De overgang naar cloud computing levert de nodige vragen op. Een van de terugkerende vragen is of deze overgang consequenties heeft voor de toegang tot gegevens door buitenlandse overheden. Daarbij wordt typisch verwezen naar de Amerikaanse overheid en de zogenaamde Patriot Act, die het mogelijk zou maken dat gegevens van Nederlandse gebruikers van cloud diensten worden opgevraagd vanuit de VS.
Er kan worden vastgesteld dat de Patriot Act een symboolfunctie is gaan spelen in het debat. Daarom wordt in deze notitie niet alleen gekeken naar deze specifieke wetgeving uit 2001, maar naar het bredere juridisch kader in de VS en Nederland voor wat betreft de toegang tot gegevens in het kader van strafvordering en nationale veiligheid. De notitie plaatst het vastgestelde juridische risico vervolgens in breder perspectief door te kijken naar de organisatie van de vertrouwelijkheid en veiligheid van gegevens in het algemeen. Op basis van de gemaakte analyse worden tenslotte aanbevelingen gedaan voor geïnformeerde besluitvorming in de sector.
Het antwoord op de gestelde vraag naar de mogelijkheden op toegang tot gegevens in de cloud voor justitie en veiligheidsdiensten in de VS is tegelijk simpel en complex. Wetgeving in de Verenigde Staten en Nederland zorgt ervoor dat politie, justitie of veiligheidsdiensten linksom of rechtsom een mogelijkheid hebben om gegevens van kennisinstellingen en betrokkenen op te vragen. De overgang naar cloud computing brengt hier in beginsel geen verandering in. Indien gebruik gemaakt wordt van een cloud dienst die onder Amerikaanse jurisdictie valt bestaat er de mogelijkheid dat gegevens direct in de VS bij de betreffende onderneming worden opgevraagd. Indien er geen jurisdictie is, bestaat de mogelijkheid dat gegevens worden opgevraagd via samenwerking met Nederlandse justitie of veiligheidsdiensten, bij een cloud dienst of bij de instelling zelf. Het voorkomen dat enige toegang plaatsvindt is gezien deze stand van zaken in elk geval juridisch niet mogelijk en garanties op dat punt zijn dus ook niet te geven.
Joris van Hoboken, onderzoeker van het IViR: “De actuele kwestie rond de Patriot Act is nauwelijks grondig onderzocht. Hierdoor zijn in het maatschappelijke debat over cloud computing flink wat onjuistheden geslopen. Het maakt bijvoorbeeld in beginsel niet uit of cloudgegevens in de VS of ergens anders in de wereld zijn opgeslagen. Als een Nederlandse cloudaanbieder structureel zaken doet in de VS, dan geeft de VS wet- en regelgeving al de mogelijkheid voor VS autoriteiten om gegevens op te vragen vanuit Nederland. Voor afnemers van clouddiensten zullen zulke relaties in de praktijk moeilijk te achterhalen zijn en door overnames in de sector kan de situatie opeens veranderen.” Bekijk het gehele rapport van het IViR hier.
