In de due diligence-vragenlijst wordt gevraagd: “Zijn uw gegevens onderworpen aan de Cloud Act?” » De verkoper antwoordt: "Onze datacenters bevinden zich in Europa. » Verkeerd probleem, verkeerd antwoord. De American Cloud Act kan een Amerikaanse provider dwingen gegevens buiten het Amerikaanse grondgebied te produceren als deze onder zijn controle staan.
De juiste contractuele vraag: welke entiteit tekent, wie controleert de groep en wat belooft het contract als een Amerikaanse autoriteit toeslaat?
Cloud Act in een operationele zin
Amerikaanse wet die autoriteiten toestaat om bij bepaalde Amerikaanse cloudproviders (of onder Amerikaanse jurisdictie) toegang te vragen tot de gegevens die zij bewaren, ongeacht de fysieke opslaglocatie. Direct gevolg: een speld ‘Frankrijk-regio’ op de kaart betekent niet dat er geen jurisdictierisico bestaat.
Vage antwoorden versus bruikbare clausules
| Marketingreactie | Wat te eisen |
|---|---|
| “Datacenter Frankrijk” | Aanbestedende dienst plus land van hoofdkantoor |
| “AVG-compatibel” | DPA plus overdrachtsmechanisme plus TIA |
| “Vertrouwde partner” | Lijst van onderaannemers plus nationaliteit |
| “Encryptie” | Wie heeft de sleutels: klant of dienstverlener |
Nuttige clausules indien bespreekbaar: kennisgeving aan de klant vóór openbaarmaking, tenzij uitdrukkelijk verboden door de wet; recht om het verzoek te betwisten binnen de grenzen van de Amerikaanse wetgeving; inzet om het wettelijk vereiste minimum te leveren; encryptie met sleutels bij de klant voor de meest gevoelige gegevens.
Alleen EU, SecNumCloud, Zwitserse host
Een Europese speler zonder Amerikaans moederbedrijf verkleint het Cloud Act-risico – pas op voor onderaannemers. SecNumCloud biedt een versterkt soevereiniteitskader voor gekwalificeerde perimeters; zie SecNumCloud-criteria. Zwitserland ligt buiten de EU, maar niet automatisch buiten het bereik van de VS als de groep vanuit de VS wordt bestuurd.
Ontwikkel een geloofwaardige due diligence-vragenlijst
Stuur de dienstverlener vóór ondertekening een gesloten lijst: de wettelijke identiteit van het contract, een lijst van dochterondernemingen die bij de operatie betrokken zijn, beleid voor het reageren op overheidsverzoeken, aantal vorig jaar ontvangen verzoeken indien openbaar rapport, klantmeldingsmechanisme, mogelijkheid tot versleuteling met sleutels die in het bezit zijn van de klant. Archiveer antwoorden in het nalevingsbestand – niet in een verloren e-mailthread.
Een serieuze gastheer reageert met documenten; een host die zegt “onze datacenters bevinden zich in Europa” verdient een alternatieve shortlist. Vergelijk de antwoorden met uw behandelregister en uw Schrems II-overdrachtsanalyse.
De top: de jurisdictie staat in het contract
Beslis en ga vooruit zonder blinde vlek
Identificeer de ondertekenende entiteit en de structuur van de groep - register, jaarverslag -, vraag het transparantierapport over overheidsverzoeken van de leverancier aan, verwijs naar Schrems II en hosting en uw overdrachtsanalyse, en overweeg vervolgens SecNumCloud als het om een publieke sector of een gevoelige gezondheidszorg gaat. Raadpleeg de gidsen en de overzicht om Europese spelers te vergelijken zonder gedocumenteerde Amerikaanse controle.
Veelgestelde vragen
Cloud Act als datacenter in Frankrijk?
Ja, als de contractuele entiteit Amerikaans is of wordt bestuurd vanuit de Verenigde Staten, is de fysieke opslaglocatie niet voldoende om het risico uit te sluiten. Vraag altijd wie het onderaannemingscontract tekent en welk moederbedrijf door een Amerikaanse autoriteit aan banden kan worden gelegd.
Wat moet u de verkoper vragen?
De juridische identiteit van de contractant, het moederbedrijf van de groep, het beleid voor het reageren op overheidsverzoeken, indien mogelijk kennisgeving aan de klant vóór openbaarmaking en wie de coderingssleutels bezit. Reacties weigeren beperkt tot de kaart van de cloudregio.
Omzeilt SecNumCloud de Cloud Act?
SecNumCloud streeft naar een versterkte perimeter van operationele soevereiniteit – en niet naar een automatische vrijstelling voor welke klant dan ook. Controleer het ANSSI-certificaat, het aangeschafte product en de onderaannemers buiten de gekwalificeerde scope.
Zwitserse of puur Europese gastheer?
Beter zonder gedocumenteerde Amerikaanse controle – maar controleer onderaannemers, CDN’s, offshore-ondersteuning en back-ups. Een hoofdkantoor in Zürich met een Californisch moederbedrijf verandert via de groep niets aan de Cloud Act.
“Waar zijn de obers?” » is de verkeerde vraag. Het positieve: wie tekent het contract en wat doet hij als Washington belt?