Jika penyedia cloud Anda berbasis di AS, perintah pengadilan AS yang sah dapat memaksa perusahaan tersebut mengambil data perusahaan Anda di server mana pun di seluruh dunia.
Perusahaan seperti Google, Microsoft, dan Amazon rentan terhadap intrusi ini, yang dimungkinkan oleh CLOUD Act, undang-undang tahun 2018 yang memberi aparat penegak hukum Amerika jangkauan global.
Ini terutama menjadi masalah bagi bisnis di UE. Jika penyedia AS Anda menyerahkan email atau file Anda, hal itu bisa merupakan pelanggaran GDPR karena membocorkan data pribadi, yang dapat dikenai denda hingga 20 juta € atau 4% dari pendapatan tahunan global, mana yang lebih tinggi.
Itulah kenyataan yang ditutupi perusahaan Amerika ketika mereka menyebut “sesuai GDPR” dan “cloud berdaulat Eropa” dalam pemasaran mereka. Pusat data UE milik penyedia AS tetap dijalankan oleh perusahaan yang berada di bawah yurisdiksi AS. Bagi bisnis Anda, ini berarti keputusan pengadaan membawa tanggung jawab kepatuhan yang mungkin belum Anda perhitungkan. Bagi pelanggan Anda, ini berarti data pribadi yang mereka percayakan kepada Anda bisa saja masuk ke proses hukum yang tidak dapat mereka pengaruhi, bahkan mungkin tidak pernah mereka ketahui.
Berikut penjelasan sederhana tentang CLOUD Act, mengapa undang-undang invasif ini penting bagi bisnis, dan cara membatasi paparan Anda. Di mana data Anda berada tidak lagi menentukan siapa yang dapat mengaksesnya.
Apa itu CLOUD Act?
Clarifying Lawful Overseas Use of Data Act (CLOUD Act(jendela baru)) adalah undang-undang federal AS yang mulai berlaku pada 2018. Undang-undang ini memungkinkan penegak hukum federal, terutama Departemen Kehakiman dan FBI, serta kepolisian federal, negara bagian, dan lokal, memperoleh surat perintah, perintah pengadilan, atau panggilan pengadilan yang memaksa perusahaan teknologi di bawah yurisdiksi AS menyerahkan data, di mana pun data itu secara fisik tersimpan.
Misalnya, jika FBI memperoleh surat perintah yang memaksa Microsoft menyerahkan email sebuah bisnis Eropa, Microsoft harus mematuhinya, bahkan jika pengadilan Eropa tidak setuju dengan permintaan tersebut.
CLOUD Act memiliki tujuan kepolisian yang sah. Undang-undang ini dirancang untuk membantu penegak hukum federal menyelidiki kejahatan serius seperti terorisme, eksploitasi anak, dan kejahatan siber. Undang-undang ini tidak dirancang untuk pengumpulan intelijen, yang dijalankan melalui otoritas AS terpisah, yaitu Pasal 702 FISA, yang sering dikaitkan dengannya.
Namun, tujuan yang sah itu tidak menghilangkan masalah struktural bagi bisnis: CLOUD Act dapat menempatkan penyedia di bawah yurisdiksi AS pada posisi di mana memenuhi perintah AS yang sah berarti melanggar hukum UE. Hal ini membuat bisnis terjebak di antara dua rezim kepatuhan tanpa cara untuk memenuhi keduanya.
Apa asal-usul CLOUD Act?
CLOUD Act disahkan pada 2018 oleh pemerintah AS untuk mengubah Stored Communications Act (SCA) tahun 1986. Perubahan ini sebagian besar merupakan respons terhadap kasus pengadilan yang sedang berlangsung(jendela baru), yaitu kasus ‘Microsoft-Irlandia’.
Pada 2013, Microsoft menantang surat perintah federal yang menuntut email seorang pelanggan yang sedang diselidiki karena perdagangan narkoba, yaitu email yang disimpan Microsoft di server di Irlandia. Kasus ini bergantung pada pertanyaan hukum yang rumit: Dapatkah surat perintah AS yang diterbitkan berdasarkan SCA menjangkau komunikasi digital yang dikendalikan perusahaan berbasis di AS, tetapi tersimpan di server data di luar AS?
Pada 2018, kasus tersebut sedang dalam proses banding di Mahkamah Agung ketika Kongres AS mengesahkan CLOUD Act. Hal ini sekaligus menggugurkan kasus ‘Microsoft-Irlandia’ dan menyelesaikan pertanyaan tentang kekuatan ekstrateritorial pemerintah AS atas data yang tersimpan di wilayah asing, setidaknya di atas kertas.
Kekuasaan apa yang diberikan CLOUD Act kepada pemerintah AS?
CLOUD Act memberdayakan pemerintah AS untuk meminta data yang ditargetkan, di mana pun data itu tersimpan, dengan memperkuat perintah SCA ekstrateritorial kepada penyedia AS. Undang-undang ini menegaskan bahwa penegak hukum AS dapat menggunakan surat perintah, panggilan pengadilan, dan perintah pengadilan untuk mengakses data komunikasi yang tersimpan secara elektronik di luar AS, jika penyedia penyimpanan berada di bawah yurisdiksi AS dan data yang diminta relevan serta material untuk penyelidikan pidana yang sedang berlangsung. Permintaan berdasarkan CLOUD Act langsung ditujukan kepada penyedia, melewati proses MLAT (Mutual Legal Assistance Treaty)(jendela baru) yang jauh lebih lambat, yang sebelumnya diandalkan pemerintah AS.
CLOUD Act juga memberdayakan pemerintah yang bersedia menandatangani perjanjian eksekutif bilateral dengan pemerintah AS, yang memungkinkan penegak hukum di negara mitra mengajukan permintaan data langsung lintas batas untuk kasus tertentu dari penyedia layanan berbasis di AS.
Perjanjian eksekutif mempercepat pengumpulan bukti dalam kasus pidana serius seperti terorisme dan eksploitasi anak, yang dalam proses MLAT bisa memakan waktu berbulan-bulan. Saat artikel ini ditulis, hanya ada dua perjanjian eksekutif: antara AS dan Inggris (mulai berlaku pada Oktober 2022(jendela baru)), dan antara AS dan Australia (mulai berlaku Januari 2024(jendela baru)). Negosiasi antara pemerintah AS dengan UE dan Kanada(jendela baru) telah dimulai tetapi belum selesai.
Penyedia teknologi sebenarnya memiliki satu mekanisme pengaman: Mereka dapat menantang atau meminta perubahan atas perintah AS berdasarkan “comity”, prinsip hukum yang membuat pengadilan menghormati hukum yurisdiksi lain, jika mematuhinya berarti melanggar hukum asing, khususnya yang tercakup dalam perjanjian eksekutif. Di luar Inggris dan Australia, tantangan comity berdasarkan hukum umum ini adalah satu-satunya pilihan yang tersedia.
Namun, seperti yang dikemukakan The Electronic Privacy Information Center (EPIC)(jendela baru), bahkan dengan comity, CLOUD Act menyisakan sedikit upaya hukum nyata bagi pelanggan, termasuk bisnis. Penyedia tidak diwajibkan memberi tahu pelanggan yang datanya diakses, pelanggan tidak memiliki hak independen untuk menantang permintaan karena hal itu sepenuhnya bergantung pada penyedia yang memilih mengajukan keberatan, dan perjanjian eksekutif secara tegas meniadakan adanya upaya hukum baru bagi pihak yang terdampak.
CLOUD Act vs GDPR
Di Eropa, tempat penelitian Proton sendiri menunjukkan bahwa lebih dari 74% perusahaan publik bergantung pada layanan teknologi berbasis di AS, CLOUD Act menjadi perhatian khusus karena bertentangan dengan General Data Protection Regulation (GDPR) Uni Eropa.
Berdasarkan Pasal 48(jendela baru) GDPR, perintah pengadilan asing atau keputusan otoritas administratif, termasuk perintah SCA, untuk mentransfer atau mengungkapkan data pribadi tidak akan otomatis diakui atau ditegakkan di UE, kecuali dibuat berdasarkan perjanjian internasional, seperti MLAT.
Meskipun belum ada kasus denda GDPR terhadap perusahaan yang terkait dengan perintah CLOUD Act, ada preseden regulator bertindak atas kategori risiko ini: Pada 2023, Komisi Perlindungan Data Irlandia mendenda Meta sebesar 1,2 miliar €, rekor tertinggi(jendela baru), terkait transfer UE-AS yang terpapar hukum pengawasan AS, khususnya Pasal 702 FISA, bukan CLOUD Act.
Bagi penyedia cloud yang berbasis di AS, ini berarti jika pemerintah AS meminta data yang mereka proses tetapi dikendalikan bisnis Eropa, mematuhi CLOUD Act bisa berarti melanggar GDPR. Berdasarkan Pasal 28(jendela baru), penyedia sebagai prosesor hanya boleh bertindak berdasarkan instruksi terdokumentasi dari pengendali, dan “mengungkapkan data kepada pemerintah asing” bukan termasuk instruksi tersebut.
Paparan ini tidak terbatas pada penyedia. Jika penyedia mengungkapkan data pelanggan sebagai respons atas perintah yang bersifat memaksa tanpa dasar perjanjian internasional yang disyaratkan Pasal 48, yang karena belum ada perjanjian eksekutif CLOUD Act antara AS dan UE saat ini berarti MLAT, bisnis yang memiliki data tersebut menanggung tanggung jawabnya sendiri, bukan hanya vendor yang disewa untuk menyimpannya.
Mengapa lokasi data tidak berarti kedaulatan data
Pada Juni 2025(jendela baru), direktur urusan publik dan hukum Microsoft Prancis, Anton Carniaux, dimintai keterangan di bawah sumpah di Senat Prancis(jendela baru) apakah ia dapat menjamin data warga Prancis tidak akan pernah diserahkan kepada otoritas AS tanpa persetujuan Prancis.
Jawabannya: “Tidak. Saya tidak dapat menjamin itu.” Ia menambahkan bahwa “hal itu belum pernah terjadi sebelumnya”, yang tentu saja tidak berarti hal itu tidak mungkin terjadi di masa depan.
Pesannya jelas: Kedaulatan data kini bukan lagi soal di mana data disimpan, melainkan siapa yang mengendalikan data tersebut. Lokasi server data Anda dan pemerintah yang berwenang atasnya tidak lagi harus merupakan hal yang sama.
Fakta ini tidak nyaman bersanding dengan penawaran cloud “sesuai GDPR” yang dipasarkan raksasa cloud AS, atau “hyperscaler”, kepada bisnis Eropa. Produk “cloud berdaulat Eropa” ini dijalankan oleh perusahaan yang berkantor pusat di AS, atau dikendalikan perusahaan induk AS, dan perlindungan GDPR hanya berlaku sejauh hukum AS mengizinkan.
Bagaimana arsitektur enkripsi zero-access mengurangi paparan terhadap CLOUD Act
Jika penyedia penyimpanan cloud Anda berada di bawah yurisdiksi AS dan penegak hukum AS menuntut akses ke data Anda dengan alasan hukum yang sah, baik Anda maupun penyedia tidak dapat menghentikannya. Pada titik ini, satu-satunya pertahanan data Anda adalah enkripsi.
Enkripsi membuat data tidak dapat dibaca dan digunakan, baik oleh penjahat siber maupun pemerintah, dengan mengacaknya menjadi ‘ciphertext‘ yang hanya dapat dibaca oleh pihak yang memiliki kunci yang tepat.
Namun, enkripsi yang ditawarkan sebagian besar penyedia cloud AS memiliki kelemahan fatal: Mereka menyimpan sendiri kunci dekripsinya. Artinya, mereka dapat membaca data Anda, atau dipaksa menyerahkan salinan yang dapat dibaca kepada pihak ketiga seperti penegak hukum AS.
Untuk perlindungan nyata terhadap paparan data file dan pesan, baik dari penjahat siber maupun pemerintah, Anda memerlukan enkripsi end-to-end atau enkripsi zero-access, yang mencegah penyedia mengakses data.
Penyedia yang menggunakan enkripsi zero-access tidak memiliki kunci untuk mendekripsi file yang ditangani dan disimpannya di server. Mereka mungkin tetap dipaksa mengungkapkan data ketika penegak hukum menuntutnya, bahkan jika data tersimpan di yurisdiksi yang menerapkan standar perlindungan data yang ketat, seperti Swiss. Namun, file yang diserahkan akan terenkripsi dan tidak dapat dibaca.
Bagaimana Proton melindungi bisnis dari CLOUD Act
Proton terlindung dari CLOUD Act melalui dua cara utama:
- Yurisdiksi Swiss, yang membatasi siapa yang dapat memaksa Proton menyerahkan data
- Dan enkripsi yang kuat, yang membatasi apa yang dapat mereka lakukan dengan apa pun yang diserahkan Proton
Proton berkantor pusat di Jenewa, Swiss, di luar yurisdiksi AS dan jangkauan perintah CLOUD Act. Otoritas AS juga tidak dapat menggunakan jalur pintas bilateral: Swiss bukan pihak dalam perjanjian eksekutif CLOUD Act mana pun.
Hal ini tidak menghilangkan proses hukum sama sekali. Swiss memiliki kerangka bantuan hukum timbal balik sendiri, yang memungkinkan otoritas Swiss bekerja sama dengan penyelidikan asing. Namun, setiap permintaan harus melewati hukum Swiss terlebih dahulu, di bawah pengadilan Swiss, dan tidak dapat berupa surat perintah yang disampaikan langsung kepada penyedia.
Rekam jejak hukum Proton menunjukkan bahwa kami bersedia dan mampu menantang hukum Swiss. Pada 2020, kami menantang undang-undang retensi data Swiss yang kami nilai sebagai upaya tidak patut menggunakan hukum telekomunikasi untuk melemahkan privasi. Pada 2021, Pengadilan Administratif Federal memutuskan bahwa layanan email bukan penyedia telekomunikasi, sehingga tidak terikat pada persyaratan retensi undang-undang tersebut.
Bahkan perintah Swiss yang berhasil pun memiliki batas atas apa yang bisa diperoleh. Enkripsi end-to-end dan zero-access Proton berarti isi pesan dan file tidak dapat dibaca oleh Proton sendiri, dan tidak ada kunci untuk diserahkan, siapa pun yang memintanya. Isi email, dokumen, file, dan data Anda lainnya tetap tidak terjangkau.
Pertanyaan yang sering diajukan tentang CLOUD Act
Apakah CLOUD Act mengesampingkan GDPR?
CLOUD Act tidak mengesampingkan GDPR, tetapi memang bertentangan dengannya. Perintah CLOUD Act dapat menempatkan penyedia AS dalam posisi di mana mematuhinya justru melanggar Pasal 48 GDPR (tidak ada pengakuan otomatis atas perintah asing tanpa perjanjian internasional). Tidak ada undang-undang yang mengalah pada yang lain, dan penyedia, beserta perusahaan Eropa mana pun yang dilayaninya, terjepit di antara keduanya.
Apakah CLOUD Act hanya berlaku untuk perusahaan AS?
CLOUD Act tidak hanya berlaku bagi bisnis yang berkantor pusat di AS, atau yang dikendalikan oleh perusahaan induk AS. Cakupannya juga menjangkau penyedia mana pun yang memiliki kehadiran hukum atau keterkaitan bisnis yang memadai di AS. Anak perusahaan AS, staf atau kantor yang berbasis di AS, atau bisnis yang secara sengaja menyasar pelanggan AS bisa cukup untuk membuat organisasi yang berkantor pusat di luar AS terkena jangkauan CLOUD Act.
Bisakah saya menolak permintaan CLOUD Act?
Biasanya yang menerima perintah bukan pelanggan (pengendali data), melainkan penyedianya. Penyedia dapat mengajukan gugatan comity jika kepatuhan justru melanggar hukum asing, atau menolak jika permintaan tersebut cacat secara hukum. Namun, jika semua upaya hukum telah habis dan perintah tetap sah, penyedia terpaksa harus mematuhinya.
Apa perbedaan antara CLOUD Act dan MLAT?
Ketika bukti digital diminta melalui Mutual Legal Assistance Treaty (MLAT), permintaan tersebut ditinjau secara yudisial, sebuah proses yang menyeluruh namun lambat. Perjanjian eksekutif yang diaktifkan oleh CLOUD Act memungkinkan penegak hukum melewati proses MLAT jika meminta data dari negara mitra. Sejauh ini, hanya Inggris dan Australia yang memiliki perjanjian eksekutif dengan AS.
Apakah enkripsi menghentikan permintaan CLOUD Act?
Enkripsi tidak menghentikan perintah hukum, tetapi jika penyedia menyimpan data pelanggan dengan enkripsi end-to-end atau enkripsi tanpa akses, maka penyedia tidak memiliki data yang bisa dibaca untuk diserahkan kepada otoritas karena tidak memegang kunci dekripsi. Dengan demikian, penyedia hanya menyerahkan file yang terenkripsi.
