Zowel Google als Microsoft doen erg hun best om niet alleen te rapporteren welke informatie ze moesten vrijgeven, maar ook uit te leggen dat ze al het mogelijke doen om de impact daarvan te minimaliseren.

Er wordt een duidelijk onderscheid gemaakt tussen “inhoudelijke openbaarmaking” en “niet-inhoudelijke openbaarmaking” (metadata). Inhoudelijke openbaarmakingen zijn veel minder talrijk, maar het probleem is dat de belangrijkste gegevens juist in de metadata zitten: wie communiceerde met wie, op welk tijdstip? Had een e-mail een bijlage? Wat was de locatie van de smartphone op het moment dat een versleuteld bericht werd verstuurd, en waar bevond de ontvanger zich? Hoe vaak communiceren ze? Hoe lang? Welk toestel werd gebruikt? Had de Xbox-speler een betalend account? Werd het wachtwoord ingetypt, of geplakt? Metadata wordt vaak omschreven als simpelweg “de envelop” van een brief. Helaas bevat die envelop veel meer informatie dan dat.

Elke zes maanden publiceren Google en Microsoft hun rapporten over overheidsverzoeken.

• Microsoft Report of Government Requests for Customer Data
• Google Report of Government Requests for Customer Data

# Context

# Elk land kan dagvaarden…

Elk land kan Google of Microsoft dagvaarden binnen het wettelijk kader van dat land. Als we kijken naar de cijfers voor het eerste halfjaar van 2025, zien we het volgende:

• Microsoft: 28.593 verzoeken, voor in totaal 101.115 accounts (59 landen)
• Google: 313.424 verzoeken, 724.861 accounts (107 landen)

In de historische cijfers van beide rapporten zien we dezelfde tendens: niet alleen stijgt het aantal verzoeken gestaag, ook het aantal accounts per verzoek neemt toe. De piek in Belgische accounts in 2025 is opvallend. We vonden op dit moment geen verklaring hiervoor, maar het lijkt de moeite waard dit verder te onderzoeken.

# … maar de VS heeft ook nog zijn eigen wetten.

Bedrijven als Google en Microsoft zijn wettelijk gebonden en maakt dat expliciet in zijn principes. Omdat het bedrijf ook aan de Amerikaanse wet onderworpen is, leidt dit soms tot een dilemma. FISA 702 en Executive Order 12333 zijn hierbij de belangrijkste instrumenten. Voor FISA beschikken we over ruwe cijfers, maar over EO 12333 weten we nauwelijks iets.

# Google en Microsoft

Google en Microsoft publiceren hun gecumuleerde cijfers over FISA-verzoeken voor H1 2025:

Het is duidelijk dat hoewel het aantal verzoeken vrij beperkt is, er best wel wat accounts erdoor betrokken zijn. Microsoft wijst erop dat gebruikers soms meerdere accounts hebben, waardoor het werkelijke aantal getroffen gebruikers iets lager kan liggen.

Verder zien we bij Google een duidelijke trend: niet-inhoudelijke FISA-accounts gingen van ~27.500 (H1 2021) naar ~75.500 (H1 2025): bijna verdrievoudigd in vier jaar. Inhoudelijke accounts gingen van ~89.000 naar ~177.500, dus ruwweg verdubbeld.

Zowel Google als Microsoft rapporteren minder dan 500 FISA-verzoeken voor inhoud, en nog eens minder dan 500 voor niet-inhoud. Het totale aantal verzoeken ligt dus ergens tussen 0 en 1000, maar het aantal accounts dat aan die minder dan duizend verzoeken gekoppeld is, geeft een iets nauwkeuriger beeld, omdat die aantallen in blokken van 500 moeten worden opgegeven: meer dan 210.000 accounts.

# Consument versus zakelijk: de consument is ondermaats beschermd

Uit de analyse blijkt dat Google (Android, Google Drive, Gmail, YouTube, …) veel intensiever op consumentenniveau wordt gebruikt, terwijl Microsoft een veel grotere zakelijke klantenbasis heeft. Het aantal getroffen accounts (zowel via landsgebonden dagvaardingen als FISA-verzoeken) ligt duidelijk veel hoger in het Google-ecosysteem dan in het Microsoft-ecosysteem.

Maar ook in de Microsoft-omgeving toont de grafiek Requests for Enterprise Customer Data hoe er 28.000 consumentenverzoeken waren tegenover slechts 168 zakelijke verzoeken (0,6%).

Het is evident dat gegevens van individuele consumenten veel makkelijker te verkrijgen zijn dan die van ondernemingen. Het lijkt de moeite waard te onderzoeken op welke manieren consumenten inzicht in of bescherming tegen deze informatieverzoeken kunnen krijgen.

# Impact van AI en LLMs op verzoeken

Een opkomend gevolg van de groeiende aantal verzoeken is dat grote hoeveelheden data worden samengebracht. Twee mogelijke nieuwe benaderingen die niet duidelijk door de huidige wetgeving worden gedekt:

1. Zowel Microsoft als Google hebben een ingebedde LLM in hun ecosysteem. Is het mogelijk voor wetshandhaving of inlichtingendiensten om deze LLMs vragen te stellen?
2. Als deze datasets worden verzameld, op welke manier worden ze dan verwerkt? Het beoogde gebruik is duidelijk, maar zullen deze gegevens ook worden ingevoerd in grote AI-modellen die vervolgens worden gebruikt voor het trainen van surveillancetools? Als dat het geval is, zal dit duidelijk consumenten benadelen (en ondernemingen ondervertegenwoordigen), aangezien consumenten het leeuwendeel (99,4%) van de dataset uitmaken.

# Conclusie

Wie de onderstaande diepgaande analyse doorneemt, concludeert dat hoewel er bepaalde vangrails zijn om de consumenten en ondernemingen beschermen, die ernstig beknot werden en vatbaar voor misbruik.

Voor elke Belgische overheidsinstelling die Amerikaanse cloudleveranciers evalueert, betekenen deze drie instrumenten gezamenlijk dat gegevensoevereiniteit contractueel niet kan worden gegarandeerd, ongeacht welke verbintenissen rond dataresidentie worden gemaakt. De inschatting moet worden gemaakt in hoeverre de exploitatie van opgeslagen (meta)gegevens via deze diensten de vrijheid en integriteit van Belgische en Europese burgers individueel en als samenleving kan aantasten.

# Diepgaande analyse: relevante Amerikaanse extraterritoriale wetten

Om de Amerikaanse wetten die onze privacy en soevereiniteit raken, beter te begrijpen, duiken we even dieper in de mechanismen binnen FISA 702, en lichten we ook kort toe wat Executive Order 12333 en de CLOUD Act inhouden. FISA 702 in het bijzonder lijkt sterk onderbelicht in de algemene berichtgeving.

# FISA 702

Hoofdbron: de officiële FISA 702-documentatie.

# Stap 1: Certificeringen

De Attorney General (AG) en de Director of National Intelligence (DNI) dienen “certificeringen” in bij het Foreign Intelligence Surveillance Court (FISC), met een geldigheidsduur van maximaal één jaar, waarin ze de categorieën buitenlandse inlichtingen specificeren die de inlichtingengemeenschap (IC) via FISA 702 mag verzamelen. Er zijn vier certificeringen:

• buitenlandse regeringen en gerelateerde entiteiten
• terrorismebestrijding
• bestrijding van proliferatie
• bestrijding van drugshandel

De Attorney General was tot voor kort Pam Bondi en is nu Todd Blanche. Deze functie wordt door de president benoemd, wat betekent dat het iemand is die diens lijn volgt. De Director of National Intelligence is Tulsi Gabbard. Ook zij staat bekend als gelijkgestemd met de president.

Buitenlandse regeringen vallen duidelijk binnen het toepassingsgebied, inclusief “gerelateerde entiteiten” (een begrip dat niet scherp is gedefinieerd, vallen overheidscontractanten er ook onder?).

# Stap 2: Procedures

Samen met de certificeringen dienen de AG en de DNI ook in:

• Targetingprocedures: verzekeren dat FISA 702 alleen wordt gebruikt om buitenlandse inlichtingen te verzamelen van buitenlandse personen buiten de VS.
• Minimiseringsprocedures: regels om gegevens van Amerikaanse personen die per toeval via FISA 702 worden verzameld, te beschermen.
• Queryprocedures: bepalen hoe instanties via FISA 702 verzamelde niet-geminimaliseerde informatie mogen raadplegen.

Het is duidelijk dat deze procedures niets doen om Belgische of EU-burgers te beschermen.

# Stap 3: FISC-toetsing

Het FISC toetst de certificeringen en procedures om te controleren of ze voldoen aan zowel FISA als het Vierde Amendement (proportionaliteisbeginsel), rekening houdend met de nalevingsgeschiedenis van de collectie onder FISA 702.

Het FISC is verplicht amici curiae (vrienden van de rechtbank) aan te stellen die extra input leveren bij de beraadslagingen. Het zijn de FISC-rechters zelf die deze amici curiae aanstellen. Er is geen externe controle of bevestigingsprocedure. De American Civil Liberties Union (ACLU) heeft al meermaals gevraagd om onafhankelijke deskundigen toe te laten, maar dit is nooit ingewilligd. Amici curiae worden bovendien alleen in uitzonderlijke gevallen aangesteld en vormen zelden enige tegenstem.

De rechters van het FISC worden rechtstreeks door de opperrechter van de Verenigde Staten benoemd, zonder bevestiging door of toezicht van het Congres. De opperrechter wordt door de president benoemd.

• Indirecte invloed: de president kan FISC-rechters niet rechtstreeks benoemen, maar de opperrechter (benoemd door de president) speelt een sleutelrol. Een president die een opperrechter benoemt met een bepaalde rechtsfilosofie kan de samenstelling van het hof op lange termijn sturen.
• Druk vanuit de uitvoerende macht: hoewel het hof in theorie onafhankelijk is, dient de uitvoerende macht (de AG, de FBI, de NSA) verzoeken in en kan ze druk uitoefenen voor ruimere surveillancebevoegdheden. Het geheime karakter van het hof maakt het moeilijk te achterhalen of dergelijke druk uitspraken heeft beïnvloed.
• Geen rechtstreeks toezicht: de president heeft geen directe controle over de werking van het FISC, maar de uitvoerende macht kan het hof beïnvloeden door de juridische en politieke omgeving waarin het opereert te vormen.

De uitbreiding van FISA 702 die de NSA toelaat zonder bevel communicatie van Amerikanen te doorzoeken, werd in 2017 voor het eerst goedgekeurd door het FISC. Maar de grote uitbreiding en hervergunning in 2024, waarbij de surveillancebevoegdheden van de overheid nog verder werden vergroot, werd in april 2024 ondertekend door president Joe Biden. De beslissing van 2017 viel onder de Trump-administratie; de uitbreiding van 2024 onder Biden.

Conclusie: FISA biedt geen bescherming aan niet-Amerikaanse burgers (zoals EU-burgers), en het Vierde Amendement beschermt evenmin niet-Amerikaanse burgers.

De bovenstaande drie stappen vormen de jaarlijkse certificeringscyclus die het juridisch kader bepaalt. De volgende stappen beschrijven wat er gebeurt als een bedrijf een specifieke vordering aanvecht binnen dat kader, wat in de praktijk zelden voorkomt.

# Stap 4: Beschikking

Het FISC geeft een schriftelijk advies met zijn motivering. Wanneer het FISC een bevel uitvaardigt, kunnen bedrijven daartegen beroep aantekenen bij het FISC Court of Appeals. Pas nadat een beslissing over dat beroep is gevallen, kan de Amerikaanse overheid de bedrijven verplichten hun medewerking te verlenen aan de collectie onder FISA 702.

In de praktijk gebeurt dit zelden, omdat het een groot risico inhoudt.

• Geheimhouding en gebrek aan transparantie: het FISC en het FISCR werken in het geheim; de meeste adviezen en motivaties zijn zwartgemaakt. Bedrijven kunnen de bevelen niet openbaar aanvechten of er zelfs maar over spreken zonder juridische gevolgen te riskeren.
• Geen echte tegensprekelijkheid: het systeem is ontworpen in het voordeel van de overheid. Bedrijven hebben geen reële mogelijkheid om tegenargumenten in te brengen of de noodzaak van de surveillance te betwisten. Zelfs met amici curiae zijn dit doorgaans overheidsvriendelijke deskundigen, geen pleitbezorgers voor privacy of burgerrechten.
• Juridische en financiële risico’s: een FISA 702-bevel aanvechten is risicovol. Bedrijven riskeren het verlies van overheidscontracten, juridische sancties wegens niet-naleving of strafrechtelijke vervolging wegens het onthullen van gerubriceerde informatie. De meeste bedrijven voldoen aan bevelen zonder verzet om deze risico’s te vermijden.
• Overheidsdruk: de overheid was historisch gezien in staat naleving af te dwingen, ook na aanvechting. Zo won de overheid in 2008 een rechtszaak om Yahoo te dwingen mee te werken aan een voorganger van de huidige surveillancewetgeving, nadat Yahoo die had aangevochten.
• Uitbreiding 2024: de Reforming Intelligence and Securing America Act (RISAA) van 2024 vergroot de mogelijkheden van de overheid om technische bijstand te verplichten van een bredere categorie bedrijven, waaronder datacentra en andere entiteiten die traditioneel niet als ECSPs werden beschouwd. Dit maakt het nog moeilijker voor bedrijven om bevelen te ontlopen.

# Stap 5: Directieven

Pas na de goedkeuring door het FISC van de certificeringen, inclusief de targeting-, minimiserings- en queryprocedures, kunnen de AG en de DNI Amerikaanse aanbieders van elektronische communicatiediensten verplichten medewerking te verlenen bij het verzamelen van informatie over goedgekeurde FISA 702-doelwitten.

Op dit punt kan een Amerikaans bedrijf (ook met vestigingen buiten de VS) wettelijk worden verplicht te voldoen.

# Stap 6: Collectie

De overheid gebruikt informatie verzameld onder FISA 702 om de VS en haar bondgenoten te beschermen tegen vijandige buitenlandse tegenstanders, waaronder terroristen, proliferatoren, spionnen, cybercriminelen en internationale drugshandelaren.

“Vijandige buitenlandse tegenstanders” is een vaag begrip. De recente geschiedenis leert ons hoe bepaalde bevolkingsgroepen of situaties als vijandig aan de VS worden bestempeld.

# FISA-conclusie

• Waarborgen tegen politieke vooringenomenheid en misbruik zijn niet robuust aanwezig
• Verzet tegen een FISA-vordering is moeilijk te voeren of te weigeren (praktisch onmogelijk)
• De wet verbiedt ontvangers van FISA-bevelen om ooit het bestaan van zo’n bevel openbaar te maken
• Slechts vage (ruwe) statistieken, zes maanden na de feiten, die desondanks jaar na jaar een gestage groei van het aantal FISA-verzoeken aantonen

Dit heeft ernstige gevolgen voor de soevereiniteit van niet-Amerikaanse landen.

# CLOUD Act versus AVG Art. 48

Vóór de CLOUD Act bestond er een juridische grijze zone: de Amerikaanse wetshandhaving kon een Amerikaans bedrijf dagvaarden voor gegevens, maar als die gegevens fysiek buiten de VS waren opgeslagen, konden bedrijven argumenteren dat ze niet konden voldoen zonder de lokale wetgeving te schenden. Microsoft spande hierover zelfs een zaak aan tot bij het Hooggerechtshof (VS v. Microsoft, 2018), maar het Congres maakte de zaak irrelevant door de CLOUD Act aan te nemen terwijl de zaak nog hangende was.

De CLOUD Act loste de onduidelijkheid op in het voordeel van de overheid: een Amerikaans bedrijf moet gegevens waarover het de controle heeft, overhandigen, ongeacht waar die fysiek zijn opgeslagen. De juridische haak is “bezit, bewaring of toegang”. Terwijl FISA-zwijgplichten permanent zijn, beschikt de CLOUD Act ook over middelen om tijdelijke zwijgplichten op te leggen, wat in ongeveer 1 op de 3 gevallen ook gebeurt.

Het tweede facet van de CLOUD Act krijgt minder aandacht maar is voor Europa mogelijk van nog groter belang. Het stelt de VS in staat uitvoeringsovereenkomsten te sluiten met andere regeringen (waarbij het ratificatietraject voor verdragen volledig wordt omzeild), zodat buitenlandse wetshandhaving gegevensverzoeken rechtstreeks bij Amerikaanse bedrijven kan indienen, zonder het trage Mutual Legal Assistance Treaty (MLAT)-traject te moeten doorlopen.

Het VK (sinds 2020) en Australië hebben al zo’n overeenkomst, en er worden onderhandelingen gevoerd met Canada en de EU.

Wat dit in de praktijk betekent: als er een VS-EU CLOUD Act-overeenkomst wordt gesloten, zou de Belgische federale politie theoretisch gezien een rechtstreeks verzoek kunnen sturen aan Microsoft of Google voor gegevens over een Belgische verdachte. Maar de VS zou ook verzoeken kunnen sturen die Europese betrokkenen raken, op basis van voorwaarden die door uitvoerders zijn onderhandeld zonder parlementaire ratificatie aan beide zijden.

Terwijl FISA 702 programmatische collectie uitvoert en EO 12333 collectie op infrastructuurniveau, werkt de CLOUD Act per geval op basis van een gerichte juridische vordering.

• AVG Artikel 48 stelt: overdrachten op basis van buitenlandse rechterlijke bevelen zijn alleen rechtmatig als ze gegrond zijn op een internationale overeenkomst die door het EU-recht wordt erkend.
• CLOUD Act stelt: lever de gegevens, ongeacht waar ze zijn opgeslagen.

Deze twee rechtsinstrumenten spreken elkaar tegen, en geen enkele rechter heeft het conflict definitief beslecht. Microsoft en Google bevinden zich technisch gezien in een onmogelijke positie: voldoen aan de CLOUD Act en de AVG mogelijk schenden, of weigeren en Amerikaanse juridische gevolgen riskeren.

In de praktijk voldoen bedrijven aan de CLOUD Act en beheren ze de AVG-blootstelling stilletjes. De European Data Protection Board heeft dit conflict herhaaldelijk aan de kaak gesteld, maar handhavingsacties tegen bedrijven specifiek wegens CLOUD Act-naleving zijn er tot dusver niet op enige schaal gekomen.

Microsoft verwijst naar Microsoft Ireland Operations Limited (MIOL) als de juridische entiteit die EU-klanten bedient, wat zou impliceren dat de EU-jurisdictie van toepassing is. De “bezit, bewaring of toegang”-toets van de CLOUD Act omzeilt dit echter: Amerikaanse rechtbanken vragen of de Amerikaanse moedermaatschappij toegang heeft tot de gegevens, niet wie het klantcontract heeft getekend. MIOL creëert hooguit een procedureel obstakel.

# Executive Order 12333

Dit is een venijnige. De PCLOB (Privacy and Civil Liberties Oversight Board) stelde in 2014 dat EO 12333-surveillance qua volume de grootste component vormt van NSA-collectie, en dat niet-Amerikanen er vrijwel geen zinvolle bescherming aan ontlenen. Het Europees Hof van Justitie verwees hiernaar in Schrems II (2020) als een van de redenen waarom het Privacy Shield-kader ongeldig werd verklaard. EO 12333 is een presidentiële richtlijn: die kan door een executive order alleen worden herschreven, uitgebreid of hergeïnterpreteerd, zonder dat het Congres hoeft te stemmen. De huidige administratie heeft de PCLOB actief ontmanteld: bestuursleden werden begin 2025 ontslagen, waardoor het orgaan niet langer quorum heeft. Het toezichtsorgaan dat de beoordeling van 2014 produceerde, functioneert niet meer zoals bedoeld — wat betekent dat “de grootste component van NSA-collectie” nu nog minder scrutinie krijgt dan toen die beoordeling werd geschreven. Elke vermeende “beperking” in de huidige tekst van EO 12333 is slechts zo duurzaam als de voorkeur van de huidige of volgende president.

Toch, ondanks deze zorgwekkende context, formuleert Microsoft het zo:

Executive Order (EO) 12333 is een presidentiële richtlijn die de Amerikaanse inlichtingenactiviteiten organiseert en de buitenlandse inlichtingenverzameling van bepaalde onderdelen van de Amerikaanse inlichtingengemeenschap reguleert. Belangrijk is dat EO 12333 geen bevoegdheid bevat om particuliere bedrijven, zoals Microsoft, te verplichten klantgegevens vrij te geven, en Microsoft zou niet voldoen aan een verzoek van de Amerikaanse overheid onder EO 12333 om vrijwillig persoonsgegevens te verstrekken.

EO 12333 hoeft Microsoft helemaal niets op te leggen, omdat het collectie autoriseert die bovenstrooms van Microsoft plaatsvindt: op netwerkniveau, voordat gegevens de servers van Microsoft ooit bereiken of verlaten.

Concrete casussen:

• MUSCULAR (2013, Snowden): de NSA en GCHQ tapten de glasvezelverbindingen tussen de datacentra van Google en Yahoo. Verkeer dat intern tussen hun eigen infrastructuur onversleuteld was. Geen rechterlijk bevel. Geen kennisgeving aan de bedrijven.
• UPSTREAM-collectie: de NSA tapt backbone-internetinfrastructuur onder de bevoegdheid van EO 12333 en onderschept verkeer in transit. Microsoft en Google zijn mogelijk volledig onwetend dat dit met de gegevens van hun gebruikers gebeurt.