Aangetekend Mailen, Beveiligd Mailen
Wat betekent de Amerikaanse wet voor gemeentelijke gegevens?
Wat betekent de Amerikaanse CLOUD Act voor gemeenten? Lees hoe de CLOUD Act zich verhoudt tot de AVG, datasoevereiniteit en de keuze voor cloudleveranciers.
Veilig
Bescherm gevoelige overheidscommunicatie met Beveiligd Mailen om cyberaanvallen en datalekken te voorkomen.
Gecertificeerd
Vertrouw gevoelige data toe waarbij de veiligheid, integriteit en beschikbaarheid essentieel zijn. Informatiebeveiliging zit in ons DNA en dat tonen we aan met certificeringen en accreditaties.
Rechtsgeldig
Verstuur privacygevoelige informatie conform AVG- en archiefwetgeving, zodat je juridisch sterk staat.
Versnipperde communicatie
Afdelingen gebruiken verschillende kanalen voor e-mail, bestanden, ondertekening en formele verzending. Daardoor ontbreekt centraal overzicht en wordt dossiervorming onnodig ingewikkeld.
Onvoldoende bewijslast
Bij een besluit, bezwaar, aanmaning of handhavingsprocedure is “het bericht is verzonden” niet altijd genoeg. U wilt aantoonbaar kunnen vaststellen wat er is gebeurd en wanneer.
Onzekerheid over data
Gemeenten moeten weten waar gegevens worden verwerkt, welke partijen toegang kunnen hebben en onder welke jurisdictie de dienstverlening valt.
Aantoonbaarheid bij audits
Passende beveiligingsmaatregelen nemen is één ding. Bij audits, incidenten of juridische discussies moet u ook kunnen laten zien dat deze maatregelen daadwerkelijk zijn toegepast.
CLOUD Act en gemeenten
Wat betekent de Amerikaanse CLOUD Act voor gemeentelijke gegevens?
Steeds meer gemeenten maken gebruik van cloudoplossingen voor e-mail, documentbeheer en digitale samenwerking. Daardoor ontstaat ook meer aandacht voor de Amerikaanse CLOUD Act. Deze wet kan onder bepaalde omstandigheden Amerikaanse autoriteiten de mogelijkheid geven om gegevens op te vragen bij Amerikaanse technologiebedrijven, ook wanneer die gegevens buiten de Verenigde Staten zijn opgeslagen.
Dat betekent niet dat Europese privacywetgeving vervalt of dat iedere Amerikaanse cloudoplossing onveilig is. Wel is het voor gemeenten belangrijk om inzicht te hebben in leveranciers, gegevensopslag en de juridische context waarin gegevens worden verwerkt. De CLOUD Act is daarom vooral een onderwerp van risicobeheersing, leveranciersmanagement en datasoevereiniteit.
In het kort
Voor wie?
Gemeenten, CISO’s, CIO’s, informatiemanagers, privacy officers en inkopers.
Waar gaat het over?
De invloed van de Amerikaanse CLOUD Act op gegevens die worden verwerkt door Amerikaanse technologiebedrijven.
Waarom is dit relevant?
Omdat gemeenten bewust moeten omgaan met leveranciers, gegevensopslag en digitale autonomie.
Gerelateerde onderwerpen
- Datasoevereiniteit
- AVG
- BIO2
- Cyberbeveiligingswet
- Leveranciersmanagement
Weet je onder welke wetgeving jouw cloudleveranciers vallen?
Veel gemeenten gebruiken dagelijks cloudoplossingen.
Microsoft 365.
CRM-systemen.
Documentmanagement.
Samenwerkingsplatformen.
Dat is op zichzelf niet bijzonder.
De vraag is echter:
Onder welke wetgeving vallen de organisaties die deze diensten leveren?
Die vraag gaat verder dan de locatie van een datacenter.
Ook de juridische structuur van een leverancier kan invloed hebben op de manier waarop gegevens worden opgevraagd of verwerkt.
Wat is de CLOUD Act?
Gemeenten beheren vitale publieke dienstverlening en verwerken grote hoeveelheden pBewijslast Rechtsgeldig communiceren betekent dat een digitale communicatievorm voldoet aan de eisen die De Clarifying Lawful Overseas Use of Data Act (CLOUD Act) is een Amerikaanse wet uit 2018.
De wet maakt het onder bepaalde voorwaarden mogelijk dat Amerikaanse opsporingsinstanties gegevens kunnen opvragen bij Amerikaanse aanbieders van elektronische communicatiediensten en clouddiensten.
Dat kan ook betrekking hebben op gegevens die buiten de Verenigde Staten zijn opgeslagen.
De CLOUD Act is bedoeld om strafrechtelijk onderzoek mogelijk te maken wanneer gegevens zich buiten de VS bevinden.
Betekent dit dat Amerikaanse cloudoplossingen verboden zijn?
Nee.
Dat is een veelgehoord misverstand.
De CLOUD Act verbiedt Europese organisaties niet om Amerikaanse cloudleveranciers te gebruiken.
Ook betekent de wet niet dat Amerikaanse autoriteiten onbeperkt toegang hebben tot alle gegevens.
Wel kan de CLOUD Act invloed hebben op de juridische risicoafweging die organisaties maken bij de keuze voor een leverancier.
Daarom is het verstandig om niet alleen naar technische beveiliging te kijken, maar ook naar de juridische context waarin gegevens worden verwerkt.
Waarom is de CLOUD Act relevant voor gemeenten?
Gemeenten verwerken veel informatie die vertrouwelijk is.
Bijvoorbeeld:
- persoonsgegevens;
- gegevens binnen het sociaal domein;
- belastinginformatie;
- vergunningdossiers;
- personeelsgegevens;
- bestuurlijke documenten.
Bij de keuze voor software kijken gemeenten daarom steeds vaker naar:
- informatiebeveiliging;
- privacy;
- leveranciersrisico’s;
- digitale autonomie;
- datasoevereiniteit.
De CLOUD Act speelt binnen die bredere afweging een belangrijke rol.
De juiste communicatiemethode hangt af van het risico, de inhoud en de juridische context.
CLOUD Act, AVG en datasoevereiniteit
Deze onderwerpen worden regelmatig door elkaar gehaald.
Toch zijn het verschillende begrippen.
Juist de combinatie van deze onderwerpen bepaalt hoe gemeenten omgaan met leveranciers en digitale communicatie.
Vijf vragen die gemeenten zichzelf kunnen stellen
Bij de selectie van een leverancier is het verstandig om onder andere deze vragen te beantwoorden:
- Waar worden onze gegevens opgeslagen?
- Onder welke wetgeving valt de leverancier?
- Welke afspraken zijn gemaakt over gegevensverwerking?
- Welke certificeringen en audits heeft de leverancier?
- Past deze leverancier binnen ons informatiebeveiligingsbeleid?
Datasoevereiniteit gaat uiteindelijk over het maken van bewuste keuzes.
Wat betekent dit voor digitale communicatie?
Digitale communicatie behoort tot de belangrijkste informatiestromen binnen gemeenten.
Daarom is het verstandig om ook hierbij stil te staan bij vragen als:
- Waar worden berichten verwerkt?
- Onder welke jurisdictie vallen de gegevens?
- Hoe wordt de integriteit van documenten beschermd?
- Kan verzending achteraf worden aangetoond?
- Sluit de oplossing aan bij BIO2 en de AVG?
Door deze vragen vroeg in het selectieproces mee te nemen ontstaat meer grip op risico’s.
Hoe ondersteunt Aangetekend gemeenten?
Aangetekend ondersteunt gemeenten die bewust kiezen voor betrouwbare digitale communicatie binnen een Nederlandse en Europese context.
Daarbij staan centraal:
- Nederlandse organisatie;
- verwerking onder Nederlandse en Europese wetgeving;
- transparantie over gegevensverwerking;
- ondersteuning van veilige en aantoonbare digitale communicatie.
Datasoevereiniteit is één van de onderwerpen die hierbij een rol spelen, naast informatiebeveiliging, privacy en juridische betrouwbaarheid.
Veelgestelde vragen
Wat is de CLOUD Act?
De CLOUD Act is een Amerikaanse wet die het onder bepaalde voorwaarden mogelijk maakt dat Amerikaanse opsporingsinstanties gegevens opvragen bij Amerikaanse aanbieders van elektronische communicatiediensten en clouddiensten.
Geldt de CLOUD Act ook voor gegevens die in Europa zijn opgeslagen?
Dat kan. De CLOUD Act richt zich op de aanbieder van de dienst en niet uitsluitend op de fysieke locatie van de gegevens. De precieze toepassing hangt af van de omstandigheden en de juridische context.
Verbiedt de AVG het gebruik van Amerikaanse cloudleveranciers?
Nee. De AVG verbiedt het gebruik van Amerikaanse leveranciers niet. Wel stelt de AVG eisen aan de bescherming van persoonsgegevens en internationale doorgiften van gegevens.
Is iedere Amerikaanse cloudoplossing onveilig?
Nee. Veiligheid hangt af van meerdere factoren, waaronder technische beveiligingsmaatregelen, contractuele afspraken, certificeringen en de juridische context. De CLOUD Act is één van de aspecten die gemeenten kunnen meewegen in hun risicobeoordeling.
Waarom speelt datasoevereiniteit hierbij een rol?
Datasoevereiniteit gaat over de controle over gegevens, de toepasselijke wetgeving en de afhankelijkheid van leveranciers. De CLOUD Act maakt duidelijk dat ook juridische factoren invloed kunnen hebben op de verwerking van gegevens.
Waar moeten gemeenten op letten bij leveranciers?
Let onder andere op de locatie van gegevensopslag, de juridische structuur van de leverancier, certificeringen, transparantie over gegevensverwerking, contractuele afspraken en de aansluiting op het informatiebeveiligingsbeleid van de gemeente.
Aangetekend
Wil je graag meer weten?
Ontdek hoe Aangetekend je kan helpen met veilig mailen en moeiteloze compliance.
Vertrouwen en continuïteit
Aangetekend is erkend als onderdeel van de vitale digitale infrastructuur van Nederland.
We waarborgen continuïteit en datasoevereiniteit — jouw communicatie blijft binnen Europa, vrij van de Cloud Act.
