In uw cloudcontract staat dat uw gegevens in de EU staan. Frankfurt, Amsterdam, Dublin, kies een regio. Bij een Amerikaanse aanbieder is het land niet de vraag die telt.
Wat de CLOUD Act werkelijk zegt
De CLOUD Act is een Amerikaanse wet uit 2018. In gewone taal: een bedrijf dat onder Amerikaans recht valt, kan worden verplicht uw bestanden af te geven. Het land waar die bestanden staan, maakt daarbij niets uit. De wet gaat over alles wat dat bedrijf in “possession, custody, or control” heeft, dus alles waar het bedrijf bij kan. Een EU-regio bepaalt hoe snel uw zoekopdrachten draaien. Wie er kan worden verplicht ze te openen, verandert er niet door.
Daarvoor is de wet geschreven. Zij maakte een einde aan het oude argument dat bestanden in het buitenland buiten bereik lagen.
De verklaring onder ede
Jarenlang antwoordden leveranciers geruststellend. Verstrekkingen zijn zeldzaam, soevereiniteitsclausules dekken u af. In juni 2025 stelde de Franse Senaat aan Microsoft France een rechtstreekse vraag. Kunt u garanderen dat gegevens van Franse burgers nooit naar Amerikaanse autoriteiten gaan zonder Franse instemming?
Onder ede: die garantie kon niet worden gegeven.
Dat is geen schandaal rond één leverancier. Elke aanbieder die onder Amerikaans recht valt, zou hetzelfde antwoorden.
Maar wij hebben een Europees soevereiniteitsaanbod
Soevereine cloudproducten bestaan echt en zij halen echt risico weg. Lokale medewerkers, ondersteuning binnen de EU, afspraken over de dagelijkse omgang met uw gegevens. Geen daarvan herschrijft een Amerikaanse wet. Zolang een Amerikaans bedrijf zeggenschap over de machines houdt, blijft de vraag open.
Voor het meeste werk is dat risico prima. Marketingbestanden, openbare documentatie, gegevens die u opnieuw kunt maken. De CLOUD Act is geen reden om uw website te verhuizen.
Wanneer het niet meer prima is
De rekensom verandert zodra de documenten het bedrijf zelf zijn.
- Offerteprijzen en marges. De calculatie onder een aanbesteding is het bouwbedrijf zelf. Geen commercieel directeur tekent voor “een buitenlandse autoriteit kan toegang afdwingen”.
- Cliëntdossiers onder het beroepsgeheim. Een advocatenkantoor moet cliënten kunnen zeggen dat stukken onder het beroepsgeheim buiten bereik van een derde land liggen. Op een Amerikaanse cloud kan het dat niet.
- Leveranciersvoorwaarden en raamovereenkomsten. Een kortingsstructuur waarover tien jaar is onderhandeld, hoort niet op machines te staan die een ander kan worden verplicht te openen.
Europa duwt van de andere kant. Schrems II is de uitspraak die u onder de AVG verplicht elke doorgifte van persoonsgegevens buiten de EU te toetsen. Bestanden naar een Amerikaanse aanbieder sturen is zo’n doorgifte, en uw functionaris gegevensbescherming moet die op papier verdedigen.
De kortste uitweg
Er zijn twee eerlijke manieren om de vraag te sluiten.
De eerste is de juridische route. Effectbeoordelingen, aanvullende maatregelen, versleuteling waarbij u zelf de sleutels houdt, en opnieuw toetsen zodra de rechtspraak schuift. Serieuze bedrijven doen dit. Het kost geld, het is nooit helemaal af, en het risico komt nooit op nul.
De tweede is de documenten in uw eigen pand houden. Bestanden die uw pand nooit verlaten, gaan nooit een grens over. Er valt niets te toetsen, omdat er geen doorgifte is.
Dat is de gedachte achter Perimeter. Eén apparaat in uw serverruimte. Het leest uw eigen documenten en antwoordt met de pagina waar het antwoord vandaan komt. Het legt nooit contact met internet. Bij sommige documenten past maar één antwoord: niemand buiten uw pand.
Uw IT-manager kan nakijken hoe het gebouwd is. Het beveiligingsdocument is daarvoor geschreven.