Bijna elke grote cloud verkoopt je een Europese regio. Frankfurt, Dublin, Parijs — kies er een, vink het vakje aan, vertel je klanten dat de data in Europa blijft. Dat klopt, en het is niet de hele zin.
Locatie is geen jurisdictie
De vraag die een rechter stelt is niet waar staan de schijven. Het is wie heeft er zeggenschap over de data. Onder de Amerikaanse CLOUD Act kan een Amerikaans bedrijf gedwongen worden data af te geven die het bezit of beheert — ongeacht in welk land de servers staan. Een Europese dochter van een Amerikaans moederbedrijf valt daar gewoon onder.
“Onze data staat in de EU” en “onze data valt uitsluitend onder Europees recht” zijn dus twee verschillende beweringen. De eerste gaat over aardrijkskunde. De tweede gaat over eigendom, en dat is degene die overeind blijft als er een bevel op tafel komt.
Wat je echt moet nagaan
Vier vragen, in de volgorde die ertoe doet. Een hoster die ze niet alle vier schriftelijk kan beantwoorden, heeft er minder over nagedacht dan de marketingpagina suggereert.
- Wie is de eigenaar, en wie is dáár de eigenaar van? Volg het tot boven. Een Nederlands merk met een Amerikaans moederbedrijf is een Amerikaans bedrijf in een Nederlandse jas.
- Wie zijn de sub-verwerkers? Niet alleen het datacenter — ook de CDN, de back-upopslag, de mailrelay, de statistieken, de helpdesksoftware. Elk daarvan is een extra bedrijf in de keten, met een eigen moederbedrijf.
- Waar gaan de back-ups heen? Dit is degene die iedereen vergeet. Een site kan in Frankfurt draaien en back-uppen naar een Amerikaanse bucket, waarmee de complete inhoud van de site alsnog precies daar terechtkomt waar de klant hem weg wilde houden.
- Wat laadt de pagina zelf? Open het netwerktabblad. Een site kan in de EU gehost zijn en tóch het IP-adres van elke bezoeker naar een Amerikaanse CDN, lettertypedienst en analysedienst sturen voordat de pagina klaar is met laden.
Waarom de lengte van de keten telt
Elke sub-verwerker is een bedrijf dat overgenomen, gedwongen of gehackt kan worden. Dat aantal is geen ijdel cijfer: het is het aantal onafhankelijke partijen dat iets zou kunnen afgeven. Het verkleinen ervan is de enige structurele verdediging, omdat het de enige is die niet op een belofte steunt.
Onze eigen keten is twee bedrijven lang: wij, en Hetzner, van wie het datacenter in Falkenstein is. Back-ups gaan naar Europese opslag in een ander datacenter, versleuteld vóórdat ze de server verlaten. Er is geen CDN, geen externe lettertypedienst en geen statistiekendienst — daarom laadt deze pagina niets van een ander domein dan dit. Dat laatste kun je nu meteen zelf controleren in het netwerktabblad.
Wat dit niet betekent
Het betekent niet dat je data buiten elk juridisch proces staat. Een Nederlands bedrijf valt onder Nederlands en Europees recht, en dat is juist het punt en geen maas erin — het recht dat bij ons kan, is het recht waar je zelf al onder valt. Wie beweert dat zijn hosting data buiten alle bereik plaatst, verkoopt iets ergers dan een Amerikaans moederbedrijf.