De CLOUD Act uitgelegd: wat “data in Europa” wel en niet betekent

Wat de CLOUD Act is

In maart 2018 nam het Amerikaanse Congres de Clarifying Lawful Overseas Use of Data Act aan, meegelift op een begrotingswet. De aanleiding was een rechtszaak. Amerikaanse opsporingsdiensten eisten e-mails op bij Microsoft die op een server in Dublin stonden. Microsoft weigerde: die gegevens liggen in Ierland, ga naar de Ierse rechter. De zaak lag bij het Supreme Court toen de nieuwe wet de vraag onderuit haalde.

De kern is één zin, toegevoegd aan de Stored Communications Act. Een aanbieder moet gegevens die hij in possession, custody, or control heeft bewaren en overhandigen — ongeacht of die gegevens binnen of buiten de Verenigde Staten staan.

Let op wat daar niet staat. Er staat niets over de locatie van de server. Het aanknopingspunt is de aanbieder: valt die onder Amerikaanse rechtsmacht, dan kan een Amerikaans bevel hem bereiken, en dan gaat het over alle gegevens die hij beheert — waar ook ter wereld.

Waarom “datacenter in Amsterdam” de vraag niet beantwoordt

Een datacenter in Amsterdam zegt iets over snelheid, over energie, en over de AVG-vraag of er gegevens naar buiten de EER gaan. Over de CLOUD Act zegt het weinig. De vraag die daar telt is: welke rechtspersoon beheert die machine, en onder welk recht valt die?

Een Nederlandse leverancier die op Amerikaanse cloudinfrastructuur draait — ook als die infrastructuur in de EU staat — heeft die vraag dus niet weggenomen. Hij heeft hem verplaatst naar zijn toeleverancier. Dat is op zichzelf geen reden tot paniek. Het is wel een reden om preciezer op te schrijven wie er in de keten zit.

De klem: artikel 48 van de AVG

Voor een leverancier die zo'n bevel krijgt, ontstaat een probleem dat hij zelf niet kan oplossen. Artikel 48 AVG bepaalt dat een uitspraak van een rechter of autoriteit uit een derde land alleen erkend of uitvoerbaar is wanneer die berust op een internationale overeenkomst, zoals een rechtshulpverdrag.

De Europese toezichthouders — de EDPB en de EDPS — schreven in hun gezamenlijke beoordeling van 10 juli 2019 op wat dat concreet betekent. Zonder zo'n verdrag, of een andere grondslag uit de AVG, kan een aanbieder die onder EU-recht valt een doorgifte niet baseren op een CLOUD Act-verzoek. Er zijn dan twee dingen nodig en niet één: een grondslag voor de verwerking (artikel 6) én een geldige grond voor de doorgifte (hoofdstuk V).

Het gevolg is een echte klem. De ene rechtsorde eist afgifte, de andere verbiedt hem. Wie je vertelt dat dit is opgelost, heeft het mis.

Wat de CLOUD Act niet is

Drie misverstanden zijn hardnekkig genoeg om apart te noemen.

Het is geen vrije toegang. Voor de inhoud van communicatie is een warrant nodig van een Amerikaanse rechter, op basis van probable cause. Dit is strafvorderlijk gereedschap, geen open kraan.

Het is niet hetzelfde als de inlichtingenwetgeving. FISA sectie 702 en Executive Order 12333 gaan over inlichtingenvergaring, kennen andere drempels, en waren de reden dat het Hof van Justitie in Schrems II het Privacy Shield ongeldig verklaarde. Die discussie loopt langs de CLOUD Act heen.

En het is geen kwestie die het Data Privacy Framework afdekt. Dat raamwerk — adequaatheidsbesluit van 10 juli 2023, overeind gebleven bij het Gerecht in de zaak-Latombe op 3 september 2025, en sindsdien in hoger beroep bij het Hof van Justitie — gaat over de voorwaarden waaronder je gegevens naar de Verenigde Staten mág doorgeven. Het zegt niets over de bevoegdheid van Amerikaanse opsporing richting een Amerikaanse aanbieder. (Stand van zaken bij publicatie, 2 augustus 2026.)

Er zit wel een ontsnappingsroute in de wet zelf. Een aanbieder kan een bevel laten toetsen als de klant geen Amerikaan is en niet in de VS woont, én afgifte een wezenlijk risico oplevert dat hij de wet van een qualifying foreign government overtreedt. Dat laatste betekent: een land dat een uitvoeringsovereenkomst met de Verenigde Staten heeft. Die zijn er met het Verenigd Koninkrijk (getekend in 2019, in werking sinds 2022) en met Australië (getekend in 2021, in werking sinds 2024). Met de EU wordt al jaren onderhandeld. Voor een Nederlandse klant staat die deur in de praktijk dus nog dicht.

Vier vragen aan je leverancier

Genoeg theorie. Wat kun je hier zelf mee, als kapper, fysiotherapeut of consultant met een paar honderd klantgegevens in een planningstool?

1. Wie is de rechtspersoon achter de dienst, en waar is die gevestigd? Niet het merk en niet het datacenter: de entiteit met wie je een overeenkomst hebt.
2. Wie zijn de subverwerkers, en uit welk land komen die? Dit is de vraag die het meeste oplevert en het minst vaak wordt gesteld. Een leverancier die het goed heeft geregeld, heeft die lijst klaarliggen.
3. Wie beheert de sleutels? “Versleuteld opgeslagen” bij een partij die zelf de sleutel in handen heeft, beschermt niet tegen een bevel aan diezelfde partij.
4. Wat gebeurt er als er een verzoek binnenkomt? Verzet de leverancier zich? Word je geïnformeerd, voor zover dat mag? Is er een transparantierapport?

Krijg je op de tweede vraag geen antwoord, dan weet je genoeg.

Hoe Calio erin zit

Dan de vraag die je terecht stelt bij een artikel op de site van een leverancier: hoe zit het hier?

Calio is een Nederlandse dienst zonder vestiging in de Verenigde Staten. Een Amerikaans bevel kan niet rechtstreeks bij ons worden bezorgd. De applicatie en de database draaien in een datacenter in Amsterdam.

Daarmee is het verhaal niet af, en we maken het liever niet mooier dan het is. Onze hostingpartij en de partij waar onze back-ups staan zijn Amerikaanse ondernemingen met Europese vestigingen en datacenters. Voor de bezorging van bevestigings- en herinneringsmails gebruiken we een Amerikaanse dienst die vanuit Ierland verstuurt. Het taalmodel achter de AI-zoekhulp draait bij Mistral AI in Frankrijk, en krijgt alleen de zin die een gast zelf intypt.

Wat dat betekent: “EU-datacenter” maakt de vraag naar de CLOUD Act bij ons kleiner, niet nul. Dat geldt voor vrijwel elke Europese SaaS, en een leverancier die het tegendeel beweert heeft de wet niet gelezen of hoopt dat jij dat niet doet. Welke partijen het precies zijn en wat ze doen, staat in onze verwerkersovereenkomst — opzettelijk saai en volledig.

Wat we wél kunnen beloven is het enige dat een leverancier eerlijk kan beloven: dat we opschrijven wie er in de keten zit, dat we het dertig dagen vooraf melden als daar iets verandert, en dat we niet doen alsof een vlaggetje op een landingspagina een rechtsvraag beslecht.

Kort samengevat

• De CLOUD Act knoopt aan bij de aanbieder, niet bij de locatie van de data. Een EU-datacenter van een Amerikaans bedrijf valt er dus onder.
• Artikel 48 AVG verbiedt afgifte op een buitenlands bevel zonder verdragsbasis. De leverancier zit daarmee klem tussen twee rechtsordes.
• Het Data Privacy Framework en Schrems II gaan over een andere vraag: doorgifte en inlichtingenwetgeving, niet over strafvorderlijke bevelen.
• De praktische winst zit niet in een vlag op de website, maar in een leverancier die zijn keten kan opnoemen.