De CLOUD Act en uw Europese data: helpt hosting in Europa?
Kort antwoord
De CLOUD Act is een Amerikaanse wet uit 2018 waarmee Amerikaanse autoriteiten een Amerikaanse aanbieder kunnen verplichten gegevens te verstrekken die hij in bezit of beheer heeft, ook als die in Europa staan. Hosting in een Europees datacenter van een Amerikaans bedrijf neemt dat risico dus niet weg. Wat wel helpt: gegevens bij een partij die niet onder Amerikaans recht valt, of op infrastructuur die u zelf beheert.
Wat regelt de CLOUD Act?
De Clarifying Lawful Overseas Use of Data Act (CLOUD Act) is in 2018 in de Verenigde Staten aangenomen. De wet bepaalt dat een Amerikaanse aanbieder van communicatie- of clouddiensten gegevens moet verstrekken op grond van een geldig Amerikaans bevel, als die gegevens in zijn “bezit, bewaring of beheer” zijn. Waar de gegevens fysiek staan, maakt daarvoor niet uit.
De wet geeft aanbieders een beperkte mogelijkheid om zo’n bevel aan te vechten als het botst met het recht van een ander land, en voorziet in overeenkomsten tussen de VS en andere staten. Maar de hoofdregel blijft: wie onder Amerikaans recht valt, kan worden gedwongen gegevens te leveren, ook uit een Europees datacenter.
Waarom een Europees datacenter niet genoeg is
Veel Amerikaanse cloudaanbieders bieden opslag in Europa aan, en sommige een “soevereine” variant met Europese beheerders. Dat verkleint risico’s, maar lost het kernpunt niet op: zolang het moederbedrijf onder Amerikaans recht valt, kan een bevel het concern bereiken.
Microsoft heeft dat zelf bevestigd. In juni 2025 verklaarde de juridisch directeur van Microsoft Frankrijk onder ede voor de Franse Senaat dat hij niet kon garanderen dat gegevens van Franse burgers nooit zonder toestemming van de Franse autoriteiten aan Amerikaanse autoriteiten worden verstrekt. Hij voegde toe dat het in de praktijk nog niet was gebeurd. Zie ook Microsoft 365 Copilot of een eigen AI-omgeving?
Daarnaast zijn er Amerikaanse inlichtingenbevoegdheden, zoals section 702 van FISA. Die waren in 2020 de reden dat het Europese Hof van Justitie in de zaak Schrems II het Privacy Shield ongeldig verklaarde. Het huidige EU-US Data Privacy Framework staat opnieuw ter discussie bij het Hof.
Waarom dit bij AI extra zwaar weegt
Bij opslag gaat het om bestanden die u bewust ergens neerzet. Bij AI gaat het om alles wat medewerkers in een prompt stoppen: contracten, patiëntbrieven, strategiestukken, klantdossiers. Die inhoud wordt verwerkt, en vaak gelogd, door de AI-leverancier. De grootste AI-leveranciers zijn Amerikaans. Voor ChatGPT werken we dat uit in Is ChatGPT AVG-proof?
Voor organisaties met een beroepsgeheim, bijzondere persoonsgegevens of een toezichthouder die eisen stelt aan uitbesteding, is dat een concreet risico dat in de DPIA thuishoort. Zie Een DPIA voor generatieve AI.
Wat helpt wel?
| Maatregel | Effect op het CLOUD Act-risico |
|---|---|
| Opslag in een Europees datacenter van een Amerikaanse aanbieder | Beperkt: het concern blijft onder Amerikaans recht |
| Versleuteling met sleutels die alleen u beheert | Sterk voor opslag; bij AI moet de tekst voor verwerking wel ontsleuteld worden |
| Een Europese aanbieder zonder Amerikaans moederbedrijf | Groot, als er ook geen Amerikaanse onderaannemers in de keten zitten |
| Eigen infrastructuur, eigen beheer | Het grootst: er is geen aanbieder die kan worden gedwongen, omdat niemand anders de gegevens heeft |
Voor AI betekent de laatste rij: open-weight modellen op een eigen node. Met werqly staat die node in uw serverruimte, en draaien de modellen daar en nergens anders. Hebt u geen serverruimte, dan staat de node in een afgesloten rack in ons Europese datacenter, alleen voor u. Zie Wat is private AI?
Veelgestelde vragen
Vragen over dit onderwerp
Geldt de CLOUD Act ook voor data in Europa?
Ja, als de gegevens in bezit of beheer zijn van een aanbieder die onder Amerikaans recht valt. De fysieke locatie is niet doorslaggevend. Een Europees datacenter van een Amerikaans concern neemt het risico daarom niet weg.
Is de CLOUD Act in strijd met de AVG?
Er kan een conflict ontstaan: de AVG staat doorgifte op grond van een buitenlands bevel alleen toe via een internationaal verdrag of een andere AVG-grondslag. Een aanbieder kan dan klem zitten tussen twee rechtsstelsels. Voor u als verwerkingsverantwoordelijke is het een risico om in de DPIA te beoordelen.
Helpt een soevereine cloud van een Amerikaanse aanbieder?
Het verkleint risico’s, bijvoorbeeld door Europese beheerders en een Europese entiteit. Zolang het moederbedrijf onder Amerikaans recht valt, blijft er een restrisico. Hoe groot, hangt af van de juridische en technische inrichting; laat dat per aanbieder beoordelen.
Is werqly onderworpen aan de CLOUD Act?
werqly is een onderdeel van het Nederlandse TIMA Labs. Belangrijker: bij een node in uw eigen serverruimte heeft werqly de inhoud van prompts en documenten niet. De modellen draaien op uw hardware, dus er is niets wat een buitenlandse autoriteit via werqly kan opvragen.
Bronnen
- U.S. Department of Justice — The CLOUD Act (resources)
- Hof van Justitie van de EU — Persbericht Schrems II (C-311/18), juli 2020
- The Register — Microsoft admits it “cannot guarantee” data sovereignty (juli 2025)
Dit artikel is algemene informatie, geen juridisch advies. Regels en richtsnoeren veranderen; controleer bij twijfel de genoemde bronnen of vraag uw jurist of FG.