Staat je website of e-mail bij een Amerikaans bedrijf, dan heeft de Cloud Act daar iets over te zeggen. Ook als de servers gewoon in Europa staan. In dit artikel lees je wat de wet inhoudt, voor wie hij geldt en hoe je nagaat of jouw gegevens eronder vallen.
De Cloud Act is een Amerikaanse wet waarmee opsporingsdiensten data opvragen bij Amerikaanse techbedrijven, waar die data ook staat. Een datacenter in Amsterdam of Frankfurt maakt dus geen verschil, zolang het bedrijf erachter onder de Amerikaanse wet valt. Bepalend is namelijk niet waar je gegevens liggen, maar wie er zeggenschap over heeft. Voor je website en e-mail draait het daarom om één vraag: wie is je provider, en wie is de eigenaar daarvan?
Wat houdt de Cloud Act precies in?
Cloud Act staat voor Clarifying Lawful Overseas Use of Data Act. De Amerikaanse president ondertekende de wet op 23 maart 2018. Het is een aanvulling op een oudere Amerikaanse wet over opgeslagen e-mail en bestanden.
Kort gezegd moeten Amerikaanse aanbieders van online diensten gegevens afgeven als een Amerikaanse opsporingsdienst daar via een officieel juridisch verzoek om vraagt, zoals een bevel van een rechter. Dat geldt voor alle gegevens die het bedrijf in bezit of onder beheer heeft. De plek waar de server staat, speelt daarbij dus geen rol.
Waarom is deze wet er gekomen?
De aanleiding was een rechtszaak tussen Microsoft en de Amerikaanse overheid. De FBI wilde in 2013 voor een drugsonderzoek e-mails inzien die op een server van Microsoft in Ierland stonden. Microsoft weigerde, omdat die gegevens buiten de Verenigde Staten lagen. Terwijl de zaak bij het Amerikaanse Hooggerechtshof lag, nam het Congres in maart 2018 de nieuwe wet aan. Het Hof verklaarde de zaak een maand later overbodig. De vraag was namelijk beantwoord: ook data in het buitenland valt eronder.
Voor wie geldt deze wet?
De wet geldt voor bedrijven die onder Amerikaans recht vallen. Denk aan de grote tech- en cloudbedrijven achter bekende e-maildiensten, kantoorpakketten en opslagdiensten. Ook hun Europese dochterbedrijven kunnen eronder vallen, omdat het Amerikaanse moederbedrijf zeggenschap heeft over de data.
Een Nederlands bedrijf zonder Amerikaanse eigenaar of vestiging valt er in principe niet onder. Toch is dat niet altijd zo zichtbaar als het lijkt. Een vertrouwde Nederlandse naam kan namelijk eigendom zijn van een buitenlandse investeerder. Lees daarom ook wie er achter jouw hostingprovider zit.
Wat betekent dat voor jouw website en e-mail?
Voor de meeste ondernemers gaat het om drie dingen: je zakelijke e-mail, je website met klantgegevens en de bestanden die je online bewaart. Staan die bij een partij die onder de Cloud Act valt, dan kunnen Amerikaanse diensten ze in bepaalde gevallen opvragen. Daar hoor je daar meestal niets over, want zo’n bevel kan gepaard gaan met een zwijgplicht voor de provider.
Dat betekent niet dat dit dagelijks gebeurt. Het gaat om opsporingsonderzoeken, en een bevel moet aan regels voldoen. Maar de mogelijkheid bestaat, en die kun je als klant zelf niet uitsluiten.
Hoe verhoudt de Cloud Act zich tot de AVG?
Een Amerikaanse provider met Europese klanten zit daardoor klem tussen twee wetten. De wet biedt providers wel een route om een bevel aan te vechten als het botst met buitenlands recht, maar die route is beperkt. Ze geldt namelijk vooral voor landen waarmee de VS een apart akkoord hebben gesloten. Dat zijn er twee: het Verenigd Koninkrijk en Australië. Met de Europese Unie bestaat zo’n akkoord niet. De onderhandelingen daarover zijn in 2023 hervat, maar hebben nog niets opgeleverd.
Wat de AVG verder van je hosting vraagt, lees je in ons artikel over AVG-compliant hosting. De officiële uitleg over de AVG vind je bij de Autoriteit Persoonsgegevens.
En het Data Privacy Framework dan?
Je leest soms dat het EU-US Data Privacy Framework dit oplost. Dat is een afspraak uit 2023 over het doorgeven van persoonsgegevens naar de VS. Het Gerecht van de EU heeft die afspraak in september 2025 overeind gehouden, maar sinds november 2025 loopt er een hoger beroep bij het Europese Hof van Justitie. Bovendien gaat het framework over het doorgeven van gegevens, niet over de Cloud Act zelf. Een Amerikaans bedrijf moet een geldig bevel dus nog steeds opvolgen.
Beschermt een server in Europa je data?
Nee, niet als het bedrijf erachter Amerikaans is. Veel grote aanbieders bieden een Europese regio aan, of een zogeheten soevereine cloud. Je data staat dan fysiek in Europa, maar het moederbedrijf valt nog steeds onder de Amerikaanse wet. Precies daarom geldt: de locatie telt niet, de zeggenschap wel. Dat is ook de kern van digitale soevereiniteit.
Encryptie helpt, maar alleen als jij de sleutel beheert en de provider er zelf niet bij kan. Bij de meeste standaarddiensten heeft de aanbieder die sleutel in handen. In dat geval kan hij de gegevens ook leesbaar afgeven.
Zo check je of jouw provider eronder valt
Met vier vragen weet je snel waar je staat:
- Waar zit het bedrijf, en waar zit het moederbedrijf? Dat vind je in de algemene voorwaarden of in het KvK-uittreksel.
- Wie zijn de subverwerkers? Ook een Nederlandse host kan een Amerikaanse dienst gebruiken, bijvoorbeeld voor spamfilters of back-ups. Dat staat in de verwerkersovereenkomst.
- Waar draait je e-mail? Je website kan in Nederland staan terwijl je mail via een Amerikaanse dienst loopt.
- Wie beheert de encryptiesleutels? Alleen als jij dat bent, kan de provider je data niet leesbaar afgeven.
Twijfel je, vraag het dan gewoon na. Een goede provider geeft daar een helder antwoord op.
Hoe werkt het bij Host in EU?
Host in EU is een Nederlands bedrijf, zonder Amerikaans moederbedrijf of Amerikaanse aandeelhouders. We beheren alles zelf. Je website én je e-mail draaien op onze eigen servers in Nederland, dus ook je mail loopt niet via Google of Microsoft. Waar we met partners werken, kiezen we alleen Nederlandse partijen die voldoen aan onze eis dat alles binnen de EU blijft. Daardoor valt je data onder de Nederlandse en Europese wet, en niet onder de Cloud Act.
Wil je weten wat dat verder betekent voor de privacy van je website, lees dan wat EU-hosting is en waarom het belangrijk is.
Je data onder Europese wetgeving?
Bij Host in EU staan je website en e-mail op Nederlandse servers, bij een Nederlands bedrijf. Hosting vanaf €14,95 per maand inclusief btw, met je domeinnaam en e-mail erbij.
Veelgestelde vragen over de Cloud Act
Staat jouw vraag er niet bij? Stuur ons een e-mail. We antwoorden binnen 1 werkdag.
Wat is de Cloud Act?
De Cloud Act is een Amerikaanse wet uit 2018. Daarmee kunnen Amerikaanse opsporingsdiensten via een juridisch bevel gegevens opvragen bij Amerikaanse techbedrijven, ook als die gegevens op een server buiten de Verenigde Staten staan.
Geldt de Cloud Act ook als mijn data in Europa staat?
Ja, als het bedrijf dat je data beheert onder Amerikaans recht valt. De wet kijkt naar wie zeggenschap heeft over de gegevens, niet naar de plek van de server.
Valt mijn Nederlandse hostingprovider onder de Cloud Act?
Alleen als hij een Amerikaanse eigenaar of vestiging heeft. Let daarnaast op subverwerkers: gebruikt je host een Amerikaanse dienst voor bijvoorbeeld e-mail of back-ups, dan kunnen die gegevens alsnog geraakt worden.
Is de Cloud Act in strijd met de AVG?
De twee kunnen botsen. Volgens artikel 48 van de AVG mag een bevel van een rechter buiten de EU alleen leiden tot het doorgeven van persoonsgegevens als er een internationaal verdrag aan ten grondslag ligt. De Cloud Act verplicht Amerikaanse bedrijven juist om af te geven. Die bedrijven zitten daardoor klem tussen beide wetten.
Beschermt encryptie mijn data tegen de Cloud Act?
Alleen als jij de sleutel beheert en de provider er niet bij kan. Bij de meeste standaarddiensten heeft de aanbieder de sleutel zelf, en kan hij de gegevens dus ook leesbaar afgeven.
Wat is het verschil tussen de Cloud Act en FISA?
De Cloud Act gaat over opsporing in strafzaken, met een bevel van een rechter. FISA is een andere Amerikaanse wet, die inlichtingendiensten bevoegdheden geeft om gegevens van niet-Amerikanen op te vragen bij Amerikaanse bedrijven. Voor jou is de kern hetzelfde: bepalend is of je provider onder Amerikaans recht valt.
Wil je je website en e-mail onderbrengen bij een Nederlands bedrijf, met servers in Nederland? Bekijk dan de hostingpakketten van Host in EU.
