Het Instituut voor Informatierecht van de Universiteit van Amsterdam (IViR) heeft september jl. een rapport gepresenteerd met daarin de resultaten van haar onderzoek naar de impact van de Patriot Act op clouddiensten ten behoeve van het hoger onderwijs en onderzoek. In dit rapport komt duidelijk naar voren dat de Patriot Act (2001) een symboolfunctie bekleedt in het debat rondom de privacy implicaties van clouddiensten, in het bijzonder de consequenties voor de toegang van buitenlandse overheden tot gegevens die zich in de cloud bevinden.

De mogelijkheden van buitenlandse overheden om gegevens op te vragen zijn divers en bestonden ook al voor het ontstaan van clouddiensten. Naast de Partiot Act bieden andere wetten als de Foreign Intelligence Surveillance Act, de FISA Amendment Act van 2008 en de Electronic Communications Privacy Act de Amerikaanse overheid mogelijkheden tot het opvragen van gegevens die onder hun jurisdictie vallen. Indien een cloud provider/onderneming activiteiten binnen de VS ontplooit, zoals het hebben van een vestiging op Amerikaans grondgebied, of onderdeel uit maakt van een onderneming in de VS, valt deze onderneming en diens activiteiten onder de jurisdictie van de VS.  Daarnaast heeft de Nederlandse overheid verdragen gesloten met andere landen, waaronder de VS, op basis waarvan gegevens over de betreffende onderdanen over en weer kunnen worden opgevraagd in het kader van onderzoek door justitie of veiligheidsdiensten.

Een bijkomend risico voor Nederlandse onderdanen is dat de Amerikaanse wetgeving weinig bescherming biedt voor Nederlandse onderdanen. De rechtsbescherming die de Amerikaanse constitutie en specifieke Amerikaanse wetgeving  op dit terrein biedt, strekt voornamelijk ter bescherming van Amerikaanse onderdanen.  De onderzoekers bevelen aan om realistisch om te gaan met het risico dat gegevens door buitenlandse overheden kunnen worden opgevraagd. De opvragingsrisico’s kunnen echter niet door middel van contractuele waarborgen worden uitgesloten. Het is dan ook niet raadzaam om garanties op dit punt af te geven.  Evenmin biedt de Nederlandse privacy wetgeving een waarborg tegen buitenlandse opvragingen.  Enige bescherming kan gezocht worden in het hanteren van technische beschermingsmaatregelen, zoals het versleutelen van gegevens (encryptie) en decentrale en gefragmenteerde opslag van gegevens.

Lees hier het hele rapport.