Datasoevereiniteit en de CLOUD Act: waarom EU telt
Wat is de CLOUD Act en wat betekent ze voor je e-mail?
De CLOUD Act (Clarifying Lawful Overseas Use of Data Act) is een Amerikaanse wet uit 2018. Kort gezegd kan ze aanbieders die onder Amerikaans recht vallen verplichten om gegevens af te geven aan Amerikaanse autoriteiten, ongeacht of die gegevens in de VS of daarbuiten zijn opgeslagen.
Voor e-mail is de kern hiervan: de fysieke locatie van de servers is niet doorslaggevend. Valt je aanbieder onder Amerikaans recht, dan kan die wetgeving in theorie een rol spelen, ook als de data in een Europees datacenter staat. Dat is precies waarom "waar staat mijn data" en "onder welk recht valt mijn aanbieder" twee verschillende vragen zijn.
Waarom het ertoe doet
Voor wie met vertrouwelijke gegevens werkt, is dit geen theorie. Een arts, advocaat of boekhouder heeft vaak een plicht tot geheimhouding en zorgvuldigheid. Als een buitenlandse overheid in theorie toegang kan vragen tot gegevens die jij beheert, botst dat met de belofte die je aan je klanten of patiënten doet.
Datasoevereiniteit is het idee dat je gegevens onder het recht vallen van het rechtsgebied waar jij voor kiest, en niet onder dat van een land waar je nooit iets mee te maken hebt. Voor Europese organisaties betekent dat: onder de GDPR, met de bijbehorende waarborgen. Zodra een andere jurisdictie kan meespelen, verlies je een stuk van die zekerheid.
Er is ook een praktische kant. Klanten en toezichthouders vragen steeds vaker waar je data staat en onder welk recht ze valt. "Bij een Europese aanbieder, onder de GDPR" is een antwoord dat vertrouwen wekt. "Dat weet ik eigenlijk niet" is dat niet.
Hoe het werkt
Stel je een kluis voor die in Rotterdam staat, maar die eigendom is van een bedrijf in New York. De kluis staat fysiek in Nederland, maar de eigenaar valt onder Amerikaanse regels. Vraagt een Amerikaanse instantie de eigenaar om de inhoud, dan speelt Amerikaans recht mee, ondanks de locatie van de kluis. Zo ongeveer werkt het met data bij een aanbieder onder Amerikaans recht.
De omgekeerde situatie geeft rust. Staat je e-mail bij een aanbieder die volledig onder Europees recht valt, met servers in Europa, dan is het toepasselijke kader de GDPR. Buitenlandse overheden hebben dan geen eenvoudige route via de aanbieder; toegang loopt via Europese juridische kaders en samenwerking tussen landen. Dat maakt het plaatje voor jou een stuk voorspelbaarder.
Wil je het verschil tussen beide werelden breder zien, lees dan Europese vs. Amerikaanse e-mailhosting.
Let wel: dit gaat over wat in theorie mogelijk is, niet over wat dagelijks gebeurt. De meeste mensen krijgen nooit met een concreet verzoek te maken. Het punt is de zekerheid vooraf: bij een aanbieder onder Europees recht weet je onder welke regels je valt en welke waarborgen gelden. Voor wie beroepsmatig geheimhouding moet garanderen, is die voorspelbaarheid vaak belangrijker dan de kans dat het ooit misgaat. Je bouwt je afspraken immers op wat mogelijk is, niet op geluk.
Waar je op moet letten
Een paar aandachtspunten en misverstanden:
- "Mijn data staat in Europa, dus ik zit goed." Niet noodzakelijk. De datalocatie telt, maar als de aanbieder onder Amerikaans recht valt, kan wetgeving zoals de CLOUD Act alsnog meespelen. Vraag ook naar de jurisdictie van de aanbieder, niet alleen naar de serverlocatie.
- "Dit is alleen iets voor grote bedrijven." De regels rond zorgvuldigheid en vertrouwelijkheid gelden voor iedereen die met andermans gegevens werkt, ook voor een kleine praktijk of vereniging.
- De aanbieder niet doorvragen. Een betrouwbare aanbieder geeft helder antwoord op de vraag waar je data staat en onder welk recht ze valt. Krijg je geen duidelijk antwoord, dan is dat op zich al een signaal.
- Denken dat het een technisch detail is. Het is een keuze over recht en zeggenschap. Voor gevoelige gegevens weegt die keuze net zo zwaar als de techniek.
Dit zijn algemene aandachtspunten, geen sluitend juridisch oordeel voor jouw situatie. Raadpleeg bij twijfel een specialist.
En bij Mailflux
Mailflux host je e-mail in Europa, GDPR-conform, op je eigen domein. Dat betekent dat je berichten onder de Europese privacyregels vallen en dat je zonder omhaal kunt uitleggen waar je data staat. Twijfel je waar je mail nu eigenlijk belandt, dan helpt waar staat mijn e-mail je op weg.
In elk plan zitten versleutelde verbindingen, filtering tegen spam, phishing en malware, automatische back-ups en optioneel tweestapsverificatie. Je inhoud wordt niet gescand voor advertenties. Zo houd je zelf de controle over je correspondentie en de zekerheid over het recht dat erop van toepassing is. Meer daarover in Europese e-mailhosting op je eigen domein.
FAQ
Veelgestelde vragen
Raakt de CLOUD Act mij als Europese gebruiker?
Indirect kan dat. Gebruik je een aanbieder die onder Amerikaans recht valt, dan kan de CLOUD Act een rol spelen bij verzoeken van Amerikaanse autoriteiten, ook als je data in Europa staat. Bij een aanbieder die volledig onder Europees recht valt, is dat risico kleiner. Raadpleeg bij twijfel een specialist.
Is data in een Europees datacenter altijd veilig voor buitenlandse toegang?
De locatie helpt, maar is niet het hele verhaal. Wat ook telt, is onder welke jurisdictie de aanbieder valt. Een Europese serverlocatie bij een aanbieder onder Amerikaans recht biedt minder zekerheid dan een aanbieder die volledig onder Europees recht opereert.
Wat betekent datasoevereiniteit precies?
Datasoevereiniteit betekent dat je gegevens vallen onder het recht van het rechtsgebied dat jij kiest, in plaats van onder buitenlandse wetgeving. Voor Europese organisaties komt dat neer op de GDPR, met de bijbehorende waarborgen over hoe met persoonsgegevens wordt omgegaan.