De US CLOUD Act uitgelegd

Wat de CLOUD Act is

De Clarifying Lawful Overseas Use of Data Act, kortweg CLOUD Act, is in 2018 in de Verenigde Staten aangenomen. Aanleiding: opsporingsdiensten vroegen data op bij Amerikaanse aanbieders, en die antwoordden dat de gegevens op servers buiten de Verenigde Staten stonden en dus buiten bereik lagen.

De wet legt vast dat een Amerikaans bevel ook geldt voor data die de aanbieder in beheer of onder zeggenschap heeft, ongeacht waar die fysiek staat — inhoud van berichten en bestanden, maar ook metadata en accountgegevens. Het uitgangspunt is dat er een rechterlijke machtiging of vergelijkbaar bevel aan te pas komt; vrije toegang is het niet. Voor Nederlandse organisaties telt vooral de hoofdregel: de serverlocatie is niet het criterium. Deze pagina geeft algemene informatie en is geen juridisch advies.

De kern die de meeste mensen missen

Het criterium is niet waar de servers staan, maar wie de aanbieder is. Een Amerikaans bedrijf met een datacenter in Amsterdam valt onder de CLOUD Act. Een Nederlands bedrijf zonder Amerikaanse zeggenschap niet. Daar strandt de belofte "onze data staat in Europa": die gaat over geografie, terwijl de wet over rechtsmacht over de onderneming gaat.

Een Europese vestiging of dochteronderneming verandert dat niet automatisch. Zodra een Amerikaanse moedermaatschappij zeggenschap heeft over de partij die de data beheert, is de vraag of die moeder de data kan doen overleggen. Hoe ver dat reikt, is onderwerp van discussie. Maar wie hier zekerheid zoekt, kijkt naar de eigendomsstructuur en niet naar een kaart met datacenters.

Checklist: valt uw eigen situatie eronder?

Loop deze drie vragen langs voor elke leverancier die bij uw data kan, ook voor mail, back-up en monitoring.

1. Is uw aanbieder een Amerikaans bedrijf? Kijk naar de rechtspersoon op de factuur, niet naar de domeinnaam. Zo ja, dan is het uitgangspunt dat de wet van toepassing is, waar de servers ook staan.
2. Heeft hij een Amerikaanse moeder of Amerikaanse zeggenschap? Een B.V. met een Amerikaanse eigenaar blijft een B.V., maar de zeggenschap ligt in de Verenigde Staten. Zo ja, dan is de Europese vestiging op zichzelf geen antwoord; vraag door tot u weet wie bovenaan de keten staat.
3. Gebruikt hij Amerikaanse onderaannemers? Denk aan een CDN, back-up, monitoring of mailfilter. Zo ja, dan verplaatst de vraag zich naar die partij: welke data ziet hij, en valt hij zelf onder de wet? Eén Amerikaanse schakel maakt de keten niet meer zuiver Europees.

Is de informatie niet publiek, dan is dat zelf een antwoord.

De verhouding met de AVG

Hier ontstaat spanning. De AVG stelt eisen aan doorgifte van persoonsgegevens aan autoriteiten buiten de Europese Unie, en een Amerikaans overleggingsbevel is geen Europese rechtsgrond. Een aanbieder die zo'n bevel krijgt, kan dus tussen twee stelsels in komen. Sinds het Schrems II-arrest van het Hof van Justitie in 2020 is dat een terugkerend discussiepunt, dat de afspraken tussen de EU en de Verenigde Staten over gegevensoverdracht niet hebben weggenomen.

Wij trekken hier geen conclusie; dat hangt af van de gegevens en de constructie. Praktisch: hoe minder partijen in uw keten onder een niet-Europese jurisdictie vallen, hoe minder van deze vragen u hoeft te beantwoorden.

Wat u praktisch kunt doen

• Breng de keten in kaart. Lijst iedere partij die bij uw data of verkeer kan: hosting, mail, DNS, back-up, monitoring, betalingen, supporttooling. De verrassing zit zelden bij de hoofdleverancier.
• Vraag de subverwerkerslijst op. Elke verwerker hoort te kunnen zeggen welke subverwerkers hij inschakelt en waar die gevestigd zijn. Krijgt u die lijst niet, dan weet u genoeg.
• Kijk naar eigendom, niet naar datacenterlocatie. Vraag naar de rechtspersoon, de moedermaatschappij en de uiteindelijke zeggenschap.

Hoe Hostage ervoor staat

Hostage is van Digital Genesis B.V. (KvK 82144354), onderdeel van Innovation Harbor B.V., dat eigendom is van Opswizard Holding, dat eigendom is van een Nederlandse natuurlijke persoon: een volledig Nederlandse eigendomsketen, geen buitenlandse moeder.

Wij draaien op ons eigen netwerk AS211588, met eigen IPv4- en IPv6-ruimte op naam van Innovation Harbor B.V. — publiek te controleren in de RIPE-database. Onze servers staan in Nederlandse datacenters: BIT in Ede en nLighten AMS1 in Amsterdam. De registrars zijn Nederlands, de DNS-servers onze eigen, de back-ups staan bij zusterorganisatie Xyphen IT B.V., de monitoring doen wij intern en er is geen CDN. Klantmail wordt op onze eigen apparatuur in Nederland gefilterd. Eén punt is nog niet op orde en dat noemen wij liever zelf: het spamfilter vóór onze eigen bedrijfsmail op hostage.nl is van een Amerikaanse leverancier — geërfde infrastructuur uit de overname die wij aan het verhuizen zijn.

Eén EU-uitzondering noemen wij zelf: de endpoint-monitoring loopt via HetrixTools (Roemenië). EU-jurisdictie dus, en er gaat geen klantdata door die dienst. De volledige lijst staat op de compliancepagina.

Veelgestelde vragen