Dutch govt response to Parliamentary questions concerning U.S. spying / AMS-IX expansion to U.S.

Posted on by mrkoot

UPDATE 2013-11-27: here (.pdf, Nov 27) is the EU Report on the Findings by the EU Co-chairs of the ad hoc EU-US Working Group on Data Protection — i.e., the EU-US expert group established in response to the revelations about NSA-related activities on European territory that is referred to in the post below.

UPDATE 2013-11-07: Automatisering Gids reports (in Dutch) that AMS-IX evades the PATRIOT Act in its expansion to the U.S.:

“AMS-IX has found a legal structure to operate in the U.S. without having to deal with the PATRIOT Act in the Netherlands.

AMS-IX is setting up a fully independent company in Delaware which will manage the exchange nodes in the United States. This also means that employees and directors cannot be exchanged between the two organizations. The U.S. company is a subsidiary of AMS-IX BV, that acts as the sole shareholder. The U.S.-based entity will be granted access to the necessary intellectual property through licensing.

This structure is devised with the international law firm Jones Day and aims to protect the Dutch AMS-IX BV and the AMS-IX Association against U.S. laws such as the USA PATRIOT Act.

Earlier the plans of AMS-IX for expansion into the United States were opposed because of the possible interference of the U.S. justice and security services in the Dutch establishment of AMS-IX.

AMS-IX takes into account a possible extension of the PATRIOT Act that would allow the construction to still become subject to U.S. jurisdiction. In that case, an independent Dutch foundation can be set up within a week to further separate the activities. AMS-IX chooses the current structure because the benefits from economy of scale.”

This is the provisional end of the story.

UPDATE 2013-11-06: AMS-IX USA Inc. to Deploy an Open-IX Internet Exchange in New York  

 

On October 15th, the Dutch cabinet responded (.pdf, in Dutch) to Parliamentary questions concerning planned AMS-IX expansion to U.S. in the light of U.S. spying. The response is only available in Dutch; here is my English translation. Hyperlinks are mine.

WARNING: this is an unofficial translation.

Answers to Parliamentary questions by Members of Parliament Van Raak (SP party) and Oosenbrug (PvdA party)Questions by Van Raak (SP party) to the Secretary of the Interior and Kingdom Relations concerning the danger of the Amsterdam internet exchange AMS-IX being required to hand over data to the U.S. National Security Agency (NSA) (submitted September 24th 2013).
Original Dutch: “Vragen van het lid Van Raak (SP) aan de minister van Binnenlandse Zaken en Koninkrijksrelaties over het gevaar dat het Amsterdamse internetknooppunt AMS-IX gegevens moet afstaan aan de Amerikaanse National Security Agency (NSA) (ingezonden 24 september 2013)”

Do you remember your remark that the Amsterdam Information [sic] Exchange (AMS-IX) is `the most important internet-exchange of the Netherlands and the second-biggest exchange in the world’?Yes
Original Dutch: “1 Herinnert u zich nog uw opmerking dat de Amsterdam Information Exchange (AMS-IX) ‘het belangrijkste internet-knooppunt van Nederland en het op één na grootste ter wereld’ is? [0]
Ja.”

Is it true that AMS-IX is considering expanding its activities to the U.S.?
That is known from media reports. Meanwhile it has become clear that on September 27th, the majority of members of the AMS-IX association voted in favor of the establishment of a legal entity in the U.S., during an extraordinary general meeting. The Board of Directors of the AMS-IX association will further examine the formation of a legal entity in the U.S.
Original Dutch: “2 Klopt het dat deze AMS-IX overweegt haar activiteiten uit te breiden naar de Verenigde Staten?
Dit is bekend uit de mediaberichten. Inmiddels is ook bekend dat op 27 september jongstleden in een buitengewone algemene ledenvergadering van de vereniging AMS-IX een meerderheid van de leden voor de opzet van een juridische entiteit in de VS heeft gestemd. De Raad van Bestuur van de vereniging AMS-IX zal de formatie van een juridische entiteit in de VS verder onderzoeken.”

Do you share our concern that the AMS-IX, by expanding to the U.S., risks becoming subject to U.S. legislation and can be forced to hand over information to the NSA?
If a company conducts activities on U.S. territory, these activities are subject to U.S. legislation, such as the Patriot Act and the Foreign Intelligence and Surveillance Act. Under this U.S. legislation, the provider can be forced, if mandated so by a U.S. court, to comply with requests of the U.S. authorities. The scope of the U.S. legislation and the possible violations of privacy are discussed in the joint EU-US expert group that was established following the revelations by Mr. Snowden. This group discusses the protection of privacy and electronic data of citizens, with the aim of understanding each other’s programs and how they are anchored in the rule of law.
The operating company of AMS-IX, AMS-IX B.V., has reported on its website that it explores the legal possibilities and the risks of expansion to the U.S. AMS-IX B.V. has sought legal advice from various parties on the applicability of U.S. law.
Original Dutch: “3 Deelt u de vrees dat de AMS-IX door deze uitbreiding de kans loopt onder de Amerikaanse wetgeving te vallen en gedwongen kan worden informatie af te staan aan de NSA?
Indien een bedrijf activiteiten op het grondgebied van de VS uitvoert, dan vallen deze activiteiten onder de Amerikaanse wetgeving, waaronder de Patriot Act en de Foreign Intelligence and Surveillance Act. Op basis van deze Amerikaanse wetgeving kan de aanbieder, na tussenkomst van een Amerikaanse rechter, verplicht worden mee te werken aan verzoeken van de Amerikaanse autoriteiten. De reikwijdte van de Amerikaanse wetgeving en de mogelijke schendingen van de persoonlijke levenssfeer zijn onderwerp van gesprek van de gezamenlijke EU-VS-expertgroep, die naar aanleiding van de onthullingen van de heer Snowden is ingesteld. Deze groep bespreekt de bescherming van de persoonlijke levenssfeer en elektronische gegevens van burgers, met als doel inzicht in elkaars programma’s en de wijze waarop deze zijn verankerd in de rechtsstaat.
De werkmaatschappij van AMS-IX, AMS-IX BV, heeft op haar website gemeld de juridische mogelijkheden en de risico’s van de uitbreiding naar de VS te verkennen. AMS-IX B.V. heeft bij diverse partijen juridisch advies ingewonnen over de toepasselijkheid van de Amerikaanse wetgeving.”

Are you willing to request advice on this from the Dutch National Cyber Security Center (NCSC)?
No. The NCSC is the knowledge and expertise center on cyber security, implemented the so-called computer emergency response task, and is responsible for crisis coordination in the event of a cyber crisis. Advising on the expansion of a Dutch legal entity to the U.S. is not a task of the NCSC.
Original Dutch: “4 Bent u bereid het Nationaal Cyber Security Centrum advies te vragen over deze kwestie?
Nee. Het Nationaal Cyber Security Centrum is het kennis- en expertisecentrum op het gebied van cyber security, geeft invulling aan de zogeheten computer emergency response-taak en is verantwoordelijk voor de crisiscoördinatie in het geval van een cybercrisis. Adviseren over de uitbreiding van een Nederlandse rechtspersoon in de VS behoort niet tot de taken van het Nationaal Cyber Security Centrum.”

Can you ensure that the AMS-IX will not conduct activities in the U.S. before the Parliament has full certainty that the data of Dutch citizens are safe at all times?
No. Dutch companies are free to expand abroad. Dutch companies that conduct activities in the U.S., must be aware that in the case of seizing or provisioning of data, the requirements of the Dutch Data Protection Act (DPA) must be met regarding the provision of data to third countries that lack adequate data protection. Under the DPA, the responsibility for assessing the circumstances in which data can be passes to such countries firstly lies on the company that is responsible for the data processing (Article 76 DPA).
Original Dutch: “5 Kunt u verzekeren dat de AMS-IX geen activiteiten in de Verenigde Staten gaat ontplooien voordat de Kamer volledige zekerheid heeft dat gegevens van Nederlandse burgers te allen tijde veilig zijn?
Nee. Het staat Nederlandse bedrijven vrij om zich in het buitenland te vestigen. Nederlandse bedrijven die ook in de Verenigde Staten actief zijn, dienen er op bedacht te zijn dat in het geval van vordering van gegevens of doorgifte van gegevens, de verstrekking daarvan dient te voldoen aan de eisen die de Nederlandse Wet bescherming persoonsgegevens (Wbp) stelt aan de verstrekking van gegevens aan derde landen waar naar Europees recht geen passend niveau van gegevensbescherming bestaat. De Wbp legt de verantwoordelijkheid voor het beoordelen van de omstandigheden waaronder gegevens naar een derde land kunnen worden doorgegeven in de eerste plaats bij het bedrijf dat voor de verwerking verantwoordelijk is (art. 76 Wbp).”

[0] Aanhangsel Handelingen, vergaderjaar 2012-2013, nr. 2649

Questions by Van Raak (SP party) to the secretaries of Economic Affairs, and Security and Justice concerning the possible expansion of the AMS-IX to the U.S. (submitted September 30th 2013)
Original Dutch: “Vragen van het lid Oosenbrug (PvdA) aan de ministers van Economische Zaken en van Veiligheid en Justitie over een mogelijke uitbreiding van de AMS-IX naar de Verenigde Staten (ingezonden 30 september 2013)”

Are you aware of the intention of the AMS-IX to set up shop in the U.S.?
Yes.
Original Dutch: “1 Heeft u kennisgenomen van het voornemen van de Amsterdam Internet Exchange (AMS-IX) om een filiaal in de Verenigde Staten te openen? [2]
Ja.”

Can you give us insight in the risks of expansion the the U.S. for the protection of data exchanged over the AMS-IX? How can the U.S. government use its Patriot Act and FISA in this?
[Same answer given to first question by Van Raak. See above.]
Original Dutch: “2 Kunt u inzicht geven in de risico’s van uitbreiding naar de Verenigde Staten voor de bescherming van gegevens die over de AMS-IX uitgewisseld worden? Op welke wijze kan de Amerikaanse overheid haar Patriot en FISA wetgeving hierbij gebruiken?
Indien een bedrijf activiteiten op het grondgebied van de VS uitvoert, dan vallen deze activiteiten onder de Amerikaanse wetgeving, waaronder de Patriot Act en de Foreign Intelligence and Surveillance Act. Op basis van deze Amerikaanse wetgeving kan de aanbieder, na tussenkomst van een Amerikaanse rechter, verplicht worden mee te werken aan verzoeken van de Amerikaanse autoriteiten. De reikwijdte van de Amerikaanse wetgeving en de mogelijke schendingen van de persoonlijke levenssfeer zijn onderwerp van gesprek van de gezamenlijke EU-VS-expertgroep, die naar aanleiding van de onthullingen van de heer Snowden is ingesteld. Deze groep bespreekt de bescherming van de persoonlijke levenssfeer en elektronische gegevens van burgers, met als doel inzicht in elkaars programma’s en de wijze waarop deze zijn verankerd in de rechtsstaat.
De werkmaatschappij van AMS-IX, AMS-IX BV, heeft op haar website gemeld de juridische mogelijkheden en de risico’s van de uitbreiding naar de VS te verkennen. AMS-IX B.V. heeft bij diverse partijen juridisch advies ingewonnen over de toepasselijkheid van de Amerikaanse wetgeving.”

Do you see a difference between the protection of personal data in the U.S. concerning U.S. citizens and others? If so, do you see it as a reason to restrict the full provisioning of data to U.S. authorities?
Yes. The U.S. Constition, particularly the Fourth Amendment, only applies to U.S. citizens. The Fourth Amendment requires judicial review in order to permit search and seizure.

Under Article 76 of the Dutch DPA,personal data may only be transferred to countries outside the EU that provide a so-called adequate level of protection. In other cases, transmission is only possible under a legal exception or a license from the Dutch Ministry of Security and Justice. Dutch companies operating in the U.S. must be aware that in the case of seizing or provisioning of data, the requirements of the Dutch Data Protection Act (DPA) must be met regarding the provision of data to third countries that lack adequate data protection. Under the DPA, the responsibility for assessing the circumstances in which data can be passes to such countries firstly lies on the company that is responsible for the data processing (Article 76 DPA).
Original Dutch: “3 Ziet u ook een verschil in bescherming van persoonsgegevens in Amerika, tussen de gegevens van Amerikaanse ingezetenen en anderen? Zo ja, ziet u daarin reden om het volledig ter beschikking stellen van gegevens aan de Amerikaanse overheden te beperken?
Ja. De Amerikaanse grondwet, in het bijzonder het Vierde Amendement, is alleen van toepassing op Amerikaanse burgers. Het Vierde Amendement vereist een rechterlijke toets bij bevelen tot doorzoeking en inbeslagneming.
Op grond van artikel 76 van de Nederlandse Wet bescherming persoonsgegevens mogen persoonsgegevens alleen worden doorgegeven aan landen buiten de EU die een zogeheten passend beschermingsniveau bieden. In de overige gevallen is doorgifte alleen mogelijk op grond van een wettelijke uitzondering of een vergunning van de Minister van Veiligheid en Justitie. Nederlandse bedrijven die ook in de Verenigde Staten actief zijn, dienen er op bedacht te zijn dat in het geval van vordering van gegevens of doorgifte van gegevens, de verstrekking daarvan dient te voldoen aan de eisen die de Nederlandse Wet bescherming persoonsgegevens (Wbp) stelt aan de verstrekking van gegevens aan derde landen waar naar Europees recht geen passend niveau van gegevensbescherming bestaat. De Wbp legt de verantwoordelijkheid voor het beoordelen van de omstandigheden waaronder gegevens naar een derde land kunnen worden doorgegeven in de eerste plaats bij het bedrijf dat voor de verwerking verantwoordelijk is (art. 76 Wbp).”

To what extent do you see an increase in the risk of people being prosecuted by U.S. companies, such as information law professor Van Eijk expected?
At present, there only is consensus on the establishment of a legal in the U.S. It is not yet clear what legal form that entity will get. The Board of Directors of the AMS-IX association is doing further research into the possible structure.
Original Dutch: “4 In hoeverre ziet u een vergroting van het risico dat mensen vervolgd worden door Amerikaanse bedrijven, zoals hoogleraar informatierecht Van Eijk verwacht?
Op dit moment is er alleen sprake van instemming met de opzet van een juridische entiteit in de VS waarbij het nog niet duidelijk welke juridische vorm die entiteit zal krijgen. De Raad van Bestuur van de AMS-IX Vereniging doet nader onderzoek naar de mogelijke structuur.”

Is it true that on September 27th, members of the AMS-IX association decided on the desirability of expanding into the U.S.? If so, what is the next stage that the AMS-IX will follow in the development of the expansion to America?
Yes. AMS-IX has consulted its members on September 27th (also see the website www.ams-ix.net). A majority approved of the expansion to the U.S. AMS-IX states the following: “With the approval of our members, the Board of Directors of the AMS-IX association will further examine the formation of a legal entity in the U.S. The best possible structures for the establishment of a legal entity will be further examined and shared with our members. The structure should protect the current operational activities of the AMS-IX, and the customers and members, against commercial, legal, financial and technical risks, and most specifically interception activities by U.S. authorities.” The options for this legal entity are now being developed and the members will be informed about this by the AMS-IX.
Original Dutch: “5 Is het correct dat de leden van de AMS-IX op 27 september beslissen over de wenselijkheid van uitbreiding naar de Verenigde Staten? Zo ja, wat is het vervolgtraject dat de AMS-IX zal volgen in de ontplooiing van de uitbreiding naar Amerika?
Ja. AMS-IX heeft haar leden op 27 september geraadpleegd. (zie ook de website www.ams-ix.net) Daarbij heeft een meerderheid ingestemd met de uitbreiding naar de VS. AMS-IX meldt daarbij het volgende: “Met de goedkeuring van onze leden, zal de Raad van Bestuur van de AMS-IX vereniging de formatie van een juridische entiteit in de VS verder onderzoeken. De best mogelijke structuren voor het opzetten van deze juridische entiteit zullen worden bekeken en met onze leden worden gedeeld. De structuur dient de huidige operationele activiteiten van de AMS-IX BV en de klanten en leden van de AMS-IX vereniging te beschermen tegen commerciële, juridische, financiële en technische risico’s en meest specifiek tegen interceptie- activiteiten door de overheidsinstanties in de VS.” De opties voor deze juridische entiteit worden nu uitgewerkt en de leden worden hierover door AMS-IX nader geïnformeerd.”

Do you agree that the AMS-IX is vital infrastructure that is of national importance? How is the public interest in the AMS-IX guaranteed, and do you see reasons to reinforce this assurance?
AMS-IX is an important link in the Dutch ICT infrastructure. As the largest internet exchange in the world [sic] and more than 600 connected networks, AMS-IX contributes to a more attractive business climate for ICT companies in the Netherlands. AMS-IX is of economic importance to the Netherlands as Digital Gateway to Europe. This is recognized in the Digital Agenda [2] of the Dutch administration. AMS-IX is currently not considered to be vital infrastructure. Sufficient built-in guarantees exist concerning continuity. Currently we are working on an interdepartmental review of the vital sectors, including a review the position of AMS-IX.
Original Dutch: “6 Deelt u de mening dat de AMS-IX vitale infrastructuur vormt, die van nationaal belang is? Hoe is het publieke belang dat de AMS-IX dient op dit moment geborgd en ziet u reden om deze borging te versterken?
AMS-IX vormt een belangrijke schakel in de Nederlandse ICT-infrastructuur. Als grootste internetknooppunt (internet exchange) ter wereld met meer dan 600 aangesloten netwerken draagt AMS-IX bij aan een aantrekkelijker vestigingsklimaat van ICT-bedrijven in Nederland. AMS-IX van economisch belang voor Nederland als Digital Gateway to Europe. Dit wordt onderkend in de Digitale Agenda [1] van het kabinet. AMS-IX is op dit moment niet aangemerkt als vitale infrastructuur. Er zijn overigens voldoende waarborgen ingebouwd ten behoeve van de continuïteit. Momenteel wordt gewerkt aan een interdepartementale herijking van de vitale sectoren, waarbij ook de positie van AMS-IX wordt bezien.”

Does the AMS-IX currently conduct activities abroad, or does it have plans to do so? How are these activities legally and technically organized?
Yes. AMS-IX is a private company of which the AMS-IX association is sole shareholder. The voting rights rest with the members. These are various providers of Internet traffic [sic]. AMS-IX is involved in three internet exchanges abroad. These activities are managed directly by AMS-IX B.V., that has contracts with local partners.

1) AMS-IX Caribbean (Curacao). This internet exchange is organizationally and legally placed directly under AMS-IX B.V., which is registered in the local chamber of commerce. Parties that exchange Internet traffic at this point have a contract with AMS-IX B.V. and are not members of the AMS-IX association.

2) AMS-IX Hong Kong. This internet Exchange is a collaboration between AMS-IX B.V. and Hutchison Global Communications (HGC). AMS-IX B.V. designs, builds and manages the technical platform. HGC carries out customer relations. Customers enter into a contract with HGC and are not members of AMS-IX association. AMS-IX B.V. receives a fee per connection.

3) AMS-IX East Africa (Mombasa, Kenya) . This internet exchange is under construction. It is a collaboration between AMS-IX B.V., the Kenya Internet Exchange Point (KIXP) and the company Seacom. AMS-IX redesigns and rebuilds an existing exchange and will manage it. KIXP provides technical personnel. Seacom provides the data center and acts as a seller. Parties that connect directly to the exchange are customer of AMS-IX B.V..
Original Dutch: “7 Ontplooit de AMS-IX op dit moment al andere buitenlandse activiteiten, of zijn hier plannen voor? Op welke wijze zijn deze activiteiten juridisch en technisch georganiseerd?
Ja. AMS-IX is een besloten vennootschap waarvan de vereniging AMS-IX enig aandeelhouder is. Het stemrecht binnen de vereniging berust bij de leden. Dit zijn diverse aanbieders van internetverkeer. AMS-IX is betrokken bij drie buitenlandse internet exchanges. Deze activiteiten vallen rechtsreeks onder AMS-IX BV die contracten heeft met lokale partners.
1) AMS-IX Caribbean (Curaçao). Deze internet exchange valt organisatorisch en juridisch rechtstreeks onder AMS-IX BV, die plaatselijk ingeschreven staat in de kamer van koophandel. Partijen die op dit punt internetverkeer uitwisselen hebben een contract met AMS-IX BV en zijn geen lid van de vereniging AMS-IX.
2) AMS-IX Hong Kong. Deze internet exchange is een samenwerking tussen AMS-IX BV en Hutchison Global Communication (HGC). AMS-IX BV ontwerpt, bouwt en beheert het technisch platform. HGC behandelt het klantcontact. Klanten gaan een contract aan met HGC en zijn geen lid van de vereniging AMS-IX. AMS-IX BV ontvangt een vergoeding per aansluiting.
3) AMS-IX East Africa (Mombasa, Kenia). Deze internet exchange is in opbouw. Het is een samenwerking tussen AMS-IX BV, het Kenya Internet Exchange Point (KIXP) en het bedrijf Seacom. AMS-IX herontwerpt en herbouwt een reeds bestaande exchange en zal deze beheren. KIXP levert technisch personeel. Seacom levert het datacentrum en treedt op als verkoper. Partijen die direct aansluiten op de exchange worden klant van AMS-IX BV.”

Are you willing to advise the AMS-IX Board of Directors on how to Dutch interests can be best served through a robust legal and technical construction between the Dutch and foreign branches?
Dutch companies are free to expand abroad. It is not reasonable that the government advises in this. AMS-IX stated that it examines the further legal development abroad with the aim of establishes a robust legal and technical construction. Moreover, the Ministry of Economic Affairs immediately contacted the AMS-IX after publication of the intention to expand to the U.S. and concerns about that.
Original Dutch: “8 Bent u bereid om het bestuur van de AMS-IX te adviseren over de manier waarop de Nederlandse belangen optimaal gediend kunnen worden door een robuuste juridische en technische constructie tussen de Nederlandse en buitenlandse vestigingen? Zo ja, op welke wijze wilt u dit doen?
Het staat Nederlandse bedrijven vrij om in het buitenland te ondernemen. Het ligt niet in de rede dat de overheid daarin adviseert. AMS-IX heeft overigens aangegeven de verdere juridische uitwerking in het buitenland verder te verkennen om te komen tot een robuuste juridische en technische constructie. Overigens heeft het ministerie van Economische Zaken direct na bekendmaking van het voornemen en de zorgen daarover contact gelegd met AMS-IX.”

[2] http://nos.nl/artikel/553680-nederland-opent-deur-voor-nsa.html

[3] Zie voor de meest recente actualisatie d.d. 4 februari 2013 Kamerstukken 29515, nr 346

Related:

EOF

Leave a Reply

Your email address will not be published. Required fields are marked *