Je klantdata en de Amerikaanse cloud: wat speelt er juridisch echt?

Als je klantdata bij een Amerikaans bedrijf staat, valt die onder Amerikaanse wetgeving, ook wanneer de servers fysiek in Europa staan. Dat is de kern van de US CLOUD Act. Een “EU-datacenter” verandert dat niet automatisch; wat telt is onder welke jurisdictie het bedrijf valt. Deze post legt neutraal uit wat er speelt, met de wetten bij naam. Het is nadrukkelijk geen juridisch advies.

Bij aitonomi komt dit onderwerp bij bijna elk project langs, omdat het bepaalt welke data überhaupt naar welke dienst mag. Hieronder de drie stukken die je moet kennen: de CLOUD Act, het Schrems II-arrest, en het verschil tussen locatie en eigendom. Voor een sluitend oordeel over jouw situatie raadpleeg je een jurist; wat hier staat is een kader, geen advies.

Wat regelt de Amerikaanse CLOUD Act?

De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, VS, 2018) geeft Amerikaanse autoriteiten de bevoegdheid om data op te vragen bij Amerikaanse bedrijven, ongeacht waar ter wereld die data staat. Een Amerikaans cloudbedrijf met een datacenter in Frankfurt of Amsterdam valt er dus onder: de fysieke locatie in de EU biedt geen bescherming tegen zo’n verzoek.

Dat is het punt dat vaak misgaat in de verkoop. “Wij hebben Europese datacenters” is waar, maar beantwoordt de verkeerde vraag. De vraag is niet waar de schijf staat, maar welk rechtssysteem het bedrijf kan dwingen die schijf te openen.

Wat veranderde Schrems II?

Schrems II is een uitspraak van het Europese Hof van Justitie uit 2020. Het Hof verklaarde het toenmalige Privacy Shield, de afspraak voor datatransfer tussen de EU en de VS, ongeldig, omdat Amerikaanse surveillancewetgeving onvoldoende bescherming bood voor Europese persoonsgegevens. Sindsdien moeten organisaties die persoonsgegevens naar de VS doorgeven zelf aantonen dat die gegevens gelijkwaardig beschermd zijn.

Er zijn daarna nieuwe raamwerken gekomen om transfers weer mogelijk te maken, en de discussie over de houdbaarheid daarvan loopt door. De rode draad blijft: het doorgeven van Europese persoonsgegevens aan Amerikaanse partijen is niet vanzelfsprekend en vraagt om een expliciete afweging. Hoe die afweging voor jou uitpakt, is bij uitstek iets voor een jurist.

Wat is het verschil tussen een EU-datacenter en EU-jurisdictie?

Dit is het inzicht waar het om draait, en het wordt zelden scherp gemaakt. Er zijn drie niveaus, en ze lopen op in bescherming:

Niveau	Wat het betekent	Valt onder
EU-datacenter	Data staat fysiek in de EU, bij een niet-EU-bedrijf	Buitenlands recht (bijv. CLOUD Act)
EU-verwerking	Data wordt in de EU verwerkt	Deels afhankelijk van moederbedrijf
EU-eigendom / EU-jurisdictie	Het bedrijf zelf valt onder EU-recht	Uitsluitend EU-recht

Alleen bij het onderste niveau, een bedrijf dat zelf onder Europese jurisdictie valt, is de CLOUD Act niet van toepassing. Een Amerikaans bedrijf met een Europees datacenter zit op het bovenste niveau: EU-grond, buitenlands recht. Het verschil tussen “onze data staat in de EU” en “onze verwerker valt onder EU-recht” is dus geen detail, het is de hele vraag.

Mag je klantgegevens in ChatGPT invoeren?

Persoonsgegevens van klanten zomaar in een gratis of persoonlijk ChatGPT-account plakken is onder de AVG vrijwel nooit verdedigbaar: je geeft dan persoonsgegevens door aan een Amerikaanse partij zonder verwerkersovereenkomst en zonder grondslag. Wie ChatGPT zakelijk wil gebruiken, heeft minimaal een zakelijke licentie nodig waarbij OpenAI een verwerkersovereenkomst (data processing agreement) aanbiedt en invoer niet voor training wordt gebruikt.

Maar ook dan blijft de jurisdictievraag uit deze post staan: een verwerkersovereenkomst regelt de afspraken, niet onder welk rechtssysteem het bedrijf valt. Veel organisaties zoeken daarom naar Europese cloud alternatieven, of houden de gevoeligste categorie helemaal binnen de eigen muren. Dat laatste is de route die vrijwel niemand in dit gesprek noemt, terwijl hij de vraag als enige volledig laat vervallen.

Welke data mag waar? Een praktisch kader voor het mkb

Zonder juridisch advies te geven, kun je je data grofweg in drie bakken indelen om het gesprek scherp te krijgen:

1. Openbaar of ongevoelig. Marketingteksten, openbare productinfo. Hier is de jurisdictie van je AI-dienst weinig kritisch; kies op prijs en gemak.
2. Bedrijfsgevoelig. Interne documenten, offertes, strategie. Hier wil je minstens EU-verwerking, liever EU-jurisdictie of lokaal.
3. Persoonsgegevens en klantdata. Alles wat onder de AVG valt, dossiers, klantidentiteiten. Hier is de CLOUD Act-vraag het scherpst; lokaal of EU-eigendom is de veiligste route, en dit is bij uitstek de categorie om met een jurist te toetsen.

De praktische stap is simpel te formuleren, ook al vraagt de uitvoering aandacht: breng in kaart welke data in welke bak zit, en zorg dat de gevoeligste bakken je Amerikaanse jurisdictie niet in gaan. De enige opstelling waarbij de CLOUD Act-vraag helemaal wegvalt, is data die je pand niet verlaat. Hoe je dat inricht met lokale of EU-soevereine AI, staat bij lokale AI-systemen. De afweging tussen lokaal en een Europese cloud werk ik verder uit in lokaal of cloud, de echte afweging.