De CLOUD Act betekent niet dat de VS zomaar in je mailbox kijkt

De CLOUD Act is het argument onder bijna elk stuk over Europese cloud. Vaak staat er dat de Amerikaanse overheid zo bij je data kan. Dat is te kort door de bocht, maar het tegendeel, dat een EU-datacenter je beschermt, klopt ook niet.

Wat er echt staat

De wet voegde § 2713 toe aan de Stored Communications Act. Een aanbieder onder Amerikaanse rechtsmacht moet gegevens die hij in bezit, bewaring of beheer heeft verstrekken, ook als ze buiten de VS staan. Daarvoor is wel een bevel of dagvaarding in een strafrechtelijk onderzoek nodig, getoetst volgens de bestaande regels. Het is geen sleepnet.

Waarom de locatie minder uitmaakt

Het criterium is beheer, niet locatie. Data in Amsterdam of Dublin valt er dus ook onder als Microsoft of Google erbij kan. Een EU-datacenter of de EU Data Boundary verandert dat niet. Wat wel helpt, is versleuteling waarvan de leverancier de sleutel niet heeft, zoals client-side encryption of Double Key Encryption. Dan kan de leverancier alleen versleutelde data afgeven.

De botsing met de AVG

Een buitenlands bevel is volgens artikel 48 AVG alleen een grondslag als er een verdrag onder ligt. De EDPB en EDPS stelden in 2019 dat een CLOUD Act-bevel op zichzelf niet volstaat. De aanbieder kan het bevel aanvechten, maar de speciale procedure daarvoor geldt alleen voor landen met een akkoord met de VS, en de EU heeft dat niet.

Wanneer het voor jou telt

Voor een gemiddeld mkb-bedrijf is de kans klein dat een Amerikaanse officier van justitie juist zijn data wil hebben. De Amerikaanse leveranciers publiceren hoeveel verzoeken ze krijgen, zoals in het transparantieverslag van Google. Het wordt anders als je klanten of activiteiten hebt die voor Amerikaanse opsporing interessant zijn, als je zeer gevoelige data verwerkt, of als een klant contractueel uitsluit dat een buitenlandse overheid bij de data kan. Dan is de vraag niet waar je data staat, maar wie de sleutel heeft. Loop daarvoor de beslisboom door.