In een van onze eerdere blogs is het al eens ruim aan bod gekomen en we hebben er zelfs een seminar over georganiseerd, maar met de recentste ontwikkelingen rondom Facebook toch nog eens wat extra goede raad met betrekking tot het opslaan van uw informatie in de Cloud.

Van wie is de data?

Eén van de vragen die telkens terugkeert, heeft betrekking op het eigendom van informatie die op basis van het leveringsmodel cloud computing wordt verwerkt. Bij nader inzien gaat de vraagstelling van de veronderstelling uit dat een clouddienst de facto een vorm van uitbesteding betreft. Dat hoeft niet, maar zal wel vaak het geval zijn. Het leeuwendeel van de clouddiensten, zowel IaaS, PaaS en SaaS, wordt immers door derden, de leveranciers, aangeboden en verzorgd. De eigendomsvraag is in dit perspectief zo gek nog niet. Maar pas op. Waarom zou het gebruikmaken van een dienst van een ander sowieso een eigendomsoverdracht inhouden? Om eens wat te noemen, wie een postpakket verstuurt, draagt eigendom van deze zaak niet over aan de koeriersdienst. Dezelfde redenering biedt uitkomst bij cloud computing.

We hebben echter al eerder gewaarschuwd. Eigendom vertelt niet het volledige juridische verhaal. Een informatie-eigenaar kan een ander bijvoorbeeld een licentie (gebruiksrecht) verlenen. En dat is precies wat de algemene voorwaarden van Google doorgaans bepalen. Wie gebruikmaakt van een clouddienst, geeft de leverancier een in tijd en omvang soms zelfs zeer brede licentie op de inhoud van met name opslagdiensten, die op basis van cloud computing worden geleverd. Dat kan voor de klant onwenselijk zijn. Meer algemeen: waarom streeft een cloudleverancier überhaupt een gebruiksrecht op de informatie van haar klanten na, anders dan noodzakelijk voor de technische levering van de service?

i8nrqcq01dkkrf6a

Hoe zit het met data portabiliteit?

Uit beschermingsoogpunt van de vertrouwelijkheid van de bedrijfs- informatie geldt dus de regel dat het terechte en logische behoud van eigendom op in de cloud verwerkte data alleen niet zaligmakend is. Die conclusie trekken we uit continuïteitsoogpunt door naar het gerechtvaardigde belang van een hoog beschikbaarheidsniveau van het uitbestede bedrijfsproces. Dat belang lijkt weliswaar evident, toch blijft continuïteit bij clouddiensten helaas nog altijd onderbelicht. Jammer. Wat ook de reden van een leverancierswissel mag zijn – wanprestatie of faillissement van een leverancier, wijziging ICT-beleid aan gebruikerszijde en nog veel meer gronden- import en export van data kan medewerking van de cloud leverancier verlangen. Dat hangt mede af van het gebruikte data formaat en datamodel.

Zijn er nog andere continuïteitsmaatregelen?

De rol van escrow – een van oorsprong Anglo-Amerikaanse financiële zekerheidsconstructie met juridische borging – met betrekking tot ICT is door de komst van Cloud computing ingrijpend gewijzigd. Vroeger ging het vooral om depot, verificatie en updaten van de broncode, compilers en ontwikkeldocumentatie van zwaardere standaard softwarepakketten bij een onafhankelijke derde, die, na het voltrekken van een onzeker voorval, zoals wanprestatie of faillissement van de softwareleverancier, het gedeponeerde domweg aan de gebruiker afgeeft. Deze modus operandi biedt niet langer uitkomst bij Cloud computing.

SaaS-escrow draait om het beschikbaar houden van de applicatie (betreft doorgaans een continue clouddienst) en het verlenen van toegang van de bedrijfsinformatie wanneer de cloudleverancier niet meer levert. Dat kan op verschillende manieren, bijvoorbeeld door de hosting provider niet-zijnde cloudleverancier, contractueel te verplichten door te blijven leveren, terwijl het escrow- agentschap de betalingsverplichtingen overneemt. Dat vraagt om voorafgaande toestemming van de Cloudleverancier. Bovendien zal de escrow-agent de rol van de cloudleverancier slechts voor beperkte tijd (drie tot zes maanden) willen overnemen. Voor een structureel Plan B moet de klant dus zelf zorgen.

Met dank aan Mr.V.A. de Pous als bedrijfsjurist en industrie-analist.
Hij houdt zich sinds 1983 bezig met de juridische aspecten van digitale technologie en informatiemaatschappij en is medewerker van uitgeverij FenceWorks.

Wilt u meer te weten komen over dit onderwerp?
Noteer dan alvast de 26ste November in uw agenda, voor het seminar van Business meets IT met als thema “Cloud & Business Continuity” in samenwerking met Belgium Cloud.