Parijse advocatenkantoor: klantgegevens over de regio AWS Parijs. Vraag van de functionaris gegevensbescherming: “Is de Cloud Act nog van toepassing?” » Kort antwoord: mogelijk ja — omdat de serviceprovider onderworpen is aan de Amerikaanse wetgeving, niet omdat de harde schijf zich in Parijs bevindt.
De CLOUD Act (2018) staat de Amerikaanse autoriteiten toe om bepaalde gegevens op te eisen die in het bezit zijn van cloudproviders onder Amerikaanse jurisdictie, ook wanneer deze in het buitenland zijn opgeslagen. Voor een Europese site is het probleem geen algemene paniek: het gaat om het in kaart brengen wie gedwongen kan worden, waarop, en of uw gegevens dit toelaten.
Wat de Cloud Act verandert – concreet
De wet is gericht op Amerikaanse providers en de entiteiten die zij controleren – en niet op elke host met een datacenter in de Europese Unie. Een bestelling kan zich richten op de inhoud zelf: e-mails, bestanden, metadata, afhankelijk van het geval. Het kan ook een wettenconflict creëren tussen de Amerikaanse orde en de Europese blokkade, terwijl de transparantie beperkt blijft: zwijgbevelen verhinderen soms dat de dienstverlener de klant op de hoogte stelt.
| Configuratie | Typische blootstelling aan de Cloud Act |
|---|---|
| AWS/Azure/GCP EU-regio | Ja (Amerikaanse entiteit) |
| OVH / Infomaniak / Hetzner (EU) | Geen Amerikaanse Cloud Act; andere mogelijke raamwerken |
| Amerikaanse CDN proxyert al het verkeer | Analyseren (verwerking, logs) |
| Encryptie, door de klant bewaarde sleutels | Vermindert bruikbare gegevens |
Een datacenter in de Europese Unie sluit de Amerikaanse reikwijdte niet uit als het contract wordt ondertekend met een entiteit die onder het Amerikaanse recht valt.
Vragen die u moet stellen voordat u ondertekent
Voordat u een contract valideert, moet u de contractuele juridische identiteit verduidelijken: is het een Amerikaans bedrijf of een Europese dochteronderneming? Breng onderaannemers – back-ups, ondersteuning, supervisie – in kaart die zich in de Verenigde Staten kunnen bevinden. Verifieer de locatie van de productie, back-ups en logbestanden, zoals beschreven in onze enquête echte locatie. Vraag kennisgevingsclausules aan in het geval van een overheidsbevel, voor zover toegestaan door de wet. Specificeer ten slotte encryptie: wie heeft de sleutels, is er een client-KMS en vereist uw project SecNumCloud of verbeterde soevereiniteit? Zie SecNumCloud: criteria voor dit laatste punt.
Vergelijk de bestanden in de overzicht: OVHcloud, Scaleway en Infomaniak documenteren verschillende soevereiniteitsposities van de AWS-regio Parijs.
Evenredige mitigaties
Voor niet erg gevoelige gegevens op een showcasesite is een Europese host met een solide onderaannemingsovereenkomst vaak voldoende; de Cloud Act heeft in de praktijk weinig gewicht. Voor gevoelige gegevens, defensiegeheimen of bepaalde gezondheidsgegevens vermijdt u het Amerikaanse kanaal, overweeg SecNumCloud of HDS volgens het Franse raamwerk, versleutel met klantsleutels en laat het contract herlezen door een advocaat. Voor een CDN of Amerikaanse SaaS, kaartverwerking; anonimisering of routering uitsluitend in de EU kan soms de blootstelling verminderen.
Kruisverwijzing met AVG: kies een host en Cloud Act en contract.
Wat de Cloud Act niet doet
De wet staat niet zomaar iedereen toe om uw gegevens uit te lezen: daarvoor is een Amerikaanse procedure nodig. Het vervangt uw AVG-naleving als gegevensbeheerder niet. Het maakt het gebruik van AWS in de Europese regio niet ‘illegaal’ – het vereist gedocumenteerde risicoanalyse en waarborgen.
De top: de cloudregio stelt gerust: de jurisdictie van het contract is bindend
Voor consumentensites varieert het werkelijke risico afhankelijk van de gevoeligheid van de gegevens. Voor cruciale gegevens wordt illusie verantwoordelijkheid.
Beslis en ga vooruit zonder blinde vlek
Identificeer eerst de contracterende entiteit en het moederbedrijf en breng vervolgens back-ups, CDN en ondersteuning door derden in kaart. Beoordeel de gegevensgevoeligheid en branchevereisten die op uw bedrijf van toepassing zijn. Kies voor een Europese host of garanties op encryptie en sleutelbewaring als een Amerikaanse dienstverlener essentieel blijft. Documenteer ten slotte uw risicoanalyse van overdrachten, zoals vermeld in de gids Overdrachten buiten de EU.
Raadpleeg de vergelijking en de sovereign cloud survey om uw shortlist te verfijnen.
Veelgestelde vragen
Is de Cloud Act van toepassing als mijn gegevens zich in Frankrijk bevinden?
Ja, dat kan als de dienstverlener onder het Amerikaanse recht valt. De locatie van de schijven is niet altijd voldoende om een bestelling uit te sluiten die is gericht op gegevens die zijn opgeslagen in de Europese Unie.
Vermijdt een puur Europese host de Cloud Act?
Dit vermindert het risico dat verbonden is aan de Verenigde Staten, op voorwaarde dat er geen Amerikaanse moedermaatschappij of onderaannemer is die onderworpen is aan de Amerikaanse wetgeving. Lees het contract, niet alleen de marketing.
Beschermt encryptie tegen de Cloud Act?
Versleuteling met sleutels die alleen door u worden bewaard, beperkt de bruikbare toegang. Sleutels die door een Amerikaanse dienstverlener worden gehost, blijven zichtbaar.
SecNumCloud en Cloud Act: link?
SecNumCloud biedt versterkte hosting tegen extraterritoriale toegang voor bepaalde gevoelige kosten. Dit is voor geen enkele website automatisch.
Cloud Act voor een Europese site: het is niet "VS verboden" - het gaat erom weten wie legaal een bevel kan ontvangen over uw gegevens, waar deze zich ook bevinden.