CLOUD Act, FISA 702 en andere Amerikaanse wetten

Module 1: Waarom een Europese cloud? · Leestijd: 12 minuten

Leerdoel: Na deze les kun je uitleggen welke Amerikaanse wetten toegang geven tot gegevens bij Amerikaanse bedrijven, waarom dat ook geldt als de gegevens in Europa staan, en wat de stand van zaken is in november 2026.

Kernbegrippen: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", provider van een elektronische communicatiedienst, FISA Section 702, FISA-rechtbank (FISC), certificering, Executive Order 12333, geheimhoudingsbevel, strafrecht tegenover inlichtingenwerk

Waarom Amerikaanse wetten over Europese servers gaan

In les 1.1 zag je dat een bedrijf valt onder het recht van het land waar het gevestigd is. Voor de meeste grote clouddiensten is dat de Verenigde Staten. Twee Amerikaanse wetten komen in elke discussie over de Europese cloud terug: de CLOUD Act en Section 702 van FISA. Ze hebben een ander doel en werken anders, dus het is goed ze uit elkaar te houden.

Dit is uitleg, geen juridisch advies. De Amerikaanse wetgeving en de uitleg ervan veranderen; de stand in deze les is van november 2026.

De CLOUD Act: opsporing in strafzaken

CLOUD Act staat voor Clarifying Lawful Overseas Use of Data Act. De wet werd op 23 maart 2018 aangenomen, als onderdeel van een grote begrotingswet. Aanleiding was een rechtszaak tussen Microsoft en de Amerikaanse overheid: de FBI wilde mail van een verdachte die op een server in Ierland stond, en Microsoft weigerde omdat de gegevens buiten de VS stonden. Voordat het Hooggerechtshof uitspraak deed, maakte het Congres de CLOUD Act, en daarmee was de zaak van tafel.

De kern staat in één zin, nu te vinden als 18 U.S.C. 2713. In gewone woorden: een aanbieder van een elektronische communicatiedienst of een opslagdienst op afstand moet gegevens bewaren of afgeven die in zijn "possession, custody, or control" zijn, ongeacht of die gegevens zich binnen of buiten de Verenigde Staten bevinden.

Wat betekent dat in de praktijk?

• Het gaat om strafrechtelijk onderzoek. De overheid moet een bevel van een rechter hebben, zoals een warrant, net als bij gegevens in de VS.
• Het gaat om gegevens die het bedrijf in zijn macht heeft. Staat jouw mail bij een Europese dochter, maar kan het Amerikaanse moederbedrijf erbij, dan kan het moederbedrijf worden aangesproken.
• De aanbieder kan bezwaar maken als afgifte botst met het recht van een ander land, maar alleen in bepaalde gevallen (vooral bij landen waarmee de VS een speciaal verdrag heeft, zoals het Verenigd Koninkrijk en Australië). Een algemeen verdrag tussen de EU en de VS over dit soort bewijs is er nog niet.
• De klant hoort er niet altijd van. Een rechter kan de aanbieder een geheimhoudingsbevel opleggen, zodat hij jou niet mag waarschuwen.

Daar staat tegenover dat de AVG (art. 48) zegt dat een buitenlands vonnis of bevel om gegevens af te geven alleen wordt erkend als er een verdrag is, zoals een rechtshulpverdrag. Een Amerikaanse aanbieder kan dus klem komen te zitten tussen twee wetten. Dat is precies het probleem: jij als klant kunt niet kiezen welke wet wint.

Een veelzeggend moment: in juni 2025 vroeg een onderzoekscommissie van de Franse Senaat aan de directeur juridische zaken van Microsoft Frankrijk of hij onder ede kon garanderen dat gegevens van Franse burgers nooit zonder toestemming van Frankrijk aan Amerikaanse autoriteiten worden gegeven. Zijn antwoord: "Nee, dat kan ik niet garanderen." Hij voegde eraan toe dat het bedrijf onterechte verzoeken aanvecht en dat zo'n verzoek in de praktijk nog niet was voorgekomen. Beide delen van dat antwoord zijn belangrijk: het risico is klein, maar het is er wel, en het bedrijf kan het niet uitsluiten.

FISA Section 702: inlichtingen over buitenlanders

FISA is de Foreign Intelligence Surveillance Act. Section 702 werd in 2008 toegevoegd. Het doel is niet opsporing van strafbare feiten, maar het verzamelen van buitenlandse inlichtingen. Daar zit het grote verschil met de CLOUD Act:

Onder Section 702 kunnen Amerikaanse diensten aanbieders van elektronische communicatiediensten verplichten mee te werken bij het verzamelen van communicatie van buitenlandse "targets". Voor een Europeaan biedt het Amerikaanse recht hier weinig bescherming: de grondwettelijke bescherming tegen huiszoeking (het Vierde Amendement) geldt vooral voor Amerikanen. Dit programma speelde een hoofdrol in de uitspraak Schrems II van het Europese Hof (les 1.4).

Stand van zaken november 2026

Section 702 moet steeds opnieuw door het Congres worden verlengd. In april 2024 verlengde de wet RISAA het met twee jaar, tot april 2026. In april 2026 lukte een lange verlenging niet; er kwamen twee korte verlengingen. Op 12 juni 2026 liep de wet af, voor het eerst sinds 2008. Volgens berichtgeving gaat het verzamelen in de praktijk door, omdat de FISA-rechtbank in maart 2026 de jaarlijkse certificeringen al had goedgekeurd; die lopen ongeveer tot maart 2027. Het Congres praat in de lame-duckperiode vanaf 9 november 2026 verder over een nieuwe verlenging.

Voor jouw keuze betekent dit: of de wet nu wel of niet even verlopen is, het onderliggende probleem verdwijnt niet. De kans is groot dat er een nieuwe verlenging komt, en de bevoegdheden kunnen in een andere vorm terugkomen.

Executive Order 12333: zonder rechter

Naast deze wetten is er Executive Order 12333 uit 1981, een presidentieel besluit over inlichtingenwerk. Daaronder vallen bijvoorbeeld het aftappen van internetkabels en het verzamelen van gegevens buiten de VS, zonder tussenkomst van een rechter en zonder dat een bedrijf hoeft mee te werken. Voor gegevens die versleuteld onderweg zijn, is dat minder een probleem; voor gegevens bij een Amerikaans bedrijf zijn de CLOUD Act en 702 de relevante wegen.

Hoe groot is het risico echt?

Eerlijk is eerlijk: voor de meeste kleine organisaties is de kans klein dat Amerikaanse diensten juist in hun mail geïnteresseerd zijn. Toch zijn er redenen om het serieus te nemen:

• Je weet het niet. Door geheimhoudingsbevelen hoor je er misschien nooit van.
• Jij bent niet de enige betrokkene. In je mail staan gegevens van klanten, leveranciers en medewerkers. Jij moet hun gegevens beschermen (les 1.2).
• Sommige gegevens zijn gevoelig. Een advocatenkantoor, een huisarts, een journalist of een school heeft een andere afweging dan een bakkerij.
• De regels kunnen veranderen zonder dat jij er iets over te zeggen hebt.

Bakkerij De Korrel heeft weinig te vrezen van een inlichtingendienst. Maar Sanne bedenkt dat in haar mailbox ook de ziekmeldingen van haar personeel staan. Dat zijn gezondheidsgegevens, en daar moet ze extra zorgvuldig mee zijn.

In de praktijk: zo ziet het eruit bij een aanbieder

Een Europese aanbieder zonder Amerikaans moederbedrijf en zonder Amerikaanse subverwerkers valt niet onder de CLOUD Act en is geen "provider" in de zin van Section 702. Hij kan nog steeds verplicht worden mee te werken met Europese politie en justitie, maar dan volgens Europees en nationaal recht, met een Europese rechter als controle. Bij WebOké staat in de Nextcloud-handleiding dat je bestanden niet naar Amerikaanse cloudbedrijven gaan. Bij andere aanbieders zoek je naar een lijst met subverwerkers en naar de juridische eigenaar (les 2.1).

Samenvatting

• De CLOUD Act (2018) verplicht Amerikaanse aanbieders gegevens in hun macht af te geven bij een strafrechtelijk bevel, ook als die in het buitenland staan.
• FISA Section 702 geeft Amerikaanse diensten toegang tot communicatie van niet-Amerikanen buiten de VS, voor inlichtingen, zonder bevel per persoon.
• Section 702 liep af op 12 juni 2026, maar volgens berichtgeving loopt het verzamelen door op basis van certificeringen uit maart 2026; een nieuwe verlenging is in bespreking.
• Een server in Europa beschermt niet als het bedrijf erachter onder Amerikaans recht valt.
• Het risico is voor de meeste organisaties klein, maar niet uit te sluiten en niet te controleren.

Quiz

Opdracht

Opdracht E1.3: Onder welk recht valt jouw dienst? Kies je belangrijkste clouddienst. Zoek uit welk bedrijf het contract met jou sluit (staat in de voorwaarden), waar dat gevestigd is, en wie het uiteindelijke moederbedrijf is. Beantwoord: kan de CLOUD Act op deze dienst van toepassing zijn, en waarom?

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 15.13: Veelgestelde vragen over beveiliging en privacy
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) en het CRS-rapport "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Verordening (EU) 2016/679 (AVG), artikel 48 (buitenlandse bevelen tot afgifte)