Gevolgen van Safe Harbour-uitspraak voor cloudgebruikers
Op 6 oktober 2015 haalde het Europese Hof van Justitie een streep door de overeenkomst voor het vrije dataverkeer tussen de EU en de VS, ook bekend als Safe Harbour. Sindsdien vragen veel bedrijven zich af wat de gevolgen hiervan zijn, helemaal omdat de cloud steeds populairder wordt. Is het eigenlijk nog wel mogelijk om persoonsgegevens van Europese burgers op te slaan buiten Nederland? Dankzij het gebruik van onomkeerbare tokens is het antwoord: ja.
Bijna iedereen heeft tegenwoordig wel een Facebook, Linkedin of Dropbox-account. Door je persoonsgegevens in te vullen op de profielpagina, zet je deze gegevens op een server die zich hoogstwaarschijnlijk buiten Nederland bevindt. Dat mag niet zomaar, volgens de wet voor de bescherming van persoonsgegevens. Om dat toch mogelijk te maken sloten de VS en de EU vijftien jaar gelden het Safe Harbour-verdrag af. Dit geeft richtlijnen (de zogenoemde veiligehavenbeginselen) waarmee Amerikaanse bedrijven kunnen voldoen aan Europese wetten voor de bescherming van persoonsgegevens. Zo maakt Safe Harbour het mogelijk dat bedrijven in de EU gebruik kunnen maken van cloudapplicaties en –diensten in de VS.
De persoonsgegevens van EU-burgers zouden volgens Safe Harbour niet inzichtelijk of toegankelijk mogen zijn voor Amerikaanse organisaties. Het is echter gebleken dat de Amerikaanse inlichtingendienst NSA en andere Amerikaanse overheidsorganisaties zichzelf wel degelijk toegang verschaften tot deze gevoelige en vertrouwelijke gegevens. Het Europese Hof van Justitie heeft daarom de Safe Harbour gesloten.
Betekent het einde van Safe Harbour ook het einde van de cloud?
Die uitspraak heeft enorme gevolgen voor alle bedrijven die persoonsgegevens uitwisselen buiten de landsgrenzen. Vooral de Amerikaanse Cloud Providers krijgen het zwaar. Zij zijn zonder Safe Harbour gedwongen datacenters te bouwen of te huren in elk land waar zij hun clouddiensten aan willen bieden. Of zij lopen het risico dat zij hun diensten in hele regio’s moeten staken.
Maar ook bedrijven die clouddiensten gebruiken weten niet goed wat de gevolgen van de Safe Harbour-uitspraak voor hen zijn. Vaak is het niet eens duidelijk waar de bedrijfs- en persoonsgegevens precies staan opgeslagen. Werken met Google Docs bijvoorbeeld, is zonder Safe Harbour alleen nog mogelijk als Google de gegevens in het datacenter in onze eigen Eemshaven opslaat. In de praktijk verspreidt Google de dataopslag van één en hetzelfde bedrijf over datacentra in bijvoorbeeld Amerika, Taiwan, Singapore, Finland, België en Ierland.
Maar, gelukkig is er leven na Safe Harbour, mede dankzij de uitvinding van het winkelwagenmuntje.
De publieke cloud gebruiken met onomkeerbare tokens
Wie tegenwoordig een winkelwagentje wil pakken, moet deze vrij maken door er een munt van 50 cent of een euro in te steken. Dat is een borg die ervoor moet zorgen dat je het wagentje weer terugbrengt. Iedereen is al wel eens geld kwijtgeraakt, bijvoorbeeld omdat men vergat dit weer uit het wagentje te halen. Daarom gebruiken veel mensen een generiek, vrijwel waardeloos muntje in plaats van echt geld. Bij verlies of diefstal heeft niemand er iets aan. Zo’n nepmuntje heet een token.
De Cloud Data Protection Gateway (CDPG), de beveiligde toegangspoort voor de cloud, past op dezelfde manier tokens toe. Waardevolle bedrijfs- en persoonsgegevens worden vervangen door waardeloze, versleutelde informatie.
In een wereld zonder Safe Harbour is het belangrijk dat deze tokens onomkeerbaar zijn. Ze mogen dus niet binnen de cloud teruggebracht kunnen worden tot hun oorspronkelijke waarde. Bij encryptie is dat wel het geval: wie de juiste sleutel heeft kan de code ter plekke weer omzetten in de oorspronkelijke waarde. Dat kan niet met tokens, want deze wijst men toe door middel van een indexfunctie, een cijferreeks of willekeurig gegenereerd cijfer. Deze tokens verwijzen alleen maar naar een waarde in een referentietabel en die is niet bereikbaar vanuit de cloud. De referentietabel blijft op de locatie, en dus binnen de landsgrenzen, van een organisatie. Dat zorgt ervoor dat Europese bedrijven de publieke cloud kunnen blijven gebruiken. De principes van de Europese privacybescherming komen niet in gevaar, want tokens hebben geen enkele betekenis of waarde als zij gestolen of ondervangen worden.
Een CDPG met onomkeerbare tokens houdt de oorspronkelijke gegevens volledig weg uit systemen waarin zij zich bevinden (lees: de cloud). Daarom is dit dé manier om het gebruik van de openbare cloud mogelijk te maken, met óf zonder Safe Harbour.
Christophe Birkeland is CTO of Malware Analysis bij Blue Coat Systems