PRISM & Cloud

De PRISM-affaire werpt een heel nieuw licht op de publieke en private cloud-ontwikkeling. Nu is immers komen vast te staan dat de Amerikaanse overheid zich moedwillig – en binnen haar eigen rechtstelsel – toegang verschaft tot de publieke cloud-leveranciers die een hoofdvestiging hebben in de VS.

Daarbij heeft de VS het gemunt op alle informatie die de cloud-leveranciers van niet-Amerikanen tot hun beschikking hebben. Wat zijn hiervan de consequenties voor ons, Europeanen?

Van de Patriot Act wisten wij al dat die verstrekkende gevolgen had en dat de bevoegdheden die Amerikaanse autoriteiten zichzelf toeschreven groter waren dan bij ons gebruikelijk. Wat de PRISM-affaire duidelijk maakt is dat de executieve macht van de Amerikaanse overheid net zover reikt als de Amerikaanse wetgeving dat in principe mogelijk maakt. En dat is veel te ver, want als zij erbij kunnen dan zullen zij dat ook doen! In deze denkwijze is in principe iedereen verdacht, ook als een student zich bijvoorbeeld voor een werkstuk via Google informeert over het fenomeen ‘jihad’.

Wat hierbij opvalt is dat een soort vijanddenken zich meester begint te maken van de Amerikaanse wetgever. Het burgerlijk recht maakt plaats voor een soort oorlogsrecht waarin er geen plaats is voor nuance: wie niet voor de VS is, moet er wel tegen zijn. Maar in hoeverre raakt dit allemaal de cloud – de belangrijkste ontwikkeling in de hedendaagse ICT-technologie – en in hoeverre is dit belemmerend voor gebruikers en leveranciers van cloud-services?

Cloud-technologie gaat niet alleen maar over internet maar vooral over multi-tenancy. Veel leveranciers lijken dit nog wel te vergeten maar de essentie van succesvol cloud-technologie ligt in het meervoudig gebruik – en daardoor ook de efficiency – van voorzieningen: geheugenvoorzieningen, software, processorcapaciteit, maar ook de data. Het laatste wat wij als Europeanen willen is dat onze data ‘hergebruikt’ worden door derden zonder dat wij dat weten. Hoe dit misbruik plaats heeft kunnen plaats vinden, is voor Europese burgers en bedrijven minder interessant, feit is dat het onacceptabel is. Maar terwijl we aan het praten zijn maken Amerikaanse firma’s als Microsoft en Google hier onbegrensd gebruik van, en dat breidt zich alleen maar uit via telkens nieuwe publieke cloud-sevices. Kortom het Amerikaanse beleid, met de nu zichtbare elementen van PRISM en de Patriot Act, raakt de cloud-technologie in het hart!

Voor gebruikers van cloud-services is dit erg belemmerend. Het betekent immers dat gebruikers met de juist vergaarde vrijheid die ze met de cloud dachten te hebben, niet veilig zijn. En achteraf gezien is dat ook logisch: hoe konden wij in onze naïviteit al onze gegevens zomaar weggeven in ‘de cloud’, een plek die je niet eens kunt aanwijzen? En hoe konden wij vervolgens hopen dat met die gegevens zorgvuldig en onbevooroordeeld omgegaan zou worden? Als wij garantie willen hebben dat onze data beschermd worden, moeten wij ons meer zorgen maken om het beheer en de bescherming van die data.
Ook voor leveranciers van cloud-services is dit erg belemmerend. Het Patriot Act-criterium wordt nu richtinggevend: de vraag of een leverancier een vestiging heeft op het vasteland van de VS. Leveranciers die voldoen aan dit criterium worden door de Amerikaanse autoriteiten op achterstand gezet omdat zij onder dwang ‘afgeluisterd’ kunnen worden.

De les die wij hieruit kunnen leren is tweeërlei: gratis bestaat niet. En ten tweede: als wij geen eisen stellen, moeten wij ook niet raar kijken als er geen rekening met ons wordt gehouden. Het moge duidelijk zijn dat wij dit als Nederlandse gebruikers in ons eentje nooit gedaan krijgen, maar geen nood: daar hebben wij nou net Europa voor…