De risico's van Amerikaanse cloudplatforms, direct of indirect, ook als de servers en de data in de EU staan.

Zij zijn eigenaar van de data over uw publiek

Wij raden organisaties af om Amerikaanse clouddiensten te gebruiken, ook als de servers en de data in de EU staan. Een belangrijke reden is eenvoudig en wordt vrijwel altijd over het hoofd gezien: elke Amerikaanse clouddienst genereert automatisch cruciale metadata, namelijk toegangslogs, sessiegegevens, IP-adressen, apparaat- en locatiegegevens, tijdstempels, en welke webpagina, welk object, welke video, livestream of welk document is geopend, wanneer en hoe lang. Die metadata bevat persoonsgegevens van uw kijkers. De provider genereert haar, slaat haar onversleuteld op in systemen onder Amerikaans toezicht en wordt er automatisch eigenaar van, niet u.

Dat is een serieus risico, want de provider heeft toegang tot de persoonsgegevens van uw publieken kan meekijken met wat uw kijkers bekijken. Bovendien kan hij hen profileren. Wat als iemand via uw videoplatform politiek gevoelige content bekijkt? Wat als de provider ZIJN data over UW kijkers combineert met andere datasets en profielen, en uw kijkers individueel gaat targeten? Wat als hij UW publieksdata door AI haalt, daardoor diep inzicht krijgt in uw bereikcijfers, uw publiek en uw bedrijf, en vervolgens met u concurreert met uw eigen data, die juridisch van hem is? U denkt misschien dat mensen en organisaties zo ver niet zouden gaan. Kijk dan eens hoe weinig scrupules de sector heeft getoond bij het opzuigen van persoonsgegevens rond advertenties.

Versleuteling helpt hier niet. U kunt de content die u opslaat versleutelen met uw eigen sleutels, maar de metadata die de provider over uw gebruikers aanmaakt, kunt u niet versleutelen, niet inzien en niet meenemen. Ook EU-dataresidentie helpt niet: de logs worden namelijk op de systemen van de provider gegenereerd en zijn van de provider, ongeacht waar de servers staan.

De bekendere risico's: gedwongen uitlevering en afsluiting

Daarbovenop loopt u de bekendere risico's. Een Amerikaanse provider kan onder Amerikaanse wetgeving (de CLOUD Act, FISA) gedwongen worden deze data te overhandigen, waar de servers ook staan en zonder echte rechtsmiddelen voor Europeanen. En uw dienst kan worden uitgeschakeld. Amerikaanse providers zijn gebonden aan Amerikaanse presidentiële decreten, sancties en exportbeperkingen en zullen die opvolgen, wat er ook in uw contract staat. In 2025 leidden Amerikaanse sancties ertoe dat een Amerikaanse provider de e-mail van de hoofdaanklager van het Internationaal Strafhof blokkeerde. Technische infrastructuur is al meer dan eens politiek als wapen ingezet.

Als video en streaming uw kernactiviteit zijn, raakt dit u hard: in uw omzet, uw reputatie en mogelijk het voortbestaan van uw bedrijf. U hoeft niet eens zelf het doelwit te zijn. Ook als u volkomen onschuldig bent, maar op een platform zit dat ook iemand host die terecht of onterecht als ongewenste persoon of organisatie is aangemerkt, kunt u slachtoffer worden wanneer die dienst op zwart gaat. Er is geen opzegtermijn en geen plan B, tenzij u dat vooraf heeft ingebouwd.

Boetes, reputatieschade en washing

Daarnaast riskeert u boetes en reputatieschade omdat u zich niet aan de wet houdt, of omdat uw leverancier aan sovereignty-washing of privacy-washing doet en u uw huiswerk niet heeft gedaan. “Soeverein”, “EU-hosted” en “privacy by design” zijn marketinglabels zolang ze niet zijn geverifieerd. Controleer daarom het eigendom en de uiteindelijke jurisdictie, de werkelijke technologiestack en de keten van subverwerkers, waar gebruiks- en supportdata naartoe gaan, wie de sleutels beheert, en het compliancebewijs zelf (verwerkersovereenkomst, transfer impact assessment, certificeringen, auditrapporten). Onder de AVG (GDPR) blijft de verantwoordelijkheid bij u als klant. Hun tekortkoming en hun misleiding worden dan ineens uw probleem. De Autoriteit Persoonsgegevens legde Uber in 2024 een boete op van 290 miljoen euro voor onveilige doorgifte naar de VS.

Wat de wet zegt: twee blogs van Sjoera Nas

Sjoera Nas, privacy-expert en adviseur bij Privacy Company, publiceerde onlangs, in september 2026, twee blogs over dit onderwerp. Haar analyse onderbouwt het bovenstaande:

  • De toestemming om data naar de VS door te geven is formeel nog geldig, maar uitgehold. De EU staat doorgifte toe omdat de Europese Commissie in 2023 besloot dat de VS “passende” bescherming bood (het EU-US Data Privacy Framework). Let op: dit adequaatheidsbesluit geldt alleen voor Amerikaanse bedrijven die zich vrijwillig onder het EU-US DPF hebben gecertificeerd. Voor alle andere Amerikaanse providers gold het nooit en vereist doorgifte al andere waarborgen. De Nederlandse staatssecretaris van Justitie bevestigde op 27 augustus 2026 dat het besluit nog van kracht is. Maar de waarborgen waarop het rust, zijn ontmanteld: de Amerikaanse toezichtraad (PCLOB) heeft zijn leden verloren en kan niet functioneren, het presidentiële decreet waarop de afspraak rust, is mogelijk ingetrokken door een geheim presidentieel besluit, en op 29 juni 2026 oordeelde het Amerikaanse Hooggerechtshof dat de president onafhankelijke toezichthouders naar believen mag ontslaan. Europese toezichthouders sloegen op 31 juli 2026 formeel alarm bij de Commissie. Het Hof van Justitie heeft al twee eerdere EU-VS-afspraken vernietigd, een derde zaak (Latombe) loopt nog, en een vernietiging gaat direct in, zonder overgangsperiode. De Nederlandse overheid waarschuwt nu al tegen providers onder niet-Europees recht voor kerntaken.
  • Contracten (SCC's) zijn geen terugvaloptie. Standard Contractual Clauses, oftewel standaardcontractbepalingen, zijn een schriftelijke belofte van de provider om de EU-regels te volgen. Ze dekken alleen de content die u opslaat. Voor account-, diagnose-, support- en websitedata, precies de hierboven beschreven metadata, treedt de provider op als zelfstandig verwerkingsverantwoordelijke, buiten het contract. De provider moet de risico's van de doorgifte beoordelen, maar hoeft die beoordeling niet met u te delen; grote providers beroepen zich op juridisch verschoningsrecht. Privacy Company heeft nog nooit meegemaakt dat een provider klanten waarschuwde voor gewijzigde wetten of overheidsbevelen. Bovendien oordeelde het Hof in Schrems II dat doorgifte op basis van SCC's moet stoppen wanneer de wetgeving van het ontvangende land passende bescherming verhindert, en een vernietiging zou dat voor de VS vaststellen. Ook zolang SCC's formeel nog als geldig worden beschouwd, zijn de risico's veel te groot om erop te vertrouwen.
  • Versleuteling dekt alleen opgeslagen content. Versleuteling met eigen sleutelbeheer is noodzakelijk voor gevoelige data als u op Amerikaanse platforms blijft, maar u riskeert alles kwijt te raken als het sleutelbeheer faalt, en het doet niets voor de metadata die de provider zelf genereert.
  • EU-dataresidentie dekt alleen content. Gebruiks- en accountdata gaan nog steeds naar de VS en naar onderaannemers in derde landen zoals India, de Filipijnen, Kenia of Ghana.

Wat u nu kunt doen

  1. Inventariseer en bepaal een exitstrategie. Breng elke afhankelijkheid van niet-Europese providers in kaart, inclusief de gebruiksdata achter “alleen-EU”-opslag. Stel per dienst een exitplan op voordat een rechterlijke uitspraak of een politiek besluit u ertoe dwingt.
  2. Heronderhandel. Beoordeel alle verwerkersovereenkomsten. Vraag providers om schriftelijk toe te zeggen dat zij overstappen naar een uitsluitend Europese provider als het adequaatheidsbesluit vervalt. Blijf doorvragen wanneer een provider zegt dat “de content in de EU blijft”.
  3. Kies Europees. Van de hoogste naar de laagste bescherming: een 100% Europese provider met het vereiste soevereiniteitsniveau (bijvoorbeeld SEAL-3); een Europese provider op Europese of Amerikaanse technologie; een “sovereign cloud” van een Amerikaanse provider (Amerikaanse autoriteiten kunnen nog steeds bij de gebruiksdata); versleuteling met eigen sleutelbeheer op Amerikaanse platforms als laatste redmiddel. Voor de metadatalaag lost alleen de eerste optie het probleem echt op.
  4. Toets elke leverancier. Verifieer technisch en aan de hand van compliancedocumentatie, om sovereignty-washing en privacy-washing te voorkomen. Een leverancier die zijn documentatie niet wil laten zien, vraagt u namelijk zijn risico te dragen.
  5. Investeer in mensen. School systeembeheerders om naar Europese alternatieven. Er zijn volwassen opties beschikbaar; zie european-alternatives.eu en eualternative.eu.

Bronnen: Sjoera Nas, Privacy Company: Mag je nog persoonsgegevens doorgeven naar de VS? (3 september 2026), https://www.privacycompany.eu/nl/blog/mag-je-nog-persoonsgegevens-doorgeven-naar-de-vs; Mag je nog persoonsgegevens doorgeven op basis van SCC’s als de VS niet meer adequaat zijn? (10 september 2026), https://www.privacycompany.eu/nl/blog/mag-je-persoonsgegevens-doorgeven-obv-sccs-als-vs-niet-adequaat-zijn.

Terug naar alle blogs