, waarom niet, mede in het licht van uw eerdere toezeggingen aan de Kamer?

De renteverlaging die in 2024 is toegepast volgt uit het akkoord. Ik zie daarom geen mogelijkheid of reden die renteverlaging ongedaan te maken.

Vraag 6

Hoe verhoudt uw huidige koers ten aanzien van Aruba zich tot uw eigen beleidsprioriteiten op het gebied van goed bestuur, integriteit en solide financieel beleid?

Voor het ontwerp van de nieuwe rijkswet is het Internationaal Monetair Fonds (IMF) om advies gevraagd. De wet kan daarmee worden gebaseerd op actuele wetenschappelijke inzichten en de ervaring van het IMF in de praktijk. De rijkswet omvat normen ten aanzien van de financiën en het financieel beheer zal daarmee direct bijdragen aan mijn beleidsprioriteit solide of houdbare overheidsfinanciën, Dat beschouw ik tevens als onderdeel van goed bestuur.

Vraag 1

Welke concrete kansen en risico’s ziet u vanuit emancipatieperspectief met betrekking tot het ontwikkelen en gebruiken van AI en algoritmen in zowel individuele als publieke- en private toepassingen?

Het kabinet keurt iedere vorm van discriminatie af. Om discriminatie tegen te gaan hanteert het kabinet een evenwichtige aanpak, waarbij benadrukt dient te worden dat alle groepen in de samenleving hierin voor de overheid gelijk zijn. Vanuit emancipatieperspectief ziet het kabinet zowel kansen als risico’s in de ontwikkeling en toepassing van AI. AI kan bijdragen aan gelijke kansen, bijvoorbeeld door biasbewuste algoritmen in werving of onderwijs. Maar AIsystemen en algoritmen kunnen ook (onbewuste) bias bevatten, bijvoorbeeld doordat ze ontwikkeld zijn op basis van data die voornamelijk mannelijke kenmerken weerspiegelt1, of waarin bepaalde groepen onvoldoende zijn vertegenwoordigd, waardoor deze systemen mogelijk ook minder goed werken voor deze groepen. Een voorbeeld hiervan is het potentiële effect van AI op lhbtqia+-ongelijkheid, dat uit een onderzoek van het Ministerie van OCW naar voren kwam.2 Daarnaast bestaan er risico’s in specifieke toepassingen, zoals het gebruik van AI-gedreven «uitkleedapps» onder leerlingen in het voortgezet onderwijs, wat schadelijk is voor de veiligheid van met name meisjes.
Een ander risico is gelegen in de geringe vertegenwoordiging van vrouwen in ICT-beroepen. In Europees verband heeft Nederland zich vastgelegd om toe te werken naar een groter aantal ICT-specialisten met een groter aandeel vrouwen. In het meeste recente rapport over het Digitaal Decennium gaf de Europese Commissie aan dat er in Nederland genderonevenwichtigheden op dit gebied bestaan, omdat minder dan 25 procent van de werkende ICT-specialisten vrouw is en gaf zij de aanbeveling om programma’s op te zetten om het aantal jongeren (met name meisjes) dat belangstelling heeft voor ICT-studies of -loopbanen te vergroten.3 Recent heeft de Europese Commissie bij de Unie van Vaardigheden ook een strategisch plan voor STEM-onderwijs voorgesteld met bijzondere aandacht voor meisjes. In de kabinetsreactie is de aandacht hiervoor verwelkomd en is ook ingegaan op het Nederlandse beleid op dit gebied.4 Zo is Nederland in 2025 bijvoorbeeld het Nationaal Groeifondsproject Techkwadraat van start gegaan, waarin aandacht voor het betrekken van ondervertegenwoordigde groepen, waaronder meisjes, een verplicht onderdeel is.5

Vraag 2

Deelt u de verwachting dat AI-systemen in Nederland genderbias en discriminatie kunnen versterken?

Het is bekend dat bepaalde toepassingen van AI-systemen gevoelig kunnen zijn voor vooringenomenheid (bias) en een risico op discriminatie met zich meebrengen. Enkele voorbeelden hiervan zijn AI-systemen voor biometrische identificatie, voor het bepalen van toelating tot onderwijs of beroepsopleidingen, voor werving en selectie op de arbeidsmarkt en voor evaluatie van de kredietwaardigheid van personen. Dergelijke toepassingen kunnen vertekende effecten geven met betrekking tot geslacht en discriminerend zijn ten aanzien van vrouwen.
Hoewel AI-technologie dit risico in zich heeft, gebeurt er veel om dit te voorkomen. De bewustwording over risico’s rondom genderbias en discriminatie bij het gebruik van AI is bij gebruikers, experts en burgers in de afgelopen jaren toegenomen. De verwachting is dat de AI-verordening verder zal bijdragen aan het voorkomen en terugdringen van genderbias en discriminatie in AI-systemen. De AI-verordening deelt AI-systemen in aan de hand van risico-categorieën. Afhankelijk van het risico, stelt de AI-verordening eisen om deze risico’s te beperken. Voor (sommige) hoog-risico AI-systemen gelden eisen met betrekking tot gebruikte datasets, waaronder een beoordeling van mogelijke vooringenomenheid die kan leiden tot discriminatie.

Vraag 3

Hoe ziet u er op toe dat het toenemende gebruik van AI-toepassingen en algoritmes bij publieke- en private organisaties genderbias en discriminatie niet versterken en kunt u dwingend optreden als dit wel het geval is?

Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft verschillende instrumenten ontwikkeld die publieke en private organisaties kunnen ondersteunen bij het toetsen van AI-systemen en algoritmen op mogelijke bias en discriminatie, zoals de handreiking non-discriminatie by design en het Impact Assessment Mensenrechten en Algoritmen (IAMA) (specifiek voor overheidsorganisaties). Het Algoritmekader voor de overheid biedt een handzaam overzicht van kaders, maatregelen en hulpmiddelen om overheidsorganisaties te ondersteunen bij verantwoorde ontwikkeling en inzet van AI-systemen en algoritmes.6 In het Algoritmekader is expliciet aandacht voor mogelijke bias en discriminerende effecten. Organisaties zijn in eerste instantie zelf verantwoordelijk om ervoor te zorgen dat ze handelen conform wetgeving en normen.
Bij signalen van of klachten over discriminatie door algoritmische en AI-toepassingen kunnen toezichthouders optreden. Dit heeft zich in de afgelopen jaren ook een aantal keer voorgedaan. De Autoriteit Persoonsgegevens (AP) en het College voor de Rechten van de Mens (CRM) zien erop toe dat het handelen van publieke en private organisaties niet in strijd is met de Algemene Verordening Gegevensbescherming en non-discriminatiewetgeving. De AP, het CRM en de procureur-generaal bij de Hoge Raad (PGHR), de voorzitter van de Afdeling Bestuursrechtspraak Raad van State (ABRvS), het gerechtsbestuur van de Centrale Raad van Beroep (CRvB) en het gerechtsbestuur van het College van Beroep voor het bedrijfsleven (CBb) zijn voor de AI-verordening vastgesteld als autoriteiten voor de bescherming van grondrechten.7

Vraag 4

Welke lessen omtrent genderbias en discriminatie neemt u concreet mee uit eerdere toepassingen van AI-systemen?

In het eerder genoemde Algoritmekader voor de overheid zijn enkele voorbeelden genoemd van toepassingen die bias vertoonden en/of discriminerend waren.8 Het maken van indirect onderscheid is hierbij bijvoorbeeld een aandachtspunt. De afgelopen jaren is duidelijk geworden dat selectiecriteria die neutraal lijken, in combinatie met andere selectiecriteria, discriminerend kunnen uitpakken. Dit indirecte onderscheid valt in vergelijking met direct onderscheid minder op en vraagt daarom om extra zorgvuldige validatie. Hiertoe worden momenteel verschillende tools ontwikkeld en methodes verkend.

Vraag 5

Hoe worden deze lessen betrokken bij de beleidsontwikkeling op het gebied van AI-gebruik binnen de overheid?

De afgelopen twee jaar is op verschillende manieren gewerkt aan het vraagstuk van validatie en biasdetectie bij het gebruik van algoritmen en AI-systemen binnen de overheid. Dit gebeurt onder andere vanuit werkgroepen en bijeenkomsten met experts uit het maatschappelijk middenveld, de wetenschap en de overheid. Ook wordt hieraan gewerkt via innovatietrajecten die gericht zijn op technische oplossingen. Daarnaast zijn instrumenten als het IAMA en de handreiking non-discriminatie by design ontwikkeld. De eisen die de AI-verordening op dit punt stelt, waaronder eisen op het vlak van AI-geletterdheid, zullen zorgen dat medewerkers binnen en buiten de overheid meer kennis opdoen van AI-systemen en waar op te letten bij de toepassing van AI-systemen om negatieve effecten – zoals discriminatie – te voorkomen.

Vraag 6

Hoe zorgt u ervoor dat de kennis over de impliciete discriminatoire werking van AI-toepassingen en algoritmen binnen de overheid blijft groeien?

Eén van de taken van het Ministerie van BZK is het bijdragen aan het verantwoord gebruik van AI binnen de overheid. Hieraan wordt invulling gegeven door het stellen van kaders, het ondersteunen van overheden bij de implementatie van bestaande regels en het delen van lessen en best practices, zoals hiervoor benoemd. Door op dit onderwerp als overheden samen op te trekken moeten lessen niet beperkt blijven tot de organisatie waar deze geleerd zijn, maar breed gedeeld worden zodat ongewenste effecten van AI-gebruik ook elders worden voorkomen.
In het Algoritmekader is kennis over het zorgvuldig ontwikkelen en gebruik maken van AI te vinden, waaronder het voorkomen van de mogelijke discriminatoire werking van AI. Het eerder genoemde IAMA en de handreiking non-discriminatie by design zijn opgenomen, maar ook hulpmiddelen die door andere organisaties zijn ontwikkeld als het «Toetsingskader risicoprofilering – Normen tegen discriminatie op grond van ras en nationaliteit» van het CRM. Het een en ander is ook uiteengezet in eerdere brieven aan uw Kamer over dit onderwerp.9 Wanneer een overheidsorganisatie constateert dat een AI-systeem bevooroordeeld is of discrimineert, kan het gebruik maken van het discriminatieprotocol voor AI en algoritmes10 dat is ontwikkeld naar aanleiding van de motie-Van Baarle11.
Kennis wordt ook op andere manieren verspreid, zoals door middel van opleidingen. Het Leerplatform van de RijksAcademie voor Digitalisering en Informatisering Overheid (RADIO) biedt een e-learning «Non-discriminatie in algoritmes en data».12 De online cursus «AI en ethiek»13 besteedt aandacht aan «onbewuste discriminatie», deze cursus is ook mede met hulp van het Ministerie van BZK ontwikkeld. Tot slot is het waardevol om uw Kamer te wijzen op de nieuwe «community of practice Digitale ethiek voor overheden», waar overheidsorganisaties kennis en ervaringen delen over ethische vraagstukken, werkwijzen en instrumenten.14

Vraag 7

Op welke wijze worden de adviezen van de expertgroep Kunstmatige Intelligentie (2019) meegenomen in de huidige en toekomstige werkwijze en beleidsontwikkeling van het kabinet? Kunt u dit per advies toelichten?

De «High-Level Expert Group on AI» (AI HLEG) heeft adviezen uitgebracht15 over vereisten waaraan betrouwbare AI moet voldoen. Deze adviezen hebben een belangrijk fundament gelegd voor de AI-verordening en zijn (deels) vertaald naar normen die in de AI-verordening zijn opgenomen. Zo wordt in overweging 7 van de AI-verordening aangegeven dat bij het opstellen van de regels voor (hoogrisico-)AI-systemen, en de bescherming van grondrechten, gezondheid en veiligheid die deze regels moeten borgen, rekening is gehouden met de ethische richtsnoeren van de AI HLEG.

Vraag 8

Welke concrete maatregelen kunt u nemen om de kwaliteit en representativiteit van trainingsdata voor AI te doen toenemen en bent u van plan dit te normeren en reguleren?

In artikel 10, derde lid, van de AI-verordening zijn ten aanzien van trainingsdata voor hoog-risico AI-systemen voorschriften opgenomen over de kwaliteit en representativiteit. De verantwoordelijkheid voor de kwaliteit van de trainingsdata ligt in eerste instantie bij aanbieders van AI-systemen. De nog aan te wijzen markttoezichthouder(s) zal straks toezien op naleving van de AI-verordening. Het CRM is, net als de overige in antwoord 3 genoemde instanties, aangewezen als grondrechtenautoriteit in de zin van de AI-verordening, gelet op zijn rol als nationaal instituut voor de rechten van de mens en als gelijkebehandelingsorgaan. Het CRM krijgt als grondrechtenautoriteit op grond van de AI-verordening aanvullende bevoegdheden om de bestaande taken effectief uit te kunnen voeren, zoals het opvragen en inzien van documentatie en de markttoezichtautoriteit vragen om het AI-systeem te mogen testen. Daarnaast worden de grondrechtenautoriteiten bij ernstige incidenten geïnformeerd.
Tot slot geeft het Ministerie van BZK via het Algoritmekader overheidsorganisaties handvatten om algoritmes en AI zorgvuldig in te zetten, zo ook over het controleren van de kwaliteit van data.16 Ook in de recente «Overheidsbrede handreiking generatieve AI» wordt aandacht gevraagd voor ethische aspecten rondom (trainings)data om zo discriminatoire effecten te voorkomen.17

Vraag 9

Op welke manier gaat u zich inzetten om ongelijkheden bij het gebruik van AI-systemen te voorkomen en wat vraagt dit van de samenwerking van Nederland met de andere EU-lidstaten?

De eerder genoemde AI-verordening zorgt voor een gelijk speelveld voor de ontwikkeling en het gebruik van AI-systemen binnen de Europese Unie (EU). In EU-verband wordt rond dit onderwerp goed samengewerkt. Het kabinet neemt hierin ook een actieve rol, onder meer door de Nederlandse ervaringen met het eerder genoemde IAMA te delen en te participeren in de initiatieven om te komen tot standaarden voor het ontwikkelen en gebruiken van AI-systemen, bijvoorbeeld via deelname aan de Europese AI Board.

Vraag 10

Wat is de rol van Nederland in het ontwikkelen van ethische en niet-discriminatoire AI-systemen en hoe gaat u hier richting aan geven bij de ontwikkelingen rondom de nationale AI-fabriek?

Binnen de Europese AI-fabrieken worden initiatieven gestimuleerd voor verantwoorde en transparante AI-ontwikkeling. Dit omvat het ontwikkelen en testen van AI-modellen, die voldoen aan bestaande wet- en regelgeving waaronder non-discriminatiewetgeving, aan nieuwe vereisten die de AI-verordening stelt en standaarden die uitlegbaar en begrijpelijk zijn voor gebruikers. Dit zal ook het geval zijn voor de in Nederland voorziene AI-fabriek. De kennis en ervaring die de Nederlandse overheid heeft opgedaan met bijvoorbeeld het toepasbaar maken van wet- en regelgeving in het Algoritmekader, zie het antwoord op vraag 6, of met audits worden in de AI-fabriek verder geoperationaliseerd.

Vraag 11

Welke expertise betrekt u bij de ontwikkeling van de nationale AI-fabriek om te waarborgen dat Nederlandse AI-modellen voldoen aan wettelijke en ethische kaders en welke wettelijke en ethische kaders stelt u daaraan?

Onderdeel van de AI-fabriek is een kenniscentrum om aanvragers van rekencapaciteit te ondersteunen. In dat kenniscentrum zullen AI-experts werken, maar vanzelfsprekend ook experts op het snijvlak van techniek, wet- en regelgeving en ethiek die kunnen adviseren over verantwoorde inzet. Het kabinet investeert in de AI-fabriek, juist om deze technologie op onze voorwaarden in te kunnen zetten.

Vraag 12

Stelt de overheid zelf proactief betrouwbare en representatieve data beschikbaar voor het ontwikkelen van ethische AI-toepassingen door Nederlandse en Europese leveranciers? Zo ja, kunt u toelichten om welke data het gaat?

Het actief beschikbaar stellen van betrouwbare, toegankelijke en representatieve data is een belangrijke voorwaarde voor het ontwikkelen van ethische AI-toepassingen. De overheid vervult hierin een faciliterende en kaderstellende rol, in samenwerking met publieke en private partners op nationaal en Europees niveau. Op data.overheid.nl zijn op dit moment meer dan 20.000 open datasets te vinden. Het uitgangspunt van het kabinet is dat alle open data die door Nederlandse overheden gepubliceerd wordt, geschikt is voor het ontwikkelen van ethische AI-toepassingen. Deze data wordt niet proactief beschikbaar gesteld specifiek voor het ontwikkelen van ethische AI-toepassingen door Nederlandse en Europese leveranciers. In beginsel is open data immers rechtenvrij en bevat het geen persoonsgegevens, waardoor het wel voor dit doel ingezet kan worden.
Nederland werkt actief mee aan de ontwikkeling van sectorale Europese dataspaces (zoals voor zorg, energie en landbouw), die onder meer betrouwbare en controleerbare data-infrastructuren bieden. Ook wordt gewerkt aan het Centre for Data Sharing & Cloud, het Nederlandse kennisnetwerk dat vrijwillige datadeling binnen en tussen sectoren bevordert, en het Nationaal Groeifonds. Het Nationaal Groeifonds is een katalysator geweest voor de ontwikkeling van data-ecosystemen in Nederland. In de eerste ronde financierde het Groeifonds Health-RI, een project dat het gebruik van gezondheidsdata stimuleert. In de tweede ronde financierde het Groeifonds Digitale Infrastructuur Logistiek (DIL), dat betrouwbare datadeling in de logistieke sector mogelijk maakt. Evenals Dutch Metropolitan Innovations (DMI), dat data-uitwisseling voor (stedelijke) mobiliteit, openbare ruimte en huisvesting faciliteert.
De Nederlandse overheid stelt, onder andere via PDOK, data.overheid.nl en Statline, hoogwaardige open data ter beschikking die allemaal via gecontroleerde metadatering machine-leesbaar en laagdrempelig beschikbaar zijn voor iedereen binnen en buiten Nederland (FAIR), en daarmee ook voor AI-toepassingen. Deze geanonimiseerde data is veilig te gebruiken ten aanzien van privacy. Zo stellen de ministeries van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), en Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN), en organisaties binnen het concern open data proactief beschikbaar en kan deze data worden gebruikt voor dit doel. Specifiek heeft het Centraal Bureau voor de Statistiek (CBS) tot taak het van overheidswege verrichten van statistisch onderzoek ten behoeve van praktijk, beleid en wetenschap en het openbaar maken van de op grond van zodanig onderzoek samengestelde statistieken. Daarmee is het CBS een belangrijke leverancier van hoogwaardige open data. Daarbij worden vele thema’s bestreken. Een van die thema’s is emancipatie. Aangezien de open data vrijelijk te downloaden en te gebruiken is, is het niet mogelijk bij te houden welke data waarvoor wordt gebruikt.
Bij het beschikbaar stellen van data wordt zorgvuldig aandacht besteed aan ethische randvoorwaarden, zoals het waarborgen van privacy en gegevensbescherming (volgens de AVG), het voorkomen van bias en het bevorderen van representativiteit van datasets, en transparantie over herkomst, kwaliteit en beperkingen van data.

Vraag 13

Op welke manier bent u van plan om de Routekaart voor Vrouwenrechten toe te passen in het nationaal beleid?

In het regeerprogramma zijn er keuzes gemaakt om de overheidsfinanciën gezond te houden. Deze bezuiniging daalt ook neer op het emancipatiedomein. Dit betekent dat vanuit emancipatie wordt ingezet op onderwerpen waar de kans op succes het grootst is. Het kabinet stelt daarom twee prioriteiten: «iedereen moet veilig kunnen zijn» en «iedereen moet volwaardig kunnen meedoen».20
Het effect van de voorgenomen bezuinigingen op het beschikbare subsidiebudget voor emancipatie is klein en lopende subsidies worden niet beïnvloed door de voorgenomen bezuinigingen.

Vraag 14

Hoe rijmen de voorgenomen bezuinigingen op het gebied van emancipatie met de groeiende uitdagingen met betrekking tot vrouwenrechten en rechten van lhtbiqia+ personen?

Vraag 15

Op welke manier verwacht u dat de Routekaart voor Vrouwenrechten gaat bijdragen aan gendergelijkheid in de Europese lidstaten die achterlopen op het Europees gemiddelde?

De roadmap dient als startschot voor de consultatie voor de nieuwe Europese strategie voor gendergelijkheid, die naar verwachting begin 2026 wordt gepubliceerd. Dit Europese beleidskader en mogelijk daaruit voortvloeiende wetsvoorstellen zijn EU-breed toepasbaar en helpen daardoor ook andere landen vooruit. De vorige strategie heeft ook in Nederland geleid tot concrete wetgeving op bijvoorbeeld het terrein van loontransparantie.

Vraag 16

Deelt u de zorgen dat gendergelijkheid in enkele EU-lidstaten, waaronder Hongarije en Polen, steeds verder achterop raakt?

Het kabinet maakt zich zorgen over de inperking van de rechten van vrouwen en lhbtqia+ personen, ook in Europa. Samen met de Minister van Buitenlandse Zaken zet de Staatssecretaris van OCW zich daarom structureel in om de fundamentele rechten en vrijheden in de EU te beschermen.21 Het kabinet vindt de recente anti-lhbtqia+-wetswijzigingen die zijn aangenomen in Hongarije zeer zorgelijk en heeft deze zorgen en afkeuring reeds op verschillende manieren overgebracht.22
Nederland heeft, namens achttien lidstaten, tijdens de informele EPSCO-gelijkheid van 16 april jl. een verklaring afgelegd waarin deze zorg scherp wordt geuit. Daarnaast heeft Nederland het initiatief genomen voor een tweede verklaring richting de Raad Algemene Zaken van 27 mei jl., die door twintig lidstaten is ondertekend.23 Hierin wordt Hongarije expliciet opgeroepen deze discriminerende wetgeving te herzien. Ook wordt de Europese Commissie verzocht volledig gebruik te maken van de rechtsstaatinstrumenten die zij ter beschikking heeft.

Vraag 17

Bent u het ermee eens dat de situatie van Roma in de EU zorgwekkend is?

Ja. Dit blijkt ook uit recentelijk onderzoek van het FRA (European Union Agency for Fundamental Rights).24

Vraag 18

Zou u nader kunnen toelichten in hoeverre de huidige beleidsmaatregelen ter bevordering van de gelijkheid, inclusie en participatie van de Roma en Sinti effectief is gebleken?

De maatschappelijke positie van Sinti en Roma in Nederland is nog altijd kwetsbaar. Zo zijn Sinti en Roma in het hoger onderwijs ondervertegenwoordigd, is de arbeidsmarktparticipatie relatief laag en ervaren zij op veel gebieden discriminatie. Dit blijkt uit de Monitor Sociale Inclusie 2023 naar de woon- en leefomstandigheden van Sinti en Roma in Nederland waarover uw Kamer op 5 juni 2024 is geïnformeerd.
Tegelijkertijd zijn de resultaten ook hoopvol op terreinen als onderwijs en de rol van jongeren en jonge Sinti en Roma ouders. Zo benoemen professionals in de Monitor een voorzichtige stijging in het onderwijsniveau van Sinti en Roma kinderen. Jonge ouders, die zelf volledig onderwijs hebben genoten, spelen daar een belangrijke rol in. Deze voorzichtige ontwikkeling in het onderwijsniveau kan volgens de onderzoekers voor de Sinti en Roma op termijn doorwerken in andere levensdomeinen.

Vraag 19

Zou u tevens nader kunnen toelichten in hoeverre verdere inspanningen vereist zijn ter bevordering van de gelijkheid, inclusie en participatie van de Roma en Sinti?

Om de maatschappelijke positie van Sinti en Roma te verbeteren hanteert Nederland, in lijn met het strategisch EU-kader, een generieke beleidsaanpak, aangevuld met specifieke maatregelen daar waar nodig. Op 5 juni 2024 is er een overzicht van dit beleid als bijlage van de Monitor met uw Kamer gedeeld. Om de posities van Sinti en Roma te verbeteren is onverminderd en langdurige inzet van vele partijen cruciaal.

Vraag 20

Zou u nader kunnen toelichten welke concrete maatregelen u neemt om de weerbaarheid van jonge mannen te vergroten met betrekking tot desinformatie en schadelijke wereldbeelden, zoals die gedeeld worden in de «manosphere»?

Het kabinet zet in op de aanpak van desinformatie binnen de Rijksbrede strategie effectieve aanpak desinformatie.25 Deze aanpak wordt gecoördineerd door het Ministerie van BZK. Binnen de aanpak zijn maatregelen opgenomen voor zowel het aanpakken van de verspreiders en verspreiding van desinformatie, als maatregelen die bijdragen aan het versterken van de weerbaarheid van leerlingen en burgers tegen desinformatie. Als onderdeel van de strategie financiert het Ministerie van OCW het Netwerk Mediawijsheid. Netwerk Mediawijsheid heeft vier maatschappelijke opgaven geïdentificeerd: (1) plezier, grip en profijt bij een leven in media, (2) digitale balans, (3) samen sociaal online en (4) weerbaarheid tegen desinformatie. Ook zet het kabinet in op digitale weerbaarheid door in het onderwijs aandacht te besteden aan digitale geletterdheid en burgerschap. De conceptkerndoelen die dit jaar voor beide leergebieden zijn gepubliceerd, schrijven scholen voor om aandacht te besteden aan de omgang met digitale media en de online identiteit van leerlingen.26 Daarnaast wil het kabinet discriminerende, racistische en haatdragende uitingen online tegengaan en voorkomen. Daarom komt de Minister van BZK nog voor de zomer met het plan van aanpak tegen online discriminatie, racisme en hate speech. Tevens loopt er vanuit het Ministerie van Sociale Zaken en Werkgelegenheid (SZW) een opdracht voor het opzetten van een samenwerkingsverband over de online sociale norm aan Netwerk Mediawijsheid en Diversion. In deze pilot werken jongeren op lokaal niveau verschillende interventies uit gericht op het tegengaan van online discriminatie, hate speech, radicalisering en polarisatie. Deze pilot zal naar verwachting aan het einde van het jaar worden afgerond. Ten slotte erkent het kabinet het belang van bewustwording en het aanpakken van ongelijkheid en schadelijke stereotypen. In het plan van aanpak «Stop femicide!» is aangekondigd dat – in aanvulling op het bestaande emancipatiebeleid – een mannenalliantie opgericht zal worden door de Staatssecretaris van OCW. Het streven is dat de alliantie begin 2026 is opgericht.

Vraag 21

Welke bewezen effectieve methoden zijn er om online radicalisering te voorkomen?

Daarnaast is een preventieve aanpak van belang, zoals genoemd in diverse onderzoeken naar online radicalisering.27 Het Ministerie van SZW heeft recent een inventarisatie laten uitvoeren van lokale interventies ter preventie van radicalisering en polarisatie, en hun bewezen effectiviteit.28 Dit rapport besteedt ook aandacht aan bewezen effectieve interventies gericht op het versterken van digitale weerbaarheid en mediawijsheid. Een voorbeeld hiervan is het lesprogramma «Under Pressure»voor jongeren. Deze methode richt zich op democratisch burgerschap en het weerbaar maken tegen desinformatie, en is in opdracht van het Ministerie van SZW en de NCTV geëvalueerd.29 Daarnaast zijn er verschillende lokale interventies gericht op digitale weerbaarheid gefaciliteerd en geëvalueerd vanuit de Agenda Veerkrachtige en Weerbare Samenleving. De resultaten van deze evaluaties komen na afronding van de pilotfase van het programma eind 2025 online beschikbaar. De aankomende periode zal de staatsecretaris Participatie en Integratie via de Actieagenda Integratie en Open en Vrije Samenleving verder investeren in de ontwikkeling en evaluatie van interventies om radicalisering te voorkomen, met speciale aandacht voor de rol van online.

Vraag 22

Met welke publieke- en private partners werkt u samen om deze methoden toe te passen en jonge mannen handvatten te bieden in de online wereld?

De Minister van Justitie en Veiligheid werkt samen met een online platform om de eerder genoemde ReDirect methode als pilot toe te passen. Deze methode is niet uitsluitend gericht op jonge mannen, maar op alle internetgebruikers van dit platform. In de Voortgangsbrief Versterkte Aanpak Online inzake extremistische en terroristische content wordt deze ReDirect pilot verder toegelicht, evenals de ambitie deze methode in samenwerking met meerdere online platforms te implementeren.30
Ten aanzien van het versterken van digitale weerbaarheid en mediawijsheid is er een belangrijke rol weggelegd voor gemeenten. De ministeries van Justitie en Veiligheid (JenV) en SZW ondersteunen vanuit de Versterkingsgelden verschillende interventies op lokaal niveau gericht op het vergroten van digitale weerbaarheid onder jongeren. Via deze gelden kunnen gemeenten projecten financieren die jongeren leren zorgwekkende online content en de mechanismen hieronder beter te herkennen. Hierbij wordt ook samengewerkt met andere lokale partners, zoals maatschappelijke organisaties en jongerenwerkers, die bijvoorbeeld via online activiteiten in contact kunnen komen met lastig te bereiken jongeren. Verder heeft het Ministerie van SZW in 2022 en 2023 verschillende Decentrale Uitkeringen verstrekt aan gemeenten voor het uitvoeren van interventies gericht op het versterken van digitale weerbaarheid onder jongeren. Deze inzet zal middels de Actieagenda Integratie en Open en Vrije Samenleving worden voortgezet.

Vraag 23

Kunt u deze vragen afzonderlijk van elkaar beantwoorden?

Ja. De vragen zijn afzonderlijk beantwoord.

Vraag 1

Wat is uw reactie op het artikel «Rechtsbescherming tegen risicoprofilering op basis van de AVG, het EVRM en het Handvest»?1

Wij hebben kennis genomen van het artikel. De auteur, Fatma Çapkurt, bespreekt in dit artikel het advies van de Autoriteit Persoonsgegevens (AP) over geautomatiseerde besluitvorming en geautomatiseerde risicoselectie in relatie tot artikel 22 van de Algemene verordening gegevensbescherming (AVG).2 Artikel 22, eerste lid, AVG verbiedt het nemen van een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit, wanneer dit voor de betrokkene rechtsgevolgen heeft of dit betrokkene anderszins in aanmerkelijke mate treft. De auteur van het artikel stelt, ten eerste, dat de waarborgen die de AP noemt voor de inzet van geautomatiseerde risicoselectie lastig te begrijpen zijn in het licht van artikel 22 AVG, en, ten tweede, dat de AP geen oog heeft voor het recht op respect op het privéleven.
De normen rondom de inzet van geautomatiseerde risicoselectie zijn nog niet uitgekristalliseerd. Geautomatiseerde risicoselectie kent een breed toepassingsgebied, van dienstverlening tot de detectie van fouten en fraude. De inzet van (deels) geautomatiseerde risicoselectie ondersteunt overheidsorganisaties bij het in beeld krijgen van dossiers of situaties die aandacht moeten krijgen. In 2024 verzocht de toenmalige Staatssecretaris Fiscaliteit en Belastingdienst de AP om nadere duiding te geven over de reikwijdte van artikel 22 AVG in relatie tot het gebruik van geautomatiseerde selectie-instrumenten door de Belastingdienst, de Dienst Toeslagen en de Douane. In haar advies van 10 oktober 2024, heeft de AP aanvullende waarborgen geformuleerd bij het toepassen van geautomatiseerde risicoselectie. De AP stelt in het advies dat het zonder een specifieke wettelijke grondslag is toegestaan om geautomatiseerde risicoselecties te maken, als deze alleen maar gebruikt worden om te beoordelen of acties jegens betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en eventuele gevolgen voor betrokkene pas tot stand komen na handmatige behandeling (betekenisvolle menselijke tussenkomst), mits aan een aantal voorwaarden wordt voldaan. In deze situatie valt de geautomatiseerde risicoselectie dus buiten de reikwijdte van het verbod van artikel 22 AVG.
Dat neemt niet weg dat de inzet van geautomatiseerde risicoselectie moet voldoen aan geldende wet- en regelgeving en in lijn moet zijn met de grondrechten. De AP geeft in haar advies mee aan welke aanvullende waarborgen bestuursorganen die zulke instrumenten gebruiken moeten voldoen. In de kabinetsreactie op dit advies hebben wij benadrukt dat het van belang is dat overheden deze waarborgen toepassen.3 Tevens hebben wij aangegeven hoe wij, in samenwerking met publieke dienstverleners, de komende tijd werken aan verbetering en aanscherping hiervan. Het Netwerk van Publieke Dienstverleners (NPD), met ondersteuning van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, voert dit jaar een analyse uit van casuïstiek om inzichtelijk te maken hoe in de uitvoeringspraktijk geautomatiseerde risicoselectie zich verhoudt tot artikel 22 AVG, aan welke waarborgen wordt voldaan, wat er mogelijk aanvullend nodig is om risicoselectie verantwoord te blijven inzetten en de wijze waarop hierover openheid en transparantie richting burgers en bedrijven wordt verschaft. Het NPD zal ook de kennisdeling hierover tussen beleid en uitvoering organiseren. De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties is hierbij nauw betrokken en zal uw Kamer informeren voor het einde van 2025.
Daarnaast werken wij aan het vergroten van de transparantie over geautomatiseerde risicoselectie, mede op verzoek van uw Kamer. Het uitgangspunt is dat alle impactvolle algoritmen, waar geautomatiseerde risicoselectie-instrumenten onder vallen, worden opgenomen in het Algoritmeregister. Naar aanleiding van de motie van het lid Six Dijkstra zullen alle departementen voor de zomer 2025 een plan voor registratie van impactvolle algoritmen in het Algoritmeregister naar uw Kamer sturen en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties zal eind van dit jaar rapporteren over de voortgang.4 De motie-Van Nispen verzoekt de regering alle algoritmen die mogelijk gebruikmaken van risicoprofilering en geautomatiseerde selectie-instrumenten in het Algoritmeregister te publiceren.5 Naar aanleiding van de motie van de leden Kathmann en Six Dijkstra haalt de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties momenteel input op bij de medeoverheden en uitvoeringsorganisaties over de mogelijkheden om burgers altijd te informeren als er een (deels) geautomatiseerde risicoselectie heeft plaatsgevonden en dit tot een besluit heeft geleid.6 Dit zal de rechtsbescherming van burgers versterken.
Kortom, net als de auteur van het genoemde artikel, onderschrijft het kabinet het belang van transparantie en rechtsbescherming bij de inzet van geautomatiseerde risicoselectie. Het kabinet heeft in het regeerprogramma afgesproken meer werk te maken van transparantie en betere rechtsbescherming bij de inzet van algoritmen. Specifiek voor geautomatiseerde risicoselectie werken wij op verschillende manieren aan het versterken van een verantwoorde inzet en het vergroten van transparantie hierover.

Vraag 2

Wat is uw reactie op de stelling uit het artikel dat de vijf voorwaarden uit het advies van de Autoriteit Persoonsgegevens (AP) lastig te begrijpen vallen in het licht van artikel 22 van de Algemene Verordening Gegevensbescherming (AVG), omdat deze vijf voorwaarden niet bepalen of er sprake is van een uitsluitend op profilering gebaseerd besluit?

Dat de vijf voorwaarden voor het gebruik van geautomatiseerde risicoselectie die de AP noemt niet geheel in pas lopen met artikel 22 AVG is navolgbaar, aangezien de AP deze voorwaarden formuleert voor situaties die niet onder het verbod van artikel 22 AVG vallen. De AP geeft in haar advies criteria om te kunnen beoordelen wanneer het gebruik van een geautomatiseerd selectie-instrument binnen het toepassingsbereik valt van artikel 22 AVG. Het gaat dan om situaties waarin sprake is van een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit (dus zonder menselijke tussenkomst) met rechtsgevolgen of anderszins aanmerkelijke gevolgen voor betrokkene. De AP geeft tevens haar zienswijze over de voorwaarden die dan gelden. Voor situaties waarin geautomatiseerde risicoselectie niet onder de reikwijdte van artikel 22 AVG valt, noemt de AP eveneens voorwaarden die in acht genomen moeten worden om de rechten, vrijheden en gerechtvaardigde belangen van betrokkenen te garanderen. Dit zijn de vijf voorwaarden die in het advies worden genoemd: voorwaarden waaraan geautomatiseerde risicoselectie bij uitvoering of toezicht volgens de AP moet voldoen.

Vraag 3

Hoe beoordeelt u de uitspraak van het Hof van Justitie van de Europese Unie (HvJEU) dat artikel 22 van de AVG geautomatiseerde besluitvorming, waaronder profilering, alleen toestaat wanneer dit is toegestaan op basis van nationale wetgeving? In uw reactie op de vraag van het lid Ergin2 stelt u dat de AP de wet niet minder strikt interpreteert; toch blijkt uit het advies van de AP dat er géén specifieke wettelijke grondslag vereist is, hetgeen in tegenspraak lijkt met de uitleg van het HvJEU. Kunt u deze tegenstrijdigheid toelichten?

Zoals gezegd ziet artikel 22 AVG op een verbod op uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerde besluitvorming. Uitzonderingsmogelijkheden hierop zijn neergelegd in artikel 22 lid 2 AVG. Zo geldt het verbod niet als uitsluitend geautomatiseerde besluitvorming is toegestaan bij een lidstaatrechtelijke bepaling die voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene (artikel 22 lid 2 aanhef en onder b AVG). De vraag van het lid Ergin betrof het SCHUFA-arrest. Het HvJEU oordeelde in het SCHUFA-arrest dat niet alleen de uiteindelijke beslissing zelf, maar ook de voorbereidende handelingen die daaraan vooraf gaan, onder omstandigheden kunnen worden aangemerkt als een uitsluitend op geautomatiseerde verwerking gebaseerd besluit. Daarnaast benadrukt het oordeel van het HvJEU het belang van betekenisvolle menselijke tussenkomst. Het HvJEU heeft zich niet uitgesproken over nationale wetgeving die uitzonderingen op het verbod toestaat.
De Nederlandse wetgever heeft met artikel 40 UAVG voorzien in voornoemde lidstaatrechtelijke uitzonderingsbepaling, maar alleen voor uitsluitend op geautomatiseerde verwerking gebaseerde besluitvorming waarbij menselijke tussenkomst geen toegevoegde waarde heeft en niet voor geautomatiseerde besluitvorming op grond van profilering. Uit het AP-advies trekken wij de conclusie dat artikel 40 UAVG kan blijven gelden als uitzonderingsbepaling op artikel 22 AVG, mits bij de toegepaste geautomatiseerde besluitvorming voldoende waarborgen in acht worden genomen, waaronder die uit de Awb.
Het is voor een goed begrip van de geldende wet- en regelgeving van belang onderscheid te maken tussen een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit enerzijds, en geautomatiseerde risicoselectie, al dan niet door middel van profilering, anderzijds. Profilering op zich valt niet onder het verbod op uitsluitend geautomatiseerde besluitvorming zoals neergelegd in artikel 22 AVG. Zoals hierboven toegelicht, heeft de AP nader toegelicht dat geautomatiseerde risicoselectie, al dan niet door middel van profilering, niet onder de reikwijdte van het verbod valt als deze alleen maar gebruikt wordt om te beoordelen of acties jegens een betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en eventuele gevolgen voor de betrokkene pas tot stand komen na handmatige behandeling (betekenisvolle menselijke tussenkomst). De AP stelt dat in deze gevallen geen specifiek wettelijke grondslag vereist is als bedoeld in artikel 22, tweede lid, aanhef en onder b, van de AVG. Een tegenstrijdigheid met de rechtspraak van het HvJEU zien wij dan ook niet.

Vraag 4

Wat is uw reactie op de stelling in het artikel dat uit artikelen 7 en 8 van het Handvest, artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM) en artikel 10 van de Grondwet volgt dat een inbreuk of beperking op het recht op respect voor het privéleven alleen gerechtvaardigd kan worden op basis van wetgeving, in materiële dan wel formele zin?

Wij onderschrijven de stelling van de auteur dat geautomatiseerde risicoselectie alleen mag worden ingezet indien het recht op bescherming van de persoonlijke levenssfeer wordt gerespecteerd. Al het overheidshandelen moet immers in lijn zijn met de grondrechten. Inperkingen op het recht op de bescherming van de persoonlijke levenssfeer en de bescherming van de persoonsgegevens door overheidsorganisaties zijn alleen onder strikte voorwaarden mogelijk. Een inperking moet bij wet worden voorzien en voldoen aan de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit. Deze inperkingen mogen enkel plaatsvinden op basis van een wet omdat de inbreuk voldoende voorspelbaar en voorzienbaar moet zijn voor de betrokkenen. Een dergelijke wet moet duidelijk, voorzienbaar en voldoende toegankelijk zijn. Dit vloeit voort uit de Grondwet, het Europees Verdrag voor de Rechten van de Mens (EVRM) en het Europees Handvest, en wordt eveneens bevestigd in de AVG en Richtlijn 2016/680. Voor overheidsorganisaties geldt (ook in het kader van opsporing en vervolging van strafbare feiten) dat de verwerking van persoonsgegevens noodzakelijk moet zijn voor het voldoen aan een wettelijke verplichting of voor het uitoefenen van een taak van algemeen belang of voor het uitoefenen van openbaar gezag (artikel 6 lid 1 onder c) en onder e) AVG). De wet waarin deze verplichting of taak is vastgelegd bevat ook de rechtsgrondslag op basis waarvan persoonsgegevens mogen worden verwerkt.

Vraag 5

Klopt het dat veel bestuursorganen momenteel gebruikmaken van algoritmische risicoprofilering, terwijl hiervoor geen specifieke wettelijke basis bestaat, waardoor zij mogelijk in strijd met de wet handelen?

Zoals wij in antwoord op vraag 1 en 3 hebben aangegeven, heeft de AP in haar advies geconcludeerd dat artikel 22 van de AVG geen specifieke wetgeving vereist voor het maken van geautomatiseerde risicoselecties, als deze alleen gebruikt worden om te beoordelen of acties jegens de betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en wanneer eventuele gevolgen voor de betrokkene van selectie pas intreden na de betekenisvolle menselijke tussenkomst. Alleen wanneer de risicoselectie geautomatiseerd, dus zonder menselijke tussenkomst, rechtsgevolgen of vergelijkbare aanmerkelijke effecten zou hebben voor betrokkene, geldt het verbod van artikel 22 AVG en is een wettelijke basis nodig om daarop een uitzondering te kunnen maken. Voor zover ons bekend is, wordt geautomatiseerde risicoselectie in de praktijk alleen ingezet om te beoordelen of acties jegens betrokkene nodig zijn, en treden eventuele (rechts)gevolgen voor betrokkene van de risicoselectie pas in na de betekenisvolle menselijke tussenkomst.

Vraag 6

Hoe groot of betekenisvol moet volgens u de menselijke tussenkomst zijn om niet te kwalificeren als «uitsluitend op profilering gebaseerde besluiten»?

Wat menselijke tussenkomst betekenisvol maakt is nog niet definitief bepaald. Volgens de Werkgroep gegevensbescherming artikel 29 zijn hierbij onder andere van belang dat de mens die tussenkomt bevoegd moet zijn (het voorgenomen) besluit te kunnen veranderen, het hierbij niet gaat om een louter symbolische handeling en alle relevante gegevens in de analyse door de mens die tussenkomt worden betrokken.8 De AP licht in haar advies toe dat betekenisvolle menselijke tussenkomst inhoudt dat de behandelend ambtenaar weet hoe het geautomatiseerde proces (selectieregel/algoritme/technologie) werkt en op welke wijze deze (de totstandkoming van) het uiteindelijke besluit vormt en beïnvloedt. De ambtenaar moet in elk geval nagaan of de aanname waarop de (profilerende) selectie voor handmatige controle is gebaseerd ook opgaat in het voorliggende concrete geval. De AP heeft in maart handvatten opgesteld om te bepalen of menselijke tussenkomst betekenisvol zou kunnen zijn en heeft organisaties, experts en belanghebbenden uitgenodigd hierop te reageren.9 Een nieuwe versie van de handvatten wordt later dit jaar gepubliceerd.

Vraag 7

Erkent u dat, om dat te kunnen beoordelen, juist transparantie vereist is over het besluitvormingstraject, inclusief de rol en invloed van risicoprofilering in individuele besluitvormingsprocedures?

Ja. Zonder transparantie is het voor een burger niet mogelijk om vast te stellen of en zo ja welke rol geautomatiseerde risicoselectie heeft gespeeld in de (voorbereiding van) besluitvorming. De AP adviseert dat het gebruik van geautomatiseerde risicoselectie voldoende kenbaar moet zijn voor betrokkene, indien de geautomatiseerde risicoselectie aanleiding was voor een bestuursorgaan om af te wegen of een bepaald Awb-besluit moest worden genomen of dit aanleiding gaf tot een bepaalde wijze van behandeling van een aanvraag. Daarom werkt het kabinet, mede op verzoek van uw Kamer, aan meer transparantie hierover, zie het antwoord op vraag 1. Meer algemeen wordt in dit kader uw Kamer nog geïnformeerd over de internetconsultatie over algoritmische besluitvorming en de Awb.

Vraag 8

Klopt het dat u, mede op basis van het advies van de AP, het verzoek van de Kamer om alle rijksbrede profileringsalgoritmen te publiceren niet uitvoert? Hoe verhoudt dit besluit zich tot de toezegging die is gedaan om met een lijst te komen met potentieel onrechtmatige algoritmes?3

Het verzoek om tot een lijst te komen van alle algoritmen die mogelijk onrechtmatig zijn, is gedaan naar aanleiding van het advies van de Landsadvocaat over het gebruik van geautomatiseerde selectie-instrumenten.11 In de kabinetsreactie op het AP-advies hebben wij toegelicht dat de inzichten uit het AP-advies dit verzoek in een ander daglicht stelt en een rijksbrede inventarisatie niet langer aan de orde lijkt, omdat risicoselectie-instrumenten, indien wordt voldaan aan de door de AP genoemde voorwaarden, niet onder het verbod van artikel 22 AVG vallen. Het kabinet onderschrijft het belang van transparantie over geautomatiseerde risicoselectie en zet zich hiervoor in, zie het antwoord op vraag 1.

Vraag 9

Deelt u de opvatting dat het in de praktijk vrijwel onmogelijk is om vast te stellen of er sprake is van een uitsluitend op profilering gebaseerd besluit in de zin van artikel 22 van de AVG als duidelijke documentatie en transparantie ontbreekt over de rol en invloed van risicoprofilering in individuele besluitvormingsprocedures? Zo nee, waarom niet?

Ja, zie het antwoord op 7.

Vraag 10

Bent u bereid alsnog uitvoering te geven aan het verzoek van de Kamer strekkende tot de publicatie van alle rijksbrede profileringsalgoritmen?

Nee, zie het antwoord op vraag 8.

Vraag 1

Bent u bekend met berichten over de aanhoudende problematiek van vuurwapenbezit op Curaçao?1 2

Ja.

Vraag 2

Deelt u de zorgen over vuurwapenbezit op Curaçao? Zo nee, waarom niet?

Curaçao heeft als autonoom land binnen het Koninkrijk een eigen verantwoordelijkheid voor de rechtshandhaving en voor het beleid om illegale vuurwapens en het bezit hiervan tegen te gaan. Dat neemt niet weg dat ik het zorgwekkend vind dat het aantal vuurwapens op Curaçao lijkt toe te nemen. Omdat Curaçao onderdeel is van het Koninkrijk, hebben zowel positieve als negatieve ontwikkelingen in het land en in de regio hun weerslag in Nederland.

Vraag 3

Spelen de toenemende zorgen over het vuurwapenbezit alleen op Curaçao of ook op de andere Caribische eilanden binnen het Koninkrijk?

In de bredere Caribische regio neemt het aantal vuurwapens toe, dit merken de andere Caribische eilanden binnen het Koninkrijk ook.3 Vuurwapenbezit in het Caribisch deel van het Koninkrijk heeft daarom de aandacht.
In 2024 is op Bonaire een duidelijke toename waarneembaar van geweldsincidenten waarbij vuurwapens zijn gebruikt. Daarnaast zijn ook op Sint Eustatius en Saba signalen van vuurwapenbezit en -gebruik zichtbaar geworden, niet alleen echte vuurwapens maar ook imitatievuurwapens. Het Korps Politie Caribisch Nederland heeft daar inmiddels meerdere vuurwapens aangetroffen en in beslag genomen.

Vraag 4

Wat doen de lokale autoriteiten op de eilanden tegen het toenemende vuurwapenbezit en gebruik van vuurwapens? Hebben zij voldoende middelen om passend op te treden en de illegale toevoer van wapens via de zee aan te pakken? Kunt hierbij specifiek ingaan op de opsporings- en handhavingscapaciteit op de eilanden?

De betrokken autoriteiten zoals de regeringen van Curaçao, Aruba en Sint Maarten, het Ministerie van Justitie en Veiligheid, de Openbare Lichamen van Bonaire, Saba en Sint Eustatius en de politiekorpsen van de (ei)landen zijn bekend met de uitdagingen op het gebied van vuurwapenbezit en vuurwapenhandel. Daarbij verschilt de verantwoordelijkheid die Nederland heeft voor Caribisch Nederland (Bonaire, Saba en Sint Eustatius, (BES)) met de verantwoordelijkheid ten opzichte van de autonome landen binnen het Koninkrijk (Aruba, Curaçao en Sint Maarten, (ACS)). Nederland is direct verantwoordelijk voor de rechtshandhaving op Caribisch Nederland (Bonaire, Saba en Sint-Eustatius). De autonome landen binnen het Koninkrijk zijn zelf verantwoordelijk voor de rechtshandhavingsketen.
Op alle (ei)landen geldt dat er capaciteitstekorten zijn binnen de opsporings- en handhavingsketen, en bij de controles in de havens. Nederland is onder andere via het halfjaarlijkse Justitieel Vierpartijenoverleg (JVO) in goed overleg met de (ei)landen om dit capaciteitstekort zo adequaat mogelijk aan te pakken, rekening houdend met (het verschil in) de verantwoordelijkheden binnen het Koninkrijk.
Bovendien werken de vier landen van het Koninkrijk sinds juni 2021 samen aan het ontwikkelen van een bestuurlijke aanpak van ondermijning middels een werkgroep binnen het Justitieel Vierpartijenoverleg. Alle vier de landen zijn hierin vertegenwoordigd, Curaçao primair met afvaardiging vanuit het Actiecentrum Ondermijning Curaçao (ACOC). Met deze aanpak worden bestuurlijke instrumenten ontwikkeld en geïmplementeerd die ondermijning, waaronder illegaal wapenbezit, moeten tegengaan. De bestuurlijke aanpak ziet onder meer op het ontwikkelen van adequate wetgeving voor vergunningverlening, toezicht en handhaving (VTH). Ook worden er wetgevingsjuristen aangetrokken om het vergunningsbeleid te stroomlijnen. Het Ministerie van BZK maakt hiervoor jaarlijks 1 miljoen euro vrij.
In het Justitieel Beleidsplan Kustwacht, dat onder regie van de twee Caribische Openbaar Ministeries wordt opgesteld, is het vervoer van en de handel in illegale vuurwapens als een van de vier beleidsspeerpunten genoemd. Hiermee wordt geborgd dat hier beschikbare capaciteit op wordt ingezet, waaronder die van de Kustwacht Caribisch Gebied.
Op Bonaire heeft het Korps Politie Caribisch Nederland, in samenwerking met het Openbaar Ministerie en de Gezaghebber, preventieve fouilleeracties gehouden binnen tijdelijk aangewezen veiligheidsrisicogebieden, in het kader van de toenemende zorgen omtrent vuurwapenbezit en -gebruik. Deze acties zijn gericht op het vroegtijdig signaleren en tegengaan van (illegaal) wapenbezit en het vergroten van de veiligheid in de openbare ruimte. Bij deze preventieve fouilleeracties is (slechts) één vuurwapen aangetroffen en in beslag genomen. Hoewel de preventieve fouilleeracties bijdragen aan zichtbaarheid en optreden in de openbare ruimte, moet opgemerkt worden dat de effectiviteit vooralsnog als beperkt wordt beoordeeld.
Zoals hierboven reeds benoemd zijn de autonome landen binnen het Koninkrijk zelf verantwoordelijk voor de aanpak van vuurwapenbezit en vuurwapengebruik. Zo heeft Curaçao als preventieve interventie het programma op Arma ta Karma («Het dragen van een wapen brengt je in gevaar») opgezet. Arma ta Karma is een project dat is gestart door het Actiecentrum Ondermijning Curaçao (ACOC) in samenwerking met de ketenpartners; het Ministerie van Justitie (waaronder de Uitvoeringsorganisatie Justitiële Zorg), het OM, de Koninklijke Marine, de Douane Curaçao en Interpol. Arma ta Karma is een bewustwordingscampagne gericht op het tegengaan van het gebruik en de normalisering van het bezit van illegale vuurwapens. Het doel is om vuurwapengebruik met name onder jongeren tegen te gaan door hen bewust te maken van de risico’s en gevolgen van illegaal vuurwapengebruik en stimuleert jongeren om bewustere keuzes te maken. Er wordt veel gebruikgemaakt van online media om de jongeren te bereiken.

Vraag 5

Hoe wordt voorkomen dat jongeren in aanraking komen met criminaliteit en wapenbezit? Is het jeugdwerk voldoende in staat om preventief werk te verrichten? Zo nee, op welke manier kan Nederland hieraan (extra) bijdragen?

Het effectief tegengaan van criminaliteit vraagt ook nadrukkelijke aandacht voor preventieve interventies gericht op de jeugd. Ondanks het eerder genoemde verschil in verantwoordelijkheid van Nederland voor Caribisch Nederland en de autonome landen binnen het Koninkrijk, wordt gezamenlijk opgetrokken in de preventieve aanpak van jeugdcriminaliteit op de high impact crimes (HIC).4 Zo zijn er diverse preventieve interventies die in heel het Koninkrijk worden uitgevoerd. In aanvulling daarop zal ook vanuit de aanpak Preventie met Gezag in Caribisch Nederland worden ingezet.
Op dit moment wordt op Bonaire, Saba, Curaçao, Aruba en Sint Maarten de preventieve gedragsinterventie «Alleen jij bepaalt wie je bent» ingezet en op Bonaire, Saba, Sint Eustatius, Curaçao en Aruba ook de preventieve gedragsinterventie het «Leerorkest». «Alleen jij bepaalt wie je bent» is een wetenschappelijk erkend preventieprogramma gericht op het voorkomen van overlastgevend en/of delinquent gedrag. Het «Leerorkest» is een preventieprogramma dat door middel van muziek de cognitieve, sociale en emotionele ontwikkeling van kinderen bevordert. Deze interventies worden in gezamenlijkheid uitgevoerd en (mede)gesubsidieerd door het Ministerie van Justitie en Veiligheid.
Voor de preventie aanpak geldt dat een vroege signalering van ernstige gedragsproblematiek van cruciaal belang is, evenals het werken aan het vergroten van de weerbaarheid van kinderen door in te zetten op risico- en beschermende factoren en door het bieden van toekomstperspectief. Daarnaast biedt Nederland waar mogelijk ondersteuning aan lokale initiatieven gericht op het voorkomen van jeugdcriminaliteit.
Sinds 2022 werkt de JVO-werkgroep Preventie Jeugdcriminaliteit daarnaast aan manieren waarop de aanpak van jeugdcriminaliteit in het Caribisch deel van het Koninkrijk kan worden versterkt. Samenwerking bij de uitvoering van de plannen is essentieel, maar preventie blijft een eigen landsaangelegenheid. Dat betekent dat de landen hier een eigen verantwoordelijkheid in hebben. Wel is Nederland bereid blijvend in te zetten op kennisdeling, ondersteuning, financiering, vis-à-vis de structurele inzet van Aruba, Curaçao en Sint Maarten.

Vraag 6

Wat doet Nederland om de CAS-eilanden te ondersteunen bij het optreden tegen vuurwapenbezit en vuurwapengebruik?

Het optreden tegen vuurwapenbezit en vuurwapengebruik vergt een sterke justitiële keten en een goede informatie- en kennispositie. De autonome landen zijn zelf verantwoordelijk voor de rechtshandhaving. Wel ben ik via het JVO doorlopend in gesprek met de Ministers van Justitie van de autonome landen over de aanpak van grensoverschrijdende georganiseerde criminaliteit, over actualiteiten en over de samenwerking binnen de justitiële ketens op de landen. Daarnaast kan de Nederlandse regering – indien nadrukkelijk gevraagd door de landen – op basis van artikel 36 van het Statuut bijstand verlenen op specifieke onderwerpen.
Zie ook mijn antwoord op vraag 4 over de JVO-werkgroep bestuurlijke aanpak van ondermijning en de inzet van de Kustwacht.

Vraag 7

Op welke wijze worden de autoriteiten op de BES-eilanden ondersteund?

De Openbare Lichamen van Bonaire, Sint-Eustatius en Saba kunnen als onderdeel van Nederland, evenals andere decentrale overheden, een beroep doen op ondersteuning vanuit Europees Nederland. Een recent voorbeeld is de uitwisseling tussen het Openbare Lichaam Bonaire en het Ministerie van Justitie en Veiligheid bij het opstellen van nieuw wapenbeleid en het uitwisselen van expertise hierover. Aangezien de BES-eilanden een integraal onderdeel vormen van het Nederlandse landsdeel van het Koninkrijk worden de eilanden conform het comply or explain principe bij elke beleidsvorming of ontwikkeling in de wet- en regelgeving betrokken. Gezamenlijk zal gekeken worden of de ontwikkeling in de wet- en regelgeving ook voor de BES-eilanden zou moeten gelden, of dat bijvoorbeeld rekening moet worden gehouden met regionale verschillen.
Daarnaast financiert het Ministerie van Justitie en Veiligheid het RIEC Caribisch Nederland (CN) dat momenteel als pilotorganisatie de integrale en bestuurlijke aanpak van ondermijning op de BES-eilanden uitvoert. Het tegengaan van vuurwapens wordt door RIEC CN meegenomen in de bredere ondermijningsaanpak waarbij het thema lucht- en zeehavens een prioriteit is. Een voorbeeld van de inzet is dat het RIEC CN werkt aan de bewustwording van medewerkers in de havens op ondermijningssignalen. Daarnaast wordt samen met de relevante partners binnen het RIEC-verband gewerkt om controles uit te voeren in de havens op Bonaire om een bijdrage te leveren aan het bestrijden van vuurwapensmokkel.
Ook zijn de BES-eilanden in 2025 toegetreden tot de eerder genoemde werkgroep bestuurlijke aanpak van ondermijning. Het Ministerie van JenV maakt hiervoor jaarlijks in 2025–2027 100.000 euro vrij.

Vraag 8

Wat doet het Koninkrijk tegen het illegaal invoeren van vuurwapens en wat is nodig om deze aanpak te intensiveren?

Wapenhandel is een transnationaal probleem, waardoor het belangrijk is om dit in internationaal verband aan te pakken. Bovendien is wapenhandel vaak verweven met andere criminele activiteiten, zoals drugshandel. Nederland is samen met Italië, Frankrijk, Spanje en Portugal lid van het consortium van het EU samenwerkings- en capaciteitsopbouw programma EL PACCTO 2.0. Dit programma richt zich op het tegengaan van grensoverschrijdende, georganiseerde criminaliteit. Wapenhandel is een van de thema’s die onder EL PACCTO 2.0 vallen. Nederland is verantwoordelijk voor de integratie van de Caribische (CARICOM) regio in EL PACCTO 2.0. Er wordt verkend in hoeverre de landen in het Koninkrijk op termijn ook kunnen deelnemen aan onder andere trainingen, bijeenkomsten en netwerken van professionals. Nederland levert de Strategic Key Expert voor de Cariben, een Project Officer en een Financial Officer. Daarnaast zet Nederland in op de inhoudelijke betrokkenheid en de inzet van short term experts in Latijns-Amerika en de Caribische regio. Nederland bekijkt, samen met het Caribisch deel van het Koninkrijk der Nederlanden en via EL PACCTO, ook naar de mogelijkheden om samenwerking met de regionale organisatie CARICOM IMPACS te verstevigen.
Voor het Caribisch deel van het Koninkrijk der Nederlanden is, in afwachting van eventuele trainingen via EL PACCTO en een intensievere samenwerking met CARICOM IMPACS, al wel onderzoek gestart hoe de Douanediensten hun toezicht op niet-fiscale wetgeving kunnen versterken. Op Curaçao vinden er inmiddels risicogerichte controles plaats op de smokkel van vuurwapens vanuit de Verenigde Staten. Daarnaast is Douane Curaçao deelnemer aan het Actiecentrum Ondermijnende Criminaliteit (ACOC). Wapensmokkel is een belangrijk aandachtspunt van het ACOC. Verder wordt door de eilanden deelgenomen aan activiteiten die de Werelddouaneorganisatie in de Caribische regio ontplooit (veelal in samenwerking met de Caribbean Customs Law Enforcement Council en CARICOM), zoals capaciteitsopbouw activiteiten en regionale multi-agency operaties gericht op het tegengaan van de smokkel van vuurwapens en verdovende middelen.
Daarnaast is het vervoer van en de handel in illegale vuurwapens – zoals ook aangegeven in het antwoord op vraag 4 – een van de vier beleidsspeerpunten in het Justitieel Beleidsplan en daarmee ook voor de prioriteitsstelling van de Kustwacht Caribisch Gebied. De Kustwacht werkt samen met (internationale) partners om grensoverschrijdende, ondermijnende criminaliteit zo dicht mogelijk bij de bron aan te pakken.

Vraag 9

Op welke manier wordt de illegale online verkoop van vuurwapens teruggedrongen? Werken de autoriteiten binnen het Koninkrijk hierbij goed samen? Zo nee, bent u bereid om samen met de eilanden deze aanpak te inventariseren?

Bekend is dat het relatief makkelijk is om via het internet of sociale media een vuurwapen te bemachtigen. Het tegengaan van de online verkoop en handel van illegale vuurwapens is daarom van groot belang. Vanuit de politie is in 2023 een kwalitatief onderzoek uitgevoerd naar de vuurwapenhandel op Telegram, om hier meer zicht op te krijgen. Het blijft echter lastig om goed zicht te krijgen op de aard en omvang van de online handel in vuurwapens. Er kunnen verschillende opsporingsmethoden worden ingezet, om personen uit de anonimiteit te halen en de online handel aan te pakken. Het kan dan bijvoorbeeld gaan om online infiltratie of de inzet van pseudokoop. Ook hierbij is internationale samenwerking van essentieel belang, vanwege het grensoverschrijdende karakter van de online wereld en van de vuurwapenhandel.
Ik ben via het JVO doorlopend in gesprek met de Ministers van Justitie van de autonome landen over de aanpak van grensoverschrijdende georganiseerde criminaliteit, over actualiteiten en over de samenwerking binnen de justitiële ketens op de landen. Waar relevant kan ook gesproken worden over de aanpak van vuurwapens in de online wereld.

Vraag 1

Bent u bekend met de berichtgeving omtrent de grote datalekken bij verschillende ministeries? Zo ja, wanneer bent u geïnformeerd over deze datalekken en bij welke ministeries zijn deze geconstateerd?1

Ja. We zijn op 10 april op de hoogte gebracht, nadat het lek was gemeld in de media. Het lek is geconstateerd bij alle ministeries.

Vraag 2

Klopt de berichtgeving dat deze datalekken een «privacyprobleem» betreffen en kunt u deze gebruikte term definiëren alsook verklaren waarom er bij de constatering dat het om een privacyprobleem ging niet direct geschakeld werd met de Autoriteit Persoonsgegevens?

Ja, het lek raakt de privacy van ambtenaren. Ambtenaren moeten zich veilig voelen om hun werk te kunnen doen, zonder daar in persoon op aangesproken te worden. Dit lek maakt het in sommige gevallen mogelijk om individuele ambtenaren te relateren aan bepaalde documenten. Dat is onwenselijk. Er is door de getroffen ministeries een eerste melding gedaan bij de Autoriteit Persoonsgegevens. Door BZK-VRO is op 8 april een gemeenschappelijke melding gedaan, mede namens VWS, J&V, A&M, EZ, KGG en LVVN. Deze melding is later aangevuld met OCW en I&W. De andere ministeries hebben zelfstandig melding gedaan. Na afronding van het onderzoek zullen de meldingen aangevuld worden;

Vraag 3

Welke informatie is er vrijgekomen als gevolg van deze datalekken en bevat deze informatie ook persoonsgegevens?

Het gaat om persoonsgegevens die zijn opgenomen in de metadata van een deel van de gepubliceerde documenten (onder andere Kamerbrieven en beslisnota’s) van de Rijksoverheid. Het gaat bijvoorbeeld om de namen van ambtenaren of hun gebruikersnaam en in een beperkt aantal gevallen een telefoonnummer.

Vraag 4

Welke maatregelen zijn getroffen om deze datalekken tegen te gaan en is daarmee erger voorkomen?

De volgende maatregelen zijn getroffen:
In de meeste gevallen zijn dit soort maatregelen voldoende om de gevolgen van een datalek te beperken. Echter, in dit geval gaat het om een actief lek dat al breed bekend is vanwege de berichten hierover in de media. De gevolgen hiervan kunnen we op dit moment niet goed overzien. Ik wil daarom nogmaals benadrukken dat ik het zeer betreur dat deze informatie voortijdig naar buiten is gekomen.

Vraag 5

Zijn er aanwijzingen dat het gaat om een statelijke actor?

Nee, dit datalek is niet veroorzaakt door statelijke actoren. Het datalek is ontstaan doordat de metadata voor publicatie niet goed is ontdaan van de gegevens die zijn beschreven in het antwoord op vraag 3.