Privacy en cloud computing: wat gebeurt er met de gegevens?

[Onderstaand artikel komt uit Surf Magazine. Hier kunt u een gratis abonnement op nemen.]

Bijna alle leerlingen, studenten, docenten en wetenschappers maken inmiddels wel gebruik van diensten 'in de cloud'. Bekende voorbeelden zijn de online applicaties van Google en Microsoft en bijvoorbeeld de online opslagmogelijkheden van Dropbox.

Aanbieders van clouddiensten zijn bijna altijd buitenlandse providers en er is geen specifieke wet- en regelgeving en jurisprudentie voor dit relatief nieuwe verschijnsel. SURFnet en Kennisnet willen de juridische vraagstukken op het gebied van cloud computing inzichtelijk maken, zodat instellingen clouddiensten weloverwogen aan hun gebruikers kunnen aanbieden.

Daarom hebben de organisaties in het kader van het SURFnet/Kennisnet Innovatieprogramma het rapport De wolk in het onderwijs gepubliceerd. Het rapport adviseert instellingen hoe om te gaan met de problemen die bij privacy en security komen kijken.

Waar zijn de gegevens?

Prof. dr. Ronald Leenes is hoogleraar aan de Universiteit van Tilburg en werkzaam voor TILT, Centrum voor Recht, Technologie en Samenwerking. Hij werkte mee aan het rapport De wolk in het onderwijs.

Wat zijn de grootste juridische vraagstukken bij cloud computing?

Leenes: ‘Het is vaak onduidelijk waar de gegevens zich precies bevinden en wie toegang heeft. Natuurlijk is dat vervelend omdat je niet wilt dat hackers en andere onbevoegden toegang krijgen, maar ook is vaak niet duidelijk wat de serviceproviders wel en niet met de gegevens kunnen doen.

Sommige vragen geld voor hun diensten, maar andere maken de gegevens op een andere manier te gelde. Ook is niet altijd duidelijk met wie je zaken doet. Wanneer je een product in een winkel koopt, is dat wel duidelijk. Als er een probleem is, ga je naar de winkel, die het repareert of omruilt.

Bij cloud computing liggen de verhoudingen ingewikkelder. Google kan bijvoorbeeld niet vertellen waar de gegevens zich bevinden, in tegenstelling tot Microsoft of Amazon. Google brengt daart tegenin dat dit juist een voordeel is: er is geen single point of failure, omdat de gegevens zijn verdeeld over verschillende locaties.’

Zelf verantwoordelijk

Het rapport adviseert instellingen de rolverdeling en de bevoegdheden van de cloudserviceprovider in kaart te brengen en in contracten vast te leggen wat de rollen en verantwoordelijkheden van verschillende partijen zijn.

Veel medewerkers weten niet dat instellingen meestal zelf verantwoordelijk zijn voor de opslag en verwerking van gegevens. Daarbij zijn ze gebonden aan de Wet bescherming persoonsgegevens, ongeacht de locatie van de gegevens.

Het feit dat clouddiensten zich overal ter wereld kunnen bevinden, heeft echter wel gevolgen voor de privacy. Zijn gegevens bijvoorbeeld op Amerikaans grondgebied opgeslagen, dan is de USA Patriot Act van toepassing en kunnen data door de overheid worden gevorderd.

Dat is een reden voor veel instellingen, waaronder de Universiteit van Tilburg, om hun data het liefst binnen de EU houden. Ronald Leenes: ‘De vraag blijft of het helemaal houdbaar is dat de data dan nooit gevorderd kunnen worden door de Amerikaanse overheid. Want wat gebeurt er als de Amerikaanse overheid een Europese cloudprovider (als dochter van een Amerikaans bedrijf) in een extreem geval dwingt zijn gegevens beschikbaar te stellen?’

Nederlandse cloudprovider?

Wat dat betreft zou een puur Nederlandse of Europese cloudprovider voor meer duidelijkheid kunnen zorgen. Ronald Leenes: ‘Dan ligt de beslissing in ieder geval in Europa, ook al dringt de VS aan op het beschikbaar stellen van de data. Er is echter weinig activiteit op dat vlak. Ik zou best graag een in Nederland ontwikkelde Dropbox-achtige omgeving voor het opslaan en delen van bestanden zien ontstaan, maar of het zal gebeuren, is de vraag.’

Volgens Ronald Leenes heeft cloud computing absoluut de toekomst, maar worden er soms ook al te veel wonderen aan toegedicht. ‘De communicatie met andere toepassingen in de organisatie valt nog wel eens tegen. Een andere vraag is: wat gebeurt er als je afscheid neemt van een clouddienst? Kun je bij ingewikkeldere oplossingen je gegevens zomaar uit de cloud halen? Mensen gaan soms wel erg gemakkelijk uit van de voordelen en het gemak dat cloudoplossingen biedt.’

Meer informatie:
Cloud computing en de publicatie Cloud computing in het onderwijs