Het ministerie van Justitie en Veiligheid heeft een toelichting gegeven op de Amerikaanse CLOUD Act, de gevolgen voor Nederlandse burgers en op de vraag hoe de CLOUD Act zich verhoudt tot de EU-voorstellen voor grensoverschrijdende toegang tot data binnen strafrechtelijke procedures (elektronisch bewijs).
CLOUD staat voor ‘Clarifying lawful overseas use of data’. De wet van 23 maart 2018 geeft een nieuw kader voor de Amerikaanse autoriteiten om gegevens te vorderen die beheerd worden door bedrijven die in Amerika elektronische-communicatiediensten of ‘remote computing services’ aanbieden en wereldwijd zijn opgeslagen.
Juridisch niet goed vastgelegd
Wereldwijd merken overheden de gevolgen van cloud computing en het feit dat de grensoverschrijdende cloud juridisch niet goed vast ligt binnen landsgrenzen.
Een belangrijke drijfveer voor deze wet was de zaak United States v. Microsoft. In deze zaak weigerde Microsoft de Amerikaanse autoriteiten elektronisch bewijs te leveren - nadat dit was gevorderd - op grond van het feit dat deze gegevens in Ierland stonden opgeslagen. In deze zaak ging het om Amerikaanse verdachten die verdacht werden van een in de Verenigde Staten gepleegd feit.
De wet maakt het in de eerste plaats mogelijk dat Amerikaanse autoriteiten bij bedrijven die in Amerika hun diensten aanbieden gegevens kunnen vorderen die in een ander land zijn opgeslagen. Dit betreft in het bijzonder inhoudsgegevens zoals de inhoud van e-mails, documenten, foto’s en video’s. De wet poogt hiermee een einde te maken aan de (rechts)onzekerheid die voorheen bestond over de vraag of dergelijke ‘gegevensvorderingen’ volgens Amerikaans recht extraterritoriale werking hebben.
VS willen bilaterale verdragen clouddata
De wet bevat ook bepalingen over de omgekeerde richting van clouddata. In de tweede plaats maakt de CLOUD Act het mogelijk dat andere landen een verdrag kunnen sluiten met de VS over de grensoverschrijdende toegang tot elektronisch bewijs. De Amerikaanse overheid en het Congres bepalen of een ander land toegang krijgt, via nog te sluiten verdragen.
De nieuwe wet geeft de Amerikaanse overheid nieuwe bevoegdheden. Eerst kon Justitie ook al informatie opvragen, in het kader van internationale verdragen over rechtshulp. De regering Trump eist echter dat bedrijven data onmiddellijk overhandigen. Dat kan betekenen dat zo’n bedrijf de wetgeving van de Europese Unie of de Europese lidstaat overtreedt.
Bedrijven kunnen in dat geval in Amerika naar de rechter, staat ook in de CLOUD Act. De rechter zal in dat geval beslissen wat zwaarder moet wegen – de Amerikaanse wet of de wetgeving in het andere land. Hier is nog geen ervaring mee opgedaan.
EU moet onderhandelen met VS
Het kabinet vindt dat onderhandelingen met de VS over een op de CLOUD Act gebaseerd verdrag op EU-niveau moeten worden gestart. Dit komt de rechtszekerheid voor burgers en bedrijven ten goede en dient de opsporing en vervolging van misdrijven. Nederland kan onder Europees recht ook niet zelf zo’n verdrag sluiten.
Commissie: E-evidence als tegenhanger CLOUD Act
Deze zaak heeft nog een andere Europese dimensie. De Europese Commissie heeft de zogenoemde 'E-evidence voorstellen' gedaan, die bestaan uit een verordening en een richtlijn. Deze voorstellen zijn erop gericht de grensoverschrijdende toegang tot bewijs tussen lidstaten te verbeteren voor Europese opsporingsautoriteiten.
Ook in dat pakket komen maatregelen te staan met extraterritoriale werking, ook weer met bepaalde waarborgen. De Europese instellingen onderhandelen erover. De lidstaten hopen nog in 2018 een akkoord te bereiken. De kans bestaat dat het Europees Parlement er niet meer uit komt, voordat in april 2019 de Europese verkiezingen van start gaan.
De Raad van de EU heeft de Europese Commissie verzocht om voorbereidingen te treffen voor onderhandelingen met de VS over een verdrag naar aanleiding van de CLOUD Act.
