Hoewel de kans klein is, kunnen de Amerikaanse autoriteiten via de Cloud Act toegang tot betalingsgegevens van de Nederlandse betalingsverwerker CCV krijgen, nu het bedrijf door het Amerikaanse Fiserver is overgenomen. Dat stelt minister Heinen van Financiën in antwoord op Kamervragen. CCV biedt naar eigen zeggen betalingsoplossingen aan zo'n 600.000 bedrijven in Nederland, België en Duitsland. Het gaat onder andere om transactieverwerking, online- en closed-loop-betalingen en betaalterminals in winkels.

"Klopt het dat bedrijven in de VS onder de ‘Cloud Act’ gedwongen kunnen worden om data over betalingen af te staan, wat beïnvloeding van de dienstverlening mogelijk maakt?", zo wilde CDA-Kamerlid Van Dijk naar aanleiding van de overname van de minister weten. "Zou het na de overname kunnen voorkomen dat onder de Cloud Act ook het afstaan van data van betalingen via CCV, dus van onder andere de Nederlandse markt, kan worden afgedwongen?"

"CCV, dat zelf niet in de VS is gevestigd, zou onder de werking van de Amerikaanse Cloud Act kunnen vallen na de overname", reageert Heinen. Volgens de bewindsman gelden hiervoor echter verschillende voorwaarden en is de kans dat de Amerikaanse overheid toegang krijgt tot de gegevens in de praktijk klein. "Het Nationaal Cyber Security Centrum (NCSC) heeft in 2022 een algemene juridische analyse laten uitvoeren naar de mogelijke impact van de Cloud Act op diverse cloudproviders. Hieruit blijkt dat de risico’s beperkt lijken te zijn."

De minister voegt toe dat toegang tot Europese betaalgegevens door een buitenlandse overheid in algemene zin kan leiden tot risico’s op het gebied van privacy, gegevensbescherming en het vertrouwen van klanten in financiële instellingen. "Hoewel de kans dat dergelijke toegang zich in de praktijk voordoet als relatief laag wordt ingeschat, gezien de voorwaarden die geschetst worden in het antwoord op vraag 5, kan dit risico niet volledig worden uitgesloten."

Kamerlid Van Dijk had de minister ook gevraagd of hij vindt dat CCV tot de kritieke betalingsinfrastructuur van Nederland behoort. "Welke instellingen wel en niet tot de kritieke (betalings)infrastructuur behoren heb ik samen met de minister van Justitie en Veiligheid en in samenspraak met de toezichthouders bepaald. Ik kan geen openbare uitspraken doen over welke instellingen onder de kritieke, dan wel vitale, infrastructuur van Nederland behoren aangezien dit vertrouwelijke informatie betreft", reageert Heinen.