Digitale autonomie, onafhankelijk zijn van Amerikaanse techbedrijven (3)

Vraag 1

Wat was de precieze doelstelling van de gemeente in 2022 om “zoveel mogelijk te gaan werken in de cloud”?

Antwoord van het college

• Wat werd er bedoeld met “zoveel mogelijk” ?

• Welke definitie hanteert de gemeente voor “cloud” (public, private, hybride, community cloud)?

• Welke specifieke cloud modellen (IaaS, PaaS, SaaS) en diensten (bijv. Azure VM’s, AWS S3, Google Workspace, Microsoft 365, Oracle DBs) vallen hieronder?

• Wordt er nu al gebruik gemaakt van techservices of bedrijven die gevestigd zijn binnen de EU/EER op dit gebied?

• Welke niet-financiële overwegingen (zoals publieke waarden, autonomie, privacy van inwoners) zijn expliciet meegewogen in de kosten-batenafweging?

• Acht het college deze afweging nog actueel, gezien veranderde geopolitieke en juridische omstandigheden sinds 2022

Vraag 2

Zijn er schriftelijke afspraken dat alle data en datastromen uitsluitend binnen de Europese Unie/EER worden opgeslagen en verwerkt?

Antwoord van het college

• Wordt er gebruik gemaakt van EU-modelclausules, Binding Corporate Rules (BCR’s) of andere juridische instrumenten voor datatransfers?

• Acht het college het politiek wenselijk dat gemeentelijke data uitsluitend binnen de EU/EER worden opgeslagen en verwerkt?

• Indien hiervan wordt afgeweken: welke belangen wegen voor het college zwaarder dan datasoevereiniteit?

• Is de gemeente uitgegaan van uitsluitend datalocatie (EU/EER) of ook van zeggenschap/jurisdictie (bijv. moederbedrijf onder niet-EU recht) bij de risicoafweging?

Vraag 3

Welke specifieke data en informatie staan opgeslagen bij of zijn toegankelijk voor nietEuropese techbedrijven?

Antwoord van het college

• Acht het college het acceptabel dat medewerkers van externe, niet-Europese partijen potentieel toegang hebben tot gevoelige gemeentelijke data?

• Welke publieke waarborgen zijn hierbij doorslaggevend geacht?

B. Impact van veranderende geopolitieke ontwikkelingen

4. Wat zijn de belangrijkste risico’s van de huidige afhankelijkheid van Amerikaanse techbedrijven, met name op het gebied van:

• Continuïteit onder andere de mogelijkheid van het stopzetten van diensten of

•

•

•

•

•

•

blokkeren van toegang tot data door een buitenlandse (niet Europese) overheid of entiteit.

Risico op ongeautoriseerde toegang door derde landen tot gevoelige gegevens (bijv. BRP-gerelateerde gegevens, Wmo/Jeugd, handhaving, bezwaar/beroep, meldingen openbare orde), inclusief profiling of doelgerichte bevraging Kosten, en dan specifiek vendor lock-in, prijsstijgingen, verborgen kosten Compliance (oa. AVG, Wet digitale overheid, Archiefwet) Welke principes hanteert het college bij leverancierskeuze (bijv. minimale afhankelijkheid, data-toegang, exitbaarheid, open standaarden)? En hoe worden deze principes geborgd (beleid, toetsingskader, besluitvormingsmoment)?

Zijn er noodvoorzieningen, exit-strategieën of migratieplannen naar andere leveranciers? Indien mogelijk ontvangen we de beschikbare plannen met een kosten inschatting en tijdslijn Worden in contracten eisen opgenomen over dataportabiliteit, open formaten, maximale migratietermijn, escrow/continuïteitsvoorzieningen, en periodieke ‘exit test’? Is het college bereid om exit-strategieën als randvoorwaarde te stellen bij toekomstige contracten?

C. Europese Alternatieven en Toekomstplannen

5. Zijn de huidige leveranciers gevraagd om te onderzoeken of de ICT-behoeften van de gemeente vervuld kunnen worden door Europese techbedrijven (bijv. OVHcloud, TSystems, Sopra Steria, Nextcloud, OpenStack)?

• Zo ja, wat waren de uitkomsten van dit onderzoek (bijv. haalbaarheid, kosten, risico’s)?Zo nee, waarom niet en wanneer wordt dit alsnog onderzocht?

6. In hoeverre is er ruimte in de huidige aanbestedingen en samenwerkingen om Europese alternatieven te betrekken?

• Zijn Europese leveranciers actief uitgenodigd om te offeren bij recente aanbestedingen?

• Zijn er specifieke eisen op het gebied van datasoevereiniteit en Europese hosting opgenomen in aanbestedingsdocumenten?

• In hoeverre zijn de huidige leveranciers bereid mee te werken om de ICT behoeftes van de gemeente Houten te laten vervullen door bedrijven binnen de EU/EER?

• Is het college bereid digitale autonomie expliciet als beleidsdoel op te nemen in toekomstige aanbestedingen? Op welke wijze kan de raad hierop kaderstellend sturen?

7. Is de gemeente van plan om nieuwe data, applicaties of services bij niet-Europese techbedrijven onder te brengen?

• Zo ja, welke specifieke diensten/data en op welke termijn?Zo nee, hoe wordt dit voorkomen en wie is hiervoor verantwoordelijk?

• Is het college bereid een moratorium te overwegen op nieuwe afhankelijkheden van niet-Europese techbedrijven? Zo nee, waarom niet?

8. Hoe wordt de afhankelijkheid van niet-Europese techbedrijven gemonitord en gerapporteerd?

• Acht het college periodieke rapportage aan de raad over digitale afhankelijkheid wenselijk?

D. Digitale Autonomie en Aankomende Aanbestedingen

9. Hoe wordt de digitale autonomie van de gemeente gewaarborgd?

• Zijn er beleidsstukken of strategieën die digitale autonomie als doelstelling hebben?

• Wordt er gebruik gemaakt van open standaarden en open source software om

afhankelijkheid te verminderen?

• Beschouwt het college digitale autonomie als een publieke waarde, vergelijkbaar

met duurzaamheid of toegankelijkheid? Zo nee, waarom niet?

10. Zijn er binnenkort aanbestedingstrajecten waar digitale autonomie, datasoevereiniteit en Europese alternatieven relevant zijn?

• Zo ja, welke trajecten zijn dit en wanneer vinden ze plaats?

• Zijn er al specifieke eisen die voorsorteren op een niet-Europese techprovider op dit gebied opgenomen in de aanbestedingsdocumenten?

• Op welke momenten verwacht het college expliciete politieke keuzes van de raad nodig te hebben?

• hoe wordt voorkomen dat deze keuzes impliciet al vastliggen in technische of contractuele besluiten?

Toelichting:

Met deze schriftelijke vragen beogen de indieners inzicht te krijgen in de bestuurlijke en strategische keuzes die de gemeente de afgelopen jaren heeft gemaakt ten aanzien van het gebruik van clouddiensten en de daarmee samenhangende afhankelijkheid van (veelal nietEuropese) technologiebedrijven.

De vragen zijn nadrukkelijk niet bedoeld als technische audit, maar richten zich op de politieke afwegingen rondom publieke waarden zoals digitale autonomie, privacy van inwoners, continuïteit van gemeentelijke dienstverlening, kostenbeheersing en democratische controle.

De beantwoording is bedoeld om de raad in staat te stellen zijn kaderstellende en controlerende rol goed te vervullen, mede in het licht van aankomende aanbestedingen en strategische ICT-keuzes. Daarbij wordt gevraagd om inzicht in zowel de huidige situatie als de ruimte voor toekomstige beleidskeuzes.

Ondertekening en naam indieners:

David Jimmink GroenLinks Houten Marije de Vries D66 Houten