Cloud Act: wat de wet betekent voor uw gegevens

Belangrijkste punten

De Cloud Act is een Amerikaanse federale wet uit maart 2018. Deze wet verplicht elke dienstverlener die onder de Amerikaanse jurisdictie valt om de gegevens waarover hij beschikt aan de Amerikaanse autoriteiten te verstrekken, zelfs als deze gegevens buiten de Verenigde Staten zijn opgeslagen.
De wet is niet gericht op de nationaliteit van de server, maar op die van het bedrijf dat er zeggenschap over heeft: een Europese dochteronderneming van een Amerikaanse groep valt dus nog steeds onder de wet.
De Europese toezichthouder zelf (EDPB en EDPS, in een gezamenlijk advies) is van mening dat een verzoek op grond van de Cloud Act in het kader van de AVG doorgaans niet rechtmatig kan worden uitgevoerd zonder voorafgaande internationale overeenkomst.
SecNumCloud is de enige Franse kwalificatie die een geverifieerde immuniteit tegen dit soort wetgeving vereist; de CNIL heeft dit expliciet aangemerkt als een tekortkoming in het ontwerp voor de Europese EUCS-certificering.

Wat is de Cloud Act precies?

De Cloud Act (Clarifying Lawful Overseas Use of Data Act) is een Amerikaanse federale wet die in maart 2018 van kracht werd. Deze wet doet twee verschillende dingen. Ten eerste legt de wet een jurisdictiebeginsel vast: een onderneming die onder het Amerikaanse recht valt, moet de gegevens overhandigen die zij «in haar bezit, onder haar beheer of onder haar controle» heeft, ongeacht het land waar deze gegevens fysiek zijn opgeslagen. Ten tweede creëert de wet een kader waarmee de Verenigde Staten bilaterale overeenkomsten kunnen sluiten met andere landen, waardoor elk land rechtstreeks gegevens kan opvragen bij een aanbieder die onder de jurisdictie van het andere land valt.

Waar komt deze wet vandaan, en waarom is deze gericht op gegevens die buiten de Verenigde Staten zijn opgeslagen?

De Cloud Act regelt bij wet een geschil dat in 2013 is ontstaan: het Amerikaanse ministerie van Justitie eiste van Microsoft e-mails op die op een server in Ierland waren opgeslagen, op grond van een klassiek huiszoekingsbevel. Microsoft weigerde dit, met het argument dat een Amerikaans huiszoekingsbevel niet van toepassing kon zijn op gegevens die buiten de Verenigde Staten waren opgeslagen. Het hof van beroep gaf Microsoft in 2016 gelijk, de zaak kwam terecht bij het Hooggerechtshof, en het Congres nam al eerder een besluit door in maart 2018 de Cloud Act aan te nemen: de locatie van de gegevens doet er niet meer toe; het enige wat telt is de vraag wie zeggenschap heeft over het bedrijf dat de gegevens host.

Voor wie geldt de Cloud Act?

De wet richt zich op de juridische nationaliteit van het bedrijf dat zeggenschap heeft over de gegevens, niet op de locatie van de server waarop deze worden opgeslagen, en in de meeste samenvattingen wordt dit punt veel te sterk vereenvoudigd door te spreken over ’Amerikaanse hostingproviders«, alsof de nationaliteit van de datacenters voldoende is om de kwestie te beslechten. De Cloud Act is van toepassing op elke entiteit die onder de Amerikaanse jurisdictie valt, waaronder ook een Europese dochteronderneming van een concern met een Amerikaanse moedermaatschappij, zelfs als deze dochteronderneming servers in Frankrijk of Duitsland exploiteert. Een datacenter in Parijs is niet voldoende om buiten het toepassingsgebied van de wet te vallen als de exploitant ervan een onderneming naar Amerikaans recht blijft of juridisch daarvan afhankelijk is.

Wat niet voldoende is: Een datacenter in Frankrijk of Europa.
Wat nog steeds van toepassing is: Een Europese dochteronderneming van een concern waarvan het moederbedrijf in de Verenigde Staten is gevestigd.
Wat doorslaggevend is: De rechtsvorm van de exploitant die de infrastructuur exploiteert.

Cloud Act en AVG: een reëel conflict, geen hypothetisch scenario

Het Europees Comité voor gegevensbescherming (EDPB) en de Europese Toezichthouder voor gegevensbescherming (EDPS) hebben een gezamenlijke juridische analyse over dit onderwerp gepubliceerd: een verzoek op grond van de Cloud Act kan in het algemeen niet rechtmatig worden uitgevoerd in het kader van de AVG zonder een voorafgaande internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtshulp. Artikel 48 van de AVG vereist namelijk dat een buitenlandse rechterlijke beslissing op een dergelijke overeenkomst is gebaseerd om in Europa te worden erkend. In de praktijk staat een aanbieder die tussen deze twee regelingen in zit voor een onmogelijke keuze: gehoor geven aan het Amerikaanse bevel en het risico lopen de AVG te schenden, of weigeren en zich blootstellen aan sancties in de Verenigde Staten. De CNIL eist op haar beurt dat Europese cloudcertificeringen (zoals het EUCS-project) een criterium opnemen dat immuniteit biedt tegen dit soort wetgeving, een criterium dat SecNumCloud al oplegt.

Hoe kun je je hiertegen beschermen: de rol van de SecNumCloud-certificering

De enige structurele oplossing is niet een contractuele clausule of een sterkere versleuteling, maar de juridische status van de aanbieder zelf. De Outscale Dassault Systèmes-cloud is een entiteit naar Frans recht, zonder Amerikaanse moedermaatschappij die haar zou blootstellen aan de Cloud Act. In de cloudregio cloudgouv-eu-west-1, die het SecNumCloud 3.2-certificaat draagt, maakt deze immuniteit deel uit van de door het ANSSI gecontroleerde vereisten – het is geen commerciële belofte. Het soevereine cloudaanbod van Ohmycad is hierop gebaseerd: de SecNumCloud-regio blijft een optie, die wordt geactiveerd wanneer uw regelgeving of uw eindklant dit vereist, maar het ontbreken van een kapitaalband met een Amerikaans bedrijf is geen optie.

Conclusie

De Cloud Act is geen theoretische dreiging waarmee aanbieders van soevereine clouddiensten zwaaien. Het is een wet die is aangenomen, wordt toegepast en door de Europese toezichthouder zelf in de meeste concrete gevallen als onverenigbaar met de AVG is beoordeeld. Als u een hostingprovider kiest, kiest u daarmee wie er gedwongen kan worden uw gegevens te overhandigen, en op grond van welke wetgeving.

De Outscale Dassault Systèmes-cloud is een entiteit naar Frans recht, zonder kapitaalbinding met een Amerikaans bedrijf, met een cloudgouv-eu-west-1-regio die SecNumCloud 3.2-gecertificeerd is voor gegevens waarvoor dit vereist is. Het soevereine cloudaanbod van Ohmycad baseert zijn managed services op deze juridische grondslag, en niet alleen op een belofte van lokalisatie.

De juiste aanpak: controleer wie juridisch gezien de zeggenschap heeft over uw hostingprovider, en niet alleen waar de servers staan.

Ontdek het aanbod van Ohmycad op het gebied van soevereine clouddiensten →

Meer informatie: het 'Trusted Cloud'-keurmerk · de SecNumCloud-certificering

Bronnen

Veelgestelde vragen

Geldt de Cloud Act alleen voor Amerikaanse bedrijven?

Nee. De wet is van toepassing op elke entiteit die onder de Amerikaanse jurisdictie valt, met inbegrip van een Europese dochteronderneming van een concern waarvan de moedermaatschappij in de Verenigde Staten is gevestigd.

Kan een webhost met servers in Frankrijk toch onder de Cloud Act vallen?

Ja, als het bedrijf dat deze servers beheert juridisch onder een Amerikaanse moedermaatschappij valt. De fysieke locatie van de gegevens is niet voldoende om de wet buiten werking te stellen; alleen de juridische structuur van de exploitant is van belang.

Cloud Act en AVG: welke heeft voorrang in geval van een conflict?

Geen van beide partijen komt er echt als winnaar uit, en dat is nu juist het probleem dat door de EDPB en de EDPS is gesignaleerd: zonder internationale overeenkomst tussen de Verenigde Staten en Europa heeft een verzoek op grond van de Cloud Act geen duidelijke rechtsgrondslag onder de AVG, waardoor de aanbieder in een conflict van verplichtingen terechtkomt.

Biedt het ‘Trusted Cloud’-keurmerk bescherming tegen de Cloud Act?

Dat was de reden van bestaan ervan: het keurmerk betekende voor SecNumCloud bovendien immuniteit tegen de Cloud Act. Sinds versie 3.2 van het referentiekader wordt deze immuniteit gecontroleerd door de SecNumCloud-kwalificatie zelf. De details staan in ons artikel hierover.

Garandeert SecNumCloud volledige immuniteit tegen elke buitenlandse wet?

De kwalificatie controleert of er sprake is van immuniteit tegen extraterritoriale wetten zoals de Cloud Act, verkregen door een Europese rechtsvorm die niet afhankelijk is van een partij die aan deze wetten onderworpen is. De details van de criteria staan in ons artikel over SecNumCloud.

Op zoek naar een onafhankelijke hostingoplossing die binnen uw eigen omgeving wordt beheerd en beveiligd? Een technicus van Ohmycad neemt contact met u op met een offerte op maat, niet met een standaardtariefschema: teruggebeld worden. Het volledige aanbod staat op de pagina soevereine cloud.

Cloud Act: wat deze Amerikaanse wet werkelijk betekent voor uw gegevens