Privacygevoelige bedrijfsinformatie op een niet-Europese hyperscaler: niet zo'n goed idee?

Organisaties vertrouwen wereldwijd op hyperscale cloudplatforms zoals Microsoft Azure, Google Cloud en AWS voor het opslaan, verwerken en beheren van hun bedrijfsdata. Maar daar komen juridische en regelgevende uitdagingen bij kijken met betrekking tot privacy en gegevensbescherming. Eén van de meest besproken kwesties is de Amerikaanse CLOUD-Act (Clarifying Lawful Overseas Use of Data Act) en de impact ervan op de opslag van privacygevoelige (bedrijfs)data op hyperscale cloudplatforms. Daarover vertellen we je graag meer en dan kun je zelf bepalen: privacygevoelige bedrijfsinformatie op een niet-Europese hyperscaler: is dat wel zo'n goed idee..?

Wat is de USA CLOUD-Act?

De CLOUD-Act is een Amerikaanse wet die in 2018 werd aangenomen. Het doel van deze wet is het reguleren van gegevens die worden opgeslagen door Amerikaanse technologiebedrijven, zelfs als die gegevens zich buiten de Verenigde Staten bevinden. Het gaat hier dus bijvoorbeeld ook om klantgegevens die een Nederlands bedrijf opslaat in een datacenter van Microsoft in Amsterdam. Onder de CLOUD-Act kunnen Amerikaanse overheidsinstanties, zoals de Amerikaanse overheid en wetshandhavingsinstanties, toegang krijgen tot gegevens die door Amerikaanse bedrijven worden beheerd. Ongeacht waar die gegevens zich bevinden!

Het risico voor jouw bedrijf

De CLOUD-Act kan in strijd zijn met de Europese privacywetgeving, met name de Algemene Verordening Gegevensbescherming (AVG), die strikte regels oplegt aan het verwerken en delen van persoonsgegevens van EU-burgers. Als Amerikaanse wethandhavingsinstanties toegang krijgen tot deze gegevens zonder de juiste juridische bescherming, kan dit inbreuk maken op de privacyrechten van EU-burgers. Het niet naleven van de AVG kan leiden tot aanzienlijke boetes, die kunnen oplopen tot 4% van de wereldwijde jaarlijkse omzet van een organisatie of 20 miljoen euro, afhankelijk van welk bedrag hoger is.

Waar zet je je privacygevoelige (bedrijfs)data wél veilig neer?

Wil je niet het risico lopen dat je de AVG niet kunt naleven en zit je niet te wachten op boetes? Dan is het verstandig je privacygevoelige (bedrijfs)data niet op een hyperscale cloudplatform van een Amerikaanse serviceprovider te plaatsen. Kies in plaats daarvan voor een Europese serviceprovider (zoals bijvoorbeeld Previder), aangezien de CLOUD-Act op deze partijen niet van toepassing is.

Conclusie

De CLOUD-Act heeft de potentie om een aanzienlijke impact te hebben op gegevenshosting op hyperscale cloudplatforms van Amerikaanse cloudproviders. Het kan leiden tot conflicten met de Europese privacywetgeving, juridische onzekerheid, een afname van het klantenvertrouwen en uitdagingen op het gebied van naleving van de AVG. Het is van cruciaal belang dat organisaties die gebruikmaken van cloudservices zich bewust zijn van deze uitdagingen en de nog steeds bestaande onzekerheden. Het is belangrijk dat zij passende maatregelen treffen om hun privacygevoelige data te beschermen en de wetgeving na te leven.

Wil je advies over een (hybride) cloudplatform dat werkt voor jouw organisatie én voldoet aan Europese wet- en regelgeving met betrekking tot privacy en gegevensbescherming? Neem dan contact met ons op!