Makers van WordPress-plugins verplaatsen soms de plugin, of het backend ervan, ‘naar de cloud’. Dit heeft consequenties voor website-eigenaren in Nederland en Europa.

De afgelopen dagen werden we geconfronteerd met een dergelijke plugin, de verplaatsing ervan naar de cloud en het afdwingen van een migratie naar de nieuwe omgeving bij gebruikers.

DigiD in Amerikaanse handen

De discussie rondom DigiD heeft duidelijk gemaakt dat Amerikaanse bedrijven steeds makkelijker toegang tot onze privégegevens kunnen krijgen en, erger nog, dat de Amerikaanse overheid onze IT-infrastructuur kan beïnvloeden met de spreekwoordelijke druk op de knop.

De overname van Solvinity, de hostingaanbieder waar DigiD (van Logius) is ondergebracht, zorgt er namelijk voor dat de Amerikaanse overheid op basis van de CLOUD Act en de Foreign Intelligence Surveillance Act bij Amerikaanse bedrijven alle buitenlandse data kan opeisen die zij wil. Wanneer Solvinity in Amerikaanse handen komt, kan de Amerikaanse overheid dit dus ook doen met onze Nederlandse DigiD-gegevens.

WordPress-plugins

Doordat makers van WordPress-plugins, in het bijzonder Amerikaanse bedrijven, delen van de functionaliteit of zelfs de hele plugin verplaatsen ‘naar de cloud’ en je verplichten bij hen een account af te nemen in plaats van de plugin lokaal, op je eigen website, te installeren, betekent dit dat daarmee een deel van je website ook onder de werkingssfeer van de CLOUD Act en de Foreign Intelligence Surveillance Act kan vallen.

Immers, als het een Amerikaans bedrijf betreft, kan de Amerikaanse overheid van het bedrijf eisen dat het gegevens overlegt van zijn cliënten. Is het een plugin die bezoekersgegevens verzamelt (IP-adressen, persoonsgegevens), dan staan deze gehost onder de verantwoordelijkheid van dat bedrijf. Een voorbeeld: een formulier dat gegevens verzamelt en opslaat ‘in de cloud’ in plaats van in je eigen WordPress-database, of een plugin die wordt gebruikt om nieuwsbrieven te verzenden.

Nog afgezien van de privacyrisico’s en de werking van de CLOUD Act op (een deel van) je website, zorgt een dergelijke oplossing ook voor een extra “point of failure”. Ligt de betreffende cloudaanbieder of leverancier eruit door bijvoorbeeld een storing, stopt het bedrijf of wordt de dienst afgesloten, dan kan dit je hele website onderuit halen.

Gebruik lokale plugins

Gebruik voor kritische functies van je website en plugins die data verzamelen (namen, e-mailadressen) alleen plugins die op je eigen website draaien en geen plugins die ‘in de cloud’ werken, tenzij je zeker weet dat de plugin geen persoonsgegevens opslaat in de cloud én dat uitval ervan je website niet onherstelbaar platlegt. Dat aanbeiders aangeven dat data ‘in Europa’ opgeslagen wordt doet niet ter zake; de locatie van het bedrijf zelf is bepalend.

Controleer dus altijd onder welke wetgeving je aanbieder van een plugin of andere cloudsystemen valt én waar ze fysiek gehost zijn. Dit geldt niet alleen voor Amerikaanse aanbieders, maar voor elke plugin of dienst die ‘in de cloud’ draait, inclusief theme-builders.