Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Op zoek naar een nieuwe mail en VPN provider, waarbij ik vooral het onderdeel privacy belangrijk vind, viel me op dat veel van deze partijen schermen met het feit dat ze in land X, Y of Z zitten en daarom gegevens van gebruikers beter zouden zijn beschermd. Hoe kijk jij als jurist daar tegenaan, hoe zwaar moet ik dat mee laten wegen in mijn selectie?

Antwoord: Inderdaad melden VPN providers vaak expliciet in welk land zij gevestigd zijn. Voor een deel is dat transparantie, zodat je kunt inschatten of het een legitiem bedrijf is en niet een fly-by-night bedrijfje op een eiland ver weg waar je met klachten machteloos staat. Een Zweedse Aktiebolag biedt in ieder geval op papier een goede route voor een juridische claim.

De gegevensbeschermingswetgeving in dat land is minstens zo belangrijk, zeker voor klanten uit landen waar die niet als zodanig bestaat. Zoals in de VS bijvoorbeeld. Dus dan is "het staat in Zweden/Zwitserland/ Duitsland" een commercieel voordeel. In die drie landen bijvoorbeeld geldt de AVG (in Zwitserland de FADP, die is equivalent) en alledrie staan bekend om hun strenge daadwerkelijke handhaving van de relevante wetgeving.

Wie een VPN dienst afneemt bij een bedrijf uit dat land, kan dus met redelijke zekerheid stellen dat er niet zómaar getapt zal worden of IP- adressen gevorderd. Voor partijen van buiten Europa weegt dan ook mee dat een rechtshulpverzoek naar justitie daar een moeilijker stap is. Binnen de EU (de meeste lezers zijn Nederlands of Belgisch) zou ik dat niet direct meewegen.

Voor mijzelf zou het om het even zijn uit welk EU-land de aanbieder komt. Binnen de EU weet ik hoe het recht werkt, zodat ik bijvoorbeeld mijn geld terug kan krijgen als de dienst wanpresteert. En op grond van de AVG kan ik erop vertrouwen dat er niet zomaar meegelezen wordt. Maar uiteindelijk is het de reputatie van de provider zelf waar je naar moet kijken.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.