Data in Nederland kan toch onder Amerikaans recht vallen

De zin die de CLOUD Act bruikbaar maakt¶

De wet waar het om draait heet voluit de Clarifying Lawful Overseas Use of Data Act, aangenomen als Division V van de Consolidated Appropriations Act, 2018, Public Law 115-141, ondertekend op 23 maart 2018, 132 Stat. 1213. De kernbepaling staat in titel 18 van de US Code, paragraaf 2713, en luidt:

A provider of electronic communication service or remote computing
service shall comply with the obligations of this chapter to preserve,
backup, or disclose the contents of a wire or electronic communication
and any record or other information pertaining to a customer or
subscriber within such provider's possession, custody, or control,
regardless of whether such communication, record, or other information
is located within or outside of the United States.

Let op de vier woorden die het werk doen: "possession, custody, or control". De vordering grijpt aan op zeggenschap. Waar de schijf staat, is in die zin niet het aanknopingspunt.

Dat is het hele mechanisme. De rest van dit stuk gaat over wat je ermee doet.

Het concrete geval¶

In mijn dossier over TicketTrigger, de toegangsdienst bij Sparta, van 15 juli 2026, kwam die scheiding scherp naar voren. De opslag liep via een Azure-edge in Amsterdam. De contracterende entiteit hoorde bij een Amerikaanse moeder. Het ging om een verplichte app met een documentlezer, met eMRTD en RFID, en een machineleesbare zone die het burgerservicenummer draagt.

Wat ik daar wel vaststelde: de opslagregio was Nederland en de zeggenschap was Amerikaans. Wat ik daar niet vaststelde: wat er precies in de payload zat. De dynamische meting kwam niet rond door een architectuurfout aan de serverkant, dus over de inhoud van het verkeer doe ik geen uitspraak. Zie Een aanwijzing is nog geen bewijs.

Die twee zinnen naast elkaar zijn precies de discipline die dit onderwerp vraagt. Het is verleidelijk om van een Amerikaanse moeder en een paspoortlezer een derde zin te maken die ik niet kan dragen.

Een .nl-domein zegt niets, en een EU-server ook niet altijd¶

De meting van 14 juli 2026 levert vier voorbeelden die de twee assen los van elkaar laten zien.

partij            pre-consent   waar de servers stonden
rovid.nl           48 van 48    US (62 waarnemingen)
frcapi.com         19 van 19    DE (30 waarnemingen)
piwik.pro          70 van 72    US 59, SE 9, BE 1
facebook.net       11 van 17    BE (23 waarnemingen)
rijksoverheid.nl  668 van 669   BE (667 waarnemingen)

rovid.nl is een Nederlandse naam met Amerikaanse servers. facebook.net is het spiegelbeeld: een Amerikaans bedrijf met servers in België. piwik.pro is een Europese leverancier waarvan de waarnemingen over drie landen verspreid liggen, met de meeste in de Verenigde Staten.

Over de hele meting verdeelden de serverwaarnemingen zich zo:

US   2100
BE    713
NL    391
DE    110
IE     65

Geen van deze regels zegt iets over wie de gegevens kan vorderen. Daarvoor moet je weten wie de partij bezit. Zie Waar het pakket landt en wie het kan vorderen zijn twee assen en In Europa gehost is geen vrijwaring.

De Europese ontsnappingsroute, en waar die vandaag staat¶

Dit is het deel dat het snelst veroudert, dus het krijgt een datum.

Het Hof van Justitie verklaarde op 16 juli 2020 in Schrems II, zaak C-311/18, het Privacy Shield ongeldig. De kern: de Amerikaanse toegangsbevoegdheden zijn "not limited to what is strictly necessary" en betrokkenen hebben geen "actionable rights before the courts against the US authorities". Standaardcontractbepalingen blijven geldig, mits per geval getoetst en aangevuld waar het recht van het ontvangende land tekortschiet.

Daarna kwam uitvoeringsbesluit (EU) 2023/1795 van 10 juli 2023, het adequaatheidsbesluit onder het EU-US Data Privacy Framework. Dat besluit is op 25 juli 2026 nog steeds van kracht. De stand van zaken eromheen:

3 sep 2025    Gerecht wijst zaak T-553/23 (Latombe) af, uitdrukkelijk
              beoordeeld naar de stand op 10 juli 2023
31 okt 2025   Latombe stelt hoger beroep in, zaak C-703/25 P, aanhangig
27 jan 2025   PCLOB verliest quorum na ontslagen
29 jun 2026   US Supreme Court, Trump v. Slaughter (25-332, 6-3),
              verwerpt de ontslagbescherming van FTC-commissarissen
30 jun 2026   noyb vraagt de Commissie het besluit in te trekken

De praktische samenvatting: het besluit staat, en de onderbouwing eronder is in beweging. Twee van de drie pijlers waarop de Commissie het adequaatheidsoordeel bouwde, onafhankelijk toezicht door de PCLOB en handhaving door de FTC, staan ter discussie.

Wie vandaag een contract tekent dat op het adequaatheidsbesluit leunt, moet dus een scenario hebben voor het geval het besluit valt. Dat is geen alarmisme. Het is precies wat er in 2015 met Safe Harbor en in 2020 met Privacy Shield gebeurde.

Wat een contract wel en niet kan¶

Er bestaat een route waarlangs de Verenigde Staten gegevens via een verdrag kunnen opvragen, in plaats van rechtstreeks bij het bedrijf. Die staat in titel 18 van de US Code, paragraaf 2523: executive agreements.

Er zijn er per juli 2026 twee. Verenigde Staten met het Verenigd Koninkrijk, in werking op 3 oktober 2022, en Verenigde Staten met Australië, in werking op 30 januari 2024. Er is geen EU-VS-overeenkomst en geen NL-VS-overeenkomst. De onderhandelingen over elektronisch bewijs lopen sinds 2019 en zijn niet afgerond.

Voor een Nederlandse afnemer betekent dat het volgende. De vordering loopt rechtstreeks bij het bedrijf, zonder tussenkomst van een Nederlandse rechter en zonder dat jij het hoeft te horen.

En daarmee komen we bij de grens van wat papier kan. Een verwerkersovereenkomst bindt de leverancier jegens jou. Een Amerikaans bevel bindt dezelfde leverancier jegens de Amerikaanse staat. Bij een botsing beslist een Amerikaanse rechter, en jouw contract is daar hooguit een omstandigheid. Dat is de reden dat clausules over "wij geven nooit gegevens aan overheden" hier weinig waarde hebben.

De vragen die bij inkoop wel iets opleveren¶

Vijf vragen. Ze verplaatsen de discussie van geruststelling naar iets controleerbaars.

1. met welke juridische entiteit contracteer ik, en wie is de
   uiteindelijke moeder?
2. waar staan de bytes, en wie beheert de versleutelingssleutels?
3. publiceert de leverancier een transparantierapport met aantallen
   overheidsvorderingen, uitgesplitst per land?
4. bestaat er een technische maatregel waardoor de leverancier zelf
   niet bij de inhoud kan?
5. wat is het beleid bij een geheimhoudingsbevel, en wat kan de
   leverancier mij dan wel melden?

Vraag 4 is de enige die het probleem echt verkleint. Een leverancier die de sleutels niet heeft, kan bij een vordering weinig overhandigen. Alle andere vragen leveren informatie op, geen bescherming.

Bewijsniveaus, en waar dit argument te ver wordt getrokken¶

Ik houd hier drie niveaus streng uit elkaar.

Gemeten is de fysieke bestemming van het verkeer, via geolocatie van het ontvangende IP-adres. Dat cijfer is precies zo actueel als de database eronder. De 685 landtoewijzingen in mijn oudere dossiers kwamen uit een database van 17 december 2019, met de bijbehorende waarschuwing bij elk dossier. Die database is inmiddels vervangen en de oude labels zijn herberekend. Zie Een landlabel is zo oud als de database die het gaf.

Afgeleid is de zeggenschap. Die volgt uit eigendomsketens, publieke registraties en bestanden als sellers.json.

Vermoed is wat er bij een echt bevel gebeurt. Ik heb geen enkel geval gemeten waarin een Amerikaanse autoriteit gegevens van een Nederlandse burger bij een leverancier vorderde. Dit is een risico-argument, gebouwd op een wettekst, en het is uitdrukkelijk geen waarneming. Zie Label elke bevinding op bewijsniveau.

Twee dingen wil ik daarom expliciet niet beweren. Een EU-datacenter is waardevol: het verkort de fysieke route, het maakt dataminimalisatie eenvoudiger en het maakt een beroep op hoofdstuk V van de AVG minder scherp. Wie zegt dat EU-hosting betekenisloos is, overdrijft de andere kant op. En de aanwezigheid van een Amerikaanse moeder maakt een verwerking niet vanzelf onrechtmatig.

Waarom ik hier zelden mee begin¶

Dit hele betoog is juridisch zwaar en bewijstechnisch duur. Je moet eigendom aantonen, recht uitleggen en een risico wegen dat je niet hebt waargenomen.

De cookiewet vraagt maar één ding: is er opgeslagen of gelezen op de apparatuur van de gebruiker zonder toestemming vooraf. Dat is één meting en één artikel. Over de 1.718 gemeten overheidssites leverde de doorgiftevraag 539 bevindingen op onder hoofdstuk V van de AVG, en die staan allemaal onder het voorbehoud hierboven. De cookievraag leverde er 930 op onder artikel 11.7a alleen, zonder enig voorbehoud over eigendom of jurisdictie.

Begin bij de laagste horde. Zie De cookiewet is de snelste toets die een meting kan halen.