Bijna driekwart van de instellingen van de Europese Unie laat zijn mail via servers van Amerikaanse bedrijven lopen, blijkt uit onderzoek van de NOS. Dat terwijl de Europese Commissie zich zorgen maakt over de afhankelijkheid van Amerikaanse bigtech.
Ondanks die zorgen gaat zelfs mail van de Europese Commissie langs servers van Amerikaanse bedrijven. De Europese Commissie antwoordde niet op vragen van de NOS over de fysieke locatie waar de mail is opgeslagen.
Ook het Europees Defensie-agentschap, verschillende toezichthouders op de financiële markten en de toezichthouder tegen terrorisme en witwassen hebben hun mailservers bij Microsoft ondergebracht. De Europese Centrale Bank deed dat bij een andere Amerikaanse maildienst.
Meekijken in de VS
Dat betekent dat Amerikaanse inlichtingendiensten kunnen meekijken in e-mail, maar ook dat de Amerikaanse overheid de dienstverlening zou kunnen verstoren.
Eerder dit jaar zei commissievoorzitter Von der Leyen dat "we niet afhankelijk kunnen zijn van anderen voor technologie die onze ziekenhuizen laat draaien, ons energienet laat werken en onze dienstverlening veilig houdt."
Europarlementariër Bart Groothuis (VVD) toont zich bezorgd over de mail van de Europese Commissie die langs Amerikaanse bedrijven gaat. "Dit is een dienst die het altijd moet doen en er komt geregeld gevoelige informatie langs, dus de controle moet je in Europese handen houden", zegt hij.
"Het lijkt mij verstandig als dit binnen de Europese Unie wordt ondergebracht", zegt zijn collega Kim van Sparrentak (Pro). "Blijkbaar voelen we de urgentie niet genoeg. Ik zou denken dat er inmiddels wel genoeg aanleiding is om over te stappen."
Het Europees Parlement gebruikt geen Amerikaanse mailservers, evenals Europol en het Hof van Justitie van de EU.
Stekker eruit
De keus voor Amerikaanse bedrijven ligt in toenemende mate onder vuur. De afgelopen tien jaar stapten overheden en bedrijven massaal over op Microsoft voor het fysiek opslaan van hun e-mail. Kritiek kwam toen vooral uit de hoek van privacy-organisaties.
Tijdens Trumps tweede termijn als president van de VS blijkt hoe kwetsbaar Europese instellingen zich maken door die samenwerking met Amerikaanse bedrijven.
De VS dreigt het Internationaal Strafhof in Den Haag op de sanctielijst te zetten, in navolging van individuele rechters en de voorzitter van het Strafhof. Eerder kwam ook al een links-anarchistische Italiaanse provider, die onder meer mailboxen aan activisten aanbood, op de sanctielijst te staan.
Amerikaanse bedrijven mogen niet samenwerken met personen en organisaties op de sanctielijst. Dat betekent dat techbedrijven hun diensten moeten staken zodra de Amerikaanse regering sancties tegen iets of iemand instelt. "De Amerikaanse regering kan elk moment de stekker eruit trekken", zegt Europarlementariër Van Sparrentak.
Een woordvoerder van Microsoft wijst erop dat het bedrijf daar altijd bezwaar tegen zal maken. "Daartoe heeft Microsoft zich via bindende contractuele voorwaarden verplicht."
Gevoelige informatie
Een andere zorg is dat de Amerikaanse overheid toegang kan krijgen tot gevoelige informatie die in mailboxen is opgeslagen. De Amerikaanse wet verplicht Microsoft en andere internetbedrijven om in bepaalde gevallen informatie te overhandigen die buiten de Verenigde Staten is opgeslagen.
"De Europese Unie handhaaft ook op bigtech", benadrukt Van Sparrentak. Zo kreeg Google dit jaar nog een boete van 900 miljoen euro. "Dat is allemaal in te zien door de Amerikanen." Eerder voerde de Amerikaanse regering de druk op vanwege EU-boetes voor Amerikaanse techbedrijven.
Europarlementariër Groothuis is niet voor een totaalverbod op Amerikaanse tech, benadrukt hij. "Soms kun je er gewoon niet omheen en het is goede technologie. Maar je moet je niet technologisch afhankelijk maken van één land."
VN-instellingen
Ook VN-instellingen gebruiken nog veel Amerikaanse clouddiensten. Het Internationaal Strafhof stapte afgelopen jaar over van Office 365 naar een Europees alternatief, maar veel andere VN-organisaties en aanverwante instellingen gebruiken nog Amerikaanse mail.
Daaronder zijn onder meer de VN-vluchtelingenorganisatie UNRWA en de instanties die zijn belast met toezicht op de nucleaire sector en chemische wapens.
Als alle mail in Europa staat, zoals de Europarlementariërs hopen, is nog niet alles opgelost. "Intussen gooit iedereen in het Europees Parlement en bij Europese instellingen de hele dag alles in ChatGPT", zegt Europarlementariër Groothuis. "Je soevereiniteit gaat dan alsnog het raam uit."
Er moeten dus meer Europese alternatieven komen, op alle terreinen, bepleit Groothuis. "We moeten drie of vier Europese spelers hebben die de concurrentie kunnen aangaan."
Dan helpt het als de overheid Europees inkoopt, benadrukt Van Sparrentak (Pro). "Nu schuiven we miljarden naar Amerikaanse bedrijven. Dat hadden we beter in Europa kunnen investeren."
Reactie Microsoft
In een reactie laat Microsoft weten achter plannen voor meer Europese digitale soevereiniteit te staan. "Dat moet gebeuren op basis van openheid, samenwerking, eerlijke concurrentie en keuzevrijheid", aldus de Amerikaanse techgigant. "Wij blijven ons inzetten voor een sterk, weerbaar, innovatief en internationaal verbonden technologisch ecosysteem in Europa."
Verantwoording
Voor dit artikel onderzocht de NOS de domeinnamen van 70 EU-instellingen en 60 VN-organisaties en aanverwante instellingen. We onderzochten daarvoor de zogenoemde DNS-gegevens, ook wel het telefoonboek van het internet genoemd.
Met die DNS-gegevens kan worden bekeken waar de infrastructuur achter een website is ondergebracht. We keken naar de DNS-gegevens die worden gebruikt voor het ontvangen en verzenden van e-mail.
De Europese Commissie had tot dinsdag 10.30 uur een Microsoft-server ingesteld voor het ontvangen van e-mail, evenals twee andere Amerikaanse servers. Na vragen van de NOS werd de Microsoft-server verwijderd.
De andere twee ingestelde servers worden in de regel gebruikt om mail te filteren op spam en digitale dreigingen, voordat die naar de echte mailservers wordt doorgestuurd. In dit geval mogelijk dus die van Microsoft.
Dat de Europese Commissie Office 365 van Microsoft gebruikt, is breed gedocumenteerd, onder andere door de Europese privacy-toezichthouder.