test

1. MANAGEMENT SPECIAL
GRENSOVERSCHRIJDENDE DATA
Verantwoord cloud-gebruik in Nederland
Door: Fred Teunissen

2. Management special - Grensoverschrijdende data
VERANTWOORD
Verantwoord cloud-gebruik in Nederland
Hoe veilig is de Safe Harbor?
CLOUD-GEBRUIK
Data is als elektriciteit
Wat te doen?
Links
IN NEDERLAND
Wat kun je als Nederlands bedrijf doen, als je de cloud in wilt,
maar de risico’s zo veel mogelijk wilt uitbannen?
Er is nog veel mistig in de cloud. Ondanks de vele technische zijn Europese datacantra een Europese cloud in elkaar steekt. Moet te
voor­ elen blijft met name privacy een schemergebied. ­
d doen zijn, zou je zo denken.
Als onder­ eming zit je daar niet op te wachten. Wat kun je
n
als Nederlands bedrijf doen, als je de cloud in wilt, maar de Mooi niet, zo bleek begin dit jaar, na aanvan-
risico’s zo veel mogelijk wilt uitbannen? kelijke toezeggingen dat er een Europese
Google-cloud zou komen. De onder-
Met de cloud kun je twee kanten op. Aan de ene kant zijn er de neming beroept zich op de techniek
imposante technische mogelijkheden, aan de andere kant zijn de die zij toepast om de data binnen
risico’s niet minder imposant, vooral op het gebied van de privacy. Google Apps via een algoritme
te verknippen en over tal van
Hoe kun je als IT-manager nu optimaal van de mogelijkheden van datacentra in de wereld
de cloud gebruik maken en tegelijkertijd de risico’s zoveel mogelijk te verspreiden
indammen? Dat blijkt in de praktijk nog helemaal niet zo’n eenvou- (‘obfuscation’
dige opgave. of ‘dataver-
sluiering’).
Neem Google Apps. Als je overweegt je mail, contactpersonen en Uit het
agenda’s onder te brengen in Google’s cloud-omgeving, dan weet oogpunt
je dat die data onze landsgrenzen over gaan. De vraag is of je dan van
nog wel voldoet aan de regelgeving op het gebied van de privacy. beveili-
I
­mmers, het gaat hier voor een groot deel om persoonsgegevens ging een
en daarop is de nationale en de Europese wetgeving op het fantastische
vlak van de bescherming van persoonsgegevens van toepassing. aanpak, want
zou een hacker al
Kort gezegd komt het erop neer dat die gegevens bij voorkeur binnendringen in één
in het eigen land moeten blijven, maar in ieder geval binnen het van die centra, dan treft die alleen een kleine onbruikbare
gebied van de EU (iets preciezer: de Europese Economische Ruimte, stukjes van de gegevens aan. Hoe wil je als IT-manager je beveiliging
ofwel de EU plus IJsland, Noorwegen en Liechtenstein). Daarbuiten nog beter hebben?
mag eventueel ook, maar alleen als de landen waar het om gaat
minstens dezelfde mate van wettelijke bescherming bieden als bin- Maar uit het oogpunt van geografische plaatsbepaling is het een
nen de EU. ramp. Deze data is overal en nergens. En de sleutel (het algoritme)
zit in de VS.
En daar beginnen de problemen, want de privacy wetgeving in de
VS wijkt nogal af. Die bleef altijd al achter bij de Europese, maar de Wat de zaak echt vreemd maakt is dat Google omgekeerd aan de
situatie is nog verder verslechterd door de zogenaamde Patriot Act Amerikaanse overheid wél garandeert dat Amerikaanse data in
van 2003, die de Amerikaanse overheid zeer ruime bevoegdheden de VS blijven. Voor de VS geldt het argument van die versluiering
geeft voor het opvragen van (persoons)gegevens bij bedrijven, blijkbaar niet.
waaronder internationaal opererende hosting- en cloudproviders.
De Patriot Act (onlangs nog opnieuw verlengd) verleent de Op zichzelf hoeft het trouwens helemaal nog geen show-stopper te
Amerikaanse overheid het recht van toegang tot alle in de VS op- zijn als persoonsgegevens via online applicaties ergens in de VS of
geslagen data zonder dat daarvoor rechterlijke toestemming vereist elders landen, als de aanbieder van de dienst maar voldoet aan de
is. Nog geen man overboord, zou je zeggen, want Google heeft vereisten volgens de Safe Harbor Agreement tussen de EU en de VS.
tien­ allen datacentra over de hele wereld. Het enige wat dan zou
t
moeten gebeuren is dat Google voor zijn Europese Apps-klanten met Maar ook daar is het nodige over te doen.
2

3. Management special - Grensoverschrijdende data
HOE VEILIG IS DE
Verantwoord cloud-gebruik in Nederland
Hoe veilig is de Safe Harbor?
SAFE HARBOR?
Data is als elektriciteit
Wat te doen?
Links
Om het probleem van de asynchrone privacy-wetgeving in de EU praktijk op nahouden. Dat ontdekte Chris Connolly, directeur van
en de VS te ondervangen (omzeilen is misschien een beter woord) het in Sydney (Australië) gevestigde adviesbureau Galexia, die in
hebben beide partijen een Safe Harbor Agreement gesloten, 2008 een uitvoerige studie naar de praktijk van Safe Harbor
gebaseerd op zeven principes. claims publiceerde. Connolly adviseert de EU dan ook om deze
zelf-certificeringen goed tegen het licht houden.
Deze overeenkomst is sinds 1 november 2000 van kracht. Door het
onderschrijven van de principes in deze overeenkomst verklaren bedrij- Met andere woorden, of we dat nu leuk vinden of niet: in de prak-
ven in de VS dat ze bij de bescherming van de privacy – waar het hun tijk is een Safe Harbor-verklaring boterzacht.
Europese klanten betreft – de Europese regels in acht zullen nemen.
Precies dit soort juridische en politieke losse eindjes leiden ertoe dat bij
Google heeft deze principes onderschreven, evenals Salesforce.com veel bedrijven en instellingen in ons land nog grote aarzeling bestaat
en tal van andere SaaS- en cloudaanbieders die hun basis in de om cloud-applicaties als Google Apps of Salesforce.com in gebruik te
VS hebben. nemen. De vraag hier is of je de onderschrijving van de Safe Harbor
Principles goed genoeg vindt. Bedrijven als Ahold en KLM blijkbaar
Het grote zwakke punt van deze Safe Harbor-route is dat het om wel, want zij zijn bezig met een gefaseerde overstap naar Google
zelfcertificering gaat. Je kunt deze certificering wel door een derde Apps Premier Edition. Maar financiële- en overheidsinstellingen
partij laten doen, maar verplicht is dat niet. Daarmee is onderschrij- bekijken deze problematiek met argusogen. Op kleine schaal vinden
ving van de Safe Harbor-principes in essentie niet meer dan een er hier en daar wel pilots plaats, maar van grootschalige toepassing van
toezegging waarvan je nooit helemaal zeker weet of die in de hitte US-based cloud-applicaties is bij (semi)overheden en financiële instellin-
van de zakelijke en politieke actualiteit wel stand zal houden. gen is nog geen sprake.
De druk die de Amerikaanse overheid onlangs nog op Amazon uit­
oefende om een server van WikiLeaks van zijn cloud te verban-
nen geeft wat dit betreft te denken. Amazon ging overstag.
Of, nog dichter bij huis: het opvragen door de Amerikaanse
overheid van gebruikersgegevens van sympathisanten van
WikiLeaks bij Twitter, waaronder die van de Nederlandse
XS4ALL-pionier Rop Gongrijp. Ook Twitter ging over-
stag. (Twitter onderschrijft de Safe Harbor-principes
niet, Amazon.com doet dat wel.)
BOTERZACHT
Behalve de druk van de politieke prak-
tijk is er nog een ander groot
punt van zorg. Want zelf-
certificering houdt
in dat er geen
onafhankelijke
controle is.
Er zijn nogal
wat bedrij-
ven die met
de mond
belijden
aan de Safe
Harbor-princi-
pes te voldoen,
maar er in werke-
lijkheid een andere
3

4. Management special - Grensoverschrijdende data
DATA IS ALS
Verantwoord cloud-gebruik in Nederland
Hoe veilig is de Safe Harbor?
ELEKTRICITEIT
Data is als elektriciteit
Wat te doen?
Links
Wie – anders dan Google – wel een afzonderlijke Europese cloud gericht dat we er redelijkerwijs van uit kunnen gaan dat privacy-
heeft gemaakt voor zijn Europese klanten is hosting- en cloudpro­ gevoelige gegevens de EU niet zullen verlaten (dan wel dat zij buiten
vider Rackspace. de EU volgens EU-richtlijnen zullen worden behandeld). En misschien
nog een stap verder: dat we er ook redelijkerwijs van uit kunnen
Rackspace richt zich met dit aanbod met name op klanten die gaan dat het uitgesloten is dat ‘derden’ er (buiten de EU-wetgeving
zekerheid willen hebben dat hun data in de EU blijven. Hierbij gaat om) in kunnen ‘meekijken’.
het overigens niet om toepassingen, zoals de Apps van Google,
maar om andere elementen van cloud computing, zoals flexibele, Totdat er op dit punt betrouwbare certificeringen zijn zal cloud
inhuurbare server- en opslag­ apaciteit. Maar waar het de opslag
c computing omgeven blijven met juridische, zakelijke en politieke
van privacy-gevoelige gegevens betreft gelden hier uiteraard weer onzekerheden. Wat jammer is, want het zet een rem op de brede
dezelfde Europese regels. toepassing van deze veelbelovende technologie.
Rackspace doet niet aan obfuscation (dataversluiering), dus dat HUISWERK
scheelt. Alle data zijn geografisch aanwijsbaar, namelijk in twee Wat kunnen bedrijven en instellingen die gebruik willen maken van
datacentra in Londen. Is het probleem daarmee opgelost? cloud computing doen om te zorgen dat ze – ondanks de bestaande
onzekerheden – toch voldoen aan de wet- en regelgeving op het
Ja en nee gebied van privacy?
Ja, want de gegevens zijn niet overal en nergens. Dat geeft enig “Dat begint met een flink pak huiswerk,” zegt Lieneke Viergever,
houvast. Ja, want een Safe Harbor verklaring is niet nodig. Nee, als partner verbonden aan Project Moore Advocaten in Amster-
want het is opnieuw een belofte. En de vraag is hoe hard die kan dam en specialist op het gebied van IT-recht en privacy. “Je moet
zijn. Data is als elektriciteit. Gegevens uit Londen kunnen in een flits je om te beginnen realiseren dat je, ook als je iets uitbesteedt,
in Dubai, Washington of Hong Kong zijn. Andere dan verbale ga- toch doorgaans zelf verantwoordelijk blijft voor naleving van de
ranties dat deze gegevens de EU niet zullen verlaten kan Rackspace wet. Dat betekent dat je altijd na moet gaan of de aanbieder met
desgevraagd niet geven. Niemand controleert of de onderneming wie je in zee gaat voldoende waarborgen biedt ter bescherming
zich daadwerkelijk aan zijn woord houdt en je kunt je nergens op van persoonsgegevens. Een simpele bepaling in het cloud contract
beroepen als dat niet zo zou blijken te zijn. Er is geen erkend certi- die de aanbieder verplicht om adequate maatregelen te treffen is
ficaat op dit punt. En hoe sympathiek het initiatief van Rackspace onvoldoende.”
ook is, je kunt je afvragen of je met dergelijke verbale ‘garanties’
wel genoegen mag nemen. Wat overigens evenzeer geldt voor Als voorbeeld geeft ze de doorgifte van gegevens naar de VS.
andere Europese clouds, zoals die van Microsoft. “
­ Dat is een land buiten de Europese Economische Ruimte. De eerste
vraag is dan of de leverancier van cloud-diensten, maar ook diens
Het ontbreekt dus aan zekerheden. eventuele subleveranciers in Amerika, aangesloten zijn bij de Safe
Aan audits door onafhankelijke Harbor-principes. Als dat het geval is, ben je er nog niet. Je moet
derden, waaruit spijker- ook nagaan of deze aanbieder de data niet buiten de VS brengt,
hard blijkt dat een bijvoorbeeld naar zijn datacentra in India of Brazilië, want die
cloud-aanbieder zijn doorgifte wordt dan in principe niet gedekt door de Safe Harbor-
interne processen principes.”
zodanig
heeft Viergever raadt ter voorkoming van juridische complicaties aan om
in- met de aanbieder van de cloud-dienst af te spreken dat hij de data
alleen in de Europese Economische Ruimte of in een land met een
passend beschermingsniveau verwerkt, zoals Zwitserland. Maar ook
als je dat eenmaal bent overeengekomen met een aanbieder kun je
niet achterover leunen, aldus Viergever. “Je moet erop toezien dat
de aanbieder de gegevens ook daadwerkelijk voldoende beveiligt.
Aanbieders kunnen het hun klanten in dit opzicht een stuk makkelij-
ker maken, bijvoorbeeld door audits te laten doen door onafhanke-
lijke derden. Het is altijd aan te raden naar zulke audits te vragen.”
4

5. Management special - Grensoverschrijdende data
WAT TE
Verantwoord cloud-gebruik in Nederland
Hoe veilig is de Safe Harbor?
DOEN?
Data is als elektriciteit
Wat te doen?
Links
Wat als je al dit huiswerk niet doet? Welke risico’s loop je dan? daarvan ook te controleren. Dat controleren lukt over het algemeen
bij kleine dienstverleners, maar bij Google niet. Dat kan een reden
Viergever: “Uiteraard het risico op reputatieschade door te handelen zijn om gevoelige gegevens niet in een Google-cloud op te slaan.
in strijd met de privacy-regelgeving. Maar er is meer. Het College Niet omdat Google deze gegevens niet goed zou beveiligen, maar
Bescherming Persoonsgegevens kan ook een last onder dwang- omdat je die beveiliging niet kunt controleren.”
som opleggen en bestuursdwang toepassen als een organisatie
slordig omspringt met persoonsgegevens. Om al deze redenen is Antic raadt aan om ook de locatie van de data contractueel vast te
het belangrijk specifieke afspraken te maken met de leverancier. leggen. “Dat geeft geen zekerheid, maar je kunt dit wel gebruiken
Vanuit het oogpunt van beveiliging kan het daarnaast verstandig zijn in je selectieproces. Met partijen die de locatie van de data niet in
te kiezen voor een gedifferentieerde aanpak: je brengt dan alleen het contract willen opnemen, ga je niet in zee.”
gegevens met een laag risicoprofiel naar de cloud. Je kunt ook kiezen
voor een hybride aanpak: daarbij breng je gegevens met een hoger En een andere mogelijkheid is dat in het contract de aansprakelijkheid
risicoprofiel onder in een private cloud en andere, minder gevoelige wordt geregeld voor het geval het, ondanks eerdere voorzorgen, toch
gegevens, in een publieke cloud.” nog fout gaat. Dat ontslaat je als opdrachtgever niet van je wettelijke
aansprakelijkheid, maar maakt het wel mogelijk de financiële gevol-
De regelgeving op dit gebied is sterk in beweging, aldus Viergever. gen daarvan af te wentelen op de aanbieder van de cloud-dienst.”
“Momenteel vinden er discussies plaats over de herziening van
de Europese privacyrichtlijn waarop de Nederlandse regel- Antic raadt het in het algemeen af gevoelige gegevens in een publieke
geving is gebaseerd. Daarnaast ligt de Safe Harbor Agreement cloud op te slaan. “Niet doen. Niet in de VS, maar ook niet in Europa.
binnen de EU al een tijdje onder vuur. Deze ontwikkelingen zullen Misschien kan dat in een later stadium, maar op dit moment vind ik dat
ongetwijfeld hun weerslag hebben op de gebruiksmogelijkheden niet erg verstandig.”
van cloud computing.”
ZORG VOOR EEN GOED CONTRACT
Volgens Milica Antic, advocaat bij Solv Advocaten in Amster-
dam en gespecialiseerd in privacy en online diensten, is het
vrijwel onmogelijk zeker te weten of je voldoet aan de
Nederlandse en Europese regelgeving, omdat aanbieders
van cloud-diensten geen echt harde garanties geven
over de locatie van de opgeslagen data. Maar dat
betekent volgens haar niet per se dat het daar
ophoudt. “Je kunt namelijk wel zorgen dat
je een overeenkomst met een aanbieder
sluit die heel goed in elkaar zit. Neem
het punt van de informa-
tiebeveiliging. Je kunt
geen genoegen
nemen met de
verzekering
dat er aan be-
paalde nor-
men wordt
voldaan. ­
Je bent
wettelijk
verplicht de
beveiliging con-
tractueel te rege-
len en de uitvoering
5

6. Verantwoord cloud-gebruik in Nederland
Hoe veilig is de Safe Harbor?
Data is als elektriciteit
Wat als je al dit huiswerk niet doet?
Links
Verwijzingen in dit artikel:
College Bescherming Persoonsgegevens: http://cw.link.idg.nl/cbp
Wet bescherming persoonsgegevens: http://cw.link.idg.nl/wbp
Richtlijn 95/46/EG van het Europees Parlement: http://cw.link.idg.nl/95/46/EG
Gegevensbescherming in de Europese Unie (PDF): http://cw.link.idg.nl/peu
Patriot Act (PDF): http://cw.link.idg.nl/pa
Patriot Act (Wikipedia): http://cw.link.idg.nl/paw
Safe Harbor Agreement: http://cw.link.idg.nl/sha
Safe Harbor Agreement (deelnemerslijst): http://cw.link.idg.nl/shad
Project Moore Advocaten: http://www.projectmoore.com
Solv Advocaten: http://www.solv.nl/
De cloud in het nieuws:
Google weigert data in Europa te houden (Webwereld): http://cw.link.idg.nl/ww_ge
Amazon gooit onder druk Wikileaks van servers (Webwereld): http://cw.link.idg.nl/ww_aw
Justitie vordert Twitter-account Rop Gongrijp (Webwereld): http://cw.link.idg.nl/ww_rg
Patriot Act renewed despite warnings of ‘secret’ law (CNET): http://cw.link.idg.nl/cnet_pa
The US Safe Harbor – Fact or Fiction (Galexia): http://cw.link.idg.nl/galexia_sh
Ahold migreert van Lotus Notes naar Gmail (Webwereld): http://cw.link.idg.nl/ww_ah
Google loodst KLM naar de cloud (Webwereld): http://cw.link.idg.nl/ww_klm
Rackspace bouwt Europese cloud infrastructuur (Rackspace): http://cw.link.idg.nl/rackspace
Kroes waarschuwt voor privacyrisico’s cloud (Webwereld): http://cw.link.idg.nl/ww_kroes
6