De CLOUD Act uitgelegd: waarom een EU-datacenter van een VS-bedrijf niet genoeg is

De CLOUD Act is een Amerikaanse wet uit 2018 die de VS toestaat om bij Amerikaanse aanbieders gegevens te vorderen die in hun "bezit, beheer of onder hun zeggenschap" vallen — ongeacht waar die data fysiek staat, ook buiten de Verenigde Staten [1][2]. Daarom beschermt een datacenter in Amsterdam of Frankfurt je niet als de exploitant een Amerikaans bedrijf is: de wet volgt de zeggenschap van de aanbieder, niet de locatie van de servers. Zolang het bedrijf onder Amerikaanse rechtsmacht valt, kan de VS de data opeisen. Tegelijk verbiedt de AVG (artikel 48) een Europese organisatie om aan zo'n bevel te voldoen zonder een geldig rechtshulpverdrag [3]. Je zit dan klem tussen twee wetten. De Autoriteit Persoonsgegevens adviseert daarom om gezondheidsgegevens bij voorkeur alleen binnen de Europese Economische Ruimte te verwerken, bij een aanbieder die niet onder de wetgeving van een derde land valt [4][5]. De enige structurele uitweg is dat gevoelige data je eigen omgeving nooit verlaat.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Wat is de CLOUD Act precies?

CLOUD staat voor Clarifying Lawful Overseas Use of Data. De wet werd in maart 2018 aangenomen en past de oudere Stored Communications Act aan [1]. De kernbepaling staat in 18 U.S.C. § 2713: een aanbieder van elektronische communicatie- of clouddiensten moet gegevens bewaren, back-uppen of verstrekken die zich in zijn "possession, custody, or control" bevinden — "regardless of whether such communication, record, or other information is located within or outside of the United States" [2]. In gewone taal: staat de data onder de zeggenschap van een Amerikaans bedrijf, dan kan een Amerikaanse rechter of opsporingsdienst die opeisen, waar ter wereld de servers ook staan.

De wet geldt breed. Ze raakt zowel klassieke communicatiediensten (e-mail, berichten) als "remote computing services" — dat wil zeggen clouddiensten, hostingpartijen en software-as-a-service [2]. Vrijwel elke grote Amerikaanse leverancier die zorg- en juridische organisaties gebruiken valt daaronder.

Locatie versus zeggenschap: de kern van het misverstand

Veel organisaties denken dat een "EU-datacenter" of "data blijft in Europa" het probleem oplost. Dat is de hardnekkigste misvatting rond dit onderwerp. De CLOUD Act koppelt de bevoegdheid niet aan de fysieke opslaglocatie, maar aan de zeggenschap van de aanbieder. Een Amerikaans moederbedrijf dat een Europese dochter of een datacenter in Amsterdam beheert, houdt het beheer over die data — en valt daarmee onder de wet [1][2].

Deze constructie is niet toevallig ontstaan. De wet werd juist ingevoerd om een slepende rechtszaak te beslechten: United States v. Microsoft, waarin Microsoft weigerde e-mails af te geven die op een server in Ierland stonden [1]. Met de CLOUD Act maakte de Amerikaanse wetgever expliciet dat de opslaglocatie niet langer een verweer is. Een EU-datacenter van een Amerikaanse partij verplaatst je data dus niet naar Nederlandse of Duitse rechtsmacht — het is en blijft data onder Amerikaanse zeggenschap.

De botsing met de AVG: artikel 48

Hier ontstaat de juridische spagaat. Artikel 48 van de AVG bepaalt dat een rechterlijke uitspraak of een besluit van een autoriteit van een derde land, waarmee een organisatie persoonsgegevens moet doorgeven, alleen erkend of afdwingbaar is als die berust op een internationale overeenkomst — zoals een rechtshulpverdrag tussen dat land en de EU of een lidstaat [3]. Een bevel op grond van de CLOUD Act voldoet daar niet aan. Een Europese organisatie die er zonder zo'n verdrag gehoor aan geeft, overtreedt in beginsel de AVG [3].

De European Data Protection Board bevestigde dit kader in zijn Richtsnoeren 02/2024 over artikel 48: verzoeken van derde landen zijn op zichzelf geen geldige grondslag om persoonsgegevens door te geven [3]. Het gevolg is een echte klem. Voldoe je aan het Amerikaanse bevel, dan schend je de AVG. Weiger je, dan overtreedt de aanbieder de Amerikaanse wet. Datzelfde spanningsveld speelde al in het Schrems II-arrest, waarin het Europees Hof de bescherming tegen Amerikaanse surveillancewetgeving onvoldoende achtte.

Wat de Autoriteit Persoonsgegevens adviseert

In maart 2026 publiceerde de Autoriteit Persoonsgegevens de praktijkgids Gezondheidsgegevens in de cloud [4]. De boodschap is duidelijk: verwerk gezondheidsgegevens bij voorkeur alleen binnen de Europese Economische Ruimte, en schakel in beginsel een leverancier in die niet onder de wet- en regelgeving van een derde land valt [4][5]. De AP wijst erop dat geopolitieke verhoudingen snel veranderen en dat aanbieders die niet uitsluitend onder EER-recht vallen, verplichtingen kunnen hebben richting derde landen en hun overheden [4].

Even belangrijk: de AP benadrukt dat de zorgorganisatie zelf verwerkingsverantwoordelijke blijft. Die verantwoordelijkheid kun je niet uitbesteden aan een cloudleverancier [4]. Je moet zelf een risicoafweging maken, de beveiliging controleren en de aanbieder onderzoeken — een DPIA hoort daar standaard bij. Hoe je zo'n beoordeling voor een AI-notetaker opzet, staat in het stappenplan voor een DPIA voor AI-verslaglegging.

Hoe groot is het risico echt?

Eerlijk is eerlijk: het is niet zo dat de VS dagelijks willekeurig zorgdossiers opvraagt. Uit onderzoek voor de Rijksoverheid komt naar voren dat de kans dat de Amerikaanse overheid specifiek op grond van de CLOUD Act toegang tot Europese data krijgt, in de praktijk klein wordt geacht [6]. Maar "klein" is niet "nul" en al helemaal niet "uit te sluiten" — en dat is juist het punt bij bijzondere persoonsgegevens.

De Algemene Rekenkamer was in het rapport Het Rijk in de cloud (januari 2025) kritisch: ministeries gebruiken clouddiensten in 1.588 gevallen, waarvan zo'n 700 keer via grote Amerikaanse techbedrijven, terwijl voor tweederde van de belangrijkste clouddiensten de vereiste risicoafwegingen niet waren gemaakt [6]. Het risico zit dus minder in de wet zelf en meer in het feit dat organisaties de afhankelijkheid niet in kaart hebben. Zolang je gevoelige data structureel onder buitenlandse zeggenschap plaatst, houd je een restrisico dat je contractueel niet volledig kunt wegregelen.

Wat dit betekent voor jouw organisatie

De vraag is niet "staat mijn data in Europa?" maar "wie heeft er zeggenschap over?". Praktische stappen:

• Breng in kaart welke verwerkers Amerikaans zijn of onder Amerikaanse zeggenschap vallen — ook als hun datacenter in de EU staat.
• Maak per verwerking een expliciete risicoafweging en leg die vast; leun niet op de belofte "data blijft in de EU".
• Kies voor bijzondere persoonsgegevens waar mogelijk een aanbieder die uitsluitend onder EER-recht valt [4].
• Overweeg de sterkste variant: verwerking die je eigen omgeving helemaal niet verlaat, zodat de CLOUD Act simpelweg geen aangrijpingspunt heeft.

Dat laatste is het uitgangspunt van Verbinn: gespreksverslagen worden volledig lokaal gemaakt op één Mac (de Kern) in je eigen pand — transcriptie en verslag draaien op dat apparaat, en de Kern meet zijn eigen uitgaande verkeer en toont per verbinding waarvoor hij is. Er is geen Amerikaanse aanbieder die iets "onder zeggenschap" houdt, omdat er niets naar buiten gaat. Dat lost de DPIA-plicht niet op en het is geen certificering — maar het haalt wél de grond onder de CLOUD Act-vraag vandaan.