Wat de wet echt zegt

Over datasoevereiniteit wordt veel gezegd dat net niet klopt. Hieronder per wet wat er staat, met de bron erbij. Dit is uitleg, geen juridisch advies.

CLOUD Act

De CLOUD Act uit 2018 voegde 18 U.S.C. § 2713 toe aan de Amerikaanse wet. Een aanbieder onder Amerikaanse rechtsmacht moet gegevens die hij in bezit, bewaring of beheer heeft verstrekken als een Amerikaanse rechter dat beveelt, ook als die gegevens buiten de VS staan. Het gaat om strafrechtelijk onderzoek met een bevel of dagvaarding, niet om vrij grasduinen.

Een aanbieder kan zo'n bevel aanvechten als het botst met buitenlands recht, maar die procedure in § 2703(h) staat alleen open bij landen met een uitvoeringsovereenkomst met de VS. De EU heeft die niet. Wie de data feitelijk beheert, telt dus zwaarder dan waar de server staat.

FISA section 702

Section 702 is een inlichtingenbevoegdheid: Amerikaanse diensten mogen communicatie van niet-Amerikanen buiten de VS opvragen bij communicatieaanbieders. Dit was de kern van Schrems II. De wettelijke basis is op 12 juni 2026 verlopen zonder verlenging, maar verzameling loopt door onder de bestaande certificeringen van de FISA-rechtbank. Een verlenging ligt nog bij het Congres.

AVG artikel 48

Volgens artikel 48 AVG mag een vonnis of besluit uit een derde land alleen leiden tot doorgifte als het steunt op een internationaal verdrag, zoals een rechtshulpverdrag. De EDPB en EDPS schreven in 2019 dat een CLOUD Act-bevel op zichzelf geen geldige grondslag is. Een aanbieder kan dus klem zitten tussen twee rechtsstelsels. Hoe hij daarmee omgaat, lees je in zijn contract en transparantieverslag.

Schrems II en het Data Privacy Framework

In Schrems II verklaarde het Hof van Justitie in juli 2020 het Privacy Shield ongeldig. Standaardcontractbepalingen bleven geldig, maar alleen met een beoordeling per doorgifte en zo nodig aanvullende maatregelen.

Op 10 juli 2023 nam de Commissie het adequaatheidsbesluit voor het Data Privacy Framework aan. Doorgifte naar Amerikaanse organisaties op de DPF-lijst mag sindsdien zonder extra formaliteiten. Het Gerecht bevestigde het besluit op 3 september 2025, het hoger beroep loopt. Na de uitspraak in Trump v. Slaughter over de FTC vroeg de EDPB de Commissie het besluit opnieuw te beoordelen. Op dit moment is het framework geldig.

Data Act

De Data Act geldt sinds 12 september 2025. Voor clouddiensten is hoofdstuk VI het belangrijkst. Je contract moet overstappen mogelijk maken met een opzegtermijn van hoogstens twee maanden en een overgangsperiode van in principe 30 dagen. Tot 12 januari 2027 mag een aanbieder alleen kostendekkende overstapkosten rekenen, daarna geen.

Cyberbeveiligingswet

De Nederlandse uitwerking van NIS2 geldt sinds 15 augustus 2026. De wet raakt organisaties in achttien sectoren, volgens de RDI in het algemeen vanaf 50 medewerkers of 10 miljoen euro omzet, en soms hun toeleveranciers. De wet vraagt risicobeheer, ook in de keten, en een meldplicht. Een verplichting om weg te gaan bij Amerikaanse aanbieders staat er niet in.