Offshore hosting en de AVGDe verordening volgt u, niet het rack.

De zin die deze markt verkeerd heeft

De bewering wordt bijna nooit met zoveel woorden opgeschreven, en juist daardoor blijft ze bestaan. Ze komt als suggestie: de servers staan offshore, het bedrijf is offshore, dus de Europese regels liggen ergens achter u. Lees de verordening en de suggestie valt in één zin uiteen.

Artikel 3 bepaalt op wie de AVG van toepassing is, en noemt nergens waar de hardware staat. Lid 1 zegt dat de verordening van toepassing is op de verwerking door een verwerkingsverantwoordelijke of een verwerker die in de Unie is gevestigd, ongeacht of de verwerking al dan niet in de Unie plaatsvindt. Lid 2 werkt de andere kant op: een bedrijf zonder enige vestiging in de Unie valt nog steeds onder de verordening zodra het goederen of diensten aanbiedt aan mensen in de Unie, of hun gedrag daar observeert.

Dat is geen tegenvaller, en het loont om eerst uit te leggen waarom. De reden om een server te verplaatsen is dat een rechter in het ene land geen bevel kan geven over een schijf in het andere. Die reden blijft overeind. Wat met de machine meereist, is een nalevingsverplichting, geen juridische blootstelling, en die twee worden voortdurend door elkaar gehaald omdat beide met het woord “jurisdictie” worden aangeduid.

Tot wie van u de verordening zich richt

Twee rollen, gedefinieerd in artikel 4, gescheiden door één vraag: wie bepaalde waarvoor de gegevens dienden.

Bijna elke discussie over hosting en de AVG is in werkelijkheid een discussie over die tabel. Een provider kan niet namens u AVG-conform zijn, omdat de meeste verplichtingen bij de verwerkingsverantwoordelijke liggen en niet contractueel kunnen worden afgeschoven. Wat een provider wel kan zijn, is een verwerker waarvan u de keuze kunt verantwoorden, en dat is artikel 28 — een document, geen gevoel.

Artikel 28, lid 3, somt op wat dat contract moet bevatten, en de lijst is kort genoeg om tegen uw eigen contract te leggen. Alleen verwerken op basis van gedocumenteerde instructies. Iedereen met toegang binden aan geheimhouding. De beveiligingsmaatregelen van artikel 32 treffen. Geen subverwerker toevoegen zonder toestemming. U helpen bij het beantwoorden van betrokkenen. U helpen bij datalekken en beoordelingen. Aan het einde alles wissen of teruggeven. U geven wat u nodig hebt om dat alles te verifiëren.

Wat als doorgifte geldt

Hoofdstuk V — de artikelen 44 tot en met 49 — regelt het versturen van persoonsgegevens naar een derde land. Een derde land is elk land buiten de Europese Economische Ruimte, dus de zevenentwintig lidstaten plus IJsland, Liechtenstein en Noorwegen. De AVG werd in 2018 in de EER-overeenkomst opgenomen, en daarom vallen die drie landen binnen de grens in plaats van er slechts vlakbij te liggen.

Artikel 44 formuleert het uitgangspunt: een doorgifte mag alleen plaatsvinden als aan de rest van het hoofdstuk wordt voldaan. Er zijn dan drie routes, in afnemende volgorde van hoe leefbaar ze zijn.

De laatste rij is waar geïmproviseerde naleving meestal op uitkomt, en ze houdt geen stand. Artikel 49 is geschreven voor het incidentele en het specifieke geval. Een klantendatabase drie jaar lang op een server hosten is geen van beide.

De acht regio's, ingedeeld naar wat Hoofdstuk V ze noemt

Dit is het deel dat een hostingbedrijf wel kan beantwoorden en een juridische blog niet, omdat het een feit is over een specifieke structuur en geen algemeen beginsel. De acht regio's binnen dit netwerk vallen uiteen in drie groepen, en de afstand tussen de eerste en de laatste groep is twee documenten.

Vier van de acht zijn helemaal geen doorgifte. Dat is meer waard dan het meeste dat over offshore hosting en compliance wordt gepubliceerd, en het is een zin die niemand die het een of het ander verkoopt, graag uitspreekt, omdat hij het lastige product voor de helft van de structuur overbodig maakt.

De helft van de vraag die niet over het rack gaat

Waar de schijf staat, bepaalt of er sprake is van een doorgifte. Met welk bedrijf u een overeenkomst hebt gesloten, bepaalt wie de gegevens bewaart, en die twee lopen vaker uiteen dan zou moeten.

Een provider met racks in Frankfurt en een moederbedrijf in Californië voert uw gegevens uit, of er nu iets over een kabel gaat of niet, omdat de verwerker onderworpen is aan een jurisdictie die hem kan bereiken. Dat is geen hypothetisch onderscheid. Het is de reden waarom de bedrijfsstructuur van een host een gegevensbeschermingsfeit is en geen weetje.

De opzet hier is acht jurisdicties en acht afzonderlijke bedrijven, vastgelegd in clausule 1 van de voorwaarden. Een server in Reykjavík wordt gecontracteerd bij de IJslandse entiteit, die binnen de EER valt, en dat is waarom de eerste rij van de tabel hierboven zegt wat hij zegt. Leest u de pagina van een ander, stel dan die vraag: niet waar de server staat, maar welk bedrijf op de factuur staat en waar dat bedrijf zit.

Wat artikel 46 werkelijk van u vraagt

Gebruikt u een van de drie derde landen, dan is het werk reëel maar begrensd, en het is sinds 2021 niet veel veranderd.

1. Leg de doorgifte vast. Welke categorieën persoonsgegevens, over wie, naar welke entiteit, in welk land, en in welke vorm ze aankomen — leesbaar, of versleuteld onder een sleutel die u zelf hebt gehouden.
2. Zet het instrument op. In de praktijk betekent dat de standaardcontractuele clausules die de Commissie in juni 2021 heeft vastgesteld, in de module die bij de relatie past. Verwerkingsverantwoordelijke naar verwerker is Module Twee, en dat is wat het huren van een server is.
3. Beoordeel de bestemming. Sinds het Hof van Justitie in juli 2020 Schrems II besliste, is het ondertekenen van de clausules niet het einde van het verhaal: u moet nagaan of de wetgeving op de plaats van bestemming een overheidsinstantie toegang geeft op een manier waar de clausules niet tegen bestand zijn. Het Europees Comité voor gegevensbescherming publiceerde de methode in 2021, en die telt zes stappen.
4. Voeg toe wat het gat dicht dat de beoordeling blootlegt, en dat is de volgende paragraaf, want er is eigenlijk maar één maatregel die dat gat dicht.
5. Zet er een datum op. De beoordeling gaat over de wetgeving van een land, en de wetgeving van een land verandert zonder het u te laten weten. Eenmalig is geen naleving; een herzieningstermijn is dat wel.

De maatregel die het gat werkelijk dicht

De aanvullende maatregelen die het Comité beschrijft, vallen bij nadere lezing meestal tegen. Contractuele en organisatorische maatregelen houden een staat met dwangbevoegdheid niet tegen, en dat zegt het Comité ook met zoveel woorden. Eén technische maatregel doorstaat de analyse, en het is dezelfde maatregel die elders op deze site wordt aanbevolen, om redenen die niets met de AVG te maken hebben.

Komen de gegevens versleuteld aan onder een sleutel die nooit buiten uw controle komt, dan kan de verwerker die ze bewaart niets leesbaars produceren voor wie dan ook — niet voor een rechter, niet voor u, niet voor zichzelf. De aanbevelingen van het Comité beschouwen sterke encryptie met een sleutel die bij de exporteur blijft als doeltreffend voor opgeslagen gegevens, en beschouwen een verwerker die de gegevens onversleuteld nodig heeft als een geval waarvoor geen maatregel is aangewezen. Dat is het eerlijke standpunt: u kunt zich niet contractueel vrijkopen van het feit dat iemand een schijf kan lezen.

Het onderscheid dat er in de praktijk toe doet, is dat tussen opslag en verwerking. Objectopslag met versleutelde archieven is het eenvoudige geval. Een draaiende database op een virtuele machine is het lastige geval, omdat de sleutel in het geheugen moet staan op hardware die iemand anders kan aanraken. Wat uw provider nog kan lezen werkt precies uit waar die grens ligt, en het eindigt niet met een geruststelling.

Artikel 48, dat de andere kant op wijst

Hoofdstuk V bevat één artikel dat in deze markt zelden wordt aangehaald en dat wel zou verdienen. Artikel 48 bepaalt dat een vonnis van een rechter, of een besluit van een administratieve autoriteit, van een derde land dat een verwerkingsverantwoordelijke of verwerker verplicht persoonsgegevens door te geven, alleen kan worden erkend of ten uitvoer gelegd als het berust op een internationale overeenkomst — in de praktijk een verdrag inzake wederzijdse rechtshulp.

Gelezen als instructie aan een host, zegt dat iets specifieks: een bevel dat afkomstig is uit een land zonder rechtsmacht, is naar Europees recht geen reden om iets af te geven. Een provider die er toch aan voldoet, is niet voorzichtig bezig. Die verricht een onrechtmatige doorgifte en noemt het medewerking.

Deze structuur komt sinds 2019 vanuit de andere richting tot hetzelfde antwoord, en dat is controleerbaar in plaats van slechts beweerd: 164 verzoeken van rechtshandhaving, waarvan 31 iets opleverden, geen enkel gemuilkorfd bevel in negenentwintig gepubliceerde kwartalen, en wat werd afgegeven was een e-mailadres en een overzicht van bedragen. De handleiding voor rechtshandhaving formuleert de norm in één zin: een bevel van een rechter met rechtsmacht over de entiteit die het bevel ontving.

Wat niet verandert, waar de machine ook staat

Dit is de paragraaf die een verkoop kost, en daarom is het de paragraaf die het dubbel lezen waard is. Elk van de volgende punten is voor u als verwerkingsverantwoordelijke, en geen enkele hostingkeuze raakt er ook maar één van.

Zes rijen, één antwoord. Het woord dat dit verwarrend houdt is “jurisdictie”, dat twee dingen tegelijk doet: het is het antwoord op wie de schijf kan afdwingen, en het is het antwoord op wiens regels u volgt. Een server verplaatsen verandert het eerste en laat het tweede precies zoals het was.

Wat een grens wel verandert

• Wie overtuigd moet worden. Een bevel moet komen van een rechter met rechtsmacht over het bedrijf dat de schijf beheert, en acht bedrijven in acht landen zijn acht afzonderlijke procedures in plaats van één.
• Of een verzoek enige kracht heeft. Een takedownverzoek is overal correspondentie; op sommige plaatsen is het correspondentie waarop een host verplicht moet reageren, en offshore betekent dat dat niet zo is. Dat is het onderwerp van de DMCA-handleiding.
• Wat de host verplicht kan worden te bewaren. Bewaarplichten zijn nationaal. Roemenië heeft de eigen bewaarplicht tweemaal vernietigd zonder vervanging; Moldavië en Panama leggen er geen op. Wat een provider niet verplicht kan worden te bewaren, kan hij ook niet verplicht worden af te geven.
• Of de doorgifte een instrument nodig heeft. En dat is deze pagina — een kwestie van papierwerk, geen risico.

Wat niet verandert

• Of de AVG op u van toepassing is. Artikel 3, bepaald door waar u gevestigd bent en van wie de gegevens zijn die u bewaart.
• Elke verplichting in de tabel hierboven. Registers, beveiliging, melding van datalekken, beoordelingen, rechten van betrokkenen.
• Uw eigen logs. De machine die u huurt, legt bezoekers vast onder uw configuratie, onder uw beheer, en u bent het aan wie iemand daarover schrijft — wat een aparte handleiding is, omdat het een apart probleem is.
• Of u bereikbaar bent. Bent u in de Unie gevestigd, dan hoeft uw toezichthoudende autoriteit de server niet te bereiken. Ze moet u bereiken.

Een middag die de vraag beslecht

Niets hieronder vereist een tool die u moet aanschaffen, en de hele reeks stappen is korter dan de markt doet vermoeden.

1. Bepaal om te beginnen of u überhaupt persoonsgegevens verwerkt van mensen in de Unie. Is het eerlijke antwoord nee — en voor heel veel projecten is dat zo — dan is alles hierboven achtergrondinformatie en bent u klaar.
2. Schrijf op met welke entiteit u een overeenkomst hebt voor elke regio die u gebruikt, en in welk land die entiteit zit. Niet de regio: het bedrijf op de factuur.
3. Verdeel die over de drie groepen in de tabel. Binnen de EER, adequaat, of geen van beide.
4. Zet voor alles in de derde groep de clausules van 2021 op en schrijf de bestemmingsbeoordeling. Twee documenten, eenmalig, per land.
5. Kijk naar wat daar werkelijk terechtkomt. Is het antwoord een versleuteld archief waarvan de sleutel op uw eigen hardware staat, vermeld dat dan in de beoordeling, want dat is het feit dat de rest eenvoudig maakt.
6. Verwerk dat alles in uw register op grond van artikel 30, het document waar een toezichthoudende autoriteit als eerste om vraagt en dat de meeste verwerkingsverantwoordelijken als laatste schrijven.
7. Zet een herzieningsdatum op de beoordeling en leg haar neer waar de volgende die hiermee te maken krijgt, haar zal vinden.

Dat is de hele oefening, en ze staat op geen enkel punt haaks op de rest van deze site — en dat is precies de zin waarvoor deze handleiding bestaat. Een jurisdictie kiezen die uw gegevens beschermt en de regels volgen die uw gebruikers beschermen, zijn geen tegengestelde keuzes. Het is dezelfde keuze, gelezen vanaf de twee kanten.

Vragen die mensen echt stellen

Elke prijs binnen deze infrastructuur wordt volledig gepubliceerd, op één plek. Bekijk de volledige catalogus