Cloud Act, FISA en gegevenssoevereiniteit

Een medewerker hoeft niet te beoordelen welk recht van toepassing is: zijn rol is de door het bedrijf gekozen tools niet te omzeilen. Een persoonlijke of gratis clouddienst, gebruikt voor een werkdocument, valt buiten de keuze van de hostingprovider, de classificatie van gegevens en het contract dat de directie heeft kunnen afsluiten.

CERT-FR wijst er ook op dat klanten van clouddiensten in de cloud belangrijke verantwoordelijkheden hebben bij het beheer van gegevens en identiteiten¹. Een medewerker die een bestand deelt of een document uploadt, handelt met gegevens van het bedrijf.

Daaruit volgen twee gewoonten: gebruik de geleverde of goedgekeurde tools, en meld cloudgebruik dat niet is goedgekeurd aan de IT-afdeling. Vraag ook eerst na voordat u grote databases met gezondheidsgegevens, gegevens over strafbare feiten of gegevens van minderjarigen in de cloud zet, want de CNIL rekent die tot de gevoelige gegevens⁵.

De keuze van de hostingprovider wordt even goed een juridische als een technische beslissing. CERT-FR schrijft dat het onmisbaar is deze risico's geval per geval te beoordelen¹.

Voor de gevoeligste verwerkingen raadt de CNIL aan een aanbieder te kiezen die uitsluitend onder Europees recht valt en het passende beschermingsniveau biedt⁵. CERT-FR wijst op een tweede risico. Een dienst van een buitenlandse aanbieder kan onder exportbeperkingen of sancties vallen, die in de loop van de tijd kunnen veranderen, wat de beschikbaarheid van gegevens en toepassingen raakt¹.

Hoofdstuk V van de AVG regelt de doorgifte van persoonsgegevens naar derde landen. Artikel 44 stelt het beginsel: een doorgifte vindt alleen plaats als aan de voorwaarden van het hoofdstuk is voldaan, zodat het door de verordening gewaarborgde beschermingsniveau niet wordt ondermijnd³.

Het hoofdstuk kent meerdere wegen. Het adequaatheidsbesluit van de Commissie vereist geen specifieke machtiging (artikel 45)³. Ontbreekt zo'n besluit, dan zijn passende waarborgen mogelijk, zoals bindende bedrijfsvoorschriften of standaardbepalingen inzake gegevensbescherming (artikel 46)³. Er bestaan afwijkingen voor bijzondere situaties, zoals de uitdrukkelijke toestemming van de betrokkene (artikel 49)³.

Artikel 48 regelt het specifieke geval van een buitenlands bevel: een beslissing van een rechterlijke instantie of bestuursorgaan van een derde land waarin doorgifte of openbaarmaking van gegevens wordt verlangd, kan alleen worden erkend of uitvoerbaar worden verklaard als zij berust op een internationale overeenkomst, zoals een verdrag over wederzijdse rechtshulp³.

Aan Amerikaanse kant legt de Commissie uit dat de adequaatheid volgde op een presidentieel besluit van 7 oktober en een regeling van de Amerikaanse procureur-generaal. Die teksten voerden bindende waarborgen in als antwoord op het arrest Schrems II van het Hof van Justitie van de Europese Unie van juli 2020: toegang van inlichtingendiensten beperkt tot wat noodzakelijk en evenredig is, en een onafhankelijk beroepsmechanisme voor klachten van Europeanen⁴. Deze waarborgen gelden voor alle doorgiften naar Amerikaanse bedrijven, ongeacht het gebruikte doorgifteinstrument⁴.

Aan Franse kant bevat versie 3.2 van de SecNumCloud-standaard van ANSSI beschermingseisen tegen de toepassing van deze extraterritoriale wetten¹. De CNIL geeft aan dat deze certificering bescherming biedt tegen toegang door buitenlandse autoriteiten⁵.

Het adequaatheidsbesluit over het Data Privacy Framework is aangenomen en geldt voor deelnemende Amerikaanse bedrijven⁴. De AVG voorziet in een periodieke evaluatie van een adequaatheidsbesluit minstens om de vier jaar, en de Commissie kan het intrekken, wijzigen of opschorten als het beschermingsniveau niet langer adequaat is³.

De Europese EUCS-certificering was in juli 2024 nog een ontwerp. Op dat moment constateerde de CNIL dat het door ENISA geleide project niet langer toeliet te controleren of de hostingprovider niet onder niet-Europese wetgeving valt, ook niet op de hoogste niveaus en ook niet op optionele basis⁵. Zij riep op om criteria voor immuniteit tegen niet-Europese wetten, geïnspireerd op SecNumCloud, opnieuw in te voeren⁵. Deze kwestie zou opnieuw besproken worden zodra de nieuwe Europese Commissie was samengesteld⁵. In Frankrijk bepaalt de door de CNIL genoemde wet van 21 mei, de zogeheten SREN-wet, dat voor gegevens die voor de Staat bijzonder gevoelig zijn, de clouddienst veiligheids- en gegevensbeschermingscriteria moet toepassen om elke toegang te voorkomen door overheidsinstanties van derde staten die niet is toegestaan door het recht van de Unie of van een lidstaat⁵. De doctrine "Cloud au centre" vraagt overheidsinstanties van haar kant ervoor te zorgen dat gegevens "d'une sensibilité particulière" die in de cloud worden gehost, niet onder niet-Europese wetten vallen⁵.