Wat is de CLOUD Act en wat betekent dat voor mijn data?

Patrick de Veer · 06 jun 2026

De CLOUD Act is een Amerikaanse wet uit 2018 die Amerikaanse overheidsinstanties het recht geeft om bij Amerikaanse techbedrijven data op te vragen, ook als die data buiten de VS is opgeslagen. Dit geldt dus ook voor servers in Europa. Voor Europese bedrijven die gebruikmaken van Amerikaanse clouddiensten zoals Microsoft, Google of Amazon is dit direct relevant: je data kan in principe worden opgevraagd zonder dat jij daar iets van merkt. In dit artikel beantwoorden we de meest gestelde vragen over de CLOUD Act, van wie er precies onder valt tot wat je er praktisch aan kunt doen.

Geldt de CLOUD Act ook voor Europese bedrijven?

De CLOUD Act geldt niet direct voor Europese bedrijven, maar treft hen wel indirect. De wet richt zich op Amerikaanse bedrijven en hun dochterondernemingen. Als jij als Europees bedrijf gebruikmaakt van een Amerikaanse clouddienst, dan is jouw data opgeslagen bij een partij die onder de CLOUD Act valt. De VS kan die provider verplichten jouw gegevens te overhandigen, ook zonder jou daarvan op de hoogte te stellen.

Concreet betekent dit: het maakt niet uit of jouw data op een server in Amsterdam of Dublin staat. Zolang die server wordt beheerd door een Amerikaans bedrijf, valt de data onder de reikwijdte van de CLOUD Act. Voor Europese ondernemers die hun bedrijfsdata in de cloud bewaren, is dit een relevant risico om te kennen.

Welke cloudproviders vallen onder de CLOUD Act?

Alle cloudproviders die zijn opgericht of gevestigd in de Verenigde Staten vallen onder de CLOUD Act. Dit omvat de grootste namen in de markt: Microsoft (inclusief Azure en Microsoft 365), Google (Google Cloud en Google Workspace), Amazon (AWS) en Meta. Ook kleinere Amerikaanse aanbieders vallen hieronder, ongeacht waar hun servers fysiek staan.

Europese cloudproviders zoals IONOS, Hetzner of OVHcloud vallen niet onder de CLOUD Act, zolang zij geen Amerikaanse moedermaatschappij hebben. Dat maakt hen een interessant alternatief voor bedrijven die hun digitale afhankelijkheid van Amerikaanse partijen willen verkleinen. De vraag is dus niet alleen waar je data staat, maar wie de eigenaar is van de infrastructuur.

Wat is het verschil tussen de CLOUD Act en de AVG?

De AVG beschermt Europese burgers en bedrijven tegen onrechtmatige verwerking van persoonsgegevens door te eisen dat data veilig wordt opgeslagen en verwerkt. De CLOUD Act geeft de Amerikaanse overheid het recht om opgeslagen data op te vragen bij Amerikaanse providers. De twee wetten botsen direct: wat de AVG verbiedt, kan de CLOUD Act verplichten.

In de praktijk zitten Europese bedrijven die gebruikmaken van Amerikaanse clouddiensten in een lastige positie. De provider waarvan jij afhankelijk bent, kan wettelijk verplicht worden data te delen met Amerikaanse autoriteiten, terwijl jij als klant tegelijkertijd verplicht bent die data te beschermen op grond van de AVG. Er is geen eenvoudige juridische oplossing voor dit conflict, al werken de EU en de VS aan bilaterale afspraken om dit te reguleren. Tot die tijd blijft de spanning bestaan.

Wat voor data kan de VS opvragen via de CLOUD Act?

Via de CLOUD Act kunnen Amerikaanse autoriteiten in principe alle data opvragen die een Amerikaanse provider beheert. Dit omvat e-mails, documenten, klantgegevens, communicatielogboeken, financiële gegevens en bedrijfsinformatie. Er is geen beperking tot persoonsgegevens. Ook bedrijfsgevoelige informatie zoals contracten, strategische plannen of interne rapporten valt hieronder.

De wet vereist wel een gerechtelijk bevel of dagvaarding. Het gaat dus niet om willekeurige toegang, maar om gerichte verzoeken in het kader van strafrechtelijk onderzoek of nationale veiligheid. Toch is de drempel voor Europese begrippen relatief laag, en de betrokken provider is niet altijd verplicht jou als klant te informeren dat er een verzoek is ingediend.

Hoe bescherm je bedrijfsdata tegen CLOUD Act-toegang?

De meest directe manier om het risico van CLOUD Act-toegang te beperken is overstappen naar een Europese cloudprovider zonder Amerikaanse eigenaar. Daarmee haal je jouw data buiten de reikwijdte van de wet. Dit is voor veel MKB-bedrijven een reële stap, zeker nu er goede Europese alternatieven beschikbaar zijn voor tools als Microsoft 365 en Google Workspace.

Andere maatregelen die je kunt nemen:

End-to-end encryptie toepassen, waarbij alleen jij de sleutels beheert. Zelfs als data wordt overgedragen, is die dan onleesbaar voor derden.
Dataclassificatie invoeren: bepaal welke data echt gevoelig is en sla alleen die data op bij Europese partijen.
Contractuele afspraken maken met je cloudprovider over hoe zij omgaan met overheidsverzoeken en of zij jou daarvan op de hoogte stellen.
Leveranciersrisico in kaart brengen: weet van elke tool die je gebruikt wie de eigenaar is en waar de data staat.

Volledig immuun ben je nooit, maar je kunt het risico aanzienlijk verkleinen door bewuste keuzes te maken over waar je data opslaat en bij wie.

Wat betekent de CLOUD Act voor ESG- en duurzaamheidsdata?

ESG-data en duurzaamheidsrapportages bevatten steeds meer bedrijfsgevoelige informatie: emissiecijfers, leveranciersgegevens, interne doelstellingen en niet-financiële prestaties. Als die data wordt opgeslagen bij een Amerikaanse cloudprovider, valt ook die informatie onder de reikwijdte van de CLOUD Act. Dat is een aandachtspunt dat veel bedrijven over het hoofd zien.

Zeker nu ESG-rapportage onder toenemende regelgeving valt, is de vraag waar en hoe je die data opslaat niet alleen een privacykwestie maar ook een compliancevraagstuk. Bedrijven die werken met gevoelige leveranciers- of ketendata doen er goed aan na te gaan of hun ESG-platform gebruik maakt van Europese of Amerikaanse infrastructuur. Bij GreenAumatic werken we bewust met Europese dataopslag, zodat onze klanten niet onbedoeld afhankelijk worden van Amerikaanse wetgeving voor hun duurzaamheidsdata.

Benieuwd waar jouw bedrijf staat op het gebied van digitale weerbaarheid? Doe de gratis Digitale Weerbaarheid pre-scan en weet het in tien minuten. Geen registratie, direct resultaat.

Frequently Asked Questions

Moet ik mijn klanten informeren als mijn cloudprovider data deelt via de CLOUD Act?

Ja, in de meeste gevallen ben je als verwerkingsverantwoordelijke onder de AVG verplicht om een datalek of ongeautoriseerde doorgifte te melden aan de Autoriteit Persoonsgegevens én aan de betrokken personen, als dit leidt tot een risico voor hun rechten en vrijheden. Het probleem is dat je als klant vaak niet eens weet dat er een verzoek is ingediend, omdat de provider niet altijd een meldplicht heeft richting jou. Dit maakt naleving van de AVG in de praktijk bijzonder lastig bij gebruik van Amerikaanse clouddiensten.

Zijn er Europese alternatieven die écht vergelijkbaar zijn met Microsoft 365 of Google Workspace?

Ja, er zijn inmiddels volwaardige Europese alternatieven beschikbaar. Denk aan Nextcloud (samenwerking en opslag), Proton Drive en Proton Mail (veilige e-mail en opslag), of Collabora Online (documentbewerking). Voor veel MKB-bedrijven bieden deze tools voldoende functionaliteit, al kan de overstap een aanpassingsperiode vereisen. Het is verstandig om eerst een pilot te draaien met een klein team voordat je de volledige organisatie migreert.

Wat als mijn leverancier of partner wél gebruikmaakt van een Amerikaanse cloudprovider?

Ook als jij zelf kiest voor Europese infrastructuur, kunnen gegevens die jij deelt met leveranciers of partners alsnog onder de CLOUD Act vallen als zij Amerikaanse clouddiensten gebruiken. Het is daarom verstandig om in je leverancierscontracten vast te leggen welke eisen je stelt aan dataopslag en -beveiliging. Een grondige leveranciersbeoordeling, ook wel vendor due diligence, is een essentieel onderdeel van een volwassen privacybeleid.

Helpt end-to-end encryptie echt als de provider zelf de sleutels beheert?

Nee, dan biedt encryptie onvoldoende bescherming. Als de cloudprovider de encryptiesleutels beheert, kan hij op verzoek van Amerikaanse autoriteiten de data ontsleutelen en overdragen. Echte bescherming biedt alleen encryptie waarbij jij als klant de sleutels zelf beheert, ook wel 'client-side encryption' of 'bring your own key' (BYOK) genoemd. Controleer dus altijd wie de sleutels beheert voordat je encryptie als privacymaatregel inzet.

Hoe begin ik met het in kaart brengen van mijn CLOUD Act-risico?

Een goede eerste stap is het opstellen van een overzicht van alle cloudtools en SaaS-diensten die je organisatie gebruikt, en per tool te noteren wie de eigenaar is en waar de data staat. Kijk daarna welke van die tools gevoelige bedrijfs- of persoonsdata verwerken. Prioriteer vervolgens de tools met het hoogste risico voor een mogelijke overstap naar Europese alternatieven. De gratis Digitale Weerbaarheid pre-scan van GreenAumatic kan je helpen om snel inzicht te krijgen in waar je organisatie staat.

Verandert het EU-VS Data Privacy Framework iets aan de CLOUD Act-problematiek?

Het EU-VS Data Privacy Framework (DPF), dat in 2023 werd vastgesteld, regelt de doorgifte van persoonsgegevens tussen de EU en de VS en biedt Europese burgers meer rechtsmiddelen bij misbruik. Het framework verandert echter niets aan de CLOUD Act zelf: Amerikaanse autoriteiten kunnen nog steeds data opvragen bij Amerikaanse providers. Het DPF biedt dus geen volledige oplossing voor de spanning tussen de CLOUD Act en de AVG, en privacyexperts wijzen erop dat ook dit framework juridisch aanvechtbaar blijft.

Geldt de CLOUD Act ook voor back-ups en gearchiveerde data?

Ja, de CLOUD Act maakt geen onderscheid tussen actieve data, back-ups of gearchiveerde bestanden. Zolang die data wordt beheerd door een Amerikaanse provider, valt alles onder de reikwijdte van de wet. Dit is een veelgemaakte denkfout: bedrijven die hun primaire systemen al hebben gemigreerd naar Europese providers, maar hun back-ups nog laten draaien via AWS of Azure, blijven dus alsnog blootgesteld aan CLOUD Act-risico's.

Related Articles