De gegevens van je kind zijn digitaal. Maar waar eigenlijk?

De kans is groot dat de gegevens van jouw kind niet alleen bij de kinderopvang staan.

Maar ook indirect op servers van grote internationale technologiebedrijven. Daar is meestal niets van te merken. En toch gebeurt het elke dag. Als ouder vertrouw je erop dat een kinderopvang zorgvuldig omgaat met gegevens zoals:

• naam en adres
• foto’s
• ontwikkelingsinformatie
• en soms zelfs medische gegevens

Dat vertrouwen is logisch. Maar de digitale werkelijkheid daarachter is complexer dan vaak wordt gedacht.

Een onzichtbare laag onder de opvang

Kinderopvangorganisaties gebruiken al jaren software voor administratie, planning en communicatie.

Wat verandert, is de technologie daarachter. Steeds vaker draait die software op grote internationale cloudplatforms. Ook worden AI-tools steeds vaker ingezet om werk makkelijker en sneller te maken.

Die ontwikkeling gaat snel. En vaak merken ouders daar weinig van.

Niet alleen in de kinderopvang

Dit speelt niet alleen in de kinderopvang.

Ook in het:

• onderwijs
• de zorg
• de overheid

wordt veel gewerkt met software die draait op systemen van grote internationale leveranciers.

Vaak zijn dat Amerikaanse bedrijven, zoals Amazon, Microsoft en Google. Dat is niet automatisch verkeerd. Maar het heeft wel gevolgen die lang niet altijd zichtbaar zijn.

“De data staat in Europa” is niet het hele verhaal

Veel organisaties geven aan dat gegevens in Europa worden opgeslagen.

Dat klopt vaak ook.

Maar wat minder bekend is, is dit:

• de servers kunnen eigendom zijn van een Amerikaans bedrijf
• of van een Europese dochter van zo’n bedrijf

Daardoor kan die data in bepaalde situaties onder Amerikaanse wetgeving vallen, zoals de U.S. CLOUD Act.

De belangrijkste nuance is dan ook: het gaat niet alleen om waar data staat, maar ook om wie er toegang toe kan hebben.

Afhankelijkheid van internationale infrastructuur

Een groot deel van de data van kinderopvangorganisaties, scholen en zorginstellingen wordt verwerkt via systemen die draaien op infrastructuur van Amerikaanse technologiebedrijven.

Dat betekent dat deze gegevens, ook wanneer ze fysiek in Europa staan, onderdeel kunnen zijn van een bredere juridische en technische werkelijkheid buiten Europa.

Tegelijkertijd is het vertrouwen in deze internationale digitale infrastructuur niet vanzelfsprekend. Recente ontwikkelingen laten zien dat afhankelijkheid van grote, buitenlandse platforms ook kwetsbaarheden met zich meebrengt, juridisch, politiek en praktisch.

Dat maakt de vraag naar zeggenschap en bescherming van gegevens complexer dan vaak wordt aangenomen.

Er zijn ook Europese alternatieven

Wat vaak onderbelicht blijft, is dat er inmiddels ook volop Europese alternatieven beschikbaar zijn.

Denk aan oplossingen die:

• binnen Europa worden ontwikkeld en beheerd
• onder Europese wetgeving vallen
• regelmatig als open source worden aangeboden

Dat laatste betekent niet alleen meer transparantie, maar vaak ook lagere kosten en meer controle over hoe systemen worden ingericht en gebruikt.

Deze opties zijn er dus wel degelijk, maar worden nog niet overal actief overwogen of toegepast.

AI maakt het nog complexer

Tegelijkertijd neemt het gebruik van AI toe.

Er komen steeds meer toepassingen bij, zoals:

• automatisch schrijven van berichten
• het samenvatten van observaties
• ondersteuning bij rapportages
• slimme assistenten binnen software

Dat gebeurt vaak met de bedoeling om tijd te besparen en de kwaliteit te verbeteren.

Maar het betekent ook dat gegevens vaker worden verwerkt door systemen buiten de directe controle van een organisatie.

En daardoor wordt het lastiger om precies te overzien wat er met die gegevens gebeurt.

Kader: AVG, AI Act en U.S. CLOUD Act – waar schuurt het?

Voor Nederlandse kinderopvangorganisaties, scholen en zorginstellingen ontstaat er een spanningsveld tussen Europese privacyregels en het gebruik van software of cloudinfrastructuur van Amerikaanse leveranciers.

Dat spanningsveld draait in de kern om drie kaders: de AVG, de AI Act en de U.S. CLOUD Act.

Wat vraagt de AVG?

De AVG verplicht organisaties om te weten welke persoonsgegevens zij verwerken, met wie die worden gedeeld, waar die terechtkomen en op basis van welke grondslag dat gebeurt.

Voor doorgifte buiten de Europese Economische Ruimte gelden extra eisen. Ook wanneer gegevens in Europa blijven staan, kan er juridisch risico ontstaan als een partij buiten Europa er toegang toe kan krijgen of die toegang kan afdwingen.

Wat verandert de AI Act?

De Europese AI Act legt extra nadruk op transparantie, risicobeheersing, governance en verantwoordelijkheid bij het ontwikkelen en gebruiken van AI-systemen.

Voor organisaties in kinderopvang, onderwijs en zorg betekent dit dat “we gebruiken gewoon een handige AI-functie in software” niet meer genoeg is. Zij moeten beter kunnen uitleggen welke AI wordt gebruikt, waarvoor, met welke data en onder wiens verantwoordelijkheid.

Wat is de U.S. CLOUD Act?

De U.S. CLOUD Act is Amerikaanse wetgeving die het mogelijk maakt dat Amerikaanse autoriteiten langs juridische weg elektronische gegevens kunnen opvragen bij dienstverleners.

Juist daar ontstaat spanning: een Nederlandse of Europese organisatie kan data laten opslaan in Europa, maar als de leverancier of moedermaatschappij Amerikaans is, kan de vraag opkomen of die data toch onder Amerikaanse wettelijke toegangsroutes kan vallen.

Waar schuurt dit voor Nederlandse organisaties?

• Transparantie: veel organisaties weten wel waar data staat, maar niet altijd wie er juridisch of technisch toegang toe kan krijgen.
• Verantwoordelijkheid: onder de AVG blijft de organisatie zelf verantwoordelijk, ook als een leverancier of subverwerker wordt gebruikt.
• AI-gebruik: de AI Act vraagt aantoonbare controle en documentatie, terwijl veel AI-functionaliteit wordt ingebouwd in software van externe leveranciers.
• Schijnzekerheid: “de data staat in Europa” is juridisch niet altijd voldoende als de feitelijke of afdwingbare toegang elders ligt.

De vraag is dus niet alleen waar de data staat, maar ook onder welk juridisch bereik die data valt en of een organisatie dat nog goed genoeg in de hand heeft.

Nieuwe regels maken dit zichtbaarder

Europa werkt aan strengere regels rond data en AI, zoals de AI Act.

Die regels maken één ding duidelijker dan voorheen:

• waar data zich bevindt
• wie er toegang toe heeft
• welke risico’s daarbij horen

Dat geldt voor kinderopvang, maar net zo goed voor onderwijs en zorg.

Een overgang die tijd kost

Belangrijk om te begrijpen is dat dit niet van de ene op de andere dag verandert. Veel organisaties zijn afhankelijk van bestaande systemen. En veel software is nu eenmaal gebouwd op internationale infrastructuur.

Dat maakt dit geen eenvoudige kwestie. Maar het betekent niet dat er niets kan veranderen.

Er ligt een duidelijke opgave bij leveranciers van software voor onder andere kinderopvang, onderwijs en zorg om hun oplossingen beter in lijn te brengen met Europese wet- en regelgeving.

Tegelijkertijd kunnen organisaties zelf hierin een rol spelen. Door vragen te stellen, keuzes te heroverwegen en het gesprek met leveranciers aan te gaan. Kinderopvangorganisaties zullen actiever moeten worden om veranderingen bij hun leveranciers in beweging te krijgen.

Zich verschuilen achter “we weten het niet” wordt daarbij steeds minder houdbaar. Al is het maar omdat die informatie inmiddels wél beschikbaar is.

De vraag is dan ook niet óf systemen zich moeten aanpassen aan kaders zoals de AVG en de AI Act.

De vraag is wanneer en hoe snel dat gebeurt.

Waarom dit ertoe doet

De kern van het verhaal is eenvoudig.

We leven in een tijd waarin steeds meer persoonlijke informatie digitaal wordt verwerkt. En in sectoren zoals kinderopvang, onderwijs en zorg gaat het om gegevens die extra gevoelig zijn.

Daarom wordt het steeds belangrijker om niet alleen te kijken naar wat handig is, maar ook naar:

• waar gegevens terechtkomen
• onder welke regels ze vallen
• en hoe goed ze beschermd zijn

Bewustzijn

De meeste organisaties gaan zorgvuldig met gegevens om. Daar is geen twijfel over. Maar de systemen die zij gebruiken, maken deel uit van een grotere internationale digitale infrastructuur.

En die infrastructuur is complexer dan vaak wordt gedacht. Bewustzijn daarvan is een eerste stap.

Niet om ongerust te worden, maar om beter te begrijpen hoe de wereld achter de schermen werkt.

Bronnen

• AVG / Autoriteit Persoonsgegevens
• European Data Protection Board (EDPB)
• Europese AI Act
• U.S. Department of Justice over de CLOUD Act
• Schrems II-arrest van het Hof van Justitie van de EU

De gegegevens in dit artikel zijn voor het laatst bijgewerkt en gecontroleerd op 16 april 2026