De meeste “EU-data”-garanties rusten op een stille aanname: dat data in een Europees datacentrum buiten het bereik van buitenlandse autoriteiten valt. Voor data die een Amerikaans bedrijf verwerkt, klopt die aanname niet. En het is de moeite waard om precies te begrijpen waarom.
Wat de CLOUD Act zegt
De CLOUD Act, in 2018 tot Amerikaanse wet ondertekend, voegde 18 U.S.C. § 2713 toe aan de Stored Communications Act. Die verplicht een aanbieder data af te geven die in zijn “possession, custody, or control” is, in de woorden van de wet zelf “regardless of whether” die data “is located within or outside of the United States”. De fysieke locatie is dus per definitie niet doorslaggevend.
Het volgt het bedrijf, niet de server
De verplichting bindt elke aanbieder die onder Amerikaanse jurisdictie valt: bedrijven die in de VS gevestigd zijn, en buitenlandse bedrijven met wezenlijke Amerikaanse activiteiten. Amerikaanse rechters lezen “control” ruim, want de praktische mogelijkheid of het juridische recht om data te verkrijgen volstaat al. Een Amerikaans moederbedrijf dat zijn Europese dochter kan opdragen data te leveren, beheerst die data volgens de wet, ook als de data Europa fysiek nooit verlaat.
Een contract kan een wet niet opzijzetten
Dataresidentie-clausules, standaardcontractbepalingen en “sovereign cloud”-programma’s zijn privéafspraken. Ze beperken wie er dagelijks bij de data kan, maar ze nemen niet de wettelijke plicht weg om aan een geldig Amerikaans bevel te voldoen. De Europese toezichthouders zelf, de EDPB en EDPS, oordeelden dat zulke contracten geen kracht hebben tegen Amerikaanse gerechtelijke of bestuurlijke bevelen.
Toen de Franse Senaat Microsoft in juni 2025 onder ede vroeg of het kon garanderen dat Franse data nooit aan Amerikaanse autoriteiten zou worden doorgegeven, antwoordde het bedrijf botweg dat het dat niet kon.
Wat de blootstelling wegneemt
De blootstelling verdwijnt pas als er nergens in de keten een bedrijf onder Amerikaanse jurisdictie zit. Dat is het ontwerpprincipe achter onze producten: gehost op onze sovereign cloud in Nederland en Duitsland, of volledig op je eigen infrastructuur, gebouwd op Mistral en lokale modellen, zonder Amerikaanse aanbieder die gedwongen kan worden.