De CLOUD Act: Wat je moet weten

Waar bevindt mijn persoonlijke informatie zich en moet ik me daar zorgen over maken? Deze vraag wordt relevanter naarmate we het einde van het ene digitale decennium naderen en het begin van een ander ingaan.

Data-implicaties aan het einde van de jaren 2020

In de 20e eeuw beseften weinigen de omvang van de strijd om data die zou volgen. Iedereen met een computerapparaat en/of toegang tot internet heeft een belang in het spel. De opbrengsten omvatten winst, invloed, controle en de mogelijkheid om achter de schermen toegang te krijgen tot informatie over een individu of een bedrijf.

Nu bedrijven hun zoektocht voortzetten om meer geïntegreerd en verbonden te raken met hun klantenbestand, stijgt de behoefte aan privacy en gegevensbescherming. Omdat er geen duidelijke grenzen zijn voor een bedrijf met een webadres, is het podium gereed voor een escalatie van internationale fraude en cybercriminaliteit. Dit opent op zijn beurt de deur voor overheden om nieuwe wetten te ontwerpen en over de grenzen heen te reiken op zoek naar datasporen; hun acties gerechtvaardigd door de noodzaak om de gegevens van individuen te beschermen. Zo wordt de kloof tussen dataprivacy en datavrijgave steeds groter. Tegelijkertijd vervaagt het territorialiteitsbeginsel, een fundament van het internationaal recht, langzaam.

De CLOUD Act

De recente introductie van de 'Clarifying Lawful Use of Overseas Data Act' (ook wel bekend als de CLOUD Act) door de Amerikaanse overheid, dient om de argumenten voor grensoverschrijdend overheidstoezicht te versterken. In de eerste plaats wijzigt de CLOUD Act de Stored Communications Act (SCA) uit 1986. Het stelt federale wetshandhavers in staat om in de VS gevestigde technologiebedrijven via een bevelschrift of dagvaarding te dwingen om opgevraagde gegevens te verstrekken die op servers zijn opgeslagen, ongeacht of de gegevens in de VS of op buitenlandse bodem zijn opgeslagen. Tot 23 maart 2018 was de enige manier voor de Amerikaanse overheid om toegang te krijgen tot overzeese gegevens het sluiten van een Mutual Legal-Assistance Treaty (verdrag voor wederzijdse rechtshulp), een overeenkomst waarbij twee landen ermee instemmen informatie te delen en samen te werken om een juridisch onderzoek op te lossen.

De CLOUD Act houdt terdege rekening met dataversleuteling. Het ontmoedigt de overheid ook om deze te gebruiken om er bij bedrijven op aan te dringen hun versleuteling te versoepelen. Dit is een proces dat integraal deel uitmaakt van de beveiliging van gegevens. Niettemin beschouwen velen de wet op fundamenteel niveau als gebrekkig. Naast andere zorgen valt op dat de wet op een abrupte manier is opgesteld. Bovendien werd deze uitgevaardigd zonder een openbare diepgaande discussie als onderdeel van de begrotingswet van de overheid, de Omnibus. Bovendien stelt de CLOUD Act buitenlandse landen in staat om een 'executive agreement' (regeringsakkoord) aan te gaan met de Amerikaanse president, het ministerie van Buitenlandse Zaken of de minister van Justitie, en gegevens op te vragen die in de VS zijn opgeslagen door rechtstreeks contact op te nemen met bedrijven, waarmee het toezicht van de overheid effectief wordt omzeild. Als gevolg hiervan werd er op het internet een golf van negatieve reacties ontketend als reactie op de voorzienbare wereldwijde gevolgen voor de mensenrechten en het internationaal recht.

Toepassing van de CLOUD Act

De CLOUD Act is al van toepassing op technologiebedrijven zoals Google, Facebook, Twitter en Instagram. Facebook en Google hebben feitelijk bijgedragen aan het nieuwe wetsontwerp, samen met Apple en Microsoft. De samenwerking van de overheid met deze bedrijven wijst op een verschuiving in de balans in het voordeel van de grootschalige aanbieders van technische oplossingen. Alle ondernemingen zullen de verantwoordelijkheid hebben om een wettelijk vertegenwoordiger aan te wijzen voor kwesties rondom datavrijgave. Van hun kant kunnen de kleinere entiteiten, de startups en innovators, worstelen met de extra administratieve last.

De wereldwijde agenda

Als gevolg van de Cloud Act heeft de Europese Commissie een wetgevend initiatief genomen om verzoeken om gegevensinformatie mogelijk te maken. De Commissie zal ook de weg vrijmaken voor het gebruik van elektronisch bewijsmateriaal dat is opgeslagen door in de EU geregistreerde bedrijven, ongeacht de specifieke privacywetgeving van de lidstaten. Het ligt voor de hand dat de wet tot een kettingreactie zal leiden. Andere landen zullen de wetten op het gebied van gegevensverstrekking spiegelen en ook grensoverschrijdend informatie opvragen. Dit kan op zijn beurt leiden tot een algehele verslechtering van het niveau van gegevensprivacy wereldwijd.

Wat betekent dit voor CloudSigma?

CloudSigma heeft een unieke positie in een zee van onzekerheid die rond de Cloud Act ontstaat. CloudSigma isoleert elke cloudlocatie die het exploiteert, waar ter wereld die zich ook bevindt. Een Australische entiteit beheert bijvoorbeeld haar locaties in Australië. Zij vallen dus uitsluitend onder de Australische wetgeving. Evenzo vallen de Zwitserse locaties niet onder de EU, de VS of enige andere jurisdictie, met uitzondering van Zwitserland. Daarom kunnen klanten van CloudSigma eenvoudig bepalen onder welke jurisdicties zij willen opereren.

Bovendien kunnen klanten ervoor zorgen dat zij zelf voldoen aan de relevante vereisten voor gegevensbescherming waaraan zij mogelijk onderworpen zijn. Dit staat in schril contrast met de geglobaliseerde aanpak van veel andere providers. Deze aanpak stelt klanten bloot aan potentieel talrijke jurisdicties, waaronder de VS en elders. Hierdoor zouden gegevens tegen hun wil en in strijd met de lokale wetgeving inzake gegevensprivacy toegankelijk kunnen zijn. Als gevolg hiervan zouden de gegevens hen op hun beurt buiten hun schuld bloot kunnen stellen aan aansprakelijkheid. Een dergelijk scenario is te vermijden door gebruik te maken van een provider als CloudSigma.