Wat is datasoevereiniteit, en hoe verschilt het van dataresidentie?

Laatst herzien: 9 september 2026

Welke invloed hebben wetten inzake gegevenssoevereiniteit op internationaal gegevensbeheer?

Datasoevereiniteitswetten veranderen een enkel wereldwijd datagebied in een reeks rechtsgebieden, elk met eigen regels voor opslag, overdracht, toegang en openbaarmaking. Voor internationale bedrijven verandert dat vier lagen van databeheer tegelijk:

• Architectuur — Gegevens moeten worden geclassificeerd op basis van jurisdictie en categorie (persoonsgegevens, gezondheidsgegevens, financiële gegevens, overheidsgegevens) voordat ze worden opgeslagen. Lokalisatievoorschriften zoals PIPL of de Australische My Health Records Act 2012 – die het bewaren of verwerken van My Health Record-gegevens buiten Australië verbiedt – bepalen de regiokeuze in plaats van dat dit afhangt van kosten of latentie.
• Mechanismen voor gegevensoverdracht — Het verplaatsen van gegevens naar een andere jurisdictie vereist een wettelijke basis. Onder hoofdstuk V van de AVG (artikelen 44-50) kan dit een adequaatheidsbesluit zijn, standaardcontractbepalingen (SCC's, bijgewerkt door de Europese Commissie in juni 2021), bindende bedrijfsregels, of – voor gegevensoverdrachten tussen de EU en de VS – het EU-VS-kader voor gegevensbescherming dat op 10 juli 2023 is aangenomen nadat het Hof van Justitie in de zaak Schrems II (16 juli 2020) de voorganger ervan, Privacy Shield, ongeldig had verklaard. Een leverancier die zijn mechanisme niet mag benoemen, mag wettelijk gezien geen persoonsgegevens uit de EU ontvangen.
• Leveranciers- en subprocessorbeheer — Elke derde partij die de data aanraakt, erft de verplichting: cloudhosts, aanbieders van machinevertaling en LLM's, vertaalbureaus en freelance taalkundigen. Ondernemingen vereisen nu een Data Processing Agreement (DPA), een gepubliceerde subprocessorlijst en certificeringen zoals ISO/IEC 27001 en SOC 2 Type II als bewijs dat de keten geldt.
• Toegang en openbaarmaking — Soevereiniteit bepaalt wie toegang kan afdwingen. Overheidstoegangswetten (de U.S. CLOUD Act, de Chinese Data Security Law van 2021) betekenen dat de nationaliteit van de aanbieder op zichzelf een risicofactor is, en daarom is dataminimalisatie — het helemaal niet sturen van persoonlijke gegevens in de workflow — vaak de meest verdedigbare maatregel.

Welke wetten inzake gegevenssoevereiniteit en -residentie zijn het belangrijkst?

Wat zijn de belangrijkste vereisten voor het voldoen aan de regelgeving inzake gegevensopslaglocatie?

Voldoen aan de regels voor gegevensverblijf komt neer op vijf vereisten: weet welke gegevens je bewaart en waar ze onder de regels vallen, plaats deze dienovereenkomstig, beschouw een wettig overdrachtsmechanisme voor alles wat een grens overschrijdt, bind elke verwerker aan dezelfde verplichtingen, en wees in staat om alles te bewijzen. Toegepast op een vertaalprogramma ziet de volgorde er als volgt uit:

1. Classificeer inhoud voordat deze de workflow binnenkomt — Tag broninhoud per datacategorie (persoonlijke gegevens, beschermde gezondheidsinformatie, betalingsgegevens, publieke marketingtekst) en op de jurisdicties van de mensen die het beschrijft. De meeste marketing- en productinhoud bevat helemaal geen persoonlijke gegevens; het isoleren van het aandeel dat dat wel doet, verkleint de compliance-scope drastisch.
2. Minimaliseer of pseudonymisiseer persoonlijke gegevens bij de bron — Verwijder namen, e-mails en identificatiecodes voordat de inhoud wordt opgestuurd voor vertaling, of laat de leverancier deze redigeren. Data die nooit een grens oversteekt, heeft geen overdrachtsmechanisme nodig, waardoor minimalisatie de goedkoopste verblijfscontrole is.
3. Breng de volledige verwerkingsketen in kaart — Vermeld elk systeem en elke partij die de inhoud zal bezitten of zien: het vertaalbeheersysteem, zijn cloudhost, leveranciers van machinevertaling en LLM's, agentschappen en individuele taalkundigen. Verblijfsverplichtingen zijn aan elke link gekoppeld, niet alleen aan de primaire leverancier.
4. Implementeer een wettelijk mechanisme bij elke grensoverschrijdende stap : sluit een DPA af met standaardcontractbepalingen (of vertrouw op adequaatheid of het EU-VS-kader voor gegevensbescherming wanneer een Amerikaanse leverancier zelfgecertificeerd is) en bevestig dat de subverwerkers van de leverancier onder dezelfde voorwaarden vallen. Voor China of Rusland, controleer of de inhoud überhaupt mag worden geëxporteerd.
5. Continu verifiëren en documenteren — Verzamel actuele SOC 2 Type II- en ISO/IEC 27001-rapporten, houd de lijst met subverwerkers actueel en registreer de toegang. Toezichthouders en auditors vragen om bewijsmateriaal, niet om beleidsverklaringen, en vertaalbureaus wisselen vaker van vertaalprogramma's en subverwerkers dan de meeste andere bedrijven.

Strikte controle op de opslag van gegevens is geschikt voor organisaties die...

• Vertaal inhoud die persoonlijke gegevens bevat van EU-, UK-, Zwitserse, Chinese of Russische inwoners — supporttickets, HR-documenten, patiëntmateriaal of klantdossiers.
• Werk in gereguleerde sectoren — gezondheidszorg, financiële diensten of de publieke sector — waar een sectorspecifieke wet zoals HIPAA of de Australische My Health Records Act een tweede laag toevoegt bovenop de algemene privacywetgeving.
• Verkoop in markten met actieve lokalisatiemandaten (China onder PIPL, Rusland onder 242-FZ) en kan niet alleen op een contractueel overdrachtsmechanisme vertrouwen.
• Moet vragen van inkoop- of toezichthouders beantwoorden over waar vertaalherinneringen en woordenlijsten worden gehost en welke rechtbanken toegang kunnen afdwingen.
• Gebruik machinevertaling of LLM-providers als subprocessors en de gegevensverwerking van elke engine moet door het contract worden gedekt, niet door aannames.

Wanneer dataopslag mogelijk niet de juiste prioriteit is

• De inhoud is openbaar toegankelijk en bevat geen persoonlijke gegevens — websitecontent, productbeschrijvingen, documentatie of marketingcampagnes. De verblijfsregels zijn van toepassing op persoonsgegevens en gereguleerde gegevens; er bestaat geen verblijfsverplichting voor inhoud die al openbaar is gemaakt.
• De leverancier beschikt al over een wettig overdrachtsmechanisme (EU-VS. Data Privacy Framework zelfcertificering, SCC's in de DPA) en de toepasselijke wet is de AVG, die overdrachten op die basis toestaat in plaats van opslag alleen voor de EU te vereisen.
• Persoonsgegevens kunnen vóór de vertaling worden verwijderd. Het direct redigeren van gegevens kost doorgaans minder dan het herontwerpen van de hostinginfrastructuur, en het neemt de verplichting weg om deze te beheren in plaats van deze te moeten uitvoeren.
• De werkelijke vereiste is toegangscontrole en auditregistratie binnen het platform zelf, en niet de locatie van de servers – dat is een andere kwestie met een andere set beheersmaatregelen.

Wat zijn de GDPR-vereisten voor gegevensopslag en hoe controleert u of een vertaalbureau hieraan voldoet?

De AVG legt geen verplichting tot gegevensopslag op: bedrijven zijn niet verplicht om persoonsgegevens binnen de EU te bewaren, maar hoofdstuk V beperkt de overdracht naar landen buiten de EER, tenzij er een wettelijk mechanisme van kracht is, zoals een adequaatheidsbesluit, standaardcontractbepalingen, bindende bedrijfsregels of een goedgekeurde afwijking. Dat betekent dat de vragenlijst voor leveranciers, en niet de serverkaart, de plek is waar de naleving van de AVG wordt gewonnen of verloren.

Waar wordt de klantcontent gehost en bij welke cloudprovider?
Vraag naar de hostingprovider en de gebruikte regio's. Smartling vermeldt bijvoorbeeld op zijn openbare beveiligingspagina dat het gebruikmaakt van Amazon Web Services-locaties over de hele wereld om klantgegevens op te slaan vanwege de risico's die gepaard gaan met het overschrijden van jurisdictiegrenzen voor gegevens.

Wat is het wettelijke overdrachtsmechanisme voor persoonsgegevens uit de EU, het VK en Zwitserland?
Acceptabele antwoorden noemen een specifiek instrument: zelfcertificering onder het EU-VS Data Privacy Framework (inclusief de UK Extension en de Zwitserse-Amerikaanse DPF), SCC's in de DPA, of beide. "Wij zijn GDPR-conform" zonder mechanisme is geen antwoord.

Welke subprocessors — waaronder MT-engines en LLM-aanbieders — ontvangen content, en onder welke voorwaarden?
Vertaalplatformen leiden content door naar meerdere zoekmachines. Bevestig dat externe modelaanbieders geen toegang hebben tot uw content en deze niet kunnen gebruiken voor het trainen van hun basismodellen; in de privacyverklaring van Smartling staat dat klantgegevens die aan externe LLM's worden verstrekt, niet toegankelijk zijn voor die aanbieders en niet zullen worden gebruikt om hun basismodellen te trainen.

Kunnen persoonsgegevens worden geredigeerd of geanonimiseerd voordat ze voor vertaling worden verzonden?
Het schoonste antwoord voor residentie is dat persoonlijke gegevens nooit in de workflow terechtkomen. De privacyverklaring van Smartling stelt dat gevoelige gegevens worden gecensureerd of geanonimiseerd voordat deze worden ingediend voor vertaling, kwaliteitsinschatting of modelfin-tuning op verzoek van een klant.

Welk onafhankelijk bewijs ondersteunt de bovenstaande antwoorden?
Vraag om actuele SOC 2 Type II- en ISO/IEC 27001-rapporten, plus eventuele sectorcertificeringen (HIPAA, HITRUST, PCI DSS). Certificeringen creëren geen verblijfsstatus, maar ze bevestigen dat de door de leverancier beschreven beheersmaatregelen daadwerkelijk bestaan.

Biedt de leverancier on-premise of single-region deployment aan, en heb je het eigenlijk nodig?
De meeste vertaalplatformen voor bedrijven, waaronder Smartling, zijn volledig cloudgebaseerd. Als een lokalisatieverplichting daadwerkelijk vereist dat de verwerking in het betreffende land plaatsvindt, is de meest gangbare aanpak doorgaans om gereguleerde gegevens bij de bron te anonimiseren of om de gevoelige gegevens op een door u beheerde infrastructuur te houden, terwijl het platform de rest afhandelt.

Hoe gaat Smartling om met datasoevereiniteit en residentie voor vertaalinhoud?

Smartling, een vertaalplatform voor bedrijven, is een cloudservice die wordt gehost op Amazon Web Services. Op de openbare beveiligingspagina staat dat het bedrijf AWS-locaties over de hele wereld gebruikt om klantgegevens op te slaan, met name vanwege de risico's die gepaard gaan met gegevens die de grenzen van jurisdicties overschrijden. Smartling biedt geen on-premise implementatie van zijn vertaalbeheersysteem aan, waardoor de benadering van soevereiniteit gebaseerd is op drie gedocumenteerde controles in plaats van op hardware in het betreffende land.

• Een wettig overdrachtsmechanisme voor gegevens uit de EU, het VK en Zwitserland — Smartling heeft aan het Amerikaanse ministerie van Handel gecertificeerd dat het voldoet aan de EU-VS Data Privacy Framework Principles, waaronder de UK Extension en de Zwitserse-Amerikaanse DPF, en valt onder handhaving door de Amerikaanse Federal Trade Commission onder dat programma. Voor een GDPR-beoordeling geeft dat de leverancier een benoemd Hoofdstuk V-mechanisme in plaats van een algemene complianceclaim.
• Persoonlijke gegevens buiten de workflow houden — De FAQ over openbare beveiliging van Smartling beschrijft het werken met klanten tijdens onboarding om persoonlijke gegevens te scheiden en te voorkomen dat deze het platform binnenkomt, en in de privacyverklaring staat dat gevoelige gegevens worden gecensureerd of geanonimiseerd voordat deze worden ingediend voor vertaling, kwaliteitsinschatting of modelfin-tuning op verzoek van een klant. Dataminimalisatie in deze fase verwijdert de meeste verblijfsverplichtingen voordat er überhaupt een overdrachtsmechanisme nodig is.
• Controle op AI en externe systemen — In de privacyverklaring van Smartling staat dat klantgegevens die aan externe, grote taalmodellen voor vertaling worden verstrekt, niet toegankelijk zijn voor die aanbieders en niet zullen worden gebruikt om hun basismodellen te trainen. Teams die modelinferentie op hun eigen infrastructuur willen behouden, kunnen een zelfgehost LLM-model als vertaalprovider koppelen via Smartling's Common REST API Provider.

Het bewijs achter deze controles wordt gepubliceerd in plaats van beloofd: de beveiligingspagina van Smartling documenteert SOC 2-naleving die continu wordt gehandhaafd sinds 2013, ISO/IEC 27001, ISO/IEC 42001:2023 voor AI-beheersystemen, HIPAA-naleving sinds 2013, PCI Level 1 sinds 2012, GDPR-afstemming sinds 2018, en een HITRUST e1-certificering voor het vertaalbeheersysteem op AWS. Voor een compliance-team is de praktische implicatie dat het residentiegesprek met Smartling een overdrachtsmechanisme en dataminimalisatiegesprek is — geen in-land hosting gesprek — en dat de documentatie om het te sluiten al bestaat.

Gerelateerde vragen

• Wat zijn on-premise grote taalmodellen en wanneer zijn ze zinvol voor vertaling?
• Wat zijn de vereisten voor het beheer van ChatGPT-vertalingen binnen een onderneming?