Wat is datasoevereiniteit en waarom is het belangrijk voor je foto's?

Datasoevereiniteit komt voor in bijna elk privacybeleid en op elke marketingpagina die je leest. Cloudaanbieders verwijzen ernaar. Overheden gebruiken het in wetgeving. Startups bouwen er hele merken op. Maar als je drie mensen vraagt wat het betekent, krijg je meestal vier verschillende antwoorden.

Dat is een probleem, want de term heeft wel degelijk een specifieke betekenis, en het verschil tussen de technische definitie en de marketingversie is het verschil tussen echte bescherming en een juridisch achterdeurtje.

Wat datasoevereiniteit echt betekent

Datasoevereiniteit is het principe dat data onderworpen is aan de wetten van het land waarin de data zich fysiek bevindt. Als je foto’s op servers in Duitsland staan, geldt Duits recht. Als ze in Ierland staan, geldt Iers recht. En omdat Ierland en Duitsland beide EU-lidstaten zijn, bepalen EU-verordeningen zoals de GDPR hoe de data mag worden verzameld, verwerkt en gedeeld.

Het concept klinkt eenvoudig. In de praktijk wordt het gecompliceerd door drie dingen die de meeste privacypagina’s niet uitleggen.

De drie lagen van soevereiniteit

Om te begrijpen of een dienst werkelijk datasoevereiniteit biedt, moet je drie afzonderlijke vragen stellen.

Waar bevindt de data zich fysiek? Dit is de laag waar de meeste mensen zich op richten. Als een dienst zegt “data opgeslagen in de EU”, betekent dat meestal dat hun servers in een EU-datacentrum staan. Dat is noodzakelijk, maar niet voldoende.

Wie beheert de infrastructuur? De fysieke server kan in Frankfurt staan, maar als een Amerikaanse cloudaanbieder de beheerder is, is die aanbieder gebonden aan Amerikaans recht. Wanneer de Amerikaanse overheid een verzoek indient, reageert de beheerder, ongeacht waar de machine staat.

Waar is het bedrijf geregistreerd? Dit is de laag die bepaalt welke wetten het bedrijf zelf moet volgen. Een bedrijf dat in Californië is geregistreerd, valt onder Amerikaans recht, inclusief de CLOUD Act, ongeacht waar de servers of klanten zich bevinden.

Voor datasoevereiniteit die stand houdt, moeten alle drie de lagen op één lijn zitten. De server moet in het relevante rechtsgebied staan, de beheerder moet onderworpen zijn aan het recht van dat rechtsgebied, en het bedrijf mag niet juridisch verplicht zijn te voldoen aan verzoeken van een buitenlandse overheid.

Waarom “opgeslagen in de EU” niet genoeg is

Het verschil tussen de marketingclaim en de juridische realiteit werd duidelijk met een uitspraak van het Hof van Justitie van de Europese Unie in 2020, bekend als Schrems II. Het Hof oordeelde dat de overdracht van persoonsgegevens van de EU naar de VS Europeanen niet voldoende beschermde tegen Amerikaanse surveillancewetten, zelfs wanneer de data zelf de Atlantische Oceaan nooit overstak.

De redenering van het Hof was direct. Als een Amerikaans bedrijf de data houdt, reikt Amerikaans recht ernaar, waar de servers ook staan. De opslaglocatie alleen bepaalt niet welke wetten van toepassing zijn.

Daarom is “gehost in de EU” een veelgebruikte zin en een zwakke claim. Het dekt alleen de eerste van de drie lagen. Zonder de andere twee houdt de bescherming die het suggereert geen stand.

Wat de CLOUD Act verandert

De Amerikaanse CLOUD Act is aangenomen in 2018. Deze wet geeft Amerikaanse autoriteiten de bevoegdheid om Amerikaanse bedrijven te verplichten data te overhandigen die zij bezitten of beheren, ongeacht waar die data fysiek is opgeslagen.

Dit betekent dat een Amerikaanse cloudaanbieder die servers in Nederland beheert, wettelijk verplicht kan worden data die op die servers staat over te dragen aan Amerikaanse autoriteiten. De Nederlandse overheid hoeft niet geïnformeerd te worden. De betreffende gebruiker hoeft niet op de hoogte gebracht te worden. De bescherming van de GDPR overrulet het verzoek niet.

De GDPR beperkt wat bedrijven op eigen initiatief met je data doen. De CLOUD Act staat een specifieke externe partij toe om dat te overrulen. Beide wetten zijn tegelijkertijd van kracht, en ze wijzen in tegengestelde richtingen.

Onze collega heeft een uitgebreidere uitleg geschreven over hoe de CLOUD Act werkt en wat het betekent voor fotopslag.

Wat echte EU-datasoevereiniteit vereist

Voor een dienst om echte EU-datasoevereiniteit te bieden, moet aan drie voorwaarden worden voldaan.

De data moet worden opgeslagen op servers binnen de EU. De infrastructuurbeheerder moet onderworpen zijn aan EU-recht. Het bedrijf dat de dienst bezit, moet in de EU geregistreerd zijn en vrij zijn van Amerikaanse moedercontrole.

Wanneer alle drie waar zijn, wordt de dienst geregeerd door EU-recht, en alleen EU-recht. Een verzoek van de Amerikaanse overheid heeft geen juridische toegang tot de data.

Wanneer een van deze ontbreekt, is de soevereiniteitsclaim gedeeltelijk. Het kan nog steeds verbeteringen bieden ten opzichte van andere opties, maar het biedt niet de bescherming die de term suggereert.

Waarom dit belangrijk is voor je foto’s

Foto’s zijn een van de meest persoonlijke categorieën data die je ergens uploadt. Ze bevatten je gezicht, de gezichten van de mensen die dicht bij je staan, de plekken waar je komt en de tijdstempels van je dagelijkse leven. Het metadata-artikel laat zien hoeveel informatie een enkel fotobestand meedraagt.

Wanneer je kiest waar je die bibliotheek opslaat, is de soevereiniteitsvraag niet abstract. Het bepaalt wie toegang tot die foto’s kan afdwingen, onder welk juridisch kader, en met welke rechtsgang.

Wat PixelUnion doet

PixelUnion is geregistreerd in de EU. Onze servers staan in de EU. Onze infrastructuur wordt beheerd onder EU-recht. Er is geen Amerikaans moederbedrijf, en er is geen juridische weg waarlangs de CLOUD Act de data van onze klanten bereikt.

Dit is geen marketingbeslissing. Het is een structurele beslissing over wat “opgeslagen in de EU” moet betekenen om de term eerlijk te laten zijn.

Het GDPR-artikel behandelt de rechten die de verordening je geeft en hoe ze in de praktijk werken. Datasoevereiniteit is de onderliggende voorwaarde die die rechten überhaupt afdwingbaar maakt.

Wil je zien hoe EU-soevereiniteit zich vertaalt naar een werkend alternatief voor Amerikaanse diensten? Onze collega heeft een praktische gids samengesteld over volledig overstappen van Big Tech, met concrete alternatieven voor elke dienst.