De Amerikaanse CLOUD Act: waarom je moet weten waar je data staat

Veel kleine ondernemers gebruiken dagelijks clouddiensten zonder precies te weten waar hun gegevens staan. Denk aan e-mail, online boekhouding, Google Drive, Microsoft 365, Dropbox, websitehosting, reserveringssystemen, formulieren en back-ups. Dat is handig, maar roept ook een belangrijke vraag op: wie kan er eigenlijk bij jouw data? Een artikel van Considerati legt uit wat de Amerikaanse CLOUD Act betekent voor organisaties in Nederland. De CLOUD Act geeft Amerikaanse opsporings- en veiligheidsdiensten onder voorwaarden de mogelijkheid om gegevens op te vragen bij Amerikaanse aanbieders van elektronische communicatiediensten. Daarbij kan het ook gaan om gegevens die buiten de Verenigde Staten zijn opgeslagen, bijvoorbeeld in Europa.

Dat klinkt misschien als een ver-van-je-bedshow. Maar voor kleine bedrijven, verenigingen en stichtingen is dit juist belangrijk. Want ook kleine organisaties werken steeds meer met Amerikaanse cloudplatformen en online diensten.

Wat is de CLOUD Act?

De CLOUD Act is Amerikaanse wetgeving. Kort gezegd kunnen Amerikaanse autoriteiten gegevens opvragen bij Amerikaanse aanbieders, zoals bepaalde cloud- en communicatiediensten. Volgens Considerati kan dit ook wanneer de servers fysiek buiten Amerika staan. Dat betekent niet dat iedere Amerikaanse dienst automatisch onveilig is. Het betekent ook niet dat de Amerikaanse overheid zomaar volledige databases van Nederlandse ondernemers kan opvragen. Maar het laat wel zien dat de keuze voor een cloudleverancier niet alleen technisch of financieel is. Het is ook een privacy- en veiligheidsvraagstuk.

Waarom raakt dit het kleinbedrijf?

Een kleine ondernemer denkt vaak praktisch: werkt het, is het betaalbaar en kan ik erbij vanaf mijn telefoon of laptop? Dat is logisch. Toch staat er in die online diensten vaak meer dan je denkt. Een aannemer bewaart offertes, klantadressen en projectinformatie. Een kapper werkt met afspraken en klantgegevens. Een restaurant heeft reserveringen, contactgegevens en soms allergie-informatie. Een sportvereniging heeft ledenlijsten, geboortedata en betaalgegevens. Een stichting verwerkt gegevens van vrijwilligers, donateurs of deelnemers. Dat zijn allemaal persoonsgegevens. En onder de AVG moet je zorgvuldig omgaan met persoonsgegevens, ook als je daarvoor externe software of clouddiensten gebruikt.

“Het staat in de cloud” is niet genoeg

Veel organisaties weten niet precies waar hun data staat. Ze weten wel welke dienst ze gebruiken, maar niet in welk land gegevens worden opgeslagen, wie de leverancier is, welke subverwerkers worden gebruikt en onder welke wetgeving die partij valt. Dat is begrijpelijk, maar ook kwetsbaar. Want als er iets misgaat, ben jij als organisatie vaak nog steeds verantwoordelijk voor hoe je met persoonsgegevens omgaat. Ook als je een externe leverancier gebruikt. Daarom is het verstandig om jezelf een paar simpele vragen te stellen. Welke clouddiensten gebruiken we? Welke persoonsgegevens staan daarin? Staat de data binnen Europa? Is er een verwerkersovereenkomst? Is multifactorauthenticatie ingeschakeld? Kunnen oude medewerkers of vrijwilligers nog inloggen? Hebben we een back-up buiten die ene dienst?

Amerikaanse diensten zijn niet automatisch fout

Het is belangrijk om hierin nuchter te blijven. Amerikaanse clouddiensten kunnen technisch heel goed beveiligd zijn. Veel grote aanbieders investeren enorm in veiligheid. Het probleem zit vooral in controle, wetgeving, transparantie en afhankelijkheid. Voor sommige organisaties is een Amerikaanse dienst prima bruikbaar, mits de instellingen, contracten en beveiligingsmaatregelen goed zijn geregeld. Voor andere organisaties, bijvoorbeeld wanneer er gevoelige persoonsgegevens worden verwerkt, kan een Europese of Nederlandse oplossing verstandiger zijn. Het gaat dus niet om paniek, maar om bewust kiezen.

Wat kun je als kleine organisatie doen?

Begin met overzicht. Maak een lijst van de belangrijkste digitale diensten die je gebruikt. Denk aan e-mail, website, hosting, boekhouding, cloudopslag, CRM, reserveringen, nieuwsbriefsysteem en social media. Kijk daarna welke gegevens daarin staan. Zijn het alleen algemene bedrijfsgegevens, of ook klantgegevens, ledengegevens, financiële gegevens of andere gevoelige informatie? Controleer vervolgens of basismaatregelen goed staan ingesteld. Gebruik sterke wachtwoorden, zet multifactorauthenticatie aan, beperk toegang tot mensen die het echt nodig hebben en verwijder oude accounts. Zorg ook dat je weet waar back-ups staan en wie bij die back-ups kan. Tot slot: lees of vraag naar de privacy- en verwerkersafspraken van je leverancier. Dat klinkt saai, maar het is belangrijk. Je hoeft niet alles juridisch tot op de komma te begrijpen, maar je moet wel weten of een leverancier zorgvuldig met jouw data omgaat.

Wat kan BeenThere DoneThat betekenen?

BeenThere DoneThat helpt kleine bedrijven, verenigingen en stichtingen om grip te krijgen op hun digitale omgeving. Niet door meteen ingewikkelde juridische trajecten te starten, maar door praktisch te kijken naar wat er nu gebruikt wordt en waar risico’s zitten. We kunnen meekijken naar je website, hosting, formulieren, cloudopslag, e-mail, back-ups, toegangsrechten en privacy-instellingen. Ook kunnen we helpen om duidelijk te krijgen welke gegevens je verwerkt, welke diensten daarbij betrokken zijn en welke basismaatregelen verstandig zijn.

Voor veel kleine organisaties is dat precies de eerste stap: niet alles perfect maken, maar wel overzicht krijgen, risico’s verkleinen en bewustere keuzes maken.

De belangrijkste les

De CLOUD Act laat vooral zien dat data niet zomaar “ergens in de cloud” staat. Achter iedere clouddienst zit een leverancier, een land, wetgeving, toegangsrechten en verantwoordelijkheid. Voor kleine ondernemers, verenigingen en stichtingen hoeft dit geen reden te zijn om te stoppen met cloudgebruik. De cloud kan juist heel handig en veilig zijn. Maar het is wel belangrijk om te weten waar je gegevens staan, wie erbij kan en of je digitale basis goed is ingericht. Veilig werken begint met overzicht. Pas als je weet waar je data staat, kun je bepalen of het ook verstandig en veilig genoeg is.

Bronnen

1. Het blog is gebaseerd op het artikel van Considerati over de Amerikaanse CLOUD Act en de impact daarvan in Nederland. Considerati legt uit dat de CLOUD Act sinds 2018 Amerikaanse aanbieders van elektronische communicatiediensten kan verplichten om gegevens te bewaren en te verstrekken op verzoek van Amerikaanse autoriteiten, ook wanneer data buiten de VS staat.
2. De Autoriteit Persoonsgegevens legt uit dat bij doorgifte van persoonsgegevens buiten de EER aanvullende AVG-regels gelden en dat persoonsgegevens alleen mogen worden doorgegeven naar derde landen met een passend beschermingsniveau of passende waarborgen.
3. De EDPB geeft voor het MKB aan dat de AVG beperkingen stelt aan het doorgeven van persoonsgegevens buiten de EER, zodat het beschermingsniveau van persoonsgegevens behouden blijft.