Leafcloud: ‘Amerikaanse cloudproviders doen aan ‘sovereignty washing’’

De grote Amerikaanse cloudproviders - Amazon Web Services (AWS), Microsoft en Google - hebben elk een portfolio van "soevereine" cloudproducten geïntroduceerd voor de Europese markt, waarbij ze dataresidentie, in Europa gevestigd personeel en lokale juridische entiteiten presenteren als antwoord op de Europese zorgen over toegang van buitenlandse overheden tot data.

Leafcloud heeft onderzocht of die aanbiedingen daadwerkelijk soevereiniteit bieden. Hiervoor zijn aanbiedingen getoetst aan het Amerikaanse recht, de Europese rechtspraak en de eigen documentatie van de aanbieders. De centrale conclusie in het rapport the Sovereignity Gap is dat de drie onderdelen die op het spel staan - waar data zich fysiek bevindt, wie de omgeving dagelijks beheert, en welke rechtsorde uiteindelijk openbaarmaking kan afdwingen - van elkaar te onderscheiden zijn, en dat de marketing van de providers de neiging heeft om de derde eigenschap te verdoezelen. Een bedrijfsgroep met een Amerikaanse moedermaatschappij blijft onderworpen aan Amerikaans recht, waar haar servers zich ook bevinden.

Het mechanisme is bovendien structureel. De Amerikaanse CLOUD Act volgt zeggenschap, niet serverlocatie: een Amerikaans moederbedrijf dat de aandelen houdt en het bestuur benoemt van een Europese dochter blijft voor de data van die dochter aanspreekbaar voor Amerikaanse rechters, waar de servers ook staan.

Het bewijs komt grotendeels van overheden en van de aanbieders zelf. Zo neemt het rapport het besluit van de Nederlandse investeringstoetsingsautoriteit - Bureau Toetsing Investeringen (BTI) - mee om de voorgenomen Amerikaanse overname van de Nederlandse IT-dienstverlener Solvinity door het Amerikaanse Kyndryl te blokkeren. De kern van de blokkade was dat Amerikaans eigenaarschap vitale Nederlandse data onder Amerikaanse jurisdictie zou brengen, wat onaanvaardbare risico's voor het publiek belang en de nationale veiligheid met zich meebracht.

Het rapport vat het als volgt samen: first-party hyperscaler-aanbiedingen kunnen geloofwaardig dataresidentie leveren en in toenemende mate ook betekenisvolle operationele controles. Maar zij kunnen geen juridische immuniteit bieden ten opzichte van het thuisrechtsgebied van hun moedermaatschappij. Waar ze wél worden aangeprezen alsof dat wel het geval zou zijn, is de kritiek die wordt samengevat met de term "sovereignty washing" gegrond.