クラウドプロバイダーが米国に拠点を置いている場合、有効な米国の裁判所命令により、その企業は世界中のどこにあるサーバーであっても、あなたの会社のデータを提出するよう強制される可能性があります。
Google、Microsoft、Amazonをはじめとする企業は、この介入に対して脆弱です。これは、米国の法執行機関に世界中に及ぶ触手を与える2018年の法律、CLOUD Actによって可能になりました。
これは特にEUの企業にとって問題です。米国のプロバイダーがあなたのメールやファイルを引き渡した場合、個人データの漏洩としてGDPR違反となり、最大で2,000万ユーロまたは全世界の年間売上高の4％のいずれか高い方の制裁金が科される可能性があります。
これこそが、米国企業がマーケティングで「GDPR準拠」や「欧州ソブリンクラウド」と謳うときに覆い隠している現実です。米国プロバイダーのEUデータセンターであっても、運営しているのは米国の管轄下にある企業です。あなたのビジネスにとって、これは調達の意思決定に、想定していなかったかもしれないコンプライアンス上の責任が伴うことを意味します。あなたの顧客にとっては、あなたに託した個人データが、自分たちには口出しできず、存在すら知らないかもしれない法的プロセスに巻き込まれる可能性があることを意味します。
ここでは、CLOUD Actとは何か、この侵襲的な法律がなぜ企業にとって重要か、そして自社のリスクをどう抑えるかをわかりやすく説明します。データがどこにあるかで、誰がそれにアクセスできるかが決まることはなくなりました。
CLOUD Actとは？
Clarifying Lawful Overseas Use of Data Act（CLOUD Act(新しいウィンドウ)）は、2018年に施行された米国の連邦法です。この法律により、連邦の法執行機関、主に司法省とFBI、さらに連邦・州・地方の警察は、令状、裁判所命令、または召喚状を取得して、米国の管轄下にあるテクノロジー企業に対し、データが世界のどこに物理的に保管されていても、その引き渡しを強制できます。
たとえば、FBIがMicrosoftに対して欧州企業のメールの引き渡しを強制する令状を取得した場合、欧州の裁判所がその要請に同意しなくても、Microsoftは従わなければなりません。
CLOUD Actには正当な治安上の目的があります。テロリズム、児童搾取、サイバー犯罪などの重大な犯罪を連邦の法執行機関が捜査するのを支援するために設計されています。情報収集を目的としたものではありません。情報収集は別の米国の権限（FISA第702条）を通じて行われ、しばしば混同されます。
しかし、その正当な目的があっても、企業にとっての構造的な問題が解消されるわけではありません。CLOUD Actは、米国の管轄下にあるプロバイダーを、合法的な米国の命令に従うことがEU法違反になるという立場に追い込む可能性があります。その結果、企業は2つのコンプライアンス体制の板挟みになり、どちらも満たす方法がなくなります。
CLOUD Actの起源とは？
CLOUD Actは、1986年の電気通信保管法（SCA）を改正するために、2018年に米国政府によって可決されました。この改正は、主に係争中の裁判(新しいウィンドウ)である「Microsoft-Ireland」事件への対応でした。
2013年、Microsoftは、麻薬密売の捜査対象となっている顧客のメールの提出を求める連邦令状に対して異議を申し立てました。それはMicrosoftがアイルランドのサーバーに保管していたメールでした。この事件は、厄介な法的問題を争点としていました。SCAに基づいて発行された米国の令状は、米国企業が管理しているものの、米国外のデータサーバーに保管されているデジタル通信にも及ぶのか、という問題です。
2018年、この事件が最高裁で上訴審理中だったときに、米国議会はCLOUD Actを可決しました。これにより「Microsoft-Ireland」事件は審理の意味を失い、外国の地に保管されたデータに対する米国政府の域外権限の問題は、少なくとも紙の上では解決されました。
CLOUD Actは米国政府にどのような権限を与えるのか？
CLOUD Actは、米国のプロバイダーに対するSCA命令を域外にも強化することで、米国政府が対象データをどこに保管されていても要求できるようにしました。同法は、保管プロバイダーが米国の管轄下にあり、要求されたデータが進行中の犯罪捜査に関連し重要である場合、米国の法執行機関が令状、召喚状、裁判所命令を用いて、米国外にある電子的に保管された通信データにアクセスできることを明確にしました。CLOUD Actに基づく要求はプロバイダーに直接届き、米国政府が以前頼っていたはるかに遅いMLAT（相互法的支援条約）(新しいウィンドウ)のプロセスを迂回します。
CLOUD Actはまた、米国政府との二国間行政協定に署名する用意のある政府にも権限を与えました。これにより、相手国の法執行機関は、米国に拠点を置くサービスプロバイダーに対して、国境を越えて事件ごとに直接データを要求できるようになります。
行政協定は、MLATのプロセスでは数か月かかることもあるテロリズムや児童搾取などの重大な犯罪事件において、証拠収集を迅速化します。本稿執筆時点では、米国と英国の間で2022年10月(新しいウィンドウ)に発効した協定と、米国とオーストラリアの間で2024年1月(新しいウィンドウ)に発効した協定の2つしか存在しません。米国政府とEUおよびカナダ(新しいウィンドウ)の間の交渉は開始されていますが、まだ妥結していません。
テクノロジープロバイダーにも、1つの安全策があります。それは、従うことが外国法、特に行政協定で対象となる法律に違反することになる場合、「コーミティ（礼譲）」、すなわち裁判所が他の管轄区域の法律を尊重するという法原則に基づき、米国の命令に異議を申し立てたり、変更を求めたりできるというものです。英国とオーストラリアを除けば、コモンロー上のこのコーミティによる異議は、取り得る唯一の手段です。
しかし、電子プライバシー情報センター（EPIC）が主張するように(新しいウィンドウ)、コーミティがあっても、CLOUD Actは、企業を含む顧客に、実質的な救済手段をほとんど残しません。プロバイダーは、データにアクセスされた顧客に通知する義務がありません。顧客には要求に異議を申し立てる独立した権利がなく、それはプロバイダーが異議を唱えるかどうかだけにかかっています。また行政協定は、影響を受ける人々に対する新たな救済措置の創設を明確に排除しています。
CLOUD ActとGDPRの衝突
Proton自身の調査で上場企業全体の74％以上が米国拠点のテックサービスに依存していることが示されている欧州では、CLOUD ActはEUの一般データ保護規則（GDPR）と衝突するため、特に懸念されています。
GDPRの第48条(新しいウィンドウ)では、個人データの移転または開示を求める外国の裁判所命令や行政機関の決定（SCA命令を含む）は、MLATなどの国際協定に基づくものでない限り、EU内で自動的に承認または執行されません。
CLOUD Actの命令に関連してGDPRが企業に制裁金を科した事例はまだありませんが、この種のリスクに対して規制当局が行動した前例はあります。2023年、アイルランドのデータ保護委員会は、米国の監視法、具体的にはFISA第702条にさらされたEU-米国間のデータ移転を理由に、Metaに12億ユーロという過去最高の制裁金を科しました(新しいウィンドウ)。これはCLOUD Actによるものではありません。
米国に拠点を置くクラウドプロバイダーにとって、これは、自社が処理するものの欧州企業が管理しているデータを米国政府が要求した場合、CLOUD Actに従うことがGDPR違反を意味する可能性があるということです。第28条(新しいウィンドウ)では、プロバイダー（処理者）は管理者の文書化された指示にのみ従って行動でき、「外国政府へのデータの開示」はその指示に含まれません。
リスクはプロバイダーだけにとどまりません。第48条が求める国際協定に基づく根拠、米国とEUの間には現在CLOUD Actの行政協定が存在しないためこれはMLATを意味しますが、それなしにプロバイダーが強制命令に応じて顧客のデータを開示した場合、そのデータを所有する企業は、保管を委託したベンダーだけでなく、自らも責任を負います。
データの所在地がデータ主権を意味しない理由
2025年6月(新しいウィンドウ)、Microsoft Franceの公共・法務担当ディレクターであるAnton Carniaux氏は、フランス上院(新しいウィンドウ)で宣誓の下、フランス国民のデータがフランスの同意なしに米国当局に引き渡されないことを保証できるかと問われました。
同氏の答えは「いいえ。それは保証できません」でした。さらに「これまで一度も起きたことはない」と付け加えましたが、もちろん、将来起きないという意味ではありません。
メッセージは明確でした。データ主権はもはや、データがどこに保管されているかではなく、誰がそのデータを管理しているかの問題です。データサーバーの所在地と、それらに対する権限を持つ政府は、もはや必ずしも一致しません。
この事実は、米国のクラウド大手、いわゆる「ハイパースケーラー」が欧州企業向けに売り込んでいる「GDPR準拠」のクラウドサービスと、相容れないものです。これらの「欧州ソブリンクラウド」製品は、米国に本社を置く企業、または米国の親会社に支配された企業が運営しており、GDPRの保護は米国法が許す範囲にしか及びません。
ゼロアクセス暗号化アーキテクチャがCLOUD Actへのリスクをどう軽減するか
クラウドストレージプロバイダーが米国の管轄下にあり、米国の法執行機関が正当な法的理由をもってあなたのデータへのアクセスを要求した場合、あなたもプロバイダーもそれを止めることはできません。この時点で、データを守る唯一の手段は暗号化です。
暗号化は、サイバー犯罪者にも政府にもデータを読み取れず使えないものにし、正しい鍵を持つ人だけが読める「暗号文」に変換します。
しかし、ほとんどの米国のクラウドプロバイダーが提供する暗号化には、致命的な注意点があります。それは、復号鍵を自社で保持していることです。つまり、彼らはあなたのデータを読むことができ、米国の法執行機関などの第三者に読み取り可能なコピーを引き渡すよう強制される可能性もあります。
サイバー犯罪者であれ政府であれ、ファイルやメッセージのデータ漏洩から真に保護するには、プロバイダーがデータにアクセスできないようにするエンドツーエンド暗号化またはゼロアクセス暗号化が必要です。
ゼロアクセス暗号化を採用するプロバイダーは、自社が扱いサーバーに保管するファイルを復号する鍵を持っていません。法執行機関が要求した場合、データがスイスのような厳格なデータ保護基準を執行する管轄区域に保管されていても、データの開示を強いられる可能性はあります。ただし、引き渡されるファイルは暗号化されており、読み取ることはできません。
Protonが企業をCLOUD Actから守る方法
Protonは、主に2つの点でCLOUD Actから守られています。
- スイスの管轄により、Protonにデータの引き渡しを強制できる相手が限られる
- そして強力な暗号化により、Protonが引き渡したものを相手がどう扱えるかが限られる
Protonはスイスのジュネーブに本社を置いており、米国の管轄やCLOUD Actの命令の及ぶ範囲外にあります。米国当局は二国間の近道を使うこともできません。スイスはCLOUD Actの行政協定を締結していないからです。
これは法的プロセスを完全になくすものではありません。スイスには独自の相互法的支援の枠組みがあり、スイス当局が外国の捜査に協力できるようになっています。ただし、いかなる要請もまずスイス法の下でスイスの裁判所を通過しなければならず、プロバイダーに直接送達される令状であることはできません。
Protonの法的な歩みは、スイス法に対して異議を申し立てる意思と能力があることを示しています。2020年、プライバシーを損なうために電気通信法を悪用しようとする不適切な試みだと考えたスイスのデータ保持法に異議を申し立てました。2021年、連邦行政裁判所は、メールサービスは電気通信事業者ではないと判断し、したがって同法の保持要件の対象ではないとしました。
また、スイスの命令が成功したとしても、取得できるものには限りがあります。Protonのエンドツーエンド暗号化とゼロアクセス暗号化により、メッセージの内容やファイルはProton自身でも読み取れず、誰が要求しても引き渡す鍵がありません。あなたのメール、ドキュメント、ファイル、その他のデータの内容は、手の届かないところにとどまります。
CLOUD Actに関するよくある質問
CLOUD ActはGDPRを無効にしますか？
CLOUD ActはGDPRを無効にするものではないが、GDPRと相反する。CLOUD Actに基づく命令により、米国のプロバイダーは、それに従うとGDPR第48条に違反する立場に置かれることがある（国際的な合意なしに外国の命令を自動的に承認することはない）。どちらの法律も他方に譲歩することはなく、プロバイダー、そしてそのプロバイダーがサービスを提供する欧州企業は、両者の板挟みになる。
CLOUD Actは米国企業だけに適用されるのか？
CLOUD Actは、米国に本社を置く企業や米国の親会社に支配されている企業だけに適用されるわけではない。十分な米国での法的存在や事業上のつながりがあるプロバイダーにも及ぶ。米国子会社、米国を拠点とする従業員やオフィス、あるいは米国の顧客を意図的に狙う事業であれば、米国外に本社を置く組織がCLOUD Actの適用対象となるのに十分な場合がある。
CLOUD Actの要請を拒否できるのか？
一般的に命令を受けるのは顧客（管理者）ではなく、プロバイダーである。プロバイダーは、従うことが外国法に違反する場合には国際礼譲に基づく異議を申し立てることができ、要請に法的な不備がある場合には反論することもできる。しかし、法的救済手段を使い果たしてもなお命令が有効であれば、プロバイダーは従わざるを得ない。
CLOUD ActとMLATの違いは何か？
相互法的支援条約（MLAT）を通じてデジタル証拠を要請する場合、その要請は司法審査を受け、徹底的だが時間のかかるプロセスとなる。CLOUD Actによって可能になった行政協定により、相手国にデータを要請する場合、法執行機関はMLATのプロセスを回避できる。これまでに米国と行政協定を結んでいるのは英国とオーストラリアのみである。
暗号化はCLOUD Actの要請を阻止できるのか？
暗号化は法的命令を阻止するものではないが、プロバイダーが顧客データをエンドツーエンド暗号化やゼロアクセス暗号化で保管している場合、復号鍵を持っていないため、当局に提供できる可読なデータは存在しない。したがって、引き渡されるのは暗号化済みファイルのみとなる。
