U bent een Nederlandse mededingingstoezichthouder. U correspondeert per e-mail met de Amerikaanse platforms waarop u toezicht houdt. U gaat ervan uit dat die correspondentie beschermd is — door de AVG, door het Nederlandse bestuursrecht, door het feit dat die platforms Europese dochterondernemingen hebben die verantwoording schuldig zijn aan Europese rechters. Afgelopen vrijdagmiddag werd u duidelijk welke van die aannames daadwerkelijk dragend was.

Het antwoord: geen ervan.

Op vrijdag 22 mei 2026 publiceerde het Nederlandse blad Vrij Nederland dat Microsoft uw e-mails had overgedragen in reactie op een Amerikaanse Congres-dagvaarding. De ontvanger was het House Judiciary Select Subcommittee on the Weaponization of the Federal Government, voorgezeten door Jim Jordan. De dagvaardingen waren de juli ervoor verstuurd — aan tien technologiebedrijven, en eisten inzage in interne communicatie met buitenlandse overheden over contentmoderatie. Microsofts reactie, toen Vrij Nederland die verifieerde, omvatte de ongeredigeerde namen van ambtenaren bij de Autoriteit Consument en Markt (ACM) en de Autoriteit Persoonsgegevens (AP) — de toezichthouders die de EU Digital Services Act in Nederland handhaven.

Vervolgens bood Microsoft een verklaring die u nog meer zou moeten verontrusten dan de openbaarmaking zelf. De CLOUD Act was niet ingeroepen. De medewerking was vrijwillig.

Dat woord — vrijwillig — is het deel van dit verhaal dat in vrijwel geen enkele publieke duiding correct is geplaatst. Had de CLOUD Act de openbaarmaking afgedwongen, dan hadden de getroffen toezichthouders ten minste een juridische drempel gehad om bij de rechter aan te vechten. Vrijwillige medewerking betekent dat die drempel er niet was. Er was Microsofts commerciële inschatting dat meewerken met een Congres-subcomité de voorkeur verdiende boven weigeren. De inschatting was rationeel. En zij stond, strikt genomen, volledig los van het Europees recht.

De namen liggen nu in Washington. Het subcomité dat erom vroeg, omschrijft het werk van de getroffen ambtenaren als “censuur van Amerikaanse meningsuiting”. De Nederlandse staatssecretaris voor digitale soevereiniteit, Willemijn Aerdts, ontbood diezelfde vrijdag de Amerikaanse ambassadeur. De gegevens waren toen al onderweg.

Dit artikel is de audit van de architectuur die de uitkomst voortbracht, de herkadering die de audit bruikbaar maakt, en de aanbestedingsvraag die iedere Europese toezichthouder en elk ministerie moet beantwoorden voordat de volgende dagvaarding op de mat valt.

Wat Microsoft overdroeg

De inhoud bestond niet uit samenvattingen. Het ging om het ruwe werkmateriaal van toezichthouders: e-mails tussen met naam genoemde ACM- en AP-medewerkers en de bedrijfsvertegenwoordigers van Microsoft, agenda-items voor interne vergaderingen, notulen van besprekingen over de uitvoering van de DSA. Het subcomité ontving de namen ongeredigeerd. Volgens berichtgeving in iBestuur deelde Meta vergelijkbare gegevens; de andere acht gedagvaarde bedrijven hebben niet publiekelijk bevestigd dat zij gehoor hebben gegeven.

Het subcomité omschrijft zijn eigen mandaat als een onderzoek naar de vraag of Europese regulering van onlineplatformen neerkomt op censuur van Amerikaanse bedrijven. De in de documenten genoemde ambtenaren zijn de mensen die in de Nederlandse jurisdictie verantwoordelijk zijn voor de handhaving van precies de regels die het subcomité onderzoekt. Het Weaponization Subcommittee heeft nu, in zijn dossiers, de namen van Europese functionarissen die regels handhaven die het subcomité vijandig acht.

Cybernews bericht dat sommige getroffen medewerkers familie in de Verenigde Staten hebben en nu vrezen voor weigering aan de grens. Die angst is niet theoretisch: de regering-Trump heeft Europese leiders uit het maatschappelijk middenveld gesanctioneerd, onder wie de leiding van de Duitse NGO HateAid in december 2025, om wat zij vijandige regulering van meningsuiting noemt. De weg van een naam op een subcomité-lijst naar een inreisverbod aan de Amerikaanse grens is korter dan Europese toezichthouders tot dusver hebben aangenomen.

Aan het einde van die vrijdagmiddag had staatssecretaris Willemijn Aerdts de Amerikaanse ambassadeur, Joe Popolo, recht in het gezicht gezegd: “Als ik problemen heb, vecht je die met ons uit of, indien nodig, in Europa, maar niet over de ruggen van ambtenaren heen.” Aerdts was drie maanden eerder benoemd tot Nederlands eerste staatssecretaris voor Digitale Economie en Soevereiniteit, in het Kabinet-Jetten van 23 februari. De ambassadeur die zij ontbood, was nog korter in Den Haag. De interventie was inhoudelijk. Maar in aanbestedingstechnische zin was zij leeg: zij ontbood een diplomaat, geen leverancier.

De verdediging is de openbaarmaking

Microsoft heeft geen gedetailleerde publieke verklaring over de Nederlandse kwestie uitgebracht. Eensluidende berichtgeving bij NL Times, Dutch IT Channel en Cybernews wijst op de uitleg die het bedrijf in besloten kring en in de vakpers hanteert: de openbaarmaking werd niet uitgelokt door een CLOUD Act-verplichting. Het vrijgegeven materiaal, zo luidt de redenering, betrof correspondentie tussen Microsoft en vertegenwoordigers van Europese autoriteiten — en die correspondentie viel buiten de bescherming die Europese toezichthouders mogelijk meenden te hebben.

De redenering werd aangeboden als rechtvaardiging. Zorgvuldig gelezen, is zij het tegendeel. Had de CLOUD Act de openbaarmaking afgedwongen, dan hadden Europese toezichthouders ten minste een juridische drempel gehad om bij de rechter aan te vechten. De vrijwilligheidsredenering betekent dat er helemaal geen drempel was — alleen Microsofts commerciële inschatting dat meewerken met het subcomité van Jim Jordan de voorkeur verdiende boven weigeren. De verdediging maakt de situatie erger dan de beschuldiging.

De redenering dient Microsoft op nog een tweede manier: zij stelt het bedrijf in staat het incident neer te zetten als een eenmalige beoordelingskwestie in plaats van een structurele blootstelling onder Amerikaans recht. Zij dient ook het Nederlandse kabinet, dat het probleem kan externaliseren naar een Amerikaanse leverancier in plaats van uit te leggen waarom de communicatie van ACM en AP überhaupt op een in de VS gehost platform stond. Aerdts’ interventie bij ambassadeur Popolo, hoezeer ook inhoudelijk, verbond het kabinet niet aan een aanbestedingswijziging. De staatssecretaris voor Economische Zaken, Eric van der Burg (VVD), noemde de openbaarmaking “meer dan zorgwekkend” — sterke taal voor een Nederlandse staatssecretaris, zwakker dan een toezegging.

Wat in de Microsoft-redenering werd aangeboden, was een vrijspraak. Wat er feitelijk werd gezegd, eenmaal ontleed, was: wij waren niet verplicht dit over te dragen. Wij hebben ervoor gekozen. Dat is in geen enkele betekenis die de getroffen ambtenaren zouden herkennen een verdediging. Het is een bekentenis, vermomd als verduidelijking.

De architectuur die dit blootlegt

Het Microsoft 365-landschap van Europese toezichthouders is groot, diep en in het publieke domein vrijwel ongedocumenteerd.

Een ruwe schatting, op basis van aanbestedingspublicaties en vakpersberichten, brengt het aandeel Europese nationale toezichthouders dat zijn primaire interne communicatie via Microsoft 365 laat lopen boven de 70%. De Bundesnetzagentur in Duitsland, ARCEP in Frankrijk, AGCOM in Italië, de CNIL in Frankrijk, het Duitse Bundeskartellamt, de Spaanse CNMC — de meeste draaien op M365 of hebben er een aanzienlijk M365-oppervlak in hun dagelijkse werkzaamheden. De meeste handhaven ook, in enige hoedanigheid, recht dat van toepassing is op Amerikaanse platforms: AVG, DMA, DSA, Data Act, mededingingsregels. Het snijvlak — toezichthouders van Amerikaanse platforms die Amerikaanse platforms gebruiken voor hun eigen interne communicatie — is in wezen het Europese toezichtlandschap zoals het er vandaag bij staat.

De architectonische consequentie is dat iedere toezichthouder in dat snijvlak dezelfde blootstelling in de toeleveringsketen kent waarvan ACM en AP zojuist de operationele definitie hebben geleerd. De gegevens bevinden zich op infrastructuur die geëxploiteerd wordt door een entiteit die, wanneer zij geconfronteerd wordt met een Amerikaanse Congres-dagvaarding, commercieel zal reageren. Die commerciële reactie zal stelselmatig in de richting van medewerking wijzen. De Microsoft-uitleg in de Nederlandse zaak maakte de commerciële logica expliciet: het bedrijf reageerde op een dagvaarding, niet op een CLOUD Act-bevel; de medewerking was vrijwillig. Iedere andere toezichthouder in hetzelfde landschap verkeert in dezelfde architectonische positie. De volgende dagvaarding zal met dezelfde logica worden beantwoord.

Er is een tweede-orde-blootstelling die nog weinig is besproken. De in de Nederlandse documenten genoemde ambtenaren waren niet de enigen in die e-mailthreads. Correspondentie met Microsoft over DSA-uitvoering zet routinematig collega’s bij andere Europese toezichthouders in cc — coördinatie tussen nationale autoriteiten maakt deel uit van de wijze waarop de DSA wordt gehandhaafd. De subcomité-dagvaarding aan Microsoft bestreek, in haar eigen formulering, interne communicatie met buitenlandse overheden over contentmoderatie. Die formulering is ruim genoeg om de hele correspondentieketens te bestrijken, niet alleen de individuele afzenders. De feitelijke namenlijst reikt, bij zorgvuldige lezing van de reikwijdte van de dagvaarding, aannemelijk verder dan ACM en AP, tot in EU-toezichthouders elders die publiekelijk nog niet getroffen zijn — vooralsnog.

Het patroon onder de zaak

Dit is niet de eerste keer dat een Amerikaanse leverancier Europese functionarissen onder politieke druk heeft blootgesteld aan Amerikaanse autoriteiten. Het is de derde gedocumenteerde zaak in dertien maanden.

In mei 2025 schortte Microsoft het e-mailaccount op van Karim Khan, hoofdaanklager van het Internationaal Strafhof, nadat de regering-Trump onder Executive Order 14203 persoonlijke sancties tegen hem had ingesteld. In december 2025 trof dezelfde regering de leiding van HateAid, een Duitse NGO die slachtoffers van online haatzaaien ondersteunt, met Amerikaanse inreisverboden. In mei 2026 droeg Microsoft de namen van ambtenaren van de Nederlandse toezichthouders over.

De zaak-Khan liep onder een sanctie-aanwijzing: juridische dwang. De zaak-HateAid liep onder inreisverbod-regels: bestuursrechtelijk optreden tegen met name aangewezen personen. De Nederlandse zaak loopt onder een dagvaarding van een House-subcomité: parlementair onderzoek. De juridische instrumenten verschillen. Het patroon niet. In elke zaak werd een dienstverlener met hoofdkantoor in de VS, formeel of informeel, gevraagd te handelen tegen een Europeaan die in Washington politiek onwelgevallig was geworden. In elke zaak gaf de aanbieder gehoor.

De Nederlandse zaak verschilt op één punt dat ertoe doet van de eerste twee. De zaak-Khan had een sanctie-aanwijzing achter zich; HateAid had bestuursrechtelijk optreden. Beide gaven Microsoft een juridische dwang waarnaar het kon wijzen bij de uitleg richting Europese toezichthouders. De Nederlandse zaak heeft die dekking niet. Microsofts eigen uitleg erkent het ontbreken ervan: de openbaarmaking was niet juridisch verplicht, zij had commercieel de voorkeur. De derde zaak van het patroon is de zaak waarin de commerciële logica hardop is benoemd.

Die benoeming heeft een strategische consequentie die de vakpers heeft gemist. De eerste twee zaken brachten algemene zenuwachtigheid voort over Amerikaanse juridische blootstelling onder M365. De derde zaak heeft specifiek bewijs voortgebracht van Amerikaanse commerciële blootstelling onder M365: dezelfde leverancier, dezelfde architectuur, kan dezelfde uitkomst voortbrengen zonder enige juridische drempel. Er is in heel Europa geen rechtbank waar men Microsofts commerciële inschatting kan aanvechten. Er is alleen het aanbestedingscontract, en dat is het niveau waarop Europese instellingen de architectuur kunnen veranderen.

Waarom het protest de architectuur niet verandert

Het kabinet heeft de Amerikaanse ambassadeur ontboden. Er is een diplomatieke uitwisseling geweest. Microsoft kan nog een publieke verduidelijking uitgeven. Niets daarvan verandert de structurele omstandigheden.

Nadat het stof is neergedaald, blijven drie zaken precies zoals ze waren. Microsoft kan nog steeds verzoeken ontvangen van Amerikaanse wetgevende, uitvoerende en rechterlijke instanties. Microsoft kan nog steeds vrijwillig besluiten verder mee te werken dan strikt vereist. ACM, AP en de meeste andere Europese toezichthouders draaien hun kantoren nog steeds op Microsoft-systemen, met hun communicatie nog steeds onderworpen aan dezelfde blootstelling. Het incident heeft politieke hitte voortgebracht. Het heeft geen architectonische verandering voortgebracht.

De reactie van het Nederlandse kabinet is structureel wat de Microsoft-uitleg voorspelde. De interventie behandelde de openbaarmaking als een incident in de leveranciersrelatie, niet als een aanbestedingsincident. De leverancier werd via de diplomaat ontboden; het aanbestedingscontract werd in het geheel niet ontboden. Aerdts staat te boek als pleitbezorger van digitale soevereiniteit. Het structurele probleem is dat haar portefeuille de aanbestedingsbeslissingen van het kabinet niet aanstuurt, en dat juist die aanbestedingsbeslissingen de hefboom zijn die het incident heeft blootgelegd.

De “meer dan zorgwekkend”-taal van de staatssecretaris is de indicator van hoe dit verhaal zal eindigen. Sterke taal signaleert zorg. Zij signaleert geen toezegging. Een toezegging zou eruitzien als een datum, een budget, een doel, een aangewezen alternatief. Er is geen datum.

Soevereiniteit is geen diplomatiek incident

Dit is de herkadering die het incident zichtbaar maakt voor iedereen bij een Europese toezichthouder, een ministerie of een publieke instelling met operationele verantwoordelijkheid.

De Nederlandse zaak is niet het falen van een diplomatieke relatie. De diplomatieke relatie doet precies wat diplomatieke relaties doen — zij spreekt zorg uit, tekent protest aan, ontbiedt ambassadeurs, stelt notes verbales op. De Nederlandse zaak is het falen van een aanbestedingsbeslissing die jaren eerder werd genomen, toen ACM en AP Microsoft 365 invoerden op dezelfde redelijke institutionele gronden als elke andere Europese toezichthouder. De diplomatieke reactie van het kabinet opereert op de verkeerde laag. De architectuur ligt op de aanbestedingslaag. Het architecturale antwoord ligt daar ook.

Dit is de laag waarop de Nederlandse zaak van toepassing is op iedere lezer die werkt in of met een Europese publieke instelling. De vraag is niet wat zal het kabinet doen? Het kabinet zal doen wat kabinetten doen: ontbieden, protesteren, zorg uitspreken. De vraag is of uw organisatie, bij de volgende kwartaalevaluatie van de aanbestedingen, de openbaarmaking behandelt als een relevant feit voor uw eigen M365-contract.

De soevereiniteitsvraag, juist gekaderd, luidt niet welke leverancier gebruiken wij voor onze e-mail? Zij luidt: als Microsoft vandaag door een Amerikaans Congres-subcomité om onze interne communicatie zou worden gevraagd, wat zou Microsofts commerciële inschatting dan zijn? Het eerlijke antwoord, op grond van het Nederlandse precedent, luidt: dezelfde als bij Nederland. Het architecturale antwoord op die vraag is geen andere leverancier. Het is een andere architectuur: communicatie van toezichthouders die loopt via infrastructuur zonder Amerikaanse commerciële calculus in de keten van gegevensbeheer.

Wat dit artikel niet is

Wie deze analyse leest als de bewering dat Microsoft onwettig heeft gehandeld, heeft het punt gemist — volgens de eigen lezing van Microsoft was de openbaarmaking noch wettelijk afgedwongen noch kwaadwillig, maar een commerciële afweging tegenover een machtige Amerikaanse politieke speler. De analyse werkt een laag dieper: bij de structurele voorwaarde dat die commerciële afweging op elk moment opnieuw op tafel kan komen, zolang de onderliggende aanbestedings­architectuur ongewijzigd blijft. Voorspellingen over het gedrag van afzonderlijke leveranciers in toekomstige gevallen behoren niet tot het onderzoeksobject. Voor lezers in gereguleerde omgevingen vervangt deze analyse geen juridisch of informatieveiligheids­advies.

De volgende naam op de lijst

De ambtenaren wier namen nu in een dossier van een House Judiciary-subcomité liggen, zijn nog steeds aan het werk. De Digital Services Act moet nog steeds worden gehandhaafd. Het Weaponization Subcommittee heeft zijn onderzoek niet afgesloten. Microsoft heeft de documenten niet ingetrokken — er bestaat geen procedure voor intrekking zodra een subcomité de stukken eenmaal in handen heeft.

Het volgende verzoek van een Amerikaanse autoriteit aan een Amerikaanse leverancier over een Europese toezichthouder zal worden beantwoord met dezelfde commerciële logica die dit verzoek beantwoordde. Tot de architectuur verandert, zijn de namen van de Nederlandse ambtenaren niet de laatste die in een dossier van een House-subcomité zullen belanden. Ze zijn de derde.

Het signaal om over twaalf maanden in de gaten te houden, is de aanbesteding. Als ACM of AP een migratie van hun interne communicatie weg van Microsoft aankondigen, dan heeft het incident structurele gevolgen gehad. Zo niet, dan zal Aerdts’ interventie bij Popolo de hele reactie zijn geweest — en is de volgende naam op de lijst al onderweg.

Bronnen

Themaoverzicht: Digitale soevereiniteit in Europa Gerelateerde artikelen: Soevereiniteit op Microsoft-servers, Digitale soevereiniteit: waarom nu