Wet en beleid
Over dit onderwerp wordt veel gezegd dat net niet klopt. Hieronder per wet en per regel wat er echt staat, met de bron erbij. Dit is uitleg, geen juridisch advies.
CLOUD Act
Deze Amerikaanse wet uit 2018 (18 U.S.C. ยง 2713) zegt: een Amerikaans bedrijf moet gegevens afgeven als een Amerikaanse rechter dat beveelt. Ook als die gegevens buiten de VS staan. Het gaat om strafzaken, met een bevel van een rechter. Het is geen vrije toegang.
Een bedrijf kan zo'n bevel aanvechten als het botst met de wet van een ander land. Maar die procedure geldt alleen voor landen met een akkoord met de VS, en de EU heeft dat niet. Wie de gegevens beheert, telt dus zwaarder dan waar de server staat. Meer hierover lees je in dit artikel over de CLOUD Act.
FISA section 702
Dit is een wet voor de Amerikaanse geheime diensten. Ze mogen bij Amerikaanse bedrijven berichten opvragen van mensen die geen Amerikaan zijn en buiten de VS wonen. De wet is op 12 juni 2026 verlopen, maar het verzamelen gaat door op basis van eerdere toestemming van de rechter. Het Amerikaanse parlement praat nog over verlenging.
AVG
Volgens artikel 48 AVG mag een bedrijf persoonsgegevens niet zomaar afgeven op bevel van een buitenlandse rechter. Daar moet een verdrag tussen landen onder liggen. De Europese privacytoezichthouders schreven in 2019 dat een bevel onder de CLOUD Act op zichzelf niet genoeg is. Een aanbieder kan dus klem zitten tussen twee wetten.
Het Data Privacy Framework
In 2020 verklaarde het Europese Hof de vorige afspraak met de VS, het Privacy Shield, ongeldig (Schrems II). Sinds 10 juli 2023 is er een nieuwe afspraak: het Data Privacy Framework. Daardoor mag je persoonsgegevens sturen naar Amerikaanse bedrijven die op de DPF-lijst staan. Het Gerecht van de EU hield de afspraak in stand op 3 september 2025. Het hoger beroep loopt nog. Na een uitspraak van het Amerikaanse Hooggerechtshof over de toezichthouder FTC vroegen de Europese privacytoezichthouders om de afspraak opnieuw te bekijken. Op dit moment geldt de afspraak.
Data Act
De Data Act geldt sinds 12 september 2025. Voor clouddiensten betekent dat: je moet kunnen overstappen. Je opzegtermijn is hoogstens twee maanden. Daarna loopt de dienst in principe nog 30 dagen door, en heb je minstens 30 dagen om je gegevens op te halen. Tot 12 januari 2027 mag een aanbieder alleen de echte kosten van het overstappen rekenen. Daarna mag dat niet meer.
Cyberbeveiligingswet
Dit is de Nederlandse versie van de Europese NIS2-regels. De wet geldt sinds 15 augustus 2026 voor bedrijven in achttien sectoren, volgens de RDI meestal vanaf 50 medewerkers of 10 miljoen euro omzet. Soms raakt de wet ook hun leveranciers. Je moet je risico's beheren, ook bij je leveranciers, en grote incidenten melden. De wet verplicht je niet om weg te gaan bij Amerikaanse aanbieders.
De overheid
Op 3 juli 2026 maakte het kabinet de regels strenger voor de eigen clouddiensten. Ministeries en andere Rijksorganisaties moeten vooraf een plan maken, en voor belangrijke diensten een exitplan. Voor kerntaken van kritieke Rijksorganisaties wordt cloud van bedrijven onder niet-Europese wetten afgeraden. Voor e-mail en documenten raadt het kabinet publieke cloud helemaal af. Bestaande diensten krijgen vier jaar. Het beleidsstuk noemt ook de wens van de Tweede Kamer om in 2029 minstens 30 procent van de clouddiensten uit Nederland of Europa te halen.
De Kamer nam eerder moties aan over minder afhankelijkheid van Amerikaanse bedrijven. Een motie is een verzoek van de Kamer aan het kabinet. Het gaat om de motie-Six Dijkstra en de motie-Buijsse uit maart 2025, en een motie uit september 2025 voor een eigen Europese cloud voor belangrijke toepassingen.
De Autoriteit Persoonsgegevens schreef in januari 2026 een brief aan de staatssecretaris over digitale onafhankelijkheid. In maart 2026 gaf ze de zorg een praktijkgids met een voorkeur voor verwerking binnen Europa.
Werk je niet voor de overheid of in de zorg? Dan is dit beleid een goede checklist, geen opdracht. Lees ook waarom je niet weg hoeft omdat de Rijksoverheid dat doet.