Het kabinet wil data die de overheid verwerkt opslaan in de cloud bij commerciële aanbieders. Dat is niet zonder risico’s, zeker niet als deze bedrijven zich buiten de EU begeven. Het is daarom verstandig dat het kabinet eerst alle risico’s in kaart te brengt voordat er geen weg terug meer is.
Dat adviseert de Autoriteit Persoonsgegevens in een advies aan staatssecretaris van Digitalisering Alexandra van Huffelen.
Kabinet komt met nieuw cloudbeleid
Eind augustus presenteerde het kabinet een nieuw cloudbeleid. Staatssecretaris Van Huffelen gaf in het plan meer ruime aan overheidsorganisaties om gebruik te maken van clouddiensten van commerciële partijen als Microsoft, Amazon en Google. De kosten liggen tegenwoordig een stuk lager dan vroeger en techbedrijven investeren forse bedragen in security en expertise. “De cloud biedt daarmee een aantrekkelijk perspectief voor de ontwikkeling naar een meer innovatieve, transparante, flexibele en efficiënte digitale Rijksoverheid”, zo zei de staatssecretaris.
Tegelijkertijd waarschuwde ze voor de eventuele risico’s. Overheidsinstanties die gebruik willen maken van clouddiensten van internationale aanbieders, moeten goed kijken naar de voorwaarden op het gebied van beveiliging en privacy. Daarnaast zijn ze verplicht om vooraf een risicoanalyse te maken.
Een andere overweging waar overheidsorganen rekening mee dienen te houden, is dat de Algemene Verordening Gegevensbescherming (AVG) niet van toepassing is als informatie op servers buiten de EU wordt opgeslagen. De Amerikaanse wet bepaalt bijvoorbeeld dat inlichtingen- en veiligheidsdiensten onder bepaalde voorwaarden gegevens van Europese burgers mogen inzien. Dat was voor het Europees Hof van Justitie de reden om in de zomer van 2020 een einde te maken aan het Privacy Shield.
AP wijst op fundamenteel recht op bescherming van persoonsgegevens
Bij de presentatie van het nieuwe cloudbeleid kondigde de Autoriteit Persoonsgegevens aan dat ze een onderzoek zou starten naar de risico’s van het opslaan van data in de cloud in het buitenland. “Zijn die data daar wel goed beschermd? Overheden hebben natuurlijk zeer veel gevoelige data over u en mij. Daar moeten hackers of buitenlandse overheden niet zomaar bij kunnen. Dus als overheden dit soort data in de cloud zetten, moeten ze daar vooraf goed over nadenken”, waarschuwde AP-vicevoorzitter Monique Verdier.
Dat onderzoek is afgerond, overhandigd en besproken met de staatssecretaris. “Juist vanwege de aard van de gegevens die door overheidsdiensten worden verwerkt en de (in potentie) grote hoeveelheid van gegevens die in de cloud worden opgeslagen, is het van groot belang dat het fundamentele recht op de bescherming van persoonsgegevens goed wordt gewaarborgd bij alle overheidsdiensten. Nederlandse burgers, maar ook voor overheidsdiensten werkzame personen, moeten er immers op kunnen vertrouwen dat de overheid zorgvuldig met hun persoonsgegevens omgaat”, zo schrijft de toezichthouder in het advies aan staatssecretaris Van Huffelen.
Toezichthouder pleit voor Transfer Impact Assessment (TIA)
Het belangrijkste advies van de Autoriteit Persoonsgegevens is dat de staatssecretaris van Digitalisering alle privacyrisico’s adresseert. Volgens AP-bestuursvoorzitter Aleid Wolfsen zijn deze momenteel onvoldoende in kaart gebracht. “Privacy moet leidend zijn bij de vraag of je informatie over burgers mag opslaan bij een bedrijf. Als je niet goed onderzoekt welke risico’s er zijn, kun je ook geen maatregelen nemen om die risico’s te weg te nemen”, zo zegt Wolfsen.
Ook moet de staatssecretaris meer oog hebben voor de risico’s die komen kijken als data buiten de EU wordt opgeslagen. “Ten aanzien van de doorgifte van persoonsgegevens naar landen buiten de EER [Europese Economische Ruimte, red.] bestaan al langere tijd zorgen, gelet op het verminderde beschermingsniveau. Dit vraagt om nadere uitwerking en strategische keuzes, zodat voldoende kan worden bepaald of de grondrechten van EU-burgers niet ook van buiten de EER worden geschonden en tegelijkertijd de continuïteit van de essentiële dienstverlening van het Rijk niet in gevaar komt”, zo staat er in het advies.
De toezichthouder merkt op dat er al geruime tijd zorgen bestaan over data-uitwisseling met landen buiten de EU. Dataopslag bij een Europese cloudaanbieder heeft dan ook de voorkeur van de Autoriteit Persoonsgegevens. Mocht een overheidsinstantie een niet-Europese cloudaanbieder overwegen, dan adviseert de toezichthouder om vooraf een Transfer Impact Assessment (TIA) te laten uitvoeren. “Hierdoor kunnen risico’s tijdig worden geïdentificeerd zodat er, indien mogelijk, aanvullende maatregelen kunnen worden getroffen om ervoor te zorgen dat het fundamentele recht op bescherming van persoonsgegevens wordt gewaarborgd bij de inzet van een clouddienst en tevens de continuïteit van essentiële dienstverlening kan worden gewaarborgd”, zo schrijft de privacywaakhond.
AP: ‘Nieuwe cloudbeleid te vrijblijvend’
Tot slot stelt de Autoriteit Persoonsgegevens dat het huidige beleid geen formele status heeft. Zelfstandige bestuursorganen als het UWV zijn niet verplicht om het beleid te volgen. Dat het kabinet dergelijke organisaties wil stimuleren om zich aan het overheidsbeleid te houden, is te vrijblijvend. “De AP acht het daarom noodzakelijk stevigere en dwingende regievoering te nemen op de verplichtingen uit de AVG”, zo staat er in het advies.
Wolfsen benadrukt dat zelfstandige bestuursorganen als het UWV, het Centraal Bureau voor de Statistiek (CBS) en de Sociale Verzekeringsbank (SVb) gevoelige persoonsgegevens in hun systemen hebben staan. Daarom is belangrijk dat zij zich aan het Rijksbeleid houden, en niet op vrijblijvende basis hun data opslaan in de cloud.
ACM positief over de cloud, maar wijst op de gevaren
Eind augustus publiceerde de Autoriteit Consument & Markt (ACM) een marktstudie naar het gebruik van zakelijke clouddiensten. Daarin stelde de markttoezichthouder dat cloudaanbieders een essentiële rol vervullen in de hedendaagse economie. Het is namelijk een goede plek om back-ups van vertrouwelijke en privacygevoelige informatie op te slaan. Bijkomend voordeel is dat bedrijven niet hoeven te investeren in apparatuur, software en personeel om gebruik te kunnen maken van clouddiensten.
De toezichthouder ziet wel een aantal obstakels. Om te beginnen is het zeer moeilijk om over te stappen naar een andere cloudaanbieder. Omdat de diverse diensten van een aanbieder vaak dusdanig met elkaar verweven zijn, is het technisch gezien moeilijk om de overstap te faciliteren. Tot slot is het flexibel combineren van meerdere cloudaanbieders lastig, omdat de verschillende aanbieders zelden goed met elkaar communiceren. “Door deze beperkte interoperabiliteit hebben bedrijven en organisaties weinig vrijheid in de keuze tussen clouddiensten van verschillende aanbieders”, aldus de ACM.
De ACM doet vervolgonderzoek om te kijken in hoeverre overstapdrempels als uitstaptarieven concurrentieproblemen veroorzaken en hoe die kunnen worden aangepakt. Het is onbekend wanneer we de uitkomsten van dit onderzoek kunnen verwachten.
