Amerikaanse wetgeving verplicht Amerikaanse bedrijven data af te staan — ook als die data buiten de VS is opgeslagen. Wat FISA, de CLOUD Act en het Five Eyes-netwerk betekenen voor Nederlandse overheidsorganisaties die werken met Amerikaanse clouddiensten.
Deel 1 van 2
Nederlandse overheidsorganisaties slaan steeds meer informatie op bij Amerikaanse technologiebedrijven — Microsoft 365 voor e-mail en documenten, Azure voor clouddiensten, Amazon voor opslag. Wat daarbij zelden wordt benoemd, is de juridische werkelijkheid die daarachter zit.
De instrumenten
FISA — Foreign Intelligence Surveillance Act
Geeft de NSA en andere inlichtingendiensten het recht communicatie en data te verzamelen van buitenlandse entiteiten en van Amerikaanse burgers in contact met het buitenland. Nederlandse overheidsorganisaties vallen in de categorie buitenlandse entiteiten.
CLOUD Act (2018) — Clarifying Lawful Overseas Use of Data Act
Verplicht Amerikaanse bedrijven — Microsoft, Google, Amazon — data te overhandigen aan Amerikaanse rechtshandhaving als die daarom vraagt. De locatie van de servers maakt niet uit. Het bedrijf is Amerikaans, het recht is Amerikaans.
Executive Orders
Presidentiële besluiten kunnen surveillance-bevoegdheden uitbreiden of inperken. Ze wisselen per regering en zijn daardoor minder stabiel dan de twee wetten hierboven. Ze vormen desondanks een actieve derde laag bovenop FISA en de CLOUD Act.
Concreet
Een Nederlandse ambtenaar stuurt een e-mail via Microsoft 365. De servers staan in Amsterdam. Maar Microsoft is een Amerikaans bedrijf, en moet die e-mail overhandigen als Washington daarom vraagt via de CLOUD Act. Nederlandse wet heeft daar niets over te zeggen — de verplichting rust op het bedrijf, niet op de server.
Deel 2 van 2
Na de Tweede Wereldoorlog bouwden de VS, het VK, Canada, Australië en Nieuw-Zeeland een gezamenlijk inlichtingennetwerk op dat later bekend werd als Five Eyes. De vijf landen delen signaalinformatie: wat de ene dienst onderschept, kan de andere inzien.
Uit documenten die klokkenluider Edward Snowden in 2013 openbaarde, bleek dat meer landen aanhaken in bredere samenwerkingsverbanden.
| Netwerk | Leden |
|---|---|
| Five Eyes | VS, VK, Canada, Australië, Nieuw-Zeeland |
| Nine Eyes | Five Eyes + Frankrijk, Denemarken, Nederland, Noorwegen |
| Fourteen Eyes | Nine Eyes + België, Duitsland, Italië, Spanje, Zweden |
Wat dit toevoegt aan de twee wetten
Data die via de CLOUD Act of FISA toegankelijk is voor de NSA, kan via de Five Eyes-structuur zichtbaar worden voor inlichtingendiensten in vier andere landen. Dat geldt ook omgekeerd: de AIVD deelt zelf inlichtingen binnen dit netwerk.
Dit maakt het argument tweesnijdend. Nederland is potentieel kwetsbaar als data bij Amerikaanse leveranciers belandt, maar is tegelijk deelnemer aan hetzelfde netwerk. In analyses voor de publieke sector is het verstandig deze nuance te benoemen.
Drie lagen tegelijk
FISA geeft inlichtingendiensten toegang. De CLOUD Act geeft rechtshandhaving toegang. Five Eyes en Nine Eyes betekenen dat wat de VS ziet, gedeeld kan worden met meerdere bondgenoten. Die drie lagen werken gelijktijdig, onafhankelijk van elkaar, en zijn niet zichtbaar in een licentieovereenkomst.
Bronnen
Privacy International — Five Eyes
Overzicht van het Five Eyes-netwerk, het juridische kader en de praktische werking van inlichtingendeling. Doorlopend bijgehouden door Londense privacyorganisatie.
Britannica — Five Eyes
Encyclopedische beschrijving van de geschiedenis, structuur en werking van het Five Eyes-inlichtingennetwerk.
CLOUD Act — officiële wetgevingstekst (2018)
De volledige tekst van de Clarifying Lawful Overseas Use of Data Act, onderdeel van de Consolidated Appropriations Act 2018. Sectie 2523 bevat de extraterritoriale bepalingen.
EDPB — aanbevelingen 01/2020 over aanvullende maatregelen (Cloud Act)
Het European Data Protection Board analyseerde de CLOUD Act in relatie tot GDPR/AVG. Conclusie: de CLOUD Act kan in strijd zijn met Europees recht; aanvullende maatregelen zijn noodzakelijk maar niet altijd toereikend.
Algemene Rekenkamer — Cloud bij het Rijk (2025)
Rapport over cloudcontracten van rijksministeries. Bevinding: ministeries weten niet wat het kost om van een leverancier weg te gaan; exitstrategieën ontbreken. Raakt direct aan de afhankelijkheid van Amerikaanse cloudproviders.