Patriot Act clouddiensten

 in IT-recht

Het Instituut voor Informatierecht van de Universiteit van Amsterdam (IViR) heeft september jl. een rapport gepresenteerd met daarin de resultaten van haar onderzoek naar de impact van de Patriot Act op clouddiensten ten behoeve van het hoger onderwijs en onderzoek. In dit rapport komt duidelijk naar voren dat de Patriot Act (2001) een symboolfunctie bekleedt in het debat rondom de privacy implicaties van clouddiensten, in het bijzonder de consequenties voor de toegang van buitenlandse overheden tot gegevens die zich in de cloud bevinden.

De mogelijkheden van buitenlandse overheden om gegevens op te vragen zijn divers en bestonden ook al voor het ontstaan van clouddiensten. Naast de Partiot Act bieden andere wetten als de Foreign Intelligence Surveillance Act, de FISA Amendment Act van 2008 en de Electronic Communications Privacy Act de Amerikaanse overheid mogelijkheden tot het opvragen van gegevens die onder hun jurisdictie vallen. Indien een cloud provider/onderneming activiteiten binnen de VS ontplooit, zoals het hebben van een vestiging op Amerikaans grondgebied, of onderdeel uit maakt van een onderneming in de VS, valt deze onderneming en diens activiteiten onder de jurisdictie van de VS.  Daarnaast heeft de Nederlandse overheid verdragen gesloten met andere landen, waaronder de VS, op basis waarvan gegevens over de betreffende onderdanen over en weer kunnen worden opgevraagd in het kader van onderzoek door justitie of veiligheidsdiensten.

Een bijkomend risico voor Nederlandse onderdanen is dat de Amerikaanse wetgeving weinig bescherming biedt voor Nederlandse onderdanen. De rechtsbescherming die de Amerikaanse constitutie en specifieke Amerikaanse wetgeving  op dit terrein biedt, strekt voornamelijk ter bescherming van Amerikaanse onderdanen.  De onderzoekers bevelen aan om realistisch om te gaan met het risico dat gegevens door buitenlandse overheden kunnen worden opgevraagd. De opvragingsrisico’s kunnen echter niet door middel van contractuele waarborgen worden uitgesloten. Het is dan ook niet raadzaam om garanties op dit punt af te geven.  Evenmin biedt de Nederlandse privacy wetgeving een waarborg tegen buitenlandse opvragingen.  Enige bescherming kan gezocht worden in het hanteren van technische beschermingsmaatregelen, zoals het versleutelen van gegevens (encryptie) en decentrale en gefragmenteerde opslag van gegevens.

Lees hier het hele rapport.

 

Recente berichten
  • 11 mei 2021

    INPLP article May 11, 2021

    Wouter Huisman
    Bob Cordemeyer
    Fine of €475,000 for Booking.com reporting data breach 22 days to late. According to a press release of April 6 the Dutch Data Protection Authority (Autoriteit Persoonsgegevens) imposed a €475,000 fine on Booking.com because the company took too long to report a data breach to the DPA into compliance with Article 33 GDPR.
    Lees verder
  • 13 april 2021

    Het doolhof van de wet- en regelgeving op het gebied van de zieke werknemer: deel 1.

    Marion Hagenaars
    Wie bepaalt: de bedrijfsarts of het UWV? Verzuimbegeleiding en re-integratie De werkgever is verantwoordelijk voor de verzuimbegeleiding en re-integratie van de zieke werknemer. De werknemer is verplicht om aan zijn re-integratie mee te werken. In de Arbeidsomstandighedenwet is bepaald dat de werkgever zich hierbij moet laten bijstaan door een gecertificeerde arbodienst of bevoegde bedrijfsarts. De
    Lees verder
  • 17 februari 2021

    440,000 EUR fine for Dutch hospital OLVG for access by unauthorized personnel to medical records

    Bob Cordemeyer
    On 11 February 2021 the Dutch Data Protection Authority imposed a fine of EUR 440.000, = on Amsterdam hospital OLVG for having no sufficient measures in place to prevent access to medical records by unauthorized personnel and therefore infringing article 32 (1) GDPR. An investigation was started after the DPA received several complaints of potential violations.
    Lees verder

Plaats een reactie

Top