zo inzetten dat het ons
helpt bij de besluitvorming?
Patriot act: wat betekent dit voor je cloudstrategie?
Als gevolg van de aanslagen op 11 september 2001 heeft de FBI op basis van de Patriot Act de bevoegdheid gekregen om de overdracht van informatie af te dwingen zonder gerechtelijke opdracht. Het moet dan gaan om informatie waarmee spionage of terrorisme voorkomen kan worden. Heeft deze wetgeving impact op gemeenten die data opslaan bij grote cloudleveranciers als Microsoft?
Update: Lees ook onze blog van 16 juli 2020: ‘Wat betekent het ongeldig verklaren van het ‘Privacy Shield’ voor gemeenten?’
Patriot Act, Freedom Act en US Cloud act
De meest controversiële onderdelen van de Patriot Act zelf verliepen al in mei 2015. Vlak daarvoor nam het Amerikaanse Congres echter de Freedom Act aan. Daarmee behielden de veiligheidsorganisaties hun rechten informatie af te dwingen. Inmiddels is in maart 2018 ook de CLOUD Act (Clarifying Lawful Overseas Use of Data Act) aangenomen. Hierin staat de verplichting voor Amerikaanse providers om data van betrokkenen (personen met een Amerikaanse nationaliteit) af te staan, waar ook ter wereld gelokaliseerd. Hiervoor is wel een gerechtelijke beslissing nodig.
De AVG
In Europa geldt vanaf 25 mei 2018 de AVG (GPDR). Daarin staat dat afgifte van data die zich binnen de EU bevinden, op last van een (buitenlandse) rechtelijke uitspraak of besluit van een administratieve autoriteit, alleen is toegestaan indien die uitspraak of dat besluit is gebaseerd op een verdrag. En die verdragen zijn er momenteel niet tussen de EU en VS.
Tegenstrijdige wetgeving
Bedrijven als Microsoft, Google en Amazon hebben dus met tegenstrijdige wetgeving te maken. Overigens heeft Microsoft in het verleden herhaaldelijk aangegeven hoe zij omgaat met verzoeken van de Amerikaanse overheid om inzicht in data. In het kort:
Dit soort verzoeken van de Amerikaanse overheid heeft vooral betrekking op particulieren (hotmail en live.com gebruikers), zelden op zakelijke accounts.
- Microsoft ontving wereldwijd enkele tientallen verzoeken gericht op zakelijke accounts. Daarvan werd tweederde gehonoreerd.
- Als dit mogelijk was informeerde Microsoft de betreffende klanten vooraf.
- Microsoft heeft – tot op heden met succes – geargumenteerd dat digitale huiszoekingsbevelen volgens de Stored Communications Act uit 1986 niet reiken tot in het buitenland.
- Microsoft voldoet aan de Baseline Informatiebeveiliging Rijksdienst (BIR). De Baseline Informatiebeveiliging Gemeenten (BIG) komt voor een groot deel overeen met de BIR.
- Daarnaast heeft Microsoft verklaard zich te conformeren aan de EU Safe Harbour Framework. Dit framework definieert spelregels over de transfer van data van EU-burgers naar landen buiten de EU (overeenkomst tussen EU en de VS).
Wat kunnen wij voor jou betekenen?
Bij het maken van architectuurkeuzes en de opzet van een cloudstrategie houden wij uiteraard rekening met de Patriot act en andere actuele wetgeving.
Update: Lees ook onze blog van 16 juli 2020: ‘Wat betekent het ongeldig verklaren van het ‘Privacy Shield’ voor gemeenten?’
Meer informatie?
Wim beantwoordt graag jouw vraag. Of laat een bericht achter in de chat.
