Serverlocatie en jurisdictie zijn twee dingen¶

Dat data in een Europees datacenter staat, maakt de Amerikaanse greep zwakker. Hij verdwijnt er niet door. Draait het op een Amerikaanse aanbieder, dan blijft het bedrijf onder Amerikaans recht vorderbaar, EU-regio of niet. Dat is de hele kern in één zin, en de fout die ik telkens tegenkom, is dat mensen deze twee dingen op één hoop gooien.

Serverlocatie is een fysiek feit. Het gaat over de vraag waar de bytes op een schijf staan, in welk gebouw, in welk land. Jurisdictie is een juridisch feit. Het gaat over de vraag welke overheid het bedrijf dat de data beheert, kan dwingen om die data af te geven. Die twee vallen vaak niet samen. Een dataset kan fysiek in Frankfurt staan en toch beheerd worden door een onderneming die een Amerikaanse rechter kan bevelen. De verwarring werk ik verder uit in Waar het pakket landt en wie het kan vorderen zijn twee assen.

Waarom de fysieke regio zo weinig zegt¶

De belofte "gehost in de EU" richt zich op het eerste feit en zwijgt over het tweede. Ze is meestal waar en tegelijk minder geruststellend dan ze klinkt. De fysieke regio bepaalt onder andere de latency en soms een deel van de naleving rond dataminimalisatie. Wat ze niet bepaalt, is wie de sleutel in handen heeft en wie het moederbedrijf een bevel kan sturen.

Een buitenlandse overheid grijpt namelijk aan bij het bedrijf en laat het gebouw links liggen. Een Amerikaanse bevoegdheid grijpt aan bij een Amerikaanse onderneming en haar dochters, ongeacht op welk continent de schijven draaien. De fysieke regio zegt dus iets over waar de bytes staan en weinig over wie ze uiteindelijk kan opvragen.

De grote drie draaien onder Amerikaans recht¶

Zelfs gegevens die fysiek in een Europese regio landen, draaien vrijwel altijd op een Amerikaanse aanbieder: de grote drie cloudpartijen. Dat is op bewijsniveau afgeleid uit de marktverdeling en uit wat je in het verkeer terugziet. Het is geen sluitende claim over elke afzonderlijke dienst. De praktijk is dat een groot deel van wat "EU-hosting" heet, technisch op de infrastructuur van een Amerikaans concern staat.

Zolang dat concern onder Amerikaans recht valt, blijft de data in beginsel vorderbaar via dat recht, ook als de regio op "Europe" staat. De EU-regio verplaatst de bytes, ze verplaatst de zeggenschap over het bedrijf niet. Wie de echte infrastructuur onder een dienst wil zien, moet vaak door een laag reclame heen kijken. Zie De echte dataruggengraat oogt niet als reclame.

Hoe ik hosting en zeggenschap apart vaststel¶

Omdat het om twee feiten gaat, meet ik ze apart. Ik stel de fysieke locatie vast met techniek en de juridische zeggenschap met openbare bedrijfsinformatie.

1. Welke hosts raakt de dienst? Ik haal de hostnamen uit een opname van het verkeer, bijvoorbeeld uit een HAR. Zie Netwerkverkeer lezen via HAR-files. 2. Waar staat de host fysiek? Ik zoek het IP-adres op en bepaal het land met een offline GeoIP-database. Dit is de fysieke as en het resultaat is gemeten. 3. Wie bezit de host? Ik zoek het ASN op, de netwerkeigenaar achter het IP. Dat vertelt me of het om Amazon, Microsoft, Google of een echt Europese partij gaat. 4. Onder welk recht valt die eigenaar? Dit leid ik af uit de vestigingsplaats van het moederbedrijf. Deze juridische as is afgeleid, want ze volgt uit bedrijfsstructuur en niet uit een netwerkmeting.

Stap twee en drie kunnen naar hetzelfde land wijzen en toch verschillende dingen betekenen. Een IP in Duitsland dat toebehoort aan een Amerikaans concern telt fysiek als Duitsland en juridisch als Verenigde Staten.

De vierde stap is de lastigste, omdat de eigendomsketen zich graag verstopt. Een dienst kan zich presenteren als een klein Europees bedrijf terwijl de opslag onder water bij een van de grote drie draait en de moeder in de Verenigde Staten zit. Ik volg die keten via openbare bronnen: het handelsregister voor de vestiging, de aandeelhouders voor de zeggenschap, en het ASN voor de feitelijke infrastructuur. Waar de keten ophoudt bij wat ik openbaar kan vinden, stop ik en label ik de rest als vermoeden. Ik dicht een gat in de eigendomsketen liever niet met een aanname, want juist daar wordt de bewering over jurisdictie zwak.

Een host terugbrengen tot eigenaar en land¶

Het onderstaande fragment doet de eerste stappen mechanisch. Het lost een host op naar een IP, bepaalt het land offline, en laat zien dat het land van de bytes een andere vraag is dan de eigenaar van het netwerk.

import socket
import geoip2.database  # offline MaxMind-database, geen netwerkcall

LAND_DB = geoip2.database.Reader("GeoLite2-Country.mmdb")

def lokaliseer(host):
    ip = socket.gethostbyname(host)
    land = LAND_DB.country(ip).country.iso_code
    return ip, land

for host in ["cdn.voorbeeld-eu.example", "storage.voorbeeld.example"]:
    ip, land = lokaliseer(host)
    print(f"{host} -> {ip} (bytes staan in: {land})")
    print("  Let op: het land van het IP is de fysieke as.")
    print("  De eigenaar van het IP (ASN) bepaalt de juridische as.")

Voor de eigenaar zelf kijk ik naar het ASN achter het IP, via een offline dataset of een whois op het netwerkblok. Zie de host als vertrekpunt en de ASN-eigenaar als het echte antwoord op de vraag wie erbij kan. Het land uit GeoIP is een fysiek feit. De eigenaar en zijn thuisrecht zijn het feit dat over vorderbaarheid gaat.

Wat een EU-datacenter wel afdekt¶

Een EU-datacenter is niet waardeloos. Het maakt een Schrems-argument zwakker, want de data landt echt in Europa, en een deel van de discussie over doorgifte naar een derde land verschuift daarmee. Voor het naleven van dataminimalisatie en voor de latency van gebruikers is de fysieke regio wel degelijk relevant. Wie beweert dat "EU-hosting" volstrekt betekenisloos is, overdrijft de andere kant op.

De grens zit precies hier. Een EU-datacenter dempt de fysieke doorgifte en heft de zeggenschap van het moederbedrijf niet op. Wie "in Europa gehost" leest als "buiten Amerikaans bereik", trekt een streep die er niet is. Het datacenter verplaatst de schijven. Het verhuist het bedrijf niet naar een ander rechtsgebied.

Bewijsniveau: twee assen, twee zekerheden¶

Het slot is een kwestie van eerlijk labelen. De fysieke locatie van de bytes kan ik meten, met GeoIP en whois, en die uitkomst is hard binnen de nauwkeurigheid van de database. De juridische zeggenschap is afgeleid, want ze volgt uit wie het netwerk bezit en onder welk recht dat bedrijf valt. Wat een buitenlandse overheid in een concreet geval daadwerkelijk zou vorderen en verkrijgen, blijft vermoed, want dat hangt af van bevelen en procedures die ik niet kan inzien.

Die drie niveaus door elkaar halen is precies de fout die "in Europa gehost" tot een vrijwaring maakt. Ik houd ze uit elkaar. De bytes staan in Europa, gemeten. Het bedrijf valt onder Amerikaans recht, afgeleid. Wat daaruit volgt bij een echt bevel, benoem ik als vermoeden. Zo blijft de bewering staan die ik kan dragen en valt de geruststelling weg die niemand kan waarmaken.

Zie ook Waar het pakket landt en wie het kan vorderen zijn twee assen, De echte dataruggengraat oogt niet als reclame en Wie een lek onderzoekt, stuurt het lek niet naar de cloud.