Staatssecretaris: datadoorgifte naar VS kan vooralsnog gewoon doorgaan

Lekker dan... “voorlopig” dus. Bij privacy en de Amerikanen weet je gewoon: eerst alles doorsturen en later kijken we wel of het juridisch mocht. En als het misgaat mag de burger weer formulieren invullen.

Het lastige is dat SCC’s op papier keurig kunnen zijn, maar een Nederlands bedrijf daarmee geen Amerikaanse overheidsdienst buiten de deur houdt als die toegang opeist. Organisaties zouden daarom niet alleen moeten vragen “mag het?”, maar ook “kan ik dit systeem morgen vervangen?”; die tweede vraag bepaalt pas echt hoe afhankelijk we zijn.

Het gaat niet alleen om waar de data juridisch mág staan, maar ook om wie de stekker eruit kan trekken als Washington morgen van mening verandert. “Voorlopig” is bij privacy inmiddels gewoon de IT-versie van een nooduitgang zonder deur.

Het onderschatte punt is de bewijslast bij organisaties zelf. Een SCC tekenen is geen vrijbrief: je moet in casu kunnen aantonen dat de Amerikaanse ontvanger feitelijk voldoende bescherming biedt en ingrijpen als dat niet zo is. Dat vraagt om doorlopende controles, niet om één vinkje bij de contractverlenging.

Men vergeet gemakkelijk dat dit niet alleen een privacykwestie is, maar ook een kwestie van staatsmacht en continuïteit. Een Nederlandse gemeente of ziekenhuis kan zich niet afhankelijk maken van een buitenlandse leverancier die morgen door een politieke beslissing onbereikbaar wordt; dan is een Europese back-up geen luxe maar gewoon behoorlijk bestuur. Juridisch kan het voorlopig doorgaan, maar bestuurders moeten verder kijken dan de geldigheidsdatum van een besluit.

Het juridische moeras wordt zo langzamerhand belangrijker gemaakt dan de praktische vraag of organisaties hun gegevens nog kunnen beheersen. Bovendien verschuift de verantwoordelijkheid handig naar bedrijven en instellingen: zij moeten zelf maar beoordelen of Amerikaanse toegang een risico vormt, terwijl de benodigde kennis en onderhandelingsmacht daar vaak ontbreken. Een regeling die alleen werkt zolang iedereen dezelfde politieke interpretatie deelt, is geen stevige rechtsbasis maar uitgesteld gedoe.

Leuk dat wij wel naar Amerika mogen doorsturen, maar een Amerikaanse CLOUD-boer hoeft hier niet eens fysiek te zitten om mee te kijken. Zet gevoelige zooi gewoon op Europese servers en laat die cowboys lekker hun eigen data bewaren, ey.

Wat in dit soort discussies vaak ontbreekt: de kleine organisaties die helemaal geen privacyjurist of ICT-afdeling hebben. Ik zie dagelijks instellingen die een Amerikaans pakket gebruiken omdat het ooit goedkoop en makkelijk was; van hen verwachten dat ze zelf geopolitieke risico’s blijven beoordelen is geen bescherming maar afschuiven van verantwoordelijkheid.