Wat de CLOUD Act is
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act) werd op 23 maart 2018 Amerikaanse wet, als onderdeel van de Consolidated Appropriations Act, 2018. De wet wijzigt de Stored Communications Act.
De kernregel (18 U.S.C. § 2713): aanbieders van elektronische communicatie- en clouddiensten moeten op een geldig Amerikaans bevel gegevens verstrekken die in hun bezit, bewaring of controle zijn – ongeacht of die gegevens zich binnen of buiten de Verenigde Staten bevinden.
De wet staat de Amerikaanse regering ook toe overeenkomsten te sluiten met andere staten, zodat hun autoriteiten gegevens rechtstreeks bij Amerikaanse aanbieders kunnen opvragen, en geeft aanbieders een beperkte mogelijkheid om bevelen aan te vechten die strijdig zijn met het recht van zo’n partnerstaat.
Waarom het in de EU belangrijk is
De CLOUD Act knoopt aan bij de aanbieder, niet bij de serverlocatie. Gegevens in een EU-datacenter kunnen dus geraakt worden als een aanbieder onder Amerikaanse jurisdictie ze controleert – bijvoorbeeld via een Amerikaans moederbedrijf.
De AVG regelt dit in artikel 48: een uitspraak of besluit van een rechter of autoriteit van een derde land die doorgifte van persoonsgegevens eist, wordt alleen erkend of ten uitvoer gelegd als die is gebaseerd op een internationale overeenkomst, zoals een rechtshulpverdrag. Dat wetsconflict is een reden waarom de vraag "welk recht geldt voor mijn aanbieder?" bij digitale soevereiniteit hoort.
Wat je kunt controleren
- Waar is de aanbieder gevestigd, en waar het moederbedrijf?
- Welke subverwerkers vallen onder Amerikaanse jurisdictie, en welke gegevens zien zij?
- Is inhoud zo versleuteld dat de aanbieder hem niet kan lezen (eind-tot-eind), of alleen in rust?
- Hoe gaat de aanbieder om met verzoeken van autoriteiten?
Coviqo wordt vanuit Luxemburg geëxploiteerd en slaat inhoud op servers in Duitsland op. De betrokken Amerikaanse bedrijven – voor netwerkbeveiliging en betalingen – staan met wat ze verwerken op Waarom een Europees samenwerkingsplatform.
Deze pagina is algemene informatie en geen juridisch advies.
Veelgestelde vragen
Geldt de CLOUD Act voor Europese bedrijven?
Hij geldt voor aanbieders onder Amerikaanse jurisdictie. Of een Europees bedrijf daaronder valt, hangt af van zijn banden met de VS, zoals een Amerikaans moederbedrijf of een vestiging daar – dat moet per geval worden beoordeeld.
Beschermt opslag in de EU tegen de CLOUD Act?
Niet op zichzelf. Het gaat erom of een aanbieder onder Amerikaanse jurisdictie bezit, bewaring of controle over de gegevens heeft.