Als uw cloudprovider in de VS is gevestigd, kan een geldig Amerikaans gerechtelijk bevel dat bedrijf dwingen de gegevens van uw bedrijf op te vragen op servers waar ook ter wereld.
Bedrijven zoals Google, Microsoft en Amazon zijn kwetsbaar voor deze inmenging, mogelijk gemaakt door de CLOUD Act, een wet uit 2018 die Amerikaanse wetshandhavers wereldwijde tentakels geeft.
Het is vooral een probleem voor EU-bedrijven. Als uw Amerikaanse provider uw e-mails of bestanden overhandigt, kan dat een schending van de GDPR vormen wegens het lekken van persoonsgegevens, waarvoor boetes kunnen worden opgelegd tot € 20 miljoen of 4% van de wereldwijde jaarlijkse omzet, afhankelijk van welke hoger is.
Dat is de realiteit die Amerikaanse bedrijven verdoezelen wanneer ze in hun marketing zeggen ‘voldoen aan de AVG’ en ‘Europese soevereine cloud‘. Een EU-datacenter van een Amerikaanse provider wordt nog steeds gerund door een bedrijf onder Amerikaanse jurisdictie. Voor uw bedrijf betekent dit dat inkoopbeslissingen een nalevingsaansprakelijkheid met zich meebrengen die u misschien niet hebt ingecalculeerd. Voor uw klanten betekent het dat de persoonsgegevens die zij u hebben toevertrouwd, kunnen belanden in een juridisch proces waarover zij geen zeggenschap hebben (en waarvan zij misschien nooit op de hoogte komen).
Hier is een duidelijke uitleg van de CLOUD Act, waarom deze ingrijpende wetgeving belangrijk is voor bedrijven, en hoe u uw blootstelling kunt beperken. Waar uw data staat, bepaalt niet langer wie erbij kan.
Wat is de CLOUD Act?
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nieuw venster)) is een federale Amerikaanse wet die in 2018 van kracht werd. Het stelt federale wetshandhaving – voornamelijk het ministerie van Justitie en de FBI, maar ook federale, staats- en lokale politie – in staat een machtiging, gerechtelijk bevel of dagvaarding te verkrijgen die technologiebedrijven onder Amerikaanse jurisdictie dwingt gegevens te overhandigen, ongeacht waar ter wereld die gegevens fysiek zijn opgeslagen.
Als de FBI bijvoorbeeld een machtiging verkrijgt die Microsoft dwingt de e-mails van een Europees bedrijf te overhandigen, moet Microsoft hieraan voldoen – zelfs als een Europese rechter het oneens is met het verzoek.
De CLOUD Act heeft een legitiem politiedoel. De wet is bedoeld om federale wetshandhaving te helpen bij het onderzoeken van ernstige misdrijven zoals terrorisme, kinderuitbuiting en cybercriminaliteit. De wet is niet bedoeld voor inlichtingenvergaring, die via een aparte Amerikaanse autoriteit verloopt (FISA Section 702), en die vaak met de CLOUD Act wordt verward.
Dat legitieme doel neemt echter het structurele probleem voor bedrijven niet weg: de CLOUD Act kan een provider onder Amerikaanse jurisdictie in een positie brengen waarin het naleven van een wettig Amerikaans bevel betekent dat EU-wetgeving wordt overtreden. Bedrijven komen klem te zitten tussen twee nalevingsregimes, zonder beide te kunnen naleven.
Wat is de oorsprong van de CLOUD Act?
De CLOUD Act werd in 2018 door de Amerikaanse overheid aangenomen om de Stored Communications Act (SCA) uit 1986 te wijzigen. Deze wijziging was grotendeels een reactie op een lopende rechtszaak(nieuw venster), de zaak ‘Microsoft-Ierland’.
In 2013 betwistte Microsoft een federale machtiging die de e-mails opvroeg van een klant die werd onderzocht voor drugshandel – e-mails die Microsoft op servers in Ierland had opgeslagen. Deze zaak draaide om een lastige juridische vraag: kon een Amerikaanse machtiging die onder de SCA was afgegeven, digitale communicatie bereiken die werd beheerd door een in de VS gevestigd bedrijf, maar was opgeslagen op een dataserver buiten de VS?
In 2018 was de zaak in hoger beroep bij het Hooggerechtshof toen het Amerikaanse Congres de CLOUD Act aannam. Dit maakte de zaak ‘Microsoft-Ierland’ zowel academisch als beslechtte het de vraag naar de extraterritoriale bevoegdheden van de Amerikaanse overheid over gegevens die op buitenlandse bodem zijn opgeslagen, althans op papier.
Welke bevoegdheden geeft de CLOUD Act de Amerikaanse overheid?
De CLOUD Act gaf de Amerikaanse overheid de bevoegdheid om gerichte gegevens op te vragen, waar deze ook waren opgeslagen, door extraterritoriale SCA-bevelen aan Amerikaanse providers te versterken. De wet verduidelijkte dat Amerikaanse wetshandhaving machtigingen, dagvaardingen en gerechtelijke bevelen kan gebruiken om toegang te krijgen tot elektronisch opgeslagen communicatiegegevens buiten de VS, als de opslagprovider onder Amerikaanse jurisdictie valt en de opgevraagde gegevens relevant en materieel zijn voor een lopend strafrechtelijk onderzoek. Een verzoek op grond van de CLOUD Act gaat rechtstreeks naar de provider, waardoor de veel tragere MLAT-procedure (Mutual Legal Assistance Treaty)(nieuw venster) wordt omzeild waarop de Amerikaanse overheid voorheen vertrouwde.
De CLOUD Act gaf ook regeringen de bevoegdheid die bereid waren een bilaterale uitvoeringsovereenkomst met de Amerikaanse overheid te ondertekenen, waardoor wetshandhaving in partnerlanden rechtstreekse, grensoverschrijdende, zaakspecifieke verzoeken om gegevens bij in de VS gevestigde dienstverleners kon doen.
Uitvoeringsovereenkomsten versnellen het verzamelen van bewijs in ernstige strafzaken zoals terrorisme en kinderuitbuiting, waarbij de MLAT-procedure maanden kan duren. Op het moment van schrijven bestaan er slechts twee uitvoeringsovereenkomsten: tussen de VS en het VK (van kracht geworden in oktober 2022(nieuw venster)), en tussen de VS en Australië (van kracht geworden januari 2024(nieuw venster)). Onderhandelingen tussen de Amerikaanse overheid en de EU en Canada(nieuw venster) zijn gestart, maar nog niet afgerond.
Techproviders hebben wel één veiligheidsmechanisme: ze kunnen een Amerikaans bevel aanvechten of verzoeken om wijziging op grond van ‘comitas’ – het rechtsbeginsel dat rechters zich schikken naar de wetten van andere rechtsgebieden – als naleving zou betekenen dat een buitenlandse wet wordt overtreden, in het bijzonder een wet die onder een uitvoeringsovereenkomst valt. Buiten het VK en Australië is deze common-law-comitas-uitdaging de enige optie.
Zoals The Electronic Privacy Information Center (EPIC) echter betoogt(nieuw venster), laat de CLOUD Act klanten, waaronder bedrijven, zelfs met comitas weinig echt verhaal. Providers zijn niet verplicht een klant te informeren wiens gegevens zijn benaderd, klanten hebben geen zelfstandig recht om een verzoek aan te vechten (dat hangt volledig af van de keuze van de provider om bezwaar te maken), en uitvoeringsovereenkomsten sluiten expliciet het creëren van een nieuw rechtsmiddel voor de getroffen personen uit.
De CLOUD Act versus GDPR
In Europa, waar uit Proton’s eigen onderzoek blijkt dat meer dan 74% van alle beursgenoteerde bedrijven afhankelijk is van techdiensten uit de VS, is de CLOUD Act bijzonder zorgwekkend omdat deze botst met de Algemene verordening gegevensbescherming (GDPR) van de EU.
Op grond van Artikel 48(nieuw venster) van de GDPR wordt een buitenlands gerechtelijk bevel of besluit van een administratieve autoriteit (inclusief een SCA-bevel) om persoonsgegevens over te dragen of te openbaren, niet automatisch erkend of gehandhaafd in de EU, tenzij dit gebeurt op grond van een internationale overeenkomst, zoals een MLAT.
Hoewel er nog geen geval is geweest waarin GDPR een bedrijf beboette in verband met een CLOUD Act-bevel, is er wel een precedent voor toezichthouders die optreden bij deze risicocategorie: in 2023 gaf de Ierse Data Protection Commission Meta een recordboete van € 1,2 miljard(nieuw venster) voor EU-VS-doorgiften die blootstonden aan Amerikaanse surveillancewetgeving – specifiek FISA Section 702, niet de CLOUD Act.
Voor in de VS gevestigde cloudproviders betekent dit dat als de Amerikaanse overheid gegevens opvraagt die zij verwerken maar die onder controle staan van Europese bedrijven, het naleven van de CLOUD Act kan betekenen dat de GDPR wordt overtreden. Op grond van Artikel 28(nieuw venster) mag de provider (verwerker) alleen handelen volgens de gedocumenteerde instructies van de verwerkingsverantwoordelijke, en ‘het openbaren van gegevens aan een buitenlandse overheid’ valt niet onder die instructies.
De blootstelling beperkt zich niet tot de provider. Als de provider klantgegevens openbaart naar aanleiding van een gedwongen bevel zonder de internationale overeenkomst die Artikel 48 vereist (wat, aangezien er momenteel geen CLOUD Act-uitvoeringsovereenkomst tussen de VS en de EU bestaat, een MLAT betekent) draagt het bedrijf dat eigenaar is van die gegevens zijn eigen aansprakelijkheid, niet alleen de leverancier die het heeft ingehuurd om ze op te slaan.
Waarom datalocatie geen datasoevereiniteit betekent
In juni 2025(nieuw venster) werd aan Microsoft Frankrijks eigen directeur publieke en juridische zaken, Anton Carniaux, onder ede in de Franse Senaat(nieuw venster) gevraagd of hij kon garanderen dat de gegevens van Franse burgers nooit aan Amerikaanse autoriteiten zouden worden overhandigd zonder Franse toestemming.
Zijn antwoord: ‘Nee. Dat kan ik niet garanderen.’ Hij voegde eraan toe dat ‘het nog nooit is gebeurd’, wat natuurlijk niet betekent dat het in de toekomst niet zou kunnen gebeuren.
De boodschap was duidelijk: Datasoevereiniteit gaat niet langer over waar gegevens zijn opgeslagen, maar over wie die gegevens beheert. De locatie van uw dataservers en de overheden die bevoegd zijn over hen zijn niet langer noodzakelijkerwijs hetzelfde.
Dit feit staat ongemakkelijk naast het ‘GDPR-conforme’ cloudaanbod dat Amerikaanse cloudgiganten (of ‘hyperscalers’) aan Europese bedrijven verkopen. Deze ‘Europese soevereine cloud’-producten worden gerund door bedrijven die in de VS zijn gevestigd, of door een Amerikaans moederbedrijf worden beheerd, en de bescherming van de GDPR reikt slechts zo ver als de Amerikaanse wet toestaat.
Hoe zero-access-versleutelingsarchitectuur de blootstelling aan de CLOUD Act beperkt
Als uw cloudopslagprovider onder Amerikaanse jurisdictie valt en Amerikaanse wetshandhaving toegang tot uw gegevens eist (met legitieme juridische redenen), kunnen noch u noch uw provider dit voorkomen. Op dat punt is versleuteling de enige verdediging van uw gegevens.
Versleuteling maakt gegevens onleesbaar en onbruikbaar voor zowel cybercriminelen als overheden, door ze te veranderen in ‘cijfertekst‘ die alleen iemand met de juiste sleutel kan lezen.
De versleuteling die de meeste Amerikaanse cloudproviders bieden, heeft echter een fatale voorwaarde: zij houden de ontsleutelingssleutels zelf. Dat betekent dat zij uw gegevens kunnen lezen, of gedwongen kunnen worden een leesbare kopie aan een derde partij, zoals de Amerikaanse wetshandhaving, te overhandigen.
Voor echte bescherming tegen blootstelling van bestands- en berichtgegevens, zowel aan cybercriminelen als aan overheden, hebt u end-to-end versleuteling of zero-access-versleuteling nodig, die voorkomt dat de provider toegang krijgt tot de gegevens.
Een provider die zero-access-versleuteling gebruikt, heeft niet de sleutel om bestanden te ontsleutelen die hij verwerkt en op zijn servers opslaat. Hij kan nog steeds gedwongen worden gegevens te openbaren wanneer wetshandhaving daarom vraagt, zelfs als de gegevens zijn opgeslagen in een rechtsgebied dat een strenge norm voor gegevensbescherming handhaaft, zoals Zwitserland. Maar de overhandigde bestanden zouden versleuteld en onleesbaar zijn.
Hoe Proton bedrijven beschermt tegen de CLOUD Act
Proton is op twee belangrijke manieren afgeschermd tegen de CLOUD Act:
- Zwitserse jurisdictie, die beperkt wie Proton kan dwingen gegevens te overhandigen
- En sterke versleuteling, die beperkt wat zij kunnen doen met wat Proton ook overhandigt
Proton is gevestigd in Genève, Zwitserland, buiten de Amerikaanse jurisdictie en het bereik van CLOUD Act-bevelen. Amerikaanse autoriteiten kunnen ook geen beroep doen op een bilaterale kortere weg: Zwitserland is geen partij bij enige CLOUD Act-uitvoeringsovereenkomst.
Dit neemt juridische procedures niet volledig weg. Zwitserland heeft zijn eigen kader voor wederzijdse rechtshulp, waarmee Zwitserse autoriteiten kunnen samenwerken met buitenlandse onderzoeken. Maar elk verzoek moet eerst langs de Zwitserse wetgeving, via Zwitserse rechtbanken – het kan geen machtiging zijn die rechtstreeks aan de provider wordt betekend.
Proton’s juridische geschiedenis toont aan dat we bereid en in staat zijn de Zwitserse wet aan te vechten. In 2020 vochten we een Zwitserse wet voor gegevensretentie aan waarvan we vonden dat deze een ongepast poging was om telecommunicatiewetten te gebruiken om privacy te ondermijnen. In 2021 oordeelde het Federale Administratieve Hof dat e-maildiensten geen telecommunicatieproviders zijn en daarom niet onder de retentievereisten van de wet vallen.
En zelfs een succesvol Zwitsers bevel heeft grenzen aan wat het kan verkrijgen. Proton’s end-to-end- en zero-access-versleuteling betekent dat berichtinhoud en bestanden onleesbaar zijn voor Proton zelf, en er is geen sleutel om te overhandigen, ongeacht wie erom vraagt. De inhoud van uw e-mails, documenten, bestanden en andere gegevens blijft buiten bereik.
Veelgestelde vragen over de CLOUD Act
Gaat de CLOUD Act boven de GDPR?
De CLOUD Act heeft geen voorrang op de GDPR, maar conflicteert er wel mee. Een bevel op grond van de CLOUD Act kan een Amerikaanse provider in een positie brengen waarin het naleven van het bevel artikel 48 van de GDPR schendt (geen automatische erkenning van een buitenlands bevel zonder internationale overeenkomst). Geen van beide wetten wijkt voor de andere, en de provider – en elk Europees bedrijf dat deze bedient – zit tussen beide in.
Geldt de CLOUD Act alleen voor Amerikaanse bedrijven?
De CLOUD Act geldt niet alleen voor bedrijven met hoofdkantoor in de VS of die onder zeggenschap staan van een Amerikaanse bovenliggende vennootschap. De wet reikt ook tot elke provider met voldoende juridische aanwezigheid of zakelijke nexus in de VS. Een Amerikaanse dochteronderneming, personeel of kantoren in de VS, of bedrijven die zich doelbewust op Amerikaanse klanten richten, kunnen voldoende zijn om een organisatie met hoofdkantoor buiten de VS binnen het bereik van de CLOUD Act te brengen.
Kan ik een verzoek op grond van de CLOUD Act weigeren?
Meestal is niet de klant (verwerkingsverantwoordelijke) degene aan wie het bevel wordt betekend, maar de provider. De provider kan een beroep doen op internationale hoffelijkheid (comity) als naleving in strijd zou zijn met buitenlandse wetgeving, of zich verzetten als een verzoek juridisch gebrekkig is. Maar als alle rechtsmiddelen zijn uitgeput en het bevel geldig blijft, zou een provider gedwongen zijn om te voldoen.
Wat is het verschil tussen de CLOUD Act en een MLAT?
Wanneer digitaal bewijs wordt opgevraagd via een Mutual Legal Assistance Treaty (MLAT), wordt dit verzoek rechterlijk getoetst: een grondig en traag proces. De uitvoerende overeenkomsten die de CLOUD Act mogelijk maakt, stellen rechtshandhavingsinstanties in staat het MLAT-proces te omzeilen bij het opvragen van gegevens uit een partnerland. Tot nu toe hebben alleen het Verenigd Koninkrijk en Australië uitvoerende overeenkomsten met de VS.
Houdt versleuteling CLOUD Act-verzoeken tegen?
Versleuteling houdt een juridisch bevel niet tegen, maar als een provider klantgegevens opslaat met end-to-end versleuteling of zero-access-versleuteling, heeft deze geen leesbare gegevens om aan de autoriteiten te geven, omdat deze de ontsleutelingssleutels niet heeft. De provider zou dus alleen versleutelde bestanden overhandigen.
