Grensoverschrijdende gegevensverzoekenEen eis moet een bevel worden op de plek waar de schijf staat, anders blijft het een brief.

De term die deze markt gebruikt en nooit uitlegt

Lees genoeg over deze sector en u komt dezelfde bewering in twee tegengestelde richtingen tegen. De ene zegt dat een server in het buitenland simpelweg buiten bereik ligt. De andere zegt dat niets daarvan ertoe doet, omdat ze de gegevens toch wel krijgen. Beide zijn giswerk, en het onderwerp waarover ze gissen heeft een naam, een procedure, een wachtrij en een papieren spoor.

Een onderzoeker in het ene land die gegevens wil die door een bedrijf in een ander land worden bewaard, heeft maar een klein aantal routes tot zijn beschikking — vijf, ruim geteld. Slechts één daarvan is het verdrag dat iedereen noemt en niemand beschrijft. Twee zijn sneller dan het verdrag en berusten op een toets die niets te maken heeft met waar de hardware staat. En de snelste routes van allemaal zijn helemaal geen recht, en dat is nu net het deel dat websites daadwerkelijk beëindigt.

De vijf routes over de grens

Ze verschillen in aan wie het wordt betekend, wie kan weigeren, en of een rechter het dossier ooit onder ogen krijgt. Ruwweg van snelst naar traagst, wat vrijwel het omgekeerde is van hoeveel gewicht elke route in de praktijk heeft.

Drie van de vijf eindigen ermee dat iemand ter plaatse lokaal papier betekent, en dat is de zin om uit deze tabel mee te nemen. De andere twee vragen een bedrijf om te handelen naar een document dat geen kracht heeft op de plek waar dat bedrijf staat. Of “offshore” überhaupt iets betekent, is bijna volledig de vraag wat een provider doet met die laatste twee.

Wat wederzijdse rechtshulp werkelijk is

Een MLAT is een verdrag tussen twee staten waarin ze elkaar bijstand beloven in strafzaken: bewijs, getuigenverklaringen, dossiers, de betekening van stukken. Er bestaan er honderden van, bijna allemaal bilateraal; de Verenigde Staten alleen al zijn partij bij meer dan zestig. Ze bestaan omdat een openbaar aanklager geen macht heeft in het buitenland en een gerechtelijk bevel een nationaal instrument is. Het verdrag geeft de verzoekende staat geen bereik. Het geeft hem een wachtrij.

De wachtrij loopt via aangewezen instanties die centrale autoriteiten worden genoemd, en een verzoek wordt van de ene aan de volgende doorgegeven in plaats van rechtstreeks verstuurd. In de Verenigde Staten is dat het Office of International Affairs binnen het Department of Justice; elders is dat doorgaans het ministerie van justitie. De keten heeft vrijwel overal dezelfde vorm:

1. Een onderzoeker stelt het verzoek op en geeft het aan de eigen centrale autoriteit, in de vorm die het verdrag voorschrijft, met vermelding van het strafbare feit en de gevraagde gegevens.
2. Die autoriteit controleert of het verzoek binnen het verdrag valt en stuurt het door naar de centrale autoriteit van de aangezochte staat. In deze stap worden verzoeken teruggestuurd wegens vaagheid, en dat gebeurt vaak.
3. De ontvangende autoriteit toetst het aan het recht van het eigen land en geeft het door aan een lokale openbaar aanklager of onderzoeksrechter.
4. Die aanklager vraagt bij een lokale rechter een nationaal bevel aan, precies zoals in een binnenlandse zaak, op binnenlandse gronden.
5. De rechter wijst het toe of weigert het. Bij toewijzing wordt een nationaal bevel aan het bedrijf betekend — in zijn eigen land, in zijn eigen taal, onder zijn eigen recht.
6. Wat er ook wordt overgelegd, reist dezelfde keten weer terug omhoog, waarbij elke stap zijn eigen wachtrij heeft.

Een rogatoire commissie is dezelfde reis, maar dan zonder iets eronder: een verzoek van een rechter in het ene land aan een rechter in het andere, verstuurd via diplomatieke kanalen en verleend uit coulance in plaats van uit verplichting. Het wordt gebruikt waar geen verdrag bestaat, en het is trager dan het mechanisme waarover mensen al klagen dat het traag is.

De vier filters die een verzoek moet doorstaan

Dit zijn geen formaliteiten. Dit is waar de uitval plaatsvindt, en drie van de vier worden toegepast door mensen die geen belang hebben bij het onderzoek.

1. Dubbele strafbaarheid. De meeste verdragen staan toe dat bijstand wordt geweigerd wanneer het beschreven gedrag ook in de aangezochte staat geen strafbaar feit is. Een land wiens wet het feit niet erkent, heeft zijn eigen rechters niets te instrueren.
2. Specificiteit. Het verzoek moet aanduiden wat er wordt gevraagd, met genoeg precisie voor een lokale rechter om er een bevel voor te ondertekenen. “Alles wat met deze website te maken heeft” is niet iets waarvoor een rechter in een rechtsstaat een bevel afgeeft.
3. Het eigen recht van de aangezochte staat. Het bevel dat er uiteindelijk ligt, is een nationaal bevel, en dat moet dus voldoen aan nationale eisen — evenredigheid, gegevensbescherming, en in de Europese Unie artikel 48 van de AVG, dat een eis van een derde land alleen erkenbaar maakt wanneer een internationale overeenkomst eraan ten grondslag ligt.
4. Het gegeven moet bestaan. Geen enkel verdrag verplicht een bedrijf iets over te leggen dat het niet bezit, en geen rechter beveelt het om iets te reconstrueren.

Het vierde filter is het enige waarop een klant enige invloed heeft, en dus het enige waaraan het de moeite waard is geld te besteden. Al het andere op die lijst is een procedure van iemand anders. Wat er in de gegevens staat, is een beslissing die een provider al heeft genomen, jaren voordat het verzoek arriveert, en die u zelf neemt wanneer u kiest wat uw eigen applicatie vastlegt — en dat is het onderwerp van wat uw eigen site over lezers vastlegt.

Waarom het zo lang duurt

Elke schakel in die keten is een bureau met een achterstand, en de vertragingen stapelen zich op in plaats van samen te vallen. Het cijfer dat gewoonlijk wordt genoemd voor een afgeronde aanvraag voor wederzijdse rechtshulp, ligt dicht bij tien maanden, en het komt niet uit deze sector: de Amerikaanse toetsingsgroep voor inlichtingen- en communicatietechnologie rapporteerde het zelf al in 2013, en de Europese Commissie haalde een vergelijkbaar cijfer aan toen zij pleitte voor het instrument dat twee secties verderop wordt beschreven. Sindsdien is er niets geweest dat het aanmerkelijk sneller heeft gemaakt.

Tien maanden is geen technisch detail en geen reden om achterover te leunen, en het als een van beide behandelen is een vergissing. Het is een structureel gegeven over een proces met zes wachtrijen erin, en het is de reden waarom het bewaarverzoek bestaat: een kort instrument, verstuurd op de eerste dag, met het verzoek dat gegevens die vandaag bestaan niet worden verwijderd terwijl de trage machinerie draait. Bewaring is het onderdeel dat mensen missen wanneer ze aan tijdlijnen denken. Een eis die een jaar lang niets oplevert, kan op de eerste middag toch al iets hebben bevroren — als er iets was om te bevriezen.

De CLOUD Act draait om het bedrijf, niet om het land

In 2013 betekenden de Verenigde Staten een bevelschrift aan Microsoft voor e-mail die in Dublin was opgeslagen. Microsoft voerde aan dat een nationaal bevelschrift Ierland niet bereikte. De zaak liep door tot aan het Hooggerechtshof, en in maart 2018 maakte het Congres de kwestie irrelevant door de CLOUD Act aan te nemen.

Wat de wet deed, past in één zin, en het is de zin die deze markt had moeten lezen. Ze wijzigde de Stored Communications Act — 18 U.S.C. §2703 — zodat een provider die onder de rechtsmacht van de Verenigde Staten valt, verplicht is gegevens over te leggen die zich in zijn bezit, beheer of controle bevinden, ongeacht of die gegevens al dan niet binnen de Verenigde Staten zijn opgeslagen.

Lees het nu op wat het niet zegt. Het zegt helemaal niets over waar de server staat. De locatie van de schijf hield op de vraag te zijn; de enige vraag die de wet stelt, is of het bedrijf dat de gegevens beheert, bereikbaar is voor een Amerikaanse rechter. Een Amerikaans bedrijf met een datacenter in Frankfurt valt eronder. Een bedrijf zonder Amerikaanse aanwezigheid valt erbuiten, en de schijf die in Virginia staat, verandert daar niets aan — daarvoor staat de Verenigde Staten weer terug in de hierboven beschreven wachtrij.

De wet opende ook een tweede route: uitvoeringsovereenkomsten tussen de Verenigde Staten en een daarvoor in aanmerking komende buitenlandse regering, waaronder de autoriteiten van elke kant bevelen rechtstreeks kunnen betekenen aan providers in het andere land. Het Verenigd Koninkrijk ondertekende de eerste in 2019 en die trad in 2022 in werking; Australië volgde. Deze bereiken alleen providers binnen het bereik van de ondertekenende regeringen en verder niemand, wat dezelfde toets is als daarvoor, maar dan in een ander jasje.

Wat er in augustus 2026 in Europa veranderde

De Europese Unie heeft een eigen versie van de rechtstreekse route gebouwd, en die werd van toepassing op 18 augustus 2026 — recent genoeg dat de meeste pagina's in deze markt er nog niet mee hebben bijgewerkt. Verordening (EU) 2023/1543 creëert het Europees bevel tot overlegging en het Europees bewaringsbevel: een autoriteit in één lidstaat kan een bevel uitvaardigen en het rechtstreeks betekenen aan een dienstverlener die diensten aanbiedt in de Unie, zonder daarbij, zoals bij wederzijdse rechtshulp, langs de autoriteiten van de tweede staat te gaan.

De bijbehorende Richtlijn (EU) 2023/1544 is het onderdeel dat het geheel laat werken. Providers die diensten aanbieden in de Unie moeten een vestiging of een wettelijke vertegenwoordiger in een lidstaat aanwijzen om deze bevelen in ontvangst te nemen. Die aanwijzing is het aanknopingspunt, en het is dezelfde CLOUD Act-toets, maar dan in een Europees jasje: het instrument bereikt iedereen die er, door daar actief te zijn, mee heeft ingestemd bereikbaar te zijn.

De laatste rij is degene die het vaakst verkeerd wordt aangehaald. Het Verdrag van Boedapest inzake cybercriminaliteit — verdrag ETS 185 van de Raad van Europa, opengesteld voor ondertekening in 2001 en inmiddels geratificeerd tot ver buiten Europa — voorziet in versnelde bewaring in artikel 29, in wederzijdse rechtshulp voor opgeslagen gegevens in artikel 31, en verplicht in artikel 35 elke partij tot een contactpunt dat vierentwintig uur per dag bereikbaar is. Artikel 32(b), dat mensen aanhalen als een algemene bevoegdheid tot toegang op afstand, staat dat alleen toe wanneer de gegevens openbaar toegankelijk zijn of wanneer de persoon die wettelijk bevoegd is ze vrij te geven, daarmee instemt. Het is een smalle deur, en geen achterdeur.

De twee routes die nooit een rechter zien

Hier is de ongemakkelijke helft van het antwoord. Elke route hierboven is traag, formeel en telbaar — het rapport aan het einde van deze pagina telt ze. De routes die de meeste websites daadwerkelijk beëindigen, zijn niets van dat alles, en een lezer die de verdragsmachinerie tot hier heeft gevolgd, maakt zich meestal zorgen over het verkeerde probleem.

• De upstream. Een provider huurt transit van carriers en vloerruimte van een faciliteit. Een klacht die naar hen wordt gestuurd in plaats van naar de provider, bereikt een partij die geen relatie met u heeft en niets te verliezen heeft door ernaar te handelen. Wat daarop antwoordt, is een provider die de relatie bezit en al eerder heeft geweigerd.
• De registrar. Een domein is een licentie van een registry in zijn eigen jurisdictie, en een registry kan een naam opschorten zonder de server ook maar aan te raken. De machine blijft gewoon draaien; er lost alleen niets meer op. Het is een ander aanvalsoppervlak, met een eigen gids.
• De betaalrail. Een kaartverwerker kan een account bevriezen op basis van een klacht, naar eigen goeddunken, zonder enig proces dat die naam verdient en zonder beroep. Dat is grotendeels de reden waarom afwikkeling hier uitsluitend on-chain gebeurt.
• De abuse desk. Een klacht wordt gelezen door iemand aan een ander bureau, op een andere klok, tegen een beleid in plaats van tegen een wet. Wie een klacht over u leest beschrijft dat van binnenuit.

Geen van die vier is een grensoverschrijdend gegevensverzoek, en dat is precies waarom ze thuishoren in een gids over grensoverschrijdende gegevensverzoeken. De dreiging waarvoor mensen offshore hosting kopen, is vaak niet de dreiging die hen daadwerkelijk bereikt.

De structuur van een host beoordelen tegen deze achtergrond

Alles hierboven komt neer op een handvol controleerbare feiten over een bedrijf, en elk daarvan kan worden vastgesteld voordat u ook maar iets uitgeeft.

1. Welke entiteit op de factuur staat, en waar die geregistreerd is. Niet de regio, niet de vlag op de kaart: het bedrijf waarmee u een overeenkomst aangaat.
2. Eén entiteit, of één per regio. Eén bedrijf dat in acht landen actief is, is één gedaagde met acht adressen, en een bevel daartegen bereikt ze allemaal.
3. Of er iets in de groep bereikbaar is vanuit de jurisdictie waaraan u denkt. Een moedermaatschappij, een dochteronderneming, een kantoor, een bankrekening. Dit is de CLOUD Act-toets, en die is veel breder toepasbaar dan de wet zelf.
4. Wat de provider zegt te doen met een buitenlands bevel. Schriftelijk, met een termijn, gepubliceerd voordat hij er een nodig had.
5. Wat hij daarna publiceert. Een telling van wat er binnenkwam, wat aan de norm voldeed, en wat er daadwerkelijk werd overgelegd. Het derde cijfer is het cijfer dat niemand overtuigend vervalst, omdat het nu net het cijfer is dat pijnlijk zou zijn.
6. Wat er überhaupt bestaat om over te leggen. De laatste vraag, en uiteindelijk de enige die iets beslist.

De structuur van dit netwerk bestaat uit acht regio's en acht bedrijven, elk op het register van zijn eigen land, en dat is de reden waarom een bevel dat tegen het ene is verkregen, niet afdwingbaar is tegen het andere zonder het hele proces in het tweede land opnieuw te beginnen. Het is een dure manier om een bedrijf in te richten, en het is precies om deze reden zo ingericht; de voorwaarden zeggen dit met zoveel woorden in clausule 1, en de lijst met entiteiten staat op de pagina over ons.

Hoe dit eruitziet in de cijfers

Dit netwerk publiceert wat er binnenkomt, per kwartaal, en doet dat sinds de opening. Van de 164 tot nu toe ontvangen verzoeken van wetshandhaving voldeden er 54 aan de juridische norm — een bevel van een rechter met rechtsmacht over de entiteit waaraan het werd betekend — en leverden er 31 daadwerkelijk iets op.

Het cijfer dat de moeite waard is om te lezen, is het gat ertussen. Honderdtien verzoeken, tweederde van alles wat binnenkwam, kwamen nooit voorbij de vraag waar deze hele gids over gaat: is dit betekend door een rechter die het bedrijf waaraan het werd betekend, ook daadwerkelijk kan bereiken. Dat is geen weigeringspercentage en het is geen onwil. Het is de vorm van het probleem, in een steekproef van één bedrijf.

Het tweede cijfer staat aan het andere uiteinde. Van de eenendertig die iets opleverden, is wat er werd overgelegd inventaris — een e-mailadres dat bij een account hoort, een boeking in een on-chain grootboek — en nooit de inhoud van een schijf. Niet omdat er ergens heldhaftig een grens werd bewaakt, maar omdat een gegeven dat nooit is aangemaakt, aan niemand kan worden overhandigd. Het volledige rapport staat op de transparantiepagina, en het proces dat daarin wordt geteld, staat uitgeschreven op het beleid voor wetshandhaving.

Vragen die mensen echt stellen

Elke prijs binnen deze infrastructuur wordt volledig gepubliceerd, op één plek. Bekijk de volledige catalogus