Jeśli Twój dostawca chmury ma siedzibę w USA, ważne amerykańskie postanowienie sądu może zmusić tę firmę do wydania danych Twojej firmy z serwerów w dowolnym miejscu na świecie.

Firmy takie jak Google, Microsoft i Amazon są narażone na tę ingerencję, umożliwioną przez CLOUD Act – ustawę z 2018 roku, która daje amerykańskim organom ścigania globalne macki.

Jest to szczególnie problematyczne dla firm z UE. Jeśli Twój amerykański dostawca przekazuje Twoje wiadomości e-mail lub pliki, może to stanowić naruszenie GDPR poprzez wyciek danych osobowych, za co grożą kary do 20 mln euro lub 4% globalnego rocznego przychodu – w zależności od tego, która kwota jest wyższa.

To rzeczywistość, którą amerykańskie firmy ukrywają, mówiąc w swoim marketingu o „zgodności z RODO” i „europejskiej suwerennej chmurze”. Centrum danych dostawcy z USA w UE jest nadal prowadzone przez firmę podlegającą jurysdykcji USA. Dla Twojej firmy oznacza to, że decyzje o zakupach wiążą się z odpowiedzialnością za zgodność, której być może nie uwzględniłeś. Dla Twoich klientów oznacza to, że dane osobowe, które Ci powierzyli, mogą trafić do procesu prawnego, na który nie mają wpływu (i o którym mogą nigdy się nie dowiedzieć).

Oto proste wyjaśnienie CLOUD Act, dlaczego ta inwazyjna legislacja ma znaczenie dla firm i jak ograniczyć swoją ekspozycję. To, gdzie znajdują się Twoje dane, nie decyduje już o tym, kto może do nich dotrzeć.

Co to jest CLOUD Act?

Ustawa Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nowe okno)) to amerykańska ustawa federalna, która weszła w życie w 2018 roku. Pozwala ona federalnym organom ścigania – przede wszystkim Departamentowi Sprawiedliwości i FBI, ale także policji federalnej, stanowej i lokalnej – na uzyskanie nakazu, postanowienia sądowego lub wezwania, zmuszającego firmy technologiczne podlegające jurysdykcji USA do przekazania danych, niezależnie od tego, gdzie na świecie dane te są fizycznie przechowywane.

Na przykład, jeśli FBI uzyska nakaz zmuszający Microsoft do przekazania wiadomości e-mail europejskiej firmy, Microsoft musi się zastosować – nawet jeśli europejski sąd nie zgadza się z tym żądaniem.

CLOUD Act ma uzasadniony cel policyjny. Został zaprojektowany, aby pomóc federalnym organom ścigania w ściganiu poważnych przestępstw, takich jak terroryzm, wykorzystywanie dzieci i cyberprzestępczość. Nie został zaprojektowany do gromadzenia informacji wywiadowczych, które odbywa się za pośrednictwem odrębnego organu USA (FISA Section 702), często mylonego z nim.

Ten uzasadniony cel nie usuwa jednak problemu strukturalnego dla firm: CLOUD Act może postawić dostawcę podlegającego jurysdykcji USA w sytuacji, w której spełnienie zgodnego z prawem nakazu USA oznacza naruszenie prawa UE. Pozostawia firmy uwięzione między dwoma systemami zgodności, bez możliwości spełnienia obu.

Jakie jest pochodzenie CLOUD Act?

CLOUD Act został uchwalony w 2018 roku przez rząd USA w celu zmiany Stored Communications Act (SCA) z 1986 roku. Ta nowelizacja była w dużej mierze odpowiedzią na toczącą się sprawę sądową(nowe okno), sprawę „Microsoft-Ireland”.

W 2013 roku Microsoft zakwestionował federalny nakaz żądający wiadomości e-mail klienta objętego śledztwem w sprawie handlu narkotykami – wiadomości przechowywanych przez Microsoft na serwerach w Irlandii. Sprawa ta opierała się na trudnym pytaniu prawnym: Czy nakaz USA wydany na podstawie SCA może obejmować komunikację cyfrową kontrolowaną przez firmę z siedzibą w USA, ale przechowywaną na serwerze danych poza USA?

W 2018 roku sprawa oczekiwała na apelację w Sądzie Najwyższym, gdy Kongres USA uchwalił CLOUD Act. To zarówno uczyniło sprawę „Microsoft-Ireland” bezprzedmiotową, jak i rozstrzygnęło kwestię eksterytorialnych uprawnień rządu USA wobec danych przechowywanych na obcej ziemi, przynajmniej na papierze.

Jakie uprawnienia daje CLOUD Act rządowi USA?

CLOUD Act upoważnił rząd USA do żądania określonych danych, gdziekolwiek były przechowywane, poprzez wzmocnienie eksterytorialnych nakazów SCA wobec dostawców z USA. Ustawa doprecyzowała, że amerykańskie organy ścigania mogą używać nakazów, wezwań i postanowień sądowych do dostępu do przechowywanych elektronicznie danych komunikacyjnych znajdujących się poza USA, jeśli dostawca przechowywania podlega jurysdykcji USA, a żądane dane mają znaczenie i są istotne dla toczącego się śledztwa karnego. Wniosek na podstawie CLOUD Act trafia bezpośrednio do dostawcy, omijając znacznie wolniejszy proces MLAT (Traktat o wzajemnej pomocy prawnej)(nowe okno), na którym rząd USA polegał wcześniej.

CLOUD Act upoważnił również rządy, które były gotowe podpisać dwustronne porozumienie wykonawcze z rządem USA, co pozwoliłoby organom ścigania w krajach partnerskich na składanie bezpośrednich, transgranicznych wniosków o dane do dostawców usług z siedzibą w USA, dotyczących konkretnych spraw.

Porozumienia wykonawcze przyspieszają gromadzenie dowodów w poważnych sprawach karnych, takich jak terroryzm i wykorzystywanie dzieci, gdzie proces MLAT może trwać miesiącami. W chwili pisania istnieją tylko dwa porozumienia wykonawcze: między USA a Wielką Brytanią (weszło w życie w październiku 2022 r.(nowe okno)) oraz między USA a Australią (weszło w życie w styczniu 2024 r.(nowe okno)). Rozpoczęto negocjacje między rządem USA a UE i Kanadą(nowe okno), ale nie zostały jeszcze zakończone.

Dostawcy technologii mają jednak jeden mechanizm bezpieczeństwa: mogą zakwestionować lub poprosić o modyfikację nakazu USA w ramach „comity” – zasady prawnej, że sądy ustępują prawu innych jurysdykcji – jeśli zastosowanie się do niego oznaczałoby złamanie obcego prawa, szczególnie tego objętego porozumieniem wykonawczym. Poza Wielką Brytanią i Australią to wyzwanie oparte na common-law comity jest jedyną opcją na stole.

Jednak, jak argumentuje Electronic Privacy Information Center (EPIC)(nowe okno), nawet przy comity, CLOUD Act pozostawia klientów, w tym firmy, z niewielkimi realnymi możliwościami odwoławczymi. Dostawcy nie są zobowiązani do powiadomienia klienta, do którego danych uzyskano dostęp, klienci nie mają niezależnego prawa do zakwestionowania wniosku (zależy to wyłącznie od tego, czy dostawca zdecyduje się sprzeciwić), a porozumienia wykonawcze wyraźnie wykluczają stworzenie nowego środka odwoławczego dla osób poszkodowanych.

CLOUD Act vs GDPR

W Europie, gdzie własne badania Protona pokazują, że ponad 74% wszystkich spółek publicznych polega na usługach technologicznych z USA, CLOUD Act budzi szczególne obawy, ponieważ koliduje z unijnym Ogólnym rozporządzeniem o ochronie danych (GDPR).

Zgodnie z art. 48(nowe okno) GDPR, zagraniczne postanowienie sądowe lub decyzja organu administracyjnego (w tym nakaz SCA) o przekazaniu lub ujawnieniu danych osobowych nie będą automatycznie uznawane ani egzekwowane w UE, chyba że zostały wydane na podstawie umowy międzynarodowej, takiej jak MLAT.

Chociaż nie było przypadku, w którym na podstawie GDPR nałożono by grzywnę na firmę w związku z nakazem CLOUD Act, istnieje precedens dla organów regulacyjnych działających w tej kategorii ryzyka: W 2023 roku irlandzka Komisja Ochrony Danych nałożyła na Meta rekordową grzywnę w wysokości 1,2 mld euro(nowe okno) za transfery UE-USA narażone na amerykańskie prawo nadzoru – konkretnie sekcja 702 FISA, a nie CLOUD Act.

Dla dostawców chmury z siedzibą w USA oznacza to, że jeśli rząd USA zażąda danych, które przetwarzają, ale które są kontrolowane przez europejskie firmy, zastosowanie się do CLOUD Act może oznaczać naruszenie GDPR. Zgodnie z art. 28(nowe okno), dostawca (procesor) może działać wyłącznie na udokumentowane polecenia administratora, a „ujawnianie danych obcemu rządowi” nie należy do takich poleceń.

Ekspozycja nie ogranicza się do dostawcy. Jeśli dostawca ujawni dane klienta w odpowiedzi na przymusowy nakaz bez podstawy umowy międzynarodowej wymaganej przez art. 48 (co, ponieważ obecnie nie istnieje żadne porozumienie wykonawcze CLOUD Act między USA a UE, oznacza MLAT) firma będąca właścicielem tych danych ponosi własną odpowiedzialność, a nie tylko dostawca, którego zatrudniła do ich przechowywania.

Dlaczego lokalizacja danych nie oznacza suwerenności danych

W czerwcu 2025 r.(nowe okno) dyrektor ds. publicznych i prawnych Microsoft France, Anton Carniaux, został zapytany pod przysięgą we francuskim Senacie(nowe okno), czy może zagwarantować, że dane obywateli Francji nigdy nie zostaną przekazane władzom USA bez zgody Francji.

Jego odpowiedź: „Nie. Nie mogę tego zagwarantować”. Dodał, że „to się nigdy wcześniej nie zdarzyło”, co oczywiście nie oznacza, że nie może się zdarzyć w przyszłości.

Przekaz był jasny: Suwerenność danych nie polega już na tym, gdzie dane są przechowywane, ale kto je kontroluje. Lokalizacja serwerów danych i rządy, które mają nad nimi władzę, nie są już koniecznie tym samym.

Fakt ten kłóci się z ofertami chmury „zgodnymi z RODO”, które amerykańscy giganci chmurowi (czyli „hiperskalerzy”) marketingują europejskim firmom. Te produkty „europejskiej suwerennej chmury” są prowadzone przez firmy z siedzibą w USA lub kontrolowane przez amerykańską spółkę nadrzędną, a ochrona RODO sięga tylko tak daleko, jak pozwala na to prawo USA.

Jak architektura szyfrowania z zerowym dostępem ogranicza ekspozycję na CLOUD Act

Jeśli Twój dostawca przechowywania w chmurze podlega jurysdykcji USA, a amerykańskie organy ścigania żądają dostępu do Twoich danych (z uzasadnionych powodów prawnych), ani Ty, ani Twój dostawca nie możecie temu zapobiec. W tym momencie jedyną obroną Twoich danych jest szyfrowanie.

Szyfrowanie sprawia, że dane stają się nieczytelne i bezużyteczne zarówno dla cyberprzestępców, jak i rządów, przekształcając je w „tekst zaszyfrowany”, który może odczytać tylko ktoś posiadający właściwy klucz.

Jednak szyfrowanie oferowane przez większość amerykańskich dostawców chmury ma fatalny haczyk: sami zachowują klucze deszyfrujące. Oznacza to, że mogą odczytać Twoje dane lub zostać zmuszeni do przekazania czytelnej kopii stronie trzeciej, takiej jak amerykańskie organy ścigania.

Aby uzyskać prawdziwą ochronę przed ekspozycją danych plików i wiadomości, zarówno wobec cyberprzestępców, jak i rządów, potrzebujesz szyfrowania end-to-end lub szyfrowania z zerowym dostępem, które uniemożliwia dostawcy dostęp do danych.

Dostawca, który stosuje szyfrowanie z zerowym dostępem, nie ma klucza do odszyfrowania plików, którymi zarządza i które przechowuje na swoich serwerach. Może nadal zostać zmuszony do ujawnienia danych, gdy organy ścigania tego zażądają, nawet jeśli dane są przechowywane w jurysdykcji, która egzekwuje surowe standardy ochrony danych, takiej jak Szwajcaria. Ale przekazane pliki byłyby zaszyfrowane i nieczytelne.

Jak Proton chroni firmy przed CLOUD Act

Proton jest chroniony przed CLOUD Act na dwa kluczowe sposoby:

  • Szwajcarska jurysdykcja, która ogranicza, kto może zmusić Proton do przekazania danych
  • Oraz silne szyfrowanie, które ogranicza to, co mogą zrobić z tym, co Proton przekaże

Proton ma siedzibę w Genewie w Szwajcarii, poza jurysdykcją USA i zasięgiem nakazów CLOUD Act. Władze USA nie mogą również uciec się do dwustronnego skrótu: Szwajcaria nie jest stroną żadnego porozumienia wykonawczego CLOUD Act.

To nie usuwa całkowicie procesu prawnego. Szwajcaria ma własne ramy wzajemnej pomocy prawnej, które pozwalają szwajcarskim władzom współpracować z zagranicznymi śledztwami. Ale każde żądanie musi najpierw przejść przez szwajcarskie prawo, przed szwajcarskimi sądami – nie może to być nakaz doręczony bezpośrednio dostawcy.

Historia prawna Protona pokazuje, że jesteśmy gotowi i zdolni do kwestionowania szwajcarskiego prawa. W 2020 roku zakwestionowaliśmy szwajcarską ustawę o retencji danych, którą uważaliśmy za niewłaściwą próbę wykorzystania prawa telekomunikacyjnego do podważenia prywatności. W 2021 roku Federalny Sąd Administracyjny orzekł, że usługi e-mail nie są dostawcami usług telekomunikacyjnych i dlatego nie podlegają wymogom retencji określonym w tej ustawie.

Nawet udane szwajcarskie postanowienie ma ograniczenia co do tego, co może uzyskać. Szyfrowanie end-to-end i z zerowym dostępem Protona oznacza, że treść wiadomości i pliki są nieczytelne dla samego Protona, a nie ma klucza do przekazania, niezależnie od tego, kto pyta. Treść Twoich e-maili, dokumentów, plików i innych danych pozostaje poza zasięgiem.

Wypróbuj Proton for Business

Często zadawane pytania o CLOUD Act

Czy CLOUD Act ma pierwszeństwo nad GDPR?

CLOUD Act nie unieważnia GDPR, ale jest z nim sprzeczny. Nakaz na podstawie CLOUD Act może postawić amerykańskiego dostawcę w sytuacji, w której zastosowanie się do niego narusza art. 48 GDPR (brak automatycznego uznawania zagranicznego nakazu bez umowy międzynarodowej). Żadne z tych praw nie ustępuje drugiemu, a dostawca — i każda europejska firma, której służy — jest między nimi.

Czy CLOUD Act dotyczy tylko amerykańskich firm?

CLOUD Act nie dotyczy wyłącznie firm z siedzibą w USA lub kontrolowanych przez amerykańską spółkę nadrzędną. Obejmuje również każdego dostawcę, który ma wystarczającą obecność prawną lub powiązania biznesowe w USA. Amerykańska spółka zależna, personel lub biura w USA, albo firmy celowo skierowane do amerykańskich klientów mogą wystarczyć, aby organizacja z siedzibą poza USA znalazła się w zasięgu CLOUD Act.

Czy mogę odmówić realizacji żądania na podstawie CLOUD Act?

Klient (administrator) zazwyczaj nie jest tym, do kogo kierowane jest żądanie — jest nim dostawca. Dostawca może podnieść zarzut comity, jeśli zastosowanie się do żądania narusza prawo obce, lub odrzucić je, jeśli jest ono prawnie wadliwe. Jeśli jednak środki prawne zostaną wyczerpane, a nakaz pozostanie ważny, dostawca będzie zmuszony do zastosowania się.

Jaka jest różnica między CLOUD Act a MLAT?

Gdy dowody cyfrowe są żądane w drodze umowy o wzajemnej pomocy prawnej (MLAT), takie żądanie podlega kontroli sądowej, co jest procesem dokładnym i powolnym. Umowy wykonawcze umożliwione przez CLOUD Act pozwalają organom ścigania pominąć procedurę MLAT w przypadku żądania danych od kraju partnerskiego. Jak dotąd tylko Wielka Brytania i Australia mają umowy wykonawcze z USA.

Czy szyfrowanie powstrzymuje żądania na podstawie CLOUD Act?

Szyfrowanie nie powstrzymuje nakazu prawnego, ale jeśli dostawca przechowuje dane klientów z szyfrowaniem end-to-end lub szyfrowaniem z zerowym dostępem, to nie będzie miał żadnych czytelnych danych do przekazania organom, ponieważ nie posiada kluczy deszyfrujących. W związku z tym przekazałby tylko zaszyfrowane pliki.