Dacă furnizorul dumneavoastră de cloud are sediul în SUA, un ordin judecătoresc american valid poate obliga compania respectivă să recupereze datele companiei dumneavoastră de pe servere aflate oriunde în lume.
Companii precum Google, Microsoft și Amazon sunt vulnerabile la această intruziune, posibilă datorită CLOUD Act, o lege din 2018 care le conferă autorităților americane de aplicare a legii tentacule la nivel global.
Este mai ales o problemă pentru companiile din UE. Dacă furnizorul dumneavoastră din SUA predă e-mailurile sau fișierele dumneavoastră, aceasta poate constitui o încălcare a GDPR prin divulgarea de date cu caracter personal, ceea ce poate atrage amenzi de până la 20 de milioane EUR sau 4% din cifra de afaceri anuală globală, oricare este mai mare.
Aceasta este realitatea pe care companiile americane o ascund atunci când afirmă în marketingul lor că sunt „conform cu GDPR” și că oferă un „cloud european suveran”. Un centru de date din UE al unui furnizor american este totuși operat de o companie aflată sub jurisdicție americană. Pentru compania dumneavoastră, aceasta înseamnă că deciziile de achiziție implică o răspundere de conformitate pe care poate nu ați luat-o în calcul. Pentru clienții dumneavoastră, înseamnă că datele cu caracter personal pe care vi le-au încredințat pot ajunge într-un proces legal asupra căruia nu au niciun cuvânt de spus și despre care s-ar putea să nu afle niciodată.
Iată o explicație clară a CLOUD Act, a motivului pentru care această legislație invazivă contează pentru companii și a modului de a vă limita expunerea. Locul în care se află datele dumneavoastră nu mai decide cine le poate accesa.
Ce este CLOUD Act?
Legea Clarifying Lawful Overseas Use of Data (CLOUD Act(fereastră nouă)) este o lege federală americană intrată în vigoare în 2018. Aceasta permite autorităților federale de aplicare a legii — în principal Departamentului de Justiție și FBI, dar și poliției federale, de stat și locale — să obțină un mandat, un ordin judecătoresc sau o citație care obligă companiile de tehnologie aflate sub jurisdicție americană să predea date, indiferent de locul din lume în care aceste date sunt stocate fizic.
De exemplu, dacă FBI obține un mandat care obligă Microsoft să predea e-mailurile unei companii europene, Microsoft trebuie să se conformeze — chiar dacă o instanță europeană nu este de acord cu solicitarea.
CLOUD Act are un scop legitim de aplicare a legii. Este concepută pentru a ajuta autoritățile federale de aplicare a legii să investigheze infracțiuni grave precum terorismul, exploatarea copiilor și criminalitatea informatică. Nu este concepută pentru colectarea de informații, activitate care se desfășoară prin intermediul unei autorități americane separate (Articolul 702 din FISA), adesea confundată cu aceasta.
Cu toate acestea, acest scop legitim nu elimină problema structurală pentru companii: CLOUD Act poate pune un furnizor aflat sub jurisdicție americană în situația în care îndeplinirea unui ordin american legal înseamnă încălcarea legislației UE. Companiile rămân astfel prinse între două regimuri de conformitate, fără nicio modalitate de a le îndeplini pe amândouă.
Care este originea CLOUD Act?
CLOUD Act a fost adoptată în 2018 de guvernul american pentru a modifica Legea privind comunicațiile stocate (SCA) din 1986. Această modificare a fost, în mare parte, un răspuns la un proces aflat în curs(fereastră nouă), cazul „Microsoft-Irlanda”.
În 2013, Microsoft a contestat un mandat federal care solicita e-mailurile unui client aflat sub investigație pentru trafic de droguri — e-mailuri stocate de Microsoft pe servere din Irlanda. Acest caz s-a bazat pe o întrebare juridică delicată: putea un mandat american emis în temeiul SCA să ajungă la comunicațiile digitale controlate de o companie cu sediul în SUA, dar stocate pe un server de date din afara SUA?
În 2018, cazul era în recurs la Curtea Supremă atunci când Congresul SUA a adoptat CLOUD Act. Aceasta a făcut caduc cazul „Microsoft-Irlanda” și a soluționat problema puterilor extrateritoriale ale guvernului american asupra datelor stocate pe teritoriu străin, cel puțin pe hârtie.
Ce puteri îi conferă CLOUD Act guvernului american?
CLOUD Act a împuternicit guvernul american să solicite date specifice, indiferent unde erau stocate, prin consolidarea ordinelor extrateritoriale emise în temeiul SCA către furnizorii americani. Legea a clarificat că autoritățile americane de aplicare a legii pot folosi mandate, citații și ordine judecătorești pentru a accesa date de comunicații stocate electronic aflate în afara SUA, dacă furnizorul de stocare este supus jurisdicției americane, iar datele solicitate sunt relevante și esențiale pentru o anchetă penală în curs. O solicitare în temeiul CLOUD Act ajunge direct la furnizor, ocolind procesul mult mai lent MLAT (Tratatul de asistență juridică reciprocă)(fereastră nouă) pe care se baza anterior guvernul american.
CLOUD Act a împuternicit, de asemenea, guvernele dispuse să încheie un acord executiv bilateral cu guvernul american, ceea ce le-ar permite autorităților de aplicare a legii din țările partenere să facă solicitări directe, transfrontaliere, specifice fiecărui caz, pentru date de la furnizori de servicii cu sediul în SUA.
Acordurile executive accelerează colectarea probelor în cazuri penale grave precum terorismul și exploatarea copiilor, unde procesul MLAT ar putea dura luni. La momentul redactării, există doar două acorduri executive: între SUA și Regatul Unit (intrat în vigoare în octombrie 2022(fereastră nouă)) și între SUA și Australia (intrat în vigoare în ianuarie 2024(fereastră nouă)). Negocierile dintre guvernul SUA și UE și Canada(fereastră nouă) au fost inițiate, dar nu s-au încheiat încă.
Furnizorii de tehnologie au totuși un mecanism de siguranță: pot contesta sau solicita modificarea unui ordin american în temeiul „curtoaziei internaționale” — principiul juridic potrivit căruia instanțele respectă legile altor jurisdicții — dacă respectarea ordinului ar însemna încălcarea unei legi străine, în special a uneia acoperite de un acord executiv. În afara Regatului Unit și Australiei, această contestație bazată pe curtoazia internațională este singura opțiune disponibilă.
Totuși, după cum susține Electronic Privacy Information Center (EPIC)(fereastră nouă), chiar și cu curtoazia internațională, CLOUD Act le lasă clienților, inclusiv companiilor, puține căi reale de recurs. Furnizorii nu sunt obligați să notifice un client ale cărui date au fost accesate, clienții nu au un drept independent de a contesta o solicitare, acest lucru depinzând în totalitate de decizia furnizorului de a obiecta, iar acordurile executive exclud în mod explicit crearea oricărei noi căi de remediere pentru persoanele afectate.
CLOUD Act vs. GDPR
În Europa, unde cercetările proprii ale Proton arată că peste 74% dintre toate companiile listate public depind de servicii tehnologice din SUA, CLOUD Act este deosebit de îngrijorătoare, deoarece intră în conflict cu Regulamentul general privind protecția datelor (GDPR) al UE.
În temeiul articolului 48(fereastră nouă) din GDPR, un ordin judecătoresc străin sau o decizie a unei autorități administrative (inclusiv un ordin emis în temeiul SCA) de a transfera sau divulga date cu caracter personal nu va fi recunoscut sau executat automat în UE, cu excepția cazului în care este emis în temeiul unui acord internațional, precum un MLAT.
Deși nu a existat niciun caz în care GDPR să amendeze o companie în legătură cu un ordin emis în temeiul CLOUD Act, există precedent pentru autoritățile de reglementare care acționează în această categorie de risc: în 2023, Comisia pentru protecția datelor din Irlanda a amendat Meta cu suma record de 1,2 miliarde EUR(fereastră nouă) pentru transferuri UE-SUA expuse legislației americane de supraveghere — mai exact articolul 702 din FISA, nu CLOUD Act.
Pentru furnizorii de cloud cu sediul în SUA, aceasta înseamnă că, dacă guvernul american solicită date pe care aceștia le prelucrează, dar care sunt controlate de companii europene, conformarea cu CLOUD Act ar putea însemna încălcarea GDPR. În temeiul articolului 28(fereastră nouă), furnizorul (persoana împuternicită) poate acționa doar pe baza instrucțiunilor documentate ale operatorului, iar „divulgarea datelor către un guvern străin” nu face parte dintre aceste instrucțiuni.
Expunerea nu se limitează la furnizor. Dacă furnizorul divulge datele unui client ca răspuns la un ordin obligatoriu, fără temeiul de acord internațional cerut de articolul 48 (ceea ce, întrucât în prezent nu există niciun acord executiv în temeiul CLOUD Act între SUA și UE, înseamnă un MLAT), compania care deține acele date își asumă propria răspundere, nu doar furnizorul angajat să le stocheze.
De ce locația datelor nu înseamnă suveranitatea datelor
În iunie 2025(fereastră nouă), chiar directorul pentru afaceri publice și juridice al Microsoft Franța, Anton Carniaux, a fost întrebat sub jurământ în Senatul francez(fereastră nouă) dacă poate garanta că datele cetățenilor francezi nu vor fi predate autorităților americane fără consimțământul Franței.
Răspunsul său: „Nu. Nu pot garanta acest lucru.” A adăugat că „nu s-a întâmplat niciodată până acum”, ceea ce, desigur, nu înseamnă că nu s-ar putea întâmpla în viitor.
Mesajul a fost clar: Suveranitatea datelor nu mai ține de locul unde sunt stocate datele, ci de cine le controlează. Locația serverelor dumneavoastră de date și guvernele care au autoritate asupra lor nu mai coincid neapărat.
Acest fapt se împacă greu cu ofertele de cloud „conforme cu GDPR” pe care giganții americani ai cloudului (sau „hyperscalerii”) le promovează companiilor europene. Aceste produse de „cloud european suveran” sunt operate de companii cu sediul în SUA sau controlate de o companie-mamă americană, iar protecțiile GDPR se întind doar atât cât permite legislația americană.
Cum reduce arhitectura de criptare cu acces zero expunerea la CLOUD Act
Dacă furnizorul dumneavoastră de stocare în cloud este supus jurisdicției americane, iar autoritățile americane de aplicare a legii solicită accesarea datelor dumneavoastră (din motive legale legitime), nici dumneavoastră, nici furnizorul nu puteți împiedica acest lucru. În acest moment, singura apărare a datelor dumneavoastră este criptarea.
Criptarea face datele de necitit și de neutilizat atât pentru infractorii cibernetici, cât și pentru guverne, transformându-le în „text cifrat” pe care doar cineva care deține cheia potrivită îl poate citi.
Totuși, criptarea oferită de majoritatea furnizorilor americani de cloud vine cu o condiție fatală: aceștia păstrează pentru ei cheile de decriptare. Aceasta înseamnă că pot citi datele dumneavoastră sau pot fi obligați să predea o copie lizibilă unui terț, precum autoritățile americane de aplicare a legii.
Pentru o protecție reală împotriva expunerii datelor din fișiere și mesaje, fie către infractorii cibernetici, fie către guverne, aveți nevoie de criptare de la un capăt la altul sau de criptare cu acces zero, care împiedică furnizorul să acceseze datele.
Un furnizor care folosește criptarea cu acces zero nu are cheia pentru a decripta fișierele pe care le gestionează și le stochează pe serverele sale. Poate fi totuși obligat să divulge date atunci când autoritățile de aplicare a legii le solicită, chiar dacă datele sunt stocate într-o jurisdicție care aplică un standard strict de protecție a datelor, precum Elveția. Însă fișierele predate ar fi criptate și de necitit.
Cum protejează Proton companiile de CLOUD Act
Proton este protejat de CLOUD Act în două moduri esențiale:
- Jurisdicția elvețiană, care limitează cine poate obliga Proton să predea date
- Și criptarea puternică, care limitează ce pot face cu orice le predă Proton
Proton își are sediul central la Geneva, în Elveția, în afara jurisdicției americane și a sferei de aplicare a ordinelor emise în temeiul CLOUD Act. Nici autoritățile americane nu pot recurge la o scurtătură bilaterală: Elveția nu este parte la niciun acord executiv în temeiul CLOUD Act.
Aceasta nu elimină complet procedura legală. Elveția are propriul cadru de asistență juridică reciprocă, care le permite autorităților elvețiene să coopereze cu anchete străine. Însă orice solicitare trebuie să treacă mai întâi de legislația elvețiană, în fața instanțelor elvețiene — nu poate fi un mandat înmânat direct furnizorului.
Istoricul juridic al Proton arată că suntem dispuși și capabili să contestăm legislația elvețiană. În 2020, am contestat o lege elvețiană privind păstrarea datelor pe care o consideram o încercare nejustificată de a folosi legile telecomunicațiilor pentru a submina confidențialitatea. În 2021, Tribunalul administrativ federal a decis că serviciile de e-mail nu sunt furnizori de telecomunicații și, prin urmare, nu fac obiectul cerințelor de păstrare prevăzute de lege.
Și chiar și un ordin elvețian reușit are limite în privința a ceea ce poate obține. Criptarea de la un capăt la altul și criptarea cu acces zero ale Proton înseamnă că conținutul mesajelor și fișierele sunt de necitit chiar și pentru Proton, iar nu există nicio cheie de predat, indiferent cine o solicită. Conținutul e-mailurilor, documentelor, fișierelor și al altor date rămâne inaccesibil.
Întrebări frecvente despre CLOUD Act
Are CLOUD Act prioritate în fața GDPR?
CLOUD Act nu anulează GDPR, dar intră în conflict cu acesta. Un ordin emis în baza CLOUD Act poate pune un furnizor din SUA într-o situație în care conformarea încalcă articolul 48 din GDPR, întrucât un ordin străin nu este recunoscut automat fără un acord internațional. Niciuna dintre legi nu are prioritate în fața celeilalte, iar furnizorul, ca și orice companie europeană căreia îi prestează servicii, rămâne prins între ele.
CLOUD Act se aplică doar companiilor din SUA?
CLOUD Act nu se aplică doar întreprinderilor cu sediul în SUA sau controlate de o companie-mamă din SUA. Atinge și orice furnizor care are o prezență juridică suficientă în SUA sau o legătură comercială. O filială în SUA, personal sau birouri situate în SUA ori întreprinderi orientate în mod deliberat către clienți din SUA pot fi suficiente pentru ca o organizație cu sediul în afara SUA să intre sub incidența CLOUD Act.
Se poate refuza o solicitare CLOUD Act?
De regulă, nu clientul, în calitate de operator, este cel căruia i se comunică solicitarea, ci furnizorul. Furnizorul poate invoca principiul curtoaziei dacă respectarea încalcă legislația străină sau poate contesta dacă solicitarea este deficitară din punct de vedere juridic. Însă, dacă căile de atac legale sunt epuizate și ordinul rămâne valabil, furnizorul va fi obligat să se conformeze.
Care este diferența dintre CLOUD Act și un MLAT?
Când probele digitale sunt solicitate prin intermediul unui tratat de asistență juridică reciprocă, cunoscut sub numele de MLAT, cererea este supusă unei analize judiciare, un proces minuțios și lent. Acordurile executive permise de CLOUD Act permit autorităților de aplicare a legii să ocolească procesul MLAT dacă solicită date dintr-o țară parteneră. Până în prezent, doar Regatul Unit și Australia au acorduri executive cu SUA.
Criptarea oprește solicitările CLOUD Act?
Criptarea nu oprește un ordin legal, dar dacă un furnizor stochează datele clienților cu criptare de la un capăt la altul sau criptare cu acces zero, atunci nu va avea date care pot fi citite pentru a le transmite autorităților, deoarece nu deține cheile de decriptare. Astfel, ar preda doar fișiere criptate.
