Gegevens opslaan in Europa is niet hetzelfde als ze controleren
Gegevenssoevereiniteit wordt vaak behandeld als een kwestie van geografie. In de praktijk gaat het echter net zo goed om juridisch bereik en operationele controle.
Eurojust, het EU-agentschap dat justitiële samenwerking in strafzaken ondersteunt, heeft uitgelegd dat de U.S. CLOUD Act expliciet heeft gemaakt dat van U.S. service providers kan worden geëist dat ze gegevens die ze controleren bewaren en produceren, ongeacht waar die gegevens zijn opgeslagen.
In gewone taal: EU-hosting neemt niet automatisch de juridische blootstelling van de VS weg als de provider onder Amerikaanse jurisdictie blijft vallen.
Voor organisaties die met body-worn video werken, is dat onderscheid van belang. Deze systemen verwerken vaak gevoelig beeldmateriaal, hebben te maken met incidenten die het publiek raken en bevinden zich in omgevingen waar verantwoording en chain of custody van belang zijn.
Het risico wordt ernstiger als:
- de dienstverlener valt onder Amerikaanse jurisdictie door eigendom, zeggenschap of operationele nexus
- ondersteuning of administratie toegang hebben tot gegevens van buiten de EER (Europese Economische Ruimte)
- Subverwerkers bevinden zich in derde landen, of belangrijke diensten zijn afhankelijk van niet-EER entiteiten.
De uitspraak van het HvJEU in de zaak Schrems II onderstreepte waarom dit belangrijk is. De EU-wetgeving vereist in wezen gelijkwaardige bescherming wanneer persoonsgegevens worden blootgesteld aan toegang door overheidsinstanties van derde landen.
Waar de spanning begint: Amerikaanse wettelijke toegang versus EU-regels voor gegevensbescherming
GDPR is niet de bron van het probleem. Het echte probleem is dat de Amerikaanse wetgeving bepaalde providers kan dwingen om gegevens onder hun beheer vrij te geven, terwijl de EU-wetgeving inzake gegevensbescherming strikte beperkingen stelt aan wanneer persoonlijke gegevens mogen worden vrijgegeven of overgedragen.
Dat creëert een direct spanningsveld voor organisaties die omgaan met gevoelige body-worn video. Zelfs als de gegevens in de EU zijn opgeslagen, kan blootstelling aan een provider onder Amerikaanse jurisdictie nog steeds vragen oproepen over soevereiniteit en naleving.
Het Europees Comité voor gegevensbescherming heeft verduidelijkt dat een bevel van een buitenlandse overheid niet automatisch een wettelijke basis onder GDPR creëert voor openbaarmaking of overdracht. Met andere woorden, een bevel ontvangen is niet hetzelfde als eraan mogen voldoen volgens de EU-wetgeving.
Voor juridische teams en inkoopmanagers betekent dit dat de beoordeling van leveranciers verder moet gaan dan alleen de opslaglocatie.
Een checklist voor juridische zaken en inkoop
Bij het beoordelen van een aanbieder zijn de belangrijkste vragen eenvoudig:
- Wie is de juridische tegenpartij en welke jurisdictie is van toepassing?
- Wie heeft er technisch toegang tot de gegevens, inclusief ondersteuning en reactie op incidenten?
- Wat is het gedocumenteerde proces voor verzoeken van derde landen, inclusief uitdaging, kennisgeving en transparantierapportage?
- Wie beheert de encryptiesleutels en heeft de provider er toegang toe?
In EDPB-aanbevelingen 01/2020 wordt ook uitgelegd waarom aanvullende maatregelen, waaronder sterke versleuteling en organisatorische controles, nodig kunnen zijn wanneer overdrachtsinstrumenten alleen geen EU-equivalente bescherming bieden.
Wat dit in de praktijk betekent
Voor veel organisaties is de praktische les eenvoudig: EU-gegevensopslag alleen is niet genoeg. Als gevoelige videogegevens nog steeds kunnen worden bereikt via de Amerikaanse jurisdictie, dan moet de echte beoordeling ook providerstructuur, operationele toegang, subverwerkers en governance omvatten.
Dat is vooral relevant voor politie, handhaving, inspectie en andere publieke sectoren waar opgenomen beelden persoonlijke gegevens, bewijsmateriaal of juridisch gevoelig materiaal kunnen bevatten.
Waar ZEPCAM past
Voor organisaties die de mogelijke blootstelling aan de Amerikaanse jurisdictie willen beperken, is een meer structurele beperking om een aanbieder van body-worn video te kiezen waarvan het eigendom, het hostingmodel en de operationele opzet ontworpen zijn om die blootstelling zo veel mogelijk te beperken.
ZEPCAM is een Europese aanbieder van body-worn video met hoofdkantoor in Nederland, met een Nederlandse juridische en operationele basis. Het biedt implementatie-opties die een sterkere lokale controle over gevoelige videogegevens kunnen ondersteunen, waaronder door ZEPCAM beheerde hosting in bepaalde rechtsgebieden en door de klant beheerde infrastructuur waar van toepassing. en installatie op locatie.
ZEPCAM benadrukt ook erkende certificeringen voor informatiebeveiliging, cloudbeveiliging en privacycontroles, waaronder ISO 27001, ISO 27017 en ISO 27018, waar van toepassing binnen zijn servicemodel.
Dit neemt niet elke nalevingsverplichting weg, maar het kan organisaties helpen om de juridische en operationele risico’s te beperken in vergelijking met leveranciersmodellen die nauwer verbonden blijven met niet-EU-jurisdicties.
Laatste gedachte
Als body-worn video deel uitmaakt van je operationele of juridische workflow, is de juiste vraag niet alleen waar je gegevens worden opgeslagen. De belangrijkere vraag is wie er uiteindelijk toegang toe kan krijgen.
Hier wordt het verschil tussen opslag en soevereiniteit heel reëel.