Если ваш облачный провайдер находится в США, действительный американский судебный приказ может обязать эту компанию предоставить данные вашей компании с серверов в любой точке мира.
Компании, включая Google, Microsoft и Amazon, уязвимы для такого вмешательства, которое стало возможным благодаря CLOUD Act — закону 2018 года, дающему американским правоохранительным органам глобальные щупальца.
Особенно остро эта проблема стоит для компаний из ЕС. Если ваш американский провайдер передаст ваши электронные письма или файлы, это может быть нарушением GDPR в части утечки персональных данных, за которое могут грозить штрафы до 20 млн € или 4% глобального годового оборота — в зависимости от того, что больше.
Это реальность, которую американские компании скрывают, когда говорят в маркетинге о «соответствии требованиям GDPR» и «европейском суверенном облаке». Европейский дата-центр американского провайдера все равно управляется компанией, подчиняющейся юрисдикции США. Для вашего бизнеса это означает, что решения о закупках влекут за собой ответственность за соблюдение требований, которую вы, возможно, не учли. Для ваших клиентов это означает, что персональные данные, которые они вам доверили, могут оказаться в судебном процессе, на который они никак не могут повлиять (и о котором могут даже никогда не узнать).
Вот простое объяснение CLOUD Act: почему этот инвазивный закон важен для бизнеса и как снизить свою уязвимость. Где хранятся ваши данные, больше не решает, кто может получить к ним доступ.
Что такое CLOUD Act?
Закон о разъяснении законного использования данных за рубежом (CLOUD Act(новое окно)) — федеральный закон США, вступивший в силу в 2018 году. Он позволяет федеральным правоохранительным органам — прежде всего Министерству юстиции и ФБР, а также федеральной, региональной и местной полиции — получать ордер, судебное постановление или повестку, обязывающие технологические компании под юрисдикцией США передать данные независимо от того, где физически хранятся эти данные.
Например, если ФБР получит ордер, обязывающий Microsoft передать электронные письма европейской компании, Microsoft обязана подчиниться — даже если европейский суд не согласен с этим запросом.
У CLOUD Act есть законная правоохранительная цель. Он призван помочь федеральным правоохранительным органам расследовать серьезные преступления, такие как терроризм, эксплуатация детей и киберпреступность. Он не предназначен для сбора разведданных — для этого существует отдельный американский механизм (статья 702 FISA), который часто с ним путают.
Однако эта законная цель не устраняет структурную проблему для бизнеса: CLOUD Act может поставить провайдера под юрисдикцией США в положение, когда исполнение законного американского предписания означает нарушение законодательства ЕС. В результате компании оказываются зажатыми между двумя режимами соблюдения требований и не могут удовлетворить оба одновременно.
Как появился CLOUD Act?
CLOUD Act был принят в 2018 году правительством США в качестве поправки к Закону о хранении коммуникаций (SCA) 1986 года. Эта поправка во многом стала ответом на текущее судебное разбирательство(новое окно) — дело «Microsoft–Ирландия».
В 2013 году Microsoft оспорила федеральный ордер, требовавший предоставить электронные письма клиента, которого расследовали в связи с торговлей наркотиками, — письма, которые Microsoft хранила на серверах в Ирландии. Это дело упиралось в сложный юридический вопрос: может ли ордер США, выданный в соответствии с SCA, распространяться на цифровые коммуникации, контролируемые американской компанией, но хранящиеся на сервере за пределами США?
В 2018 году дело ожидало апелляции в Верховном суде, когда Конгресс США принял CLOUD Act. Это одновременно лишило смысла дело «Microsoft–Ирландия» и решило вопрос об экстерриториальных полномочиях правительства США в отношении данных, хранящихся за рубежом, — по крайней мере на бумаге.
Какие полномочия CLOUD Act дает правительству США?
CLOUD Act наделил правительство США правом запрашивать целевые данные, где бы они ни хранились, усилив экстерриториальные предписания SCA в отношении американских провайдеров. Закон уточнил, что правоохранительные органы США могут использовать ордера, повестки и судебные постановления для доступа к электронно хранящимся данным коммуникаций за пределами США, если провайдер хранения подпадает под юрисдикцию США, а запрашиваемые данные относятся к текущему уголовному расследованию и имеют к нему существенное значение. Запрос по CLOUD Act направляется напрямую провайдеру в обход гораздо более медленной процедуры MLAT (договор о взаимной правовой помощи)(новое окно), на которую правительство США полагалось ранее.
CLOUD Act также наделил полномочиями правительства, готовые подписать двустороннее исполнительное соглашение с правительством США, которое позволило бы правоохранительным органам стран-партнеров направлять прямые трансграничные запросы по конкретным делам о предоставлении данных американскими поставщиками услуг.
Исполнительные соглашения ускоряют сбор доказательств по серьезным уголовным делам, таким как терроризм и эксплуатация детей, где процедура MLAT могла бы занять месяцы. На момент написания существует только два исполнительных соглашения: между США и Великобританией (вступило в силу в октябре 2022 года(новое окно)) и между США и Австралией (вступило в силу в январе 2024 года(новое окно)). Переговоры между правительством США, ЕС и Канадой(новое окно) начаты, но еще не завершены.
У технологических провайдеров все же есть один защитный механизм: они могут оспорить или попросить изменить американское предписание на основании «международной вежливости» (comity) — правового принципа, согласно которому суды учитывают законы других юрисдикций, — если исполнение означало бы нарушение иностранного закона, особенно того, который охвачен исполнительным соглашением. За пределами Великобритании и Австралии такое оспаривание на основе общего права — единственный доступный вариант.
Однако, как утверждает Electronic Privacy Information Center (EPIC)(новое окно), даже с учетом принципа вежливости CLOUD Act оставляет клиентов, включая компании, почти без реальных средств защиты. Провайдеры не обязаны уведомлять клиента, к данным которого получили доступ, у клиентов нет самостоятельного права оспорить запрос (это полностью зависит от того, решит ли провайдер возразить), а исполнительные соглашения прямо исключают создание каких-либо новых средств правовой защиты для пострадавших.
CLOUD Act против GDPR
В Европе, где, согласно собственному исследованию Proton, более 74% всех публичных компаний зависят от американских технологических сервисов, CLOUD Act вызывает особую обеспокоенность, поскольку противоречит Общему регламенту ЕС по защите данных (GDPR).
Согласно статье 48(новое окно) GDPR, иностранное судебное постановление или решение административного органа (в том числе предписание SCA) о передаче или раскрытии персональных данных не признается и не исполняется в ЕС автоматически, если только оно не вынесено в рамках международного соглашения, например MLAT.
Хотя пока не было случая, чтобы GDPR привел к штрафу компании в связи с предписанием по CLOUD Act, есть прецедент реагирования регуляторов на эту категорию рисков: в 2023 году Комиссия по защите данных Ирландии оштрафовала Meta на рекордные 1,2 млрд €(новое окно) за передачу данных между ЕС и США, подверженных американскому законодательству о слежке, — а именно статье 702 FISA, а не CLOUD Act.
Для американских облачных провайдеров это означает, что если правительство США запрашивает данные, которые они обрабатывают, но контролируют европейские компании, соблюдение CLOUD Act может означать нарушение GDPR. Согласно статье 28(новое окно), провайдер (обработчик) может действовать только на основании документально зафиксированных инструкций контролера, а «раскрытие данных иностранному правительству» в эти инструкции не входит.
Риск не ограничивается провайдером. Если провайдер раскрывает данные клиента в ответ на обязательное предписание без основания в виде международного соглашения, которое требует статья 48 (а поскольку исполнительного соглашения по CLOUD Act между США и ЕС сейчас нет, это означает MLAT), ответственность несет сам бизнес, которому принадлежат эти данные, а не только поставщик, нанятый для их хранения.
Почему местоположение данных не означает суверенитет над данными
В июне 2025 года(новое окно) директора по связям с государственными органами и юридическим вопросам Microsoft France Антона Карнио под присягой спросили в Сенате Франции(новое окно), может ли он гарантировать, что данные французских граждан никогда не будут переданы американским властям без согласия Франции.
Его ответ: «Нет. Я не могу это гарантировать». Он добавил, что «такого еще не случалось», что, конечно, не означает, что это не может произойти в будущем.
Посыл был ясен: суверенитет над данными больше не о том, где хранятся данные, а о том, кто ими управляет. Местоположение ваших серверов данных и правительства, обладающие над ними властью, уже не обязательно одно и то же.
Этот факт плохо сочетается с облачными предложениями «в соответствии с GDPR», которые американские облачные гиганты (или «гиперскейлеры») продвигают европейским компаниям. Эти продукты «европейского суверенного облака» управляются компаниями со штаб-квартирой в США или контролируются американской материнской компанией, а защита GDPR простирается ровно настолько, насколько позволяет американское законодательство.
Как архитектура шифрования с нулевым доступом снижает риск в связи с CLOUD Act
Если ваш провайдер облачного хранения подпадает под юрисдикцию США и американские правоохранительные органы требуют доступа к вашим данным (по законным правовым основаниям), ни вы, ни ваш провайдер не можете этому помешать. В этот момент единственная защита ваших данных — шифрование.
Шифрование делает данные нечитаемыми и бесполезными как для киберпреступников, так и для правительств, превращая их в «шифротекст», который может прочитать только обладатель правильного ключа.
Однако шифрование, которое предлагает большинство американских облачных провайдеров, имеет фатальную оговорку: они сами хранят ключи расшифровки. Это значит, что они могут прочитать ваши данные или быть принуждены передать читаемую копию третьей стороне, например американским правоохранительным органам.
Для настоящей защиты от утечки данных файлов и сообщений — будь то перед киберпреступниками или правительствами — вам нужно сквозное шифрование или шифрование с нулевым доступом, которое не позволяет провайдеру получить доступ к данным.
У провайдера, использующего шифрование с нулевым доступом, нет ключа для расшифровки файлов, которые он обрабатывает и хранит на своих серверах. Его по-прежнему могут обязать раскрыть данные по требованию правоохранительных органов, даже если данные хранятся в юрисдикции со строгими стандартами защиты данных, например в Швейцарии. Но переданные файлы будут зашифрованными и нечитаемыми.
Как Proton защищает бизнес от CLOUD Act
Proton защищен от CLOUD Act двумя ключевыми способами:
- Швейцарская юрисдикция, которая ограничивает круг тех, кто может обязать Proton передать данные
- И надежное шифрование, которое ограничивает то, что они могут сделать с тем, что передает Proton
Штаб-квартира Proton находится в Женеве, Швейцария, вне юрисдикции США и досягаемости предписаний по CLOUD Act. Американские власти не могут прибегнуть и к двустороннему обходному пути: Швейцария не участвует ни в одном исполнительном соглашении по CLOUD Act.
Это не отменяет юридические процедуры полностью. У Швейцарии есть собственная система взаимной правовой помощи, которая позволяет швейцарским властям сотрудничать с иностранными расследованиями. Но любой запрос должен сначала пройти проверку на соответствие швейцарскому законодательству в швейцарских судах — это не может быть ордер, врученный напрямую провайдеру.
Юридическая история Proton показывает, что мы готовы и способны оспаривать швейцарские законы. В 2020 году мы оспорили швейцарский закон о хранении данных, который, по нашему мнению, был неправомерной попыткой использовать телекоммуникационное законодательство для подрыва конфиденциальности. В 2021 году Федеральный административный суд постановил, что сервисы электронной почты не являются телекоммуникационными операторами и, следовательно, не подпадают под требования закона о хранении данных.
И даже успешное швейцарское предписание имеет ограничения в том, что можно получить. Сквозное шифрование и шифрование с нулевым доступом Proton означают, что содержимое сообщений и файлы нечитаемы для самого Proton, и ключа для передачи нет, кто бы ни запрашивал. Содержимое ваших писем, документов, файлов и других данных остается недосягаемым.
Часто задаваемые вопросы о CLOUD Act
Отменяет ли CLOUD Act действие GDPR?
Закон CLOUD Act не отменяет GDPR, но вступает с ним в конфликт. Предписание по CLOUD Act может поставить американского провайдера в ситуацию, когда его исполнение нарушает статью 48 GDPR, поскольку автоматическое признание иностранного предписания без международного соглашения не допускается. Ни один из законов не уступает другому, и провайдер — а также любая европейская компания, которой он служит — оказывается между ними.
Распространяется ли CLOUD Act только на американские компании?
CLOUD Act применяется не только к компаниям, зарегистрированным в США или контролируемым американской родительской компанией. Он также охватывает любого провайдера, имеющего достаточное юридическое присутствие или деловые связи в США. Дочерней компании в США, сотрудников или офисов в США, а также компаний, целенаправленно ориентированных на американских клиентов, может быть достаточно, чтобы организация со штаб-квартирой за пределами США подпадала под действие CLOUD Act.
Можно ли отказаться от запроса по CLOUD Act?
Клиент (контроллер) обычно не является получателем запроса — им является провайдер. Провайдер может оспорить запрос на основании международной вежливости, если его исполнение нарушает иностранное законодательство, или возразить, если запрос юридически необоснован. Но если все законные средства защиты исчерпаны, а предписание остается в силе, провайдер будет вынужден его исполнить.
В чем разница между CLOUD Act и MLAT?
Когда цифровые доказательства запрашиваются через договор о взаимной правовой помощи (MLAT), этот запрос проходит судебную проверку — тщательный и медленный процесс. Исполнительные соглашения, предусмотренные CLOUD Act, позволяют правоохранительным органам обходить процедуру MLAT при запросе данных из страны-партнера. На данный момент только Великобритания и Австралия имеют исполнительные соглашения с США.
Останавливает ли шифрование запросы по CLOUD Act?
Шифрование не останавливает судебное предписание, но если провайдер хранит данные клиентов со сквозным шифрованием или шифрованием с нулевым доступом, то у него не будет читаемых данных для передачи властям, поскольку у него нет ключей дешифрования. Таким образом, он передаст только зашифрованные файлы.
