Jos pilvipalveluntarjoajasi sijaitsee Yhdysvalloissa, pätevä yhdysvaltalainen tuomioistuimen määräys voi pakottaa yrityksen hakemaan yrityksesi tiedot palvelimilta missä päin maailmaa tahansa.

Yritykset, kuten Google, Microsoft ja Amazon, ovat alttiita tälle tunkeutumiselle, jonka mahdollistaa CLOUD Act, vuoden 2018 laki, joka antaa amerikkalaisille lainvalvontaviranomaisille maailmanlaajuiset lonkerot.

Se on erityisen ongelmallista EU-yrityksille. Jos yhdysvaltalainen palveluntarjoajasi luovuttaa sähköpostisi tai tiedostosi, se voi muodostaa GDPR:n rikkomisen henkilötietojen vuotamisen vuoksi, mikä voi määrätä jopa 20 miljoonan euron tai 4 %:n sakot maailmanlaajuisesta vuosiliikevaihdosta, kumpi on suurempi.

Tämä on todellisuus, jonka amerikkalaiset yritykset peittävät, kun ne markkinoinnissaan sanovat “GDPR-yhteensopiva” ja “eurooppalainen suvereeni pilvi“. Yhdysvaltalaisen palveluntarjoajan EU-datakeskusta pyörittää edelleen yritys, joka on Yhdysvaltain lainkäyttövallan alainen. Yrityksellesi tämä tarkoittaa, että hankintapäätöksiin liittyy vaatimustenmukaisuusvastuu, jota et ehkä ole ottanut huomioon. Asiakkaille se tarkoittaa, että heidän sinulle uskomansa henkilötiedot voivat päätyä oikeusprosessiin, johon heillä ei ole sananvaltaa (eivätkä he ehkä koskaan edes saa tietää siitä).

Tässä selkeä selitys CLOUD Actista, miksi tämä tunkeileva lainsäädäntö on tärkeää yrityksille ja miten rajoittaa altistumistasi. Tietojesi sijainti ei enää ratkaise, kuka voi päästä niihin käsiksi.

Mikä on CLOUD Act?

Clarifying Lawful Overseas Use of Data Act (CLOUD Act(uusi ikkuna)) on Yhdysvaltain liittovaltion laki, joka tuli voimaan vuonna 2018. Se sallii liittovaltion lainvalvontaviranomaisten, ensisijaisesti oikeusministeriön ja FBI:n, mutta myös liittovaltion, osavaltioiden ja paikallisten poliisien, hankkia pidätysmääräyksen, tuomioistuimen määräyksen tai haasteen, joka velvoittaa Yhdysvaltain lainkäyttövallan alaiset teknologia-alan yritykset luovuttamaan tietoja riippumatta siitä, missä päin maailmaa kyseiset tiedot on fyysisesti tallennettu.

Esimerkiksi jos FBI hankkii määräyksen, joka velvoittaa Microsoftin luovuttamaan eurooppalaisen yrityksen sähköpostit, Microsoftin on noudatettava sitä, vaikka eurooppalainen tuomioistuin olisi eri mieltä pyynnöstä.

CLOUD Actilla on laillinen poliisitoiminnallinen tarkoitus. Se on suunniteltu auttamaan liittovaltion lainvalvontaviranomaisia tutkimaan vakavia rikoksia, kuten terrorismia, lapsiin kohdistuvaa hyväksikäyttöä ja kyberrikollisuutta. Sitä ei ole suunniteltu tiedustelutiedon keräämiseen, joka tapahtuu erillisen Yhdysvaltain viranomaisen kautta (FISA Section 702), usein sen kanssa sekoitetaan.

Tämä laillinen tarkoitus ei kuitenkaan poista yritysten rakenteellista ongelmaa: CLOUD Act voi asettaa Yhdysvaltain lainkäyttövallan alaisen palveluntarjoajan tilanteeseen, jossa laillisen yhdysvaltalaisen määräyksen noudattaminen tarkoittaa EU:n lain rikkomista. Se jättää yritykset kahden vaatimustenmukaisuusjärjestelmän väliin ilman mahdollisuutta täyttää molempia.

Mikä on CLOUD Actin alkuperä?

CLOUD Act hyväksyttiin vuonna 2018 Yhdysvaltain hallituksen toimesta muuttamaan vuoden 1986 Stored Communications Act (SCA) -lakia. Tämä muutos oli suurelta osin vastaus meneillään olevaan oikeustapaukseen(uusi ikkuna), niin sanottuun “Microsoft-Irlanti” -tapaukseen.

Vuonna 2013 Microsoft haastoi liittovaltion pidätysmääräyksen, joka vaati huumekaupasta tutkittavana olevan asiakkaan sähköposteja – Microsoftin Irlannissa sijaitsevilla palvelimilla tallentamia sähköposteja. Tapaus riippui hankalasta oikeudellisesta kysymyksestä: voisiko SCA:n nojalla annettu yhdysvaltalainen pidätysmääräys ulottua digitaaliseen viestintään, jota hallinnoi yhdysvaltalainen yritys, mutta joka on tallennettu Yhdysvaltain ulkopuolella sijaitsevalle datapalvelimelle?

Vuonna 2018 tapaus oli valituskäsittelyssä korkeimmassa oikeudessa, kun Yhdysvaltain kongressi hyväksyi CLOUD Actin. Tämä sekä mitätöi “Microsoft-Irlanti” -tapauksen että ratkaisi kysymyksen Yhdysvaltain hallituksen ekstraterritoriaalisista valtuuksista ulkomailla tallennettuihin tietoihin, ainakin paperilla.

Mitä valtuuksia CLOUD Act antaa Yhdysvaltain hallitukselle?

CLOUD Act valtuutti Yhdysvaltain hallituksen pyytämään kohdennettuja tietoja, missä tahansa ne olivat tallennettuina, vahvistamalla ekstraterritoriaalisia SCA-määräyksiä yhdysvaltalaisille palveluntarjoajille. Laki selvensi, että Yhdysvaltain lainvalvontaviranomaiset voivat käyttää pidätysmääräyksiä, haasteita ja tuomioistuimen määräyksiä päästäkseen käsiksi Yhdysvaltain ulkopuolella sijaitseviin sähköisesti tallennettuihin viestintätietoihin, jos tallennuspalveluntarjoaja on Yhdysvaltain lainkäyttövallan alainen ja pyydetyt tiedot ovat merkityksellisiä ja olennaisia meneillään olevan rikostutkinnan kannalta. CLOUD Act -pyyntö menee suoraan palveluntarjoajalle, ohittaen paljon hitaamman MLAT (Mutual Legal Assistance Treaty)(uusi ikkuna) -prosessin, johon Yhdysvaltain hallitus aiemmin turvautui.

CLOUD Act valtuutti

Täytäntöönpanosopimukset nopeuttavat todisteiden keräämistä vakavissa rikosasioissa, kuten terrorismissa ja lapsiin kohdistuvassa hyväksikäytössä, joissa MLAT-prosessi voi kestää kuukausia. Tätä kirjoitettaessa on olemassa vain kaksi täytäntöönpanosopimusta: Yhdysvaltojen ja Yhdistyneen kuningaskunnan välillä (tuli voimaan lokakuussa 2022(uusi ikkuna)) ja Yhdysvaltojen ja Australian välillä (tuli voimaan tammikuussa 2024(uusi ikkuna)). Neuvottelut Yhdysvaltojen hallituksen sekä EU:n ja Kanadan(uusi ikkuna) välillä on käynnistetty, mutta niitä ei ole vielä saatettu päätökseen.

Teknologiayrityksillä on kuitenkin yksi turvamekanismi: ne voivat haastaa tai pyytää muuttamaan Yhdysvaltain määräystä “comity”-periaatteen nojalla, oikeusperiaatteen, jonka mukaan tuomioistuimet kunnioittavat muiden lainkäyttöalueiden lakeja, jos noudattaminen merkitsisi ulkomaisen lain rikkomista, erityisesti sellaisen, jota täytäntöönpanosopimus koskee. Yhdistyneen kuningaskunnan ja Australian ulkopuolella tämä common law -periaatteeseen perustuva comity-haaste on ainoa käytettävissä oleva vaihtoehto.

Kuitenkin, kuten Electronic Privacy Information Center (EPIC) argumentoi(uusi ikkuna), jopa comity-periaatteen avulla, CLOUD Act jättää asiakkaat, myös yritykset, vaille todellisia oikeussuojakeinoja. Palveluntarjoajien ei tarvitse ilmoittaa asiakkaalle, jonka tietoihin on päästy käsiksi, asiakkailla ei ole itsenäistä oikeutta riitauttaa pyyntöä (se riippuu täysin palveluntarjoajan päätöksestä vastustaa), ja täytäntöönpanosopimukset sulkevat nimenomaisesti pois uusien oikeussuojakeinojen luomisen asianosaisille.

CLOUD Act vs. GDPR

Euroopassa, jossa Protonin oma tutkimus osoittaa, että yli 74 % kaikista julkisesti noteeratuista yrityksistä on riippuvaisia yhdysvaltalaisista teknologiapalveluista, CLOUD Act on erityisen huolestuttava, koska se on ristiriidassa EU:n yleisen tietosuoja-asetuksen (GDPR) kanssa.

GDPR:n 48 artiklan(uusi ikkuna) mukaan ulkomainen tuomioistuinmääräys tai hallintoviranomaisen päätös (mukaan lukien SCA-määräys) henkilötietojen siirtämiseksi tai luovuttamiseksi ei tunnusteta automaattisesti eikä panna täytäntöön EU:ssa, ellei se perustu kansainväliseen sopimukseen, kuten MLAT-sopimukseen.

Vaikka GDPR ei ole vielä määrännyt sakkoa yritykselle CLOUD Act -määräyksen yhteydessä, on olemassa ennakkotapaus sääntelyviranomaisten toimista tämän riskiluokan osalta: vuonna 2023 Irlannin tietosuojaviranomainen määräsi Metalle ennätyksellisen 1,2 miljardin euron sakon(uusi ikkuna) EU–Yhdysvallat-tietojen siirroista, jotka altistuvat Yhdysvaltain valvontalaileille – erityisesti FISA:n 702 pykälälle, ei CLOUD Actille.

Yhdysvaltalaisille pilvipalveluntarjoajille tämä tarkoittaa, että jos Yhdysvaltain hallitus pyytää tietoja, joita he käsittelevät mutta joita eurooppalaiset yritykset hallitsevat, CLOUD Actin noudattaminen voi tarkoittaa GDPR:n rikkomista. 28 artiklan(uusi ikkuna) mukaan palveluntarjoaja (käsittelijä) voi toimia vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, eikä “tietojen luovuttaminen ulkomaiselle hallitukselle” kuulu näihin ohjeisiin.

Altistuminen ei rajoitu pelkästään palveluntarjoajaan. Jos palveluntarjoaja luovuttaa asiakkaan tietoja vastauksena pakottavaan määräykseen ilman 48 artiklan vaatimaa kansainvälistä sopimusta (mikä tarkoittaa MLAT-sopimusta, koska tällä hetkellä Yhdysvaltojen ja EU:n välillä ei ole CLOUD Act -täytäntöönpanosopimusta), tiedot omistava yritys kantaa oman vastuunsa, ei vain se toimittaja, jonka se palkkasi tallentamaan ne.

Miksi datan sijainti ei tarkoita datan suvereniteettia

Kesäkuussa 2025 Microsoft Ranskan oma yleisten ja oikeudellisten asioiden johtaja Anton Carniaux kysyi valan velvoittamana Ranskan senaatissa(uusi ikkuna), voisiko hän taata, ettei Ranskan kansalaisten tietoja koskaan luovutettaisi Yhdysvaltain viranomaisille ilman Ranskan suostumusta.

Hänen vastauksensa: “Ei. En voi taata sitä.” Hän lisäsi, että “niin ei ole koskaan aiemmin tapahtunut”, mikä ei tietenkään tarkoita, etteikö niin voisi tapahtua tulevaisuudessa.

Viesti oli selvä: Datan suvereniteetti ei ole enää kysymys siitä, missä data on tallennettu, vaan siitä, kuka sitä hallitsee. Datan palvelinten sijainti ja hallitukset, joilla on valta niihin, eivät enää välttämättä ole sama asia.

Tämä tosiasia on kiusallisen ristiriidassa sen kanssa, että yhdysvaltalaiset pilvijätit (tai “hyperscalerit”) markkinoivat eurooppalaisille yrityksille “GDPR-yhteensopivia” pilvipalveluita. Näitä “eurooppalaisia suvereeneja pilvipalveluita” hallinnoivat yritykset, joiden pääkonttori on Yhdysvalloissa tai joita hallitsee yhdysvaltalainen emoyhtiö, ja GDPR:n suoja ulottuu vain niin pitkälle kuin Yhdysvaltain laki sallii.

Miten zero-access-salausarkkitehtuuri lieventää altistumista CLOUD Actille

Jos pilvitallennuspalveluntarjoajasi on Yhdysvaltain lainkäyttövallan alainen ja Yhdysvaltain lainvalvontaviranomaiset vaativat pääsyä tietoihisi (laillisista syistä), et sinä eikä palveluntarjoajasi voi estää sitä tapahtumasta. Tässä vaiheessa datasi ainoa puolustus on salaus.

Salaus tekee datasta lukukelvotonta ja käyttökelvotonta niin kyberrikollisille kuin hallituksillekin, muuttaen sen ‘salakirjoitukseksi‘, jonka vain oikean avaimen omaava voi lukea.

Useimpien yhdysvaltalaisten pilvipalveluntarjoajien tarjoamaan salaukseen liittyy kuitenkin kohtalokas varaus: he säilyttävät salauksenpurkuavaimet itse. Tämä tarkoittaa, että he voivat lukea dataasi tai heidät voidaan pakottaa luovuttamaan luettava kopio kolmannelle osapuolelle, kuten Yhdysvaltain lainvalvontaviranomaisille.

Todellisen suojan tiedostojen ja viestien tietojen paljastumiselta, olipa kyseessä kyberrikolliset tai hallitukset, saat päästä päähän -salauksella tai zero-access-salauksella, joka estää palveluntarjoajaa pääsemästä käsiksi tietoihin.

Palveluntarjoajalla, joka käyttää zero-access-salausta, ei ole avainta salauksen purkamiseen tiedostoihin, joita se käsittelee ja tallentaa palvelimilleen. Se voidaan silti pakottaa luovuttamaan tietoja, kun lainvalvontaviranomaiset sitä vaativat, vaikka tiedot olisi tallennettu lainkäyttöalueelle, joka noudattaa tiukkaa tietosuojastandardia, kuten Sveitsi. Mutta luovutetut tiedostot olisivat salattuja ja lukukelvottomia.

Miten Proton suojaa yrityksiä CLOUD Actilta

Proton on suojattu CLOUD Actilta kahdella keskeisellä tavalla:

  • Sveitsin lainkäyttövalta, joka rajoittaa sitä, kuka voi pakottaa Protonin luovuttamaan tietoja
  • Ja vahva salaus, joka rajoittaa sitä, mitä he voivat tehdä sillä, mitä Proton luovuttaa

Protonin pääkonttori on Genevessä, Sveitsissä, Yhdysvaltain lainkäyttövallan ja CLOUD Act -määräysten ulottumattomissa. Yhdysvaltain viranomaiset eivät voi turvautua kahdenväliseen pikatiehen: Sveitsi ei ole osapuolena missään CLOUD Act -täytäntöönpanosopimuksessa.

Tämä ei poista oikeusprosessia kokonaan. Sveitsillä on oma keskinäisen oikeusavun järjestelmänsä, joka mahdollistaa Sveitsin viranomaisten yhteistyön ulkomaisten tutkimusten kanssa. Mutta minkä tahansa pyynnön on ensin läpäistävä Sveitsin lainsäädäntö Sveitsin tuomioistuimissa – se ei voi olla suoraan palveluntarjoajalle toimitettu etsintälupa.

Protonin oikeushistoria osoittaa, että olemme halukkaita ja kykeneviä haastamaan Sveitsin lain. Vuonna 2020 haastoimme Sveitsin tietojen säilytyslain, jonka uskoimme olevan sopimaton yritys käyttää televiestintälakeja yksityisyyden heikentämiseen. Vuonna 2021 liittovaltion hallintotuomioistuin päätti, että sähköpostipalvelut eivät ole televiestintäpalveluntarjoajia, eivätkä siksi kuulu lain säilytysvaatimuksiin.

Ja jopa onnistuneella sveitsiläisellä määräyksellä on rajoituksensa sen suhteen, mitä se voi saada. Protonin päästä päähän- ja zero-access-salaus tarkoittaa, että viestien sisältö ja tiedostot ovat lukukelvottomia Protonille itselleen, eikä luovutettavaa avainta ole, riippumatta siitä, kuka pyytää. Sähköpostiesi, asiakirjojesi, tiedostojesi ja muiden tietojesi sisältö pysyy ulottumattomissa.

Kokeile Proton for Businessia

Usein kysytyt kysymykset CLOUD Actista

Syrjäyttääkö CLOUD Act GDPR:n?

CLOUD Act ei ohita GDPR:ää, mutta on ristiriidassa sen kanssa. CLOUD Act -määräys voi asettaa yhdysvaltalaisen palveluntarjoajan tilanteeseen, jossa sen noudattaminen rikkoo GDPR:n 48 artiklaa (ulkomaista määräystä ei tunnusteta automaattisesti ilman kansainvälistä sopimusta). Kumpikaan laki ei väisty toisen tieltä, ja palveluntarjoaja sekä mikä tahansa eurooppalainen yritys, jota se palvelee, on niiden välissä.

Onko CLOUD Act vain yhdysvaltalaisille yrityksille?

CLOUD Act ei koske vain Yhdysvaltoihin sijoittautuneita yrityksiä tai yhdysvaltalaisen emoyhtiön omistamia yrityksiä. Se koskee myös mitä tahansa palveluntarjoajaa, jolla on riittävä oikeudellinen läsnäolo tai liiketoimintayhteys Yhdysvaltoihin. Yhdysvaltalainen tytäryhtiö, Yhdysvalloissa työskentelevä henkilöstö tai toimistot, tai liiketoiminta, joka on tarkoituksellisesti suunnattu yhdysvaltalaisille asiakkaille, voi riittää saattamaan Yhdysvaltojen ulkopuolelle sijoittautuneen organisaation CLOUD Actin ulottuville.

Voinko kieltäytyä CLOUD Act -pyynnöstä?

Asiakas (rekisterinpitäjä) ei yleensä ole se, jolle määräys annetaan, vaan palveluntarjoaja. Palveluntarjoaja voi vedota kansainväliseen kohteliaisuuteen, jos noudattaminen rikkoo ulkomaista lakia, tai vastustaa, jos pyyntö on oikeudellisesti puutteellinen. Mutta jos oikeudelliset keinot on käytetty loppuun ja määräys pysyy voimassa, palveluntarjoaja pakotetaan noudattamaan sitä.

Mitä eroa on CLOUD Actilla ja MLAT:lla?

Kun digitaalista todistusaineistoa pyydetään vastavuoroisen oikeusapusopimuksen (MLAT) kautta, pyyntö käy läpi oikeudellisen tarkastelun, joka on perusteellinen ja hidas prosessi. CLOUD Actin mahdollistamat täytäntöönpanosopimukset antavat lainvalvontaviranomaisille mahdollisuuden ohittaa MLAT-prosessi, jos dataa pyydetään kumppanimaasta. Toistaiseksi vain Isolla-Britannialla ja Australialla on täytäntöönpanosopimukset Yhdysvaltojen kanssa.

Estääkö salaus CLOUD Act -pyynnöt?

Salaus ei estä laillista määräystä, mutta jos palveluntarjoaja tallentaa asiakastietoja päästä päähän -salauksella tai nollapääsy-salauksella, heillä ei ole mitään luettavaa dataa annettavaksi viranomaisille, koska heillä ei ole salauksenpurkuavaimia. Näin ollen he luovuttaisivat vain salattuja tiedostoja.