Amerikaanse wet roept al jaren vragen op over databescherming
Voor veel organisaties is de overstap naar de cloud inmiddels vanzelfsprekend. Toch blijft één vraag hardnekkig terugkomen: kan de Amerikaanse overheid zomaar toegang krijgen tot gegevens die in de cloud zijn opgeslagen?Die bezorgdheid draait vrijwel altijd om de CLOUD Act, een Amerikaanse wet die sinds 2018 regelmatig onderwerp is van discussie, zeker binnen Europa.
Amazon Web Services (AWS) probeert in een recente toelichting duidelijkheid te scheppen over wat deze wet precies inhoudt, maar vooral ook wat ze níét betekent. Volgens AWS bestaan er veel misverstanden over de reikwijdte van de CLOUD Act en de invloed ervan op privacy, gegevensbescherming en Europese regelgeving.
Wat is de CLOUD Act?
De Clarifying Lawful Overseas Use of Data Act, kortweg de CLOUD Act, werd ingevoerd om Amerikaanse opsporingsdiensten onder bepaalde voorwaarden toegang te geven tot digitale gegevens die worden beheerd door Amerikaanse technologiebedrijven.
Belangrijk daarbij is dat de wet niet zomaar onbeperkte toegang verleent. Amerikaanse autoriteiten moeten nog steeds voldoen aan wettelijke procedures en gerechtelijke voorwaarden voordat gegevens kunnen worden opgevraagd. De CLOUD Act is dus geen algemene toestemming om willekeurig klantgegevens te bekijken.
De wet is vooral bedoeld om duidelijkheid te scheppen over grensoverschrijdende gegevensverzoeken, een onderwerp dat steeds complexer werd naarmate cloudcomputing wereldwijd groeide.
Een veelvoorkomend misverstand
Rond de CLOUD Act bestaat vaak het beeld dat alle data die bij een Amerikaanse cloudprovider wordt opgeslagen automatisch toegankelijk is voor de Amerikaanse overheid. Volgens AWS klopt dat beeld niet.
De wet verplicht cloudproviders niet om preventief gegevens te delen. Alleen wanneer een rechtsgeldig verzoek wordt ingediend en aan alle wettelijke voorwaarden is voldaan, kan een organisatie worden verplicht om specifieke gegevens beschikbaar te stellen.
Dat betekent bovendien niet dat alle opgeslagen data automatisch onder de Amerikaanse jurisdictie valt.
Europese privacywetgeving blijft gewoon gelden
Een belangrijk punt dat AWS benadrukt, is dat de CLOUD Act de Europese privacywetgeving niet buiten werking stelt.
Voor organisaties die persoonsgegevens verwerken, blijven onder andere de regels van de General Data Protection Regulation (GDPR) volledig van kracht. Ook nationale privacywetten en sectorspecifieke regelgeving blijven onverminderd gelden.
Dat betekent dat organisaties nog steeds verantwoordelijk blijven voor:
- een rechtmatige verwerking van persoonsgegevens;
- passende beveiligingsmaatregelen;
- transparantie richting betrokkenen;
- naleving van lokale en Europese regelgeving.
De CLOUD Act vervangt deze verplichtingen dus niet.
Hoe beschermt AWS klantgegevens?
AWS geeft aan meerdere beschermingslagen te gebruiken om klantgegevens te beschermen.
Daarbij draait het niet alleen om technische beveiliging zoals encryptie, maar ook om strikte interne procedures voor de behandeling van overheidsverzoeken.
Volgens AWS worden verzoeken kritisch beoordeeld en alleen uitgevoerd wanneer daarvoor een geldige juridische basis bestaat. Waar mogelijk probeert het bedrijf verzoeken bovendien juridisch aan te vechten wanneer deze te ruim of onvoldoende onderbouwd zijn.
Daarnaast publiceert AWS transparantierapporten waarin inzicht wordt gegeven in het aantal ontvangen overheidsverzoeken.
Compliance blijft een gedeelde verantwoordelijkheid
Voor organisaties die cloudoplossingen gebruiken, stopt compliance niet bij de keuze van een cloudprovider.
AWS wijst erop dat bedrijven zelf verantwoordelijk blijven voor hun eigen governance, risicobeheer en naleving van wet- en regelgeving. Daarbij horen onder meer:
- bepalen waar gegevens worden opgeslagen;
- kiezen welke beveiligingsmaatregelen worden toegepast;
- beheren van toegangsrechten;
- voldoen aan sectorspecifieke compliance-eisen;
- documenteren van privacy- en beveiligingsmaatregelen.
Cloudbeveiliging is daarmee een gedeelde verantwoordelijkheid tussen leverancier en klant.
Transparantie wordt steeds belangrijker
Nu overheden wereldwijd strengere eisen stellen aan digitale veiligheid en gegevensbescherming, groeit ook de behoefte aan transparantie.
Organisaties willen weten waar hun data zich bevindt, welke wetgeving van toepassing is en hoe cloudleveranciers omgaan met verzoeken van overheden. Juist daarom publiceren grote cloudproviders steeds vaker uitgebreide documentatie, complianceprogramma's en transparantierapporten.
Volgens AWS helpt deze openheid organisaties om beter onderbouwde keuzes te maken bij hun cloudstrategie.
Vertrouwen in de cloud vraagt om kennis van de regels
De discussie rond de CLOUD Act zal waarschijnlijk nog jaren blijven bestaan. Niet omdat de wet voortdurend verandert, maar omdat digitale gegevens steeds internationaler worden opgeslagen en verwerkt.
Voor organisaties is het daarom belangrijk om niet alleen naar technische beveiliging te kijken, maar ook naar de juridische context waarin cloudplatformen opereren. Wie begrijpt hoe Amerikaanse wetgeving, Europese privacyregels en cloudbeveiliging elkaar beïnvloeden, kan beter beoordelen welke risico's werkelijk bestaan en welke vooral gebaseerd zijn op misverstanden.
