Pokud váš poskytovatel cloudu sídlí v USA, platný soudní příkaz USA může tuto společnost donutit získat data vaší společnosti na serverech kdekoli na světě.
Společnosti včetně Google, Microsoft a Amazon jsou zranitelné vůči tomuto vniknutí, které umožňuje CLOUD Act, zákon z roku 2018, který dává americkým donucovacím orgánům globální chapadla.
Je to zejména problém pro podniky v EU. Pokud váš poskytovatel z USA předá vaše e-maily nebo soubory, mohlo by to představovat porušení GDPR za únik osobních údajů, za což lze uložit pokuty až do výše 20 milionů € nebo 4 % celosvětového ročního obratu, podle toho, která částka je vyšší.
To je realita, kterou americké společnosti zastírají, když říkají “v souladu s GDPR” a “evropský suverénní cloud” ve svém marketingu. Datové centrum poskytovatele z USA v EU stále provozuje společnost pod jurisdikcí USA. Pro vaše podnikání to znamená, že rozhodnutí o nákupu s sebou nesou odpovědnost za dodržování předpisů, kterou jste možná nezohlednili. Pro vaše zákazníky to znamená, že osobní údaje, které vám svěřili, se mohou ocitnout v právním procesu, do kterého nemají co mluvit (a možná se o něm ani nedozvědí).
Zde je jednoduché vysvětlení CLOUD Actu, proč je tato invazivní legislativa důležitá pro podniky a jak omezit své vystavení riziku. Kde vaše data sídlí, už nerozhoduje o tom, kdo se k nim dostane.
Co je CLOUD Act?
Zákon o vyjasnění zákonného používání dat v zahraničí (CLOUD Act(nové okno)) je americký federální zákon, který vstoupil v platnost v roce 2018. Umožňuje federálním donucovacím orgánům — především ministerstvu spravedlnosti a FBI, ale také federální, státní a místní policii — získat zatykač, soudní příkaz nebo předvolání, které nutí technologické společnosti pod jurisdikcí USA vydat data, bez ohledu na to, kde na světě jsou tato data fyzicky uložena.
Například pokud FBI získá zatykač, který nutí Microsoft vydat e-maily evropského podniku, Microsoft musí vyhovět — i když evropský soud s žádostí nesouhlasí.
CLOUD Act má legitimní policejní účel. Je navržen tak, aby pomáhal federálním donucovacím orgánům vyšetřovat závažné trestné činy, jako je terorismus, zneužívání dětí a kybernetická kriminalita. Není navržen pro shromažďování zpravodajských informací, které probíhá prostřednictvím samostatného amerického orgánu (FISA Section 702), často zaměňovaného s ním.
Tento legitimní účel však neodstraňuje strukturální problém pro podniky: CLOUD Act může dostat poskytovatele pod jurisdikcí USA do situace, kdy splnění zákonného příkazu USA znamená porušení práva EU. Nechává podniky uvízlé mezi dvěma režimy dodržování předpisů, aniž by mohly vyhovět oběma.
Jaký je původ CLOUD Actu?
CLOUD Act byl přijat v roce 2018 vládou USA jako novela zákona o ukládání komunikací (Stored Communications Act, SCA) z roku 1986. Tato novela byla z velké části reakcí na probíhající soudní případ(nové okno), případ „Microsoft-Irsko“.
V roce 2013 společnost Microsoft napadla federální zatykač požadující e-maily zákazníka vyšetřovaného kvůli obchodu s drogami — e-maily uložené společností Microsoft na serverech v Irsku. Tento případ závisel na ošemetné právní otázce: Může zatykač USA vydaný podle SCA dosáhnout na digitální komunikaci kontrolovanou společností se sídlem v USA, ale uloženou na datovém serveru mimo USA?
V roce 2018 byl případ v odvolacím řízení u Nejvyššího soudu, když americký Kongres přijal CLOUD Act. Ten jednak učinil případ „Microsoft-Irsko“ bezpředmětným a jednak vyřešil otázku extrateritoriálních pravomocí vlády USA nad daty uloženými na cizí půdě, alespoň na papíře.
Jaké pravomoci dává CLOUD Act vládě USA?
CLOUD Act opravnil vládu USA požadovat cílená data, kdekoli byla uložena, posílením extrateritoriálních příkazů SCA vůči poskytovatelům v USA. Zákon vyjasnil, že americké donucovací orgány mohou používat zatykače, předvolání a soudní příkazy k přístupu k elektronicky uloženým komunikačním datům umístěným mimo USA, pokud poskytovatel úložiště podléhá jurisdikci USA a požadovaná data jsou relevantní a podstatná pro probíhající trestní vyšetřování. Žádost podle CLOUD Actu jde přímo na poskytovatele, čímž se obchází mnohem pomalejší proces MLAT (Smlouva o vzájemné právní pomoci)(nové okno), na který se vláda USA dříve spoléhala.
CLOUD Act také opravnil vlády, které byly ochotny podepsat dvoustrannou výkonnou dohodu s vládou USA, která by umožnila donucovacím orgánům v partnerských zemích podávat přímé, přeshraniční, případově specifické žádosti o data od poskytovatelů služeb se sídlem v USA.
Výkonné dohody urychlují shromažďování důkazů v závažných trestních případech, jako je terorismus a zneužívání dětí, kde by proces MLAT mohl trvat měsíce. V době psaní tohoto článku existují pouze dvě výkonné dohody: mezi USA a Spojeným královstvím (vstoupila v platnost v říjnu 2022(nové okno)) a mezi USA a Austrálií (vstoupila v platnost v lednu 2024(nové okno)). Jednání mezi vládou USA a EU a Kanadou(nové okno) byla zahájena, ale dosud nebyla uzavřena.
Technologičtí poskytovatelé mají jeden bezpečnostní mechanismus: Mohou napadnout nebo požádat o úpravu příkazu USA na základě „comity“ — právního principu, že soudy respektují zákony jiných jurisdikcí — pokud by splnění znamenalo porušení cizího zákona, zejména toho, na který se vztahuje výkonná dohoda. Mimo Spojené království a Austrálii je tato výzva k comity podle common law jedinou možností na stole.
Nicméně, jak argumentuje Electronic Privacy Information Center (EPIC)(nové okno), i s comity CLOUD Act zanechává zákazníky, včetně podniků, s jen malou skutečnou možností odvolání. Poskytovatelé nejsou povinni informovat zákazníka, jehož data byla zpřístupněna, zákazníci nemají nezávislé právo napadnout žádost (to zcela závisí na tom, zda se poskytovatel rozhodne vznést námitku) a výkonné dohody výslovně vylučují vytvoření jakéhokoli nového prostředku nápravy pro postižené osoby.
CLOUD Act vs. GDPR
V Evropě, kde vlastní výzkum Protonu ukazuje, že více než 74 % všech veřejně obchodovaných společností závisí na technologických službách se sídlem v USA, je CLOUD Act obzvláště znepokojivý, protože je v rozporu s obecným nařízením EU o ochraně osobních údajů (GDPR).
Podle článku 48(nové okno) GDPR se zahraniční soudní příkaz nebo rozhodnutí správního orgánu (včetně příkazu SCA) k předání nebo zpřístupnění osobních údajů v EU automaticky neuznává ani nevykonává, pokud není vydán na základě mezinárodní dohody, jako je MLAT.
Ačkoli neexistuje případ, kdy by GDPR pokutovalo společnost v souvislosti s příkazem podle CLOUD Actu, existuje precedens pro regulátory, kteří jednají v této kategorii rizika: V roce 2023 irský úřad pro ochranu osobních údajů uložil Metě rekordní pokutu 1,2 miliardy €(nové okno) za přenosy mezi EU a USA vystavené americkému zákonu o sledování — konkrétně FISA Section 702, nikoli CLOUD Act.
Pro poskytovatele cloudu se sídlem v USA to znamená, že pokud vláda USA požaduje data, která zpracovávají, ale která kontrolují evropské podniky, splnění CLOUD Actu může znamenat porušení GDPR. Podle článku 28(nové okno) může poskytovatel (zpracovatel) jednat pouze na základě zdokumentovaných pokynů správce a „zpřístupnění dat cizí vládě“ mezi tyto pokyny nepatří.
Vystavení riziku není omezeno na poskytovatele. Pokud poskytovatel zpřístupní data zákazníka v reakci na vynucený příkaz bez základu v mezinárodní dohodě, který vyžaduje článek 48 (což v současnosti, kdy mezi USA a EU neexistuje žádná výkonná dohoda podle CLOUD Actu, znamená MLAT) podnik, který tato data vlastní, nese vlastní odpovědnost, nejen dodavatel, kterého si najal k jejich uložení.
Proč umístění dat neznamená suverenitu dat
V červnu 2025(nové okno) byl vlastní ředitel pro veřejné a právní záležitosti Microsoft France Anton Carniaux pod přísahou dotázán ve francouzském Senátu(nové okno), zda může zaručit, že data francouzských občanů nebudou nikdy předána úřadům USA bez souhlasu Francie.
Jeho odpověď: „Ne. To nemohu zaručit.“ Dodal, že „se to nikdy nestalo“, což samozřejmě neznamená, že se to nemůže stát v budoucnu.
Zpráva byla jasná: Suverenita dat již není o tom, kde jsou data uložena, ale kdo tato data kontroluje. Umístění vašich datových serverů a vlády, které nad nimi mají pravomoc, již nemusí být nutně totéž.
Tato skutečnost nepříjemně kontrastuje s nabídkami cloudu „v souladu s GDPR“, které američtí cloudoví giganti (neboli „hyperscaleři“) nabízejí evropským podnikům. Tyto produkty „evropského suverénního cloudu“ provozují společnosti se sídlem v USA nebo kontrolované americkou mateřskou společností a ochrana GDPR sahá jen tak daleko, kam to americké právo dovoluje.
Jak architektura šifrování s nulovým přístupem zmírňuje vystavení CLOUD Actu
Pokud váš poskytovatel cloudového úložiště podléhá jurisdikci USA a americké donucovací orgány požadují přístup k vašim datům (s legitimními právními důvody), ani vy, ani váš poskytovatel tomu nemůžete zabránit. V tomto okamžiku je jedinou obranou vašich dat šifrování.
Šifrování činí data nečitelná a nepoužitelná pro kyberzločince i vlády, převádí je na „šifrovaný text“, který může přečíst pouze někdo se správným klíčem.
Šifrování nabízené většinou amerických poskytovatelů cloudu však má fatální háček: Sami si ponechávají dešifrovací klíče. To znamená, že mohou číst vaše data nebo být nuceni předat čitelnou kopii třetí straně, jako jsou donucovací orgány USA.
Pro skutečnou ochranu před vystavením dat souborů a zpráv, ať už kyberzločincům nebo vládám, potřebujete koncové šifrování nebo šifrování s nulovým přístupem, které poskytovateli brání v přístupu k datům.
Poskytovatel, který používá šifrování s nulovým přístupem, nemá klíč k dešifrování souborů, které zpracovává a ukládá na svých serverech. Může být stále nucen zpřístupnit data, když to donucovací orgány požadují, i když jsou data uložena v jurisdikci, která prosazuje přísný standard ochrany dat, jako je Švýcarsko. Předané soubory by však byly zašifrované a nečitelné.
Jak Proton chrání podniky před CLOUD Actem
Proton je chráněn před CLOUD Actem dvěma klíčovými způsoby:
- Švýcarská jurisdikce, která omezuje, kdo může donutit Proton vydat data
- A silné šifrování, které omezuje, co mohou dělat s tím, co Proton vydá
Proton sídlí v Ženevě ve Švýcarsku, mimo jurisdikci USA a dosah příkazů podle CLOUD Actu. Americké úřady se nemohou uchýlit ani k dvoustranné zkratce: Švýcarsko není stranou žádné výkonné dohody podle CLOUD Actu.
Tím se právní proces zcela neruší. Švýcarsko má svůj vlastní rámec vzájemné právní pomoci, který umožňuje švýcarským úřadům spolupracovat se zahraničními vyšetřováními. Každá žádost však musí nejprve projít švýcarským právem, pod švýcarskými soudy — nemůže to být zatykač doručený přímo poskytovateli.
Protonova právní historie ukazuje, že jsme ochotni a schopni napadnout švýcarské zákony. V roce 2020 jsme napadli švýcarský zákon o uchovávání dat, o kterém jsme se domnívali, že je nevhodným pokusem použít telekomunikační zákony k podkopání soukromí. V roce 2021 Federální správní soud rozhodl, že e-mailové služby nejsou telekomunikačními poskytovateli, a proto nepodléhají požadavkům zákona na uchovávání.
A i úspěšný švýcarský příkaz má limity v tom, co může získat. Protonovo koncové šifrování a šifrování s nulovým přístupem znamená, že obsah zpráv a soubory jsou nečitelné i pro samotný Proton a není zde žádný klíč k předání, bez ohledu na to, kdo se ptá. Obsah vašich e-mailů, dokumentů, souborů a dalších dat zůstává mimo dosah.
Často kladené otázky o CLOUD Actu
Přebíjí CLOUD Act GDPR?
CLOUD Act nemá přednost před GDPR, ale je s ním v rozporu. Příkaz podle CLOUD Actu může dostat poskytovatele z USA do situace, kdy jeho splnění porušuje článek 48 GDPR (žádné automatické uznání cizího příkazu bez mezinárodní dohody). Ani jeden zákon neustupuje tomu druhému a poskytovatel – a jakákoli evropská společnost, které slouží – se ocitá mezi nimi.
Platí CLOUD Act pouze pro americké společnosti?
CLOUD Act se nevztahuje pouze na podniky se sídlem v USA nebo kontrolované americkou mateřskou společností. Zasahuje také jakéhokoli poskytovatele s dostatečnou právní přítomností nebo obchodním propojením v USA. Americká dceřiná společnost, zaměstnanci nebo kanceláře v USA nebo podniky záměrně zaměřené na zákazníky v USA mohou stačit k tomu, aby se organizace se sídlem mimo USA dostala do působnosti CLOUD Actu.
Mohu odmítnout žádost podle CLOUD Actu?
Zákazník (správce) obvykle není tím, komu je příkaz doručen – tím je poskytovatel. Poskytovatel může vznést námitku mezinárodní zdvořilosti, pokud by splnění porušilo zahraniční právo, nebo se ohradit, pokud je žádost právně nedostatečná. Pokud však byly vyčerpány právní prostředky a příkaz zůstává v platnosti, byl by poskytovatel nucen vyhovět.
Jaký je rozdíl mezi CLOUD Actem a MLAT?
Když se digitální důkazy vyžadují prostřednictvím smlouvy o vzájemné právní pomoci (MLAT), je tato žádost soudně přezkoumána, což je důkladný a pomalý proces. Výkonné dohody umožněné CLOUD Actem umožňují orgánům činným v trestním řízení obejít proces MLAT, pokud žádají data od partnerské země. Dosud mají výkonné dohody s USA pouze Spojené království a Austrálie.
Zastaví šifrování žádosti podle CLOUD Actu?
Šifrování nezastaví právní příkaz, ale pokud poskytovatel ukládá data zákazníků s koncovým šifrováním nebo šifrováním s nulovým přístupem, nebude mít žádná čitelná data, která by mohla úřadům předat, protože nemá dešifrovací klíče. Předá tedy pouze šifrované soubory.
