Twee assen¶

Bij het wegen van internationale doorgifte houd ik twee dingen bewust apart. De eerste as is fysiek: waar landt het datapakket. De tweede as is juridisch: welk recht is op het bedrijf van toepassing. Dit zijn twee verschillende vragen met twee verschillende antwoorden. Wie ze op één hoop gooit, bouwt een claim die bij de eerste tegenwerping omvalt.

Het onderscheid klinkt technisch, maar het bepaalt of een privacyargument standhoudt. Een verkeerd samengevoegd cijfer geeft je een sterke zin die niet klopt. Twee schone cijfers geven je twee zwakkere zinnen die allebei kloppen. Het tweede is bruikbaar in een dossier. Het eerste sneuvelt zodra iemand er goed naar kijkt.

Ik maak het onderscheid ook omdat de tegenpartij het graag laat vervagen. Een aanbieder die geruststelt, zegt vaak dat de data in Europa staat, en laat de zeggenschap onbenoemd. Een criticus die overdrijft, zegt dat alles naar de VS gaat, en negeert dat het fysiek vaak in de EU landt. Beide leunen op het versmelten van de twee assen. Wie ze scheidt, ontneemt beide kanten hun makkelijke zin en houdt alleen over wat te verdedigen valt.

De as van de fysieke locatie¶

De fysieke datacenter-regio bepaalt hoe sterk een Schrems-argument is. Het Hof van Justitie verklaarde in de zaak Schrems II, C-311/18, het Privacy Shield ongeldig en stelde dat doorgifte naar een derde land alleen mag met een beschermingsniveau dat in de kern gelijkwaardig is aan dat van de EU. Standaardcontractbepalingen kunnen dat dragen, maar alleen met aanvullende maatregelen waar het recht van het ontvangland tekortschiet.

Landt de data echt binnen de EER, dan is het zuivere Schrems-argument zwakker. Het pakket verlaat dan de beschermde ruimte fysiek niet. Deze as meet ik met geolocatie van de ontvangende servers. Dat is een afgeleide meting, want ze leunt op een GeoIP-database, en zo'n database is precies zo actueel als zijn laatste update. Ik label dit cijfer daarom als afgeleid, niet als hard bewijs van fysieke locatie. Zie Label elke bevinding op bewijsniveau.

De as van de zeggenschap¶

De tweede as is de zeggenschap over het bedrijf. Die bepaalt wie de data kan vorderen. Een Amerikaans bedrijf valt onder Amerikaans recht, ook als het een datacenter in Frankfurt gebruikt. De CLOUD Act uit 2018 maakt dat expliciet. Amerikaanse autoriteiten kunnen een Amerikaanse aanbieder verplichten data te overhandigen die onder zijn beheer of controle staat, ongeacht waar ter wereld die data fysiek is opgeslagen.

Daarmee bijt de zeggenschapsas de locatieas. Een EU-datacenter beschermt niet tegen een vordering die zich richt op het moederbedrijf. De data staat in Europa en is tegelijk vorderbaar in de VS. Dat is precies waarom in Europa hosten geen vrijwaring geeft. Zie In Europa gehost is geen vrijwaring. Deze as leid ik af uit eigendomsketens, uit publieke registraties en uit bestanden als sellers.json die vertellen wie een partij bezit. Ook dit is een afgeleide meting, met een eigen bewijslast.

De CLOUD Act staat niet op zichzelf. Er zijn meer regimes die op zeggenschap aangrijpen dan op locatie, zoals sectorale bevoegdheden voor inlichtingendiensten. Voor mijn werk is de CLOUD Act het scherpste en best gedocumenteerde voorbeeld, dus daar toets ik op. Het onderliggende principe is algemener: een staat die een bedrijf onder zijn recht heeft, kan dat bedrijf iets opleggen, en de schijf mag dan aan de andere kant van de wereld staan. De vraag wie een partij bezit, is daarom een privacyvraag van de eerste orde, niet een voetnoot.

Wat de cijfers toonden¶

De twee assen leverden in mijn onderzoek twee heel verschillende getallen op. Van honderden bestemmingen stond het merendeel onder Amerikaanse zeggenschap. Slechts een fractie was fysiek in de VS bevestigd. De meeste van die Amerikaanse bedrijven draaiden dus op servers die niet aantoonbaar in de VS stonden.

Als je die twee cijfers op één hoop gooit, krijg je een misleidende uitkomst. Zeg je dat het merendeel in de VS staat, dan is dat onwaar, want fysiek stond het daar niet. Zeg je dat maar een fractie onder Amerikaans recht valt, dan is dat ook onwaar, want de zeggenschap was wel Amerikaans. Uit elkaar gehouden kloppen beide zinnen. Het merendeel valt onder Amerikaanse zeggenschap. Een fractie is fysiek in de VS bevestigd. Beide waar, en samen een eerlijker beeld dan één samengeperst getal.

Waarom je ze uit elkaar houdt bij een claim¶

Voor mijn werk is dit een discipline, geen theorie. Ik rapporteer de twee assen altijd los. Eén kolom voor de fysieke regio, afgeleid uit geolocatie. Eén kolom voor de zeggenschap, afgeleid uit eigendom. Ik trek pas een conclusie nadat ik beide heb ingevuld, en ik zeg er per as bij hoe zeker ik ben.

Het is een discipline die ik mezelf heb opgelegd nadat ik zag hoe makkelijk een claim omvalt. Een tegenstander hoeft maar één zwakke plek te vinden om het hele betoog verdacht te maken. Als ik zeg dat honderden bestemmingen in de VS staan en er blijkt een fractie fysiek in de VS te staan, dan is mijn cijfer weerlegd en lijkt de rest ook onbetrouwbaar, ook al klopte de zeggenschap wel. Door de twee assen van begin af aan te scheiden, geef ik die opening niet weg. Elke zin die ik opschrijf, is dan al bestand tegen de meest voor de hand liggende tegenwerping.

Die scheiding maakt mijn claims bestendiger. Een tegenpartij die één as aanvalt, raakt de andere niet. En ze past bij hoe de datastroom echt loopt, want een biedstroom kan een veiling in waar buitenlandse partijen op meebieden, los van waar de servers staan. Zie Een biedstroom kan een veiling ingaan waar buitenlandse partijen op meebieden. De twee assen uit elkaar houden is de enige manier om over doorgifte iets te zeggen dat overeind blijft.

Praktisch giet ik dat in een vaste vorm. Per ontvangende partij noteer ik twee velden apart: regio_fysiek uit de geolocatie, en zeggenschap uit de eigendomsketen. Ik tel nooit over de twee heen. In het eindrapport staan ze als twee kolommen, elk met een eigen bewijsniveau erbij. Zo kan een lezer zelf zien dat een partij fysiek in Frankfurt draait en tegelijk onder Amerikaans recht valt. Dat beeld is ongemakkelijker dan één geruststellend of één alarmerend getal, en het is het enige dat klopt. Het label per as is daarbij niet optioneel, het draagt de hele claim. Zie Label elke bevinding op bewijsniveau.

De winst van deze werkwijze is dat mijn oordeel navolgbaar wordt. Iemand die het niet met me eens is, kan precies aanwijzen op welke as en op welk bewijsniveau hij twijfelt. Dat is een gesprek dat vooruit komt. Het alternatief, één getal dat twee dingen samenperst, lokt een welles-nietes uit waarin niemand kan zeggen waarover het precies gaat. Twee assen, twee kolommen, twee labels. Dat is saai om op te schrijven en het is de reden dat de conclusie blijft staan.

Zie ook In Europa gehost is geen vrijwaring, Een biedstroom kan een veiling ingaan waar buitenlandse partijen op meebieden en Label elke bevinding op bewijsniveau.