Wat is de CLOUD Act?
De Clarifying Lawful Overseas Use of Data Act is een Amerikaanse wet uit 2018. In het kort: de VS kan Amerikaanse techbedrijven dwingen om data te overhandigen — ongeacht waar die data fysiek opgeslagen is.
Dat betekent: als je data op Microsoft Azure staat, kan de Amerikaanse overheid die opvragen. Ook als de server in Amsterdam staat. Ook als je een Nederlands bedrijf bent.
Dit geldt voor alle Amerikaanse cloudplatformen
- • Microsoft — Azure, Office 365, Power BI, OneDrive
- • Amazon — AWS, alle Amazon Web Services
- • Google — Google Cloud, Google Workspace, Looker
- • Salesforce, Dropbox, Slack — allemaal Amerikaans
Maar we hebben toch de AVG?
Ja. En de AVG zegt dat persoonsgegevens alleen buiten de EU verwerkt mogen worden als er "passende waarborgen" zijn. Het probleem: de CLOUD Act en de AVG zijn tegenstrijdig. Het Europese Hof van Justitie heeft dit bevestigd in het Schrems II-arrest (2020).
Het huidige EU-VS Data Privacy Framework is een tijdelijke oplossing — maar juridische experts verwachten een Schrems III. De onzekerheid blijft.
Wat betekent dit concreet voor jouw bedrijf?
Als je data op een Amerikaans platform staat, loop je de volgende risico's:
- 1. Juridisch risico — je kunt niet garanderen dat persoonsgegevens alleen in de EU verwerkt worden. Dat kan problemen opleveren bij een AVG-audit.
- 2. Reputatierisico — als klanten erachter komen dat hun data toegankelijk is voor de VS, schaadt dat het vertrouwen.
- 3. Veranderingsrisico — als Schrems III het huidige framework vernietigt, moet je op korte termijn migreren.
De oplossing: Europese infrastructuur
De enige manier om deze risico's volledig uit te sluiten: je data hosten bij een Europees bedrijf, op Europese servers, onder Europese wetgeving.
Dat betekent niet dat je alles moet ombouwen. Het gaat specifiek om applicaties en dashboards waarin je bedrijfsgevoelige of persoonsgebonden data verwerkt.
Wat Eagle Data Services doet
Eagle Data Services bouwt applicaties en dashboards standaard op Europese infrastructuur. Servers in Duitsland, bij een Europees bedrijf, waar de VS geen zeggenschap over heeft.
Lees meer over de Europese aanpak →Wat kun je nu doen?
- Inventariseer welke bedrijfsdata op Amerikaanse platforms staat
- Beoordeel het risico — gaat het om persoonsgegevens of bedrijfsgevoelige data?
- Overweeg Europese alternatieven voor de meest gevoelige data
- Praat met je leveranciers — vraag waar je data staat en welke wetgeving van toepassing is