De CLOUD Act jurisdictierisico’s voor Europa vormen een concreet juridisch probleem voor elke organisatie die persoonsgegevens of vertrouwelijke bedrijfsinformatie opslaat bij een Amerikaanse cloudprovider. De Clarifying Lawful Overseas Use of Data Act, in 2018 ondertekend als Public Law 115-141, verplicht Amerikaanse technologiebedrijven om op rechtsbevel data te verstrekken aan Amerikaanse autoriteiten, ook als die data fysiek in een Europees datacenter staat. Compliance officers en IT-beslissers in sectoren als overheid, rechtszorg en gezondheidszorg kunnen dit risico niet negeren.
Wat de CLOUD Act precies regelt
De CLOUD Act geeft Amerikaanse opsporingsdiensten de bevoegdheid om via een zogeheten warrant of subpoena cloudproviders te dwingen gegevens te overhandigen die zij beheren, ongeacht de fysieke opslaglocatie. De wet heeft daarmee een extraterritoriaal bereik: een server in Frankfurt of Amsterdam valt onder de reikwijdte van de wet zodra de provider een Amerikaans bedrijf is of onder Amerikaans recht opereert.
De wet is mede ingevoerd als reactie op de langlopende Microsoft Ireland-zaak (United States v. Microsoft Corp., 584 U.S. 2018), waarin de Hoge Raad van de Verenigde Staten moest oordelen of een Amerikaans bedrijf e-maildata op Ierse servers moest afstaan aan Amerikaanse justitie. Voordat de zaak werd beslist, maakte de CLOUD Act de discussie overbodig door het antwoord wettelijk vast te leggen: ja, ook buitenlandse opslaglocaties vallen onder US-jurisdictie als de provider Amerikaans is.
De Patriot Act als voorloper en aanvulling
De USA Patriot Act, en specifiek Section 215 daarvan, biedt een ouder maar verwant instrumentarium. Section 215 stelt de FBI en de NSA in staat om via een geheim bevel van de FISA Court (Foreign Intelligence Surveillance Court) bedrijfsgegevens op te vragen voor nationale veiligheidsdoeleinden, zonder dat de betrokken organisatie hiervan op de hoogte wordt gesteld. De FISA Court opereert buiten het reguliere rechtssysteem en zijn bevelen zijn geheim.
Terwijl de CLOUD Act primair gericht is op strafrechtelijke onderzoeken, richt de Patriot Act zich op inlichtingenvergaring. Voor Europese organisaties betekent dit een dubbele blootstelling: commerciële gegevens, e-mails, contracten en communicatie kunnen worden opgevraagd in zowel strafrechtelijke als inlichtingencontexten, zonder dat de Europese eigenaar van die data hiervan weet.
De NSA heeft op grond van FISA Section 702 en de bevoegdheden die voortvloeien uit de Patriot Act grootschalige surveillanceprogramma’s uitgevoerd, wat al in 2013 door klokkenluider Edward Snowden werd onthuld. Die onthullingen leidden tot de eerste ongeldigverklaring van het Safe Harbor-akkoord door het Europees Hof van Justitie in 2015 (Schrems I), maar de onderliggende wettelijke bevoegdheden zijn sindsdien niet ingetrokken.
“The CLOUD Act allows U.S. law enforcement to compel U.S.-based technology companies to provide data stored outside the United States, and it does so without necessarily notifying the governments of those countries.”
Gabriela Zanfir-Fortuna, Vice President for Global Privacy, Future of Privacy Forum
Fysieke versus juridische controle: een cruciaal onderscheid
Het centrale misverstand bij veel IT-beslissers is dat een Europees datacenter gelijkstaat aan Europese controle over data. Dit onderscheid verdient nadere uitleg.
| Type controle | Definitie | Situatie bij US-provider in EU | Situatie bij soevereine Europese provider |
|---|---|---|---|
| Fysieke controle | Data staat op servers in een specifiek land | Aanwezig (datacenter in NL of DE) | Aanwezig |
| Juridische controle | Alleen de eigenaar bepaalt wie toegang krijgt; geen externe partij kan toegang afdwingen zonder toestemming | Afwezig: US-rechter kan toegang afdwingen | Aanwezig: geen extraterritoriaal US-recht van toepassing |
Juridische controle vereist dat de provider zelf niet onder een vreemde jurisdictie valt die toegang kan afdwingen. Een Zwitserse provider of een volledig Europese provider zonder US-aandeelhouders of US-entiteiten valt in beginsel buiten de reikwijdte van de CLOUD Act, omdat de wet zich richt op personen en bedrijven “subject to the jurisdiction of the United States.”
“Een Europese organisatie die haar data onderbrengt bij een Amerikaanse provider behoudt wel fysieke nabijheid tot die data, maar verliest de juridische controle erover zodra een US-rechter een bevel uitvaardigt.”
European Data Protection Board (EDPB), Aanbevelingen 01/2020 inzake maatregelen ter aanvulling van doorgifte-instrumenten
Concrete scenario’s van gedwongen dataverstrekking
Theorie wordt tastbaarder aan de hand van reële scenario’s die kunnen leiden tot een CLOUD Act-verzoek aan een provider als Microsoft, Google of Amazon:
Scenario 1: Strafrechtelijk onderzoek met internationale vertakking. Een Amerikaanse federale aanklager onderzoekt een multinational op verdenking van corruptie. Een van de verdachten werkt voor de Europese dochteronderneming en slaat e-mails op in Microsoft 365. De aanklager vraagt via een warrant die e-mails op bij Microsoft, zonder dat de Europese medewerker of zijn werkgever hiervan op de hoogte wordt gesteld. Microsoft is wettelijk verplicht te voldoen en mag de gebruiker in veel gevallen niet informeren zolang het bevel van kracht is.
Scenario 2: Inlichtingenonderzoek via FISA Court. Een Europees overheidsbedrijf dat defensiegerelateerde contracten uitvoert, werkt met Teams en SharePoint van Microsoft. De NSA of FBI vraagt via een geheim FISA-bevel toegang tot de communicatie van medewerkers van dat bedrijf. Microsoft ontvangt het bevel, mag er niet over communiceren, en verstrekt de gevraagde data. De Europese klant ontdekt dit nooit, tenzij de informatie later via een rechtszaak of journalistiek onderzoek boven water komt.
Scenario 3: Sanctie-handhaving. Amerikaanse autoriteiten vermoeden dat een Europese financiële instelling transacties heeft gefaciliteerd die in strijd zijn met US-sancties. Op grond van de CLOUD Act worden transactierecords bij een US-cloudprovider opgevraagd. De betrokken gegevens vallen onder het bankgeheim naar Europees recht, maar dat is voor een US-rechter geen afdoende grond om het bevel in te trekken.
Waarom het EU-VS Data Privacy Framework tekortschiet
Het EU-VS Data Privacy Framework, vastgesteld door de Europese Commissie in juli 2023, is bedoeld om de overdracht van persoonsgegevens van de EU naar gecertificeerde Amerikaanse bedrijven juridisch te gronden. Het DPF vervangt het ongeldig verklaarde Privacy Shield en introduceert onder meer een Data Protection Review Court waartoe Europeanen zich kunnen wenden bij vermoedens van onrechtmatige inlichtingenvergaring.
Het DPF lost echter het CLOUD Act-probleem niet op, om drie fundamentele redenen:
Ten eerste regelt het DPF hoe Amerikaanse bedrijven persoonsgegevens uit de EU mogen verwerken voor commerciële doeleinden. De CLOUD Act is een opsporingsinstrument dat buiten dit kader valt. Een certified DPF-bedrijf moet nog steeds voldoen aan een CLOUD Act-warrant.
Ten tweede is het DPF al voor het Europees Hof van Justitie aangevochten door Max Schrems via zijn organisatie noyb. Gegeven dat zowel Schrems I (2015) als Schrems II (2020) leidden tot ongeldigverklaring van vergelijkbare akkoorden, is de rechtszekerheid die het DPF biedt beperkt en tijdelijk van aard.
Ten derde beperkt het DPF zich tot persoonsgegevens. Bedrijfsgeheimen, juridisch geprivilegieerde documenten, overheidsinformatie en strategische bedrijfsdata vallen buiten de scope van het DPF maar zijn wel vatbaar voor CLOUD Act-verzoeken.
Statistieken over blootstelling en schaal
De omvang van het risico wordt zichtbaar in concrete cijfers:
Circa 65 tot 72 procent van de Europese enterprise cloudmarkt wordt beheerd door de drie Amerikaanse hyperscalers AWS, Microsoft Azure en Google Cloud, blijkt uit een studie van de Europese Commissie (2023). Dit betekent dat het overgrote deel van Europese organisaties in principe blootgesteld is aan CLOUD Act-jurisdictie.
Uit het Annual Statistical Transparency Report van het Office of the Director of National Intelligence (2023) blijkt dat in 2022 maar liefst 204.090 individuele doelwitten werden gevolgd onder FISA Section 702-bevoegdheden. Een deel van die doelwitten betreft niet-Amerikaanse personen of organisaties.
Uit Eurobarometer-onderzoek van de Europese Commissie (2022) geeft 68 procent van de Europese bedrijven aan zich zorgen te maken over de controle op hun data bij cloudproviders buiten de EU, wat aangeeft dat het bewustzijn groeit maar dat organisatorische maatregelen achterblijven.
Implicaties voor NIS-2 en GDPR-compliance
De NIS-2-richtlijn (EU 2022/2555), die in oktober 2024 in alle lidstaten geïmplementeerd diende te zijn, verplicht essentiële en belangrijke entiteiten tot passende technische en organisatorische maatregelen ter beveiliging van hun netwerk- en informatiesystemen. Een afhankelijkheid van US-cloudproviders zonder aanvullende maatregelen kan worden aangemerkt als een ontoereikende risicobeheerstrategie, omdat de organisatie geen juridische controle heeft over haar eigen data.
Onder de GDPR (Verordening EU 2016/679) geldt dat doorgifte van persoonsgegevens aan derde landen alleen is toegestaan met een adequate rechtsbasis. Als Amerikaanse autoriteiten via de CLOUD Act toegang krijgen tot persoonsgegevens die bij een US-provider zijn opgeslagen, en de Europese verwerkingsverantwoordelijke was hier niet van op de hoogte en kon er niet op anticiperen, dan is er in beginsel sprake van een onrechtmatige doorgifte. De verwerkingsverantwoordelijke, niet de provider, draagt hiervoor de aansprakelijkheid jegens de betrokken personen en de toezichthouder.
FAQ
Kan een Amerikaanse provider mijn data afschermen als die op Nederlandse servers staat?
Nee. De CLOUD Act (2018) verplicht een Amerikaanse provider om data te verstrekken op grond van een US-gerechtelijk bevel, ongeacht de fysieke locatie van de servers. Zolang de provider onder US-jurisdictie valt, is de serverlocatie in Nederland of Duitsland juridisch niet beschermend.
Wat is het verschil tussen de CLOUD Act en de Patriot Act voor Europese organisaties?
De USA Patriot Act Section 215 is gericht op inlichtingenvergaring en stelt de NSA en FBI in staat om met een bevel van de FISA Court bedrijfsgegevens op te vragen voor nationale veiligheidsdoeleinden. De CLOUD Act regelt de toegang tot opgeslagen data in strafrechtelijke onderzoeken. In de praktijk overlappen beide wetten: een Europees bedrijf bij een US-provider is blootgesteld aan beide regimes.
Biedt het EU-VS Data Privacy Framework bescherming tegen de CLOUD Act?
Nee. Het EU-VS Data Privacy Framework (2023) regelt hoe Amerikaanse bedrijven commerciële persoonsgegevens uit Europa mogen verwerken, maar het heft de bevoegdheden van de CLOUD Act of FISA niet op. Amerikaanse autoriteiten kunnen nog steeds op basis van een rechtsbevel data opvragen bij een US-provider, ook als die provider gecertificeerd is onder het DPF.
Wat is het verschil tussen fysieke en juridische controle over data?
Fysieke controle betekent dat de data op servers staat binnen uw eigen bereik of in een specifiek land. Juridische controle betekent dat u bepaalt wie toegang krijgt en dat geen externe partij die toegang kan afdwingen zonder uw toestemming. Bij een Amerikaanse cloudprovider heeft u fysieke nabijheid als de datacenter in de EU staat, maar niet de juridische controle: de provider kan door US-recht worden gedwongen toegang te verlenen zonder u vooraf te informeren.
Welke sectoren lopen het hoogste risico door CLOUD Act-jurisdictie?
Overheidsinstellingen, advocatenkantoren, gezondheidszorginstellingen en financiële dienstverleners verwerken bijzondere of vertrouwelijke gegevens waarvoor de CLOUD Act bijzonder problematisch is. Ook organisaties die vallen onder NIS-2 als essentiële of belangrijke entiteit lopen een verhoogd compliancerisico als zij afhankelijk zijn van Amerikaanse cloudproviders.
