หากผู้ให้บริการคลาวด์ของคุณตั้งอยู่ในสหรัฐฯ คำสั่งศาลสหรัฐฯ ที่ถูกต้องสามารถบังคับให้บริษัทนั้นดึงข้อมูลของบริษัทคุณจากเซิร์ฟเวอร์ที่ใดก็ได้ในโลก
บริษัทต่างๆ รวมถึง Google Microsoft และ Amazon ต่างเสี่ยงต่อการถูกล่วงละเมิดนี้ ซึ่งเป็นไปได้เพราะ CLOUD Act กฎหมายปี 2018 ที่ให้เจ้าหน้าที่บังคับใช้กฎหมายอเมริกันมีอำนาจไปทั่วโลก
มันเป็นปัญหาพิเศษสำหรับธุรกิจในสหภาพยุโรป หากผู้ให้บริการสหรัฐฯ ของคุณส่งมอบอีเมลหรือไฟล์ของคุณ การกระทำนั้นอาจถือเป็นการละเมิด GDPR ฐานรั่วไหลข้อมูลส่วนบุคคล ซึ่งสามารถกำหนดโทษปรับสูงถึง 20 ล้านยูโร หรือ 4% ของรายได้รวมทั่วโลกต่อปี แล้วแต่จำนวนใดสูงกว่า
นั่นคือความจริงที่บริษัทอเมริกันปิดบังเมื่อพวกเขาพูดว่า “สอดคล้องกับ GDPR” และ “คลาวด์อธิปไตยยุโรป” ในการตลาดของพวกเขา ศูนย์ข้อมูลในสหภาพยุโรปของผู้ให้บริการสหรัฐฯ ยังคงดำเนินการโดยบริษัทภายใต้เขตอำนาจของสหรัฐฯ สำหรับธุรกิจของคุณ นั่นหมายความว่าการตัดสินใจจัดซื้อมีความรับผิดด้านการปฏิบัติตามข้อกำหนดที่คุณอาจไม่ได้คำนึงถึง สำหรับลูกค้าของคุณ นั่นหมายความว่าข้อมูลส่วนบุคคลที่พวกเขามอบหมายให้คุณอาจจบลงในกระบวนการทางกฎหมายที่พวกเขาไม่มีสิทธิ์ออกเสียง และอาจไม่เคยรู้เรื่องนี้ด้วยซ้ำ
นี่คือคำอธิบายง่ายๆ เกี่ยวกับ CLOUD Act ทำไมกฎหมายที่รุกล้ำนี้จึงสำคัญต่อธุรกิจ และวิธีจำกัดความเสี่ยงของคุณ ที่ตั้งของข้อมูลคุณไม่ได้กำหนดว่าใครจะเข้าถึงได้อีกต่อไป
CLOUD Act คืออะไร?
The Clarifying Lawful Overseas Use of Data Act (CLOUD Act(หน้าต่างใหม่)) เป็นกฎหมายของรัฐบาลกลางสหรัฐฯ ที่มีผลบังคับใช้ในปี 2018 อนุญาตให้เจ้าหน้าที่บังคับใช้กฎหมายของรัฐบาลกลาง ซึ่งส่วนใหญ่คือกระทรวงยุติธรรมและ FBI แต่ยังรวมถึงตำรวจรัฐบาลกลาง รัฐ และท้องถิ่น ในการขอหมายค้น คำสั่งศาล หรือหมายเรียก ให้บริษัทเทคโนโลยีภายใต้เขตอำนาจของสหรัฐฯ ส่งมอบข้อมูล ไม่ว่าข้อมูลนั้นจะถูกจัดเก็บไว้ที่ใดในโลก
ตัวอย่างเช่น หาก FBI ได้หมายค้นที่บังคับให้ Microsoft ส่งมอบอีเมลของธุรกิจยุโรป Microsoft ต้องปฏิบัติตาม แม้ว่าศาลยุโรปจะไม่เห็นด้วยกับคำขอนั้น
CLOUD Act มีจุดประสงค์ที่ชอบด้วยกฎหมายในการบังคับใช้กฎหมาย ออกแบบมาเพื่อช่วยให้เจ้าหน้าที่บังคับใช้กฎหมายของรัฐบาลกลางสืบสวนอาชญากรรมร้ายแรง เช่น การก่อการร้าย การแสวงหาประโยชน์จากเด็ก และอาชญากรรมไซเบอร์ ไม่ได้ออกแบบมาสำหรับการรวบรวมข่าวกรอง ซึ่งดำเนินการผ่านหน่วยงานสหรัฐฯ อีกแห่ง (FISA Section 702) ที่มักสับสนกับมัน
อย่างไรก็ตาม จุดประสงค์ที่ชอบด้วยกฎหมายนั้นไม่ได้ขจัดปัญหเชิงโครงสร้างสำหรับธุรกิจ: CLOUD Act สามารถทำให้ผู้ให้บริการภายใต้เขตอำนาจของสหรัฐฯ อยู่ในสถานะที่การปฏิบัติตามคำสั่งที่ชอบด้วยกฎหมายของสหรัฐฯ หมายถึงการละเมิดกฎหมายสหภาพยุโรป ทำให้ธุรกิจติดอยู่ระหว่างสองระบบการปฏิบัติตามข้อกำหนดโดยไม่มีทางที่จะตอบสนองทั้งสองฝ่ายได้
ต้นกำเนิดของ CLOUD Act คืออะไร?
CLOUD Act ผ่านโดยรัฐบาลสหรัฐฯ ในปี 2018 เพื่อแก้ไข Stored Communications Act (SCA) ปี 1986 การแก้ไขนี้ส่วนใหญ่เป็นการตอบสนองต่อ คดีความที่กำลังดำเนินอยู่(หน้าต่างใหม่) คือคดี ‘Microsoft-Ireland’
ในปี 2013 Microsoft ท้าทายหมายค้นของรัฐบาลกลางที่เรียกร้องอีเมลของลูกค้าที่อยู่ระหว่างการสอบสวนค้ายาเสพติด — อีเมลที่ Microsoft จัดเก็บไว้บนเซิร์ฟเวอร์ในไอร์แลนด์ คดีนี้ขึ้นอยู่กับคำถามทางกฎหมายที่ยุ่งยาก: หมายค้นของสหรัฐฯ ที่ออกภายใต้ SCA สามารถเข้าถึงการสื่อสารดิจิทัลที่ควบคุมโดยบริษัทในสหรัฐฯ แต่จัดเก็บไว้บนเซิร์ฟเวอร์ข้อมูลนอกสหรัฐฯ ได้หรือไม่?
ในปี 2018 คดีอยู่ระหว่างการอุทธรณ์ในศาลฎีกาเมื่อรัฐสภาสหรัฐฯ ผ่าน CLOUD Act สิ่งนี้ทำให้คดี ‘Microsoft-Ireland’ กลายเป็นโมฆะและแก้ไขคำถามเกี่ยวกับอำนาจนอกอาณาเขตของรัฐบาลสหรัฐฯ เหนือข้อมูลที่จัดเก็บไว้ในต่างแดน อย่างน้อยก็ในทางทฤษฎี
CLOUD Act ให้อำนาจอะไรแก่รัฐบาลสหรัฐฯ?
CLOUD Act ให้อำนาจรัฐบาลสหรัฐฯ ในการขอข้อมูลเฉพาะเจาะจง ไม่ว่าข้อมูลนั้นจะถูกจัดเก็บไว้ที่ใด โดยการเสริมความแข็งแกร่งให้คำสั่ง SCA นอกอาณาเขตแก่ผู้ให้บริการในสหรัฐฯ กฎหมายนี้ชี้แจงว่าเจ้าหน้าที่บังคับใช้กฎหมายของสหรัฐฯ สามารถใช้หมายค้น หมายเรียก และคำสั่งศาลเพื่อเข้าถึงข้อมูลการสื่อสารที่จัดเก็บทางอิเล็กทรอนิกส์ซึ่งอยู่นอกสหรัฐฯ ได้ หากผู้ให้บริการพื้นที่จัดเก็บอยู่ภายใต้เขตอำนาจของสหรัฐฯ และข้อมูลที่ร้องขอมีความเกี่ยวข้องและเป็นสาระสำคัญต่อการสอบสวนอาชญากรรมที่กำลังดำเนินอยู่ คำขอตาม CLOUD Act จะส่งตรงไปยังผู้ให้บริการ โดยข้ามกระบวนการ MLAT (Mutual Legal Assistance Treaty)(หน้าต่างใหม่) ที่ช้ากว่ามากซึ่งรัฐบาลสหรัฐฯ เคยพึ่งพา
CLOUD Act ยังให้อำนาจรัฐบาลที่ยินดีลงทะเบียนในข้อตกลงบริหารทวิภาคีกับรัฐบาลสหรัฐฯ ซึ่งจะช่วยให้เจ้าหน้าที่บังคับใช้กฎหมายในประเทศพันธมิตรสามารถร้องขอข้อมูลโดยตรง ข้ามพรมแดน และเฉพาะกรณีจากผู้ให้บริการในสหรัฐฯ
ข้อตกลงบริหารช่วยเร่งการรวบรวมพยานหลักฐานในคดีอาญาร้ายแรง เช่น การก่อการร้ายและการแสวงหาประโยชน์จากเด็ก ซึ่งกระบวนการ MLAT อาจใช้เวลาหลายเดือน ณ เวลาที่เขียน มีข้อตกลงบริหารเพียงสองฉบับเท่านั้น: ระหว่างสหรัฐฯ กับสหราชอาณาจักร (มีผลบังคับใช้ ในเดือนตุลาคม 2022(หน้าต่างใหม่)) และระหว่างสหรัฐฯ กับออสเตรเลีย (มีผลบังคับใช้ มกราคม 2024(หน้าต่างใหม่)) การเจรจาระหว่าง รัฐบาลสหรัฐฯ กับสหภาพยุโรปและแคนาดา(หน้าต่างใหม่) ได้เริ่มขึ้นแล้วแต่ยังไม่สิ้นสุด
ผู้ให้บริการเทคโนโลยีมีกลไกความปลอดภัยอย่างหนึ่ง: พวกเขาสามารถท้าทายหรือขอแก้ไขคำสั่งของสหรัฐฯ ภายใต้ “comity” — หลักการทางกฎหมายที่ศาลให้ความเคารพต่อกฎหมายของเขตอำนาจอื่น — หากการปฏิบัติตามจะหมายถึงการละเมิดกฎหมายต่างประเทศ โดยเฉพาะกฎหมายที่ครอบคลุมโดยข้อตกลงบริหาร นอกสหราชอาณาจักรและออสเตรเลีย การท้าทายตามหลัก comity ในระบบกฎหมายคอมมอนลอว์นี้เป็นทางเลือกเดียวที่มี
อย่างไรก็ตาม ดังที่ The Electronic Privacy Information Center (EPIC) โต้แย้ง(หน้าต่างใหม่) แม้จะมี comity CLOUD Act ทำให้ลูกค้า รวมถึงธุรกิจ มีทางเยียวยาจริงเพียงเล็กน้อย ผู้ให้บริการไม่จำเป็นต้องแจ้งลูกค้าที่ข้อมูลถูกเข้าถึง ลูกค้าไม่มีสิทธิ์อิสระในการท้าทายคำขอ ซึ่งขึ้นอยู่กับผู้ให้บริการเลือกที่จะคัดค้านทั้งหมด และข้อตกลงบริหารระบุชัดเจนว่าจะไม่สร้างการเยียวยาใหม่สำหรับผู้ที่ได้รับผลกระทบ
CLOUD Act กับ GDPR
ในยุโรป ซึ่งงานวิจัยของ Proton เองแสดงให้เห็นว่า กว่า 74% ของบริษัทจดทะเบียนทั้งหมดพึ่งพาบริการเทคโนโลยีจากสหรัฐฯ CLOUD Act เป็นข้อกังวลเป็นพิเศษเนื่องจากขัดแย้งกับ General Data Protection Regulation (GDPR) ของสหภาพยุโรป
ภายใต้ มาตรา 48(หน้าต่างใหม่) ของ GDPR คำสั่งศาลต่างประเทศหรือคำตัดสินของหน่วยงานบริหาร (รวมถึงคำสั่ง SCA) ที่จะโอนหรือเปิดเผยข้อมูลส่วนบุคคลจะไม่ได้รับการยอมรับหรือบังคับใช้โดยอัตโนมัติในสหภาพยุโรป เว้นแต่จะทำภายใต้ข้อตกลงระหว่างประเทศ เช่น MLAT
แม้ว่าจะยังไม่มีกรณีที่ GDPR ปรับบริษัทที่เกี่ยวข้องกับคำสั่ง CLOUD Act แต่มีบรรทัดฐานสำหรับ หน่วยงานกำกับดูแลที่ดำเนินการกับความเสี่ยงประเภทนี้: ในปี 2023 คณะกรรมการคุ้มครองข้อมูลของไอร์แลนด์ ปรับ Meta เป็นประวัติการณ์ 1.2 พันล้านยูโร(หน้าต่างใหม่) สำหรับการโอนข้อมูลระหว่างสหภาพยุโรปและสหรัฐฯ ที่เสี่ยงต่อกฎหมายเฝ้าระวังของสหรัฐฯ — โดยเฉพาะ FISA Section 702 ไม่ใช่ CLOUD Act
สำหรับผู้ให้บริการคลาวด์ในสหรัฐฯ นี่หมายความว่าหากรัฐบาลสหรัฐฯ ร้องขอข้อมูลที่พวกเขาประมวลผลแต่ถูกควบคุมโดยธุรกิจยุโรป การปฏิบัติตาม CLOUD Act อาจหมายถึงการละเมิด GDPR ภายใต้ มาตรา 28(หน้าต่างใหม่) ผู้ให้บริการ (ผู้ประมวลผล) อาจดำเนินการตามคำสั่งที่บันทึกไว้ของผู้ควบคุมเท่านั้น และ “การเปิดเผยข้อมูลต่อรัฐบาลต่างประเทศ” ไม่ได้อยู่ในคำสั่งเหล่านั้น
ความเสี่ยงไม่ได้จำกัดอยู่แค่ผู้ให้บริการ หากผู้ให้บริการเปิดเผยข้อมูลของลูกค้าเพื่อตอบสนองต่อคำสั่งบังคับโดยไม่มีพื้นฐานข้อตกลงระหว่างประเทศที่มาตรา 48 กำหนด (ซึ่งเนื่องจากไม่มีข้อตกลงบริหาร CLOUD Act ระหว่างสหรัฐฯ กับสหภาพยุโรปในปัจจุบัน จึงหมายถึง MLAT) ธุรกิจที่เป็นเจ้าของข้อมูลนั้นต้องรับผิดชอบด้วยตนเอง ไม่ใช่แค่ผู้ขายที่จ้างมาเก็บข้อมูล
ทำไมตำแหน่งข้อมูลจึงไม่ได้หมายถึงอธิปไตยของข้อมูล
ใน เดือนมิถุนายน 2025(หน้าต่างใหม่) Anton Carniaux ผู้อำนวยการฝ่ายกิจการสาธารณะและกฎหมายของ Microsoft France ถูกถามภายใต้คำสาบาน ในวุฒิสภาฝรั่งเศส(หน้าต่างใหม่) ว่าเขาสามารถรับประกันได้หรือไม่ว่าข้อมูลของพลเมืองฝรั่งเศสจะไม่ถูกส่งมอบให้เจ้าหน้าที่สหรัฐฯ โดยไม่ได้รับความยินยอมจากฝรั่งเศส
คำตอบของเขา: “ไม่ ผมไม่สามารถรับประกันได้” เขาเสริมว่า “มันไม่เคยเกิดขึ้นมาก่อน” ซึ่งแน่นอนว่าไม่ได้หมายความว่ามันจะไม่เกิดขึ้นในอนาคต
ข้อความนั้นชัดเจน: อธิปไตยของข้อมูล ไม่ได้เกี่ยวกับว่าข้อมูลถูกจัดเก็บไว้ที่ใดอีกต่อไป แต่เป็นเรื่องของใครควบคุมข้อมูลนั้น ตำแหน่งของเซิร์ฟเวอร์ข้อมูลของคุณและรัฐบาลที่มีอำนาจเหนือพวกมันไม่จำเป็นต้องเป็นสิ่งเดียวกันอีกต่อไป
ข้อเท็จจริงนี้ช่างขัดแย้งกับข้อเสนอคลาวด์ “สอดคล้องกับ GDPR” ที่ยักษ์ใหญ่คลาวด์สหรัฐฯ (หรือ ‘hyperscalers’) กำลังทำการตลาดกับธุรกิจยุโรป ผลิตภัณฑ์ “คลาวด์อธิปไตยยุโรป” เหล่านี้ดำเนินการโดยบริษัทที่มีสำนักงานใหญ่ในสหรัฐฯ หรือควบคุมโดยบริษัทแม่ในสหรัฐฯ และการคุ้มครองของ GDPR ขยายไปได้เพียงเท่าที่กฎหมายสหรัฐฯ อนุญาต
สถาปัตยกรรมการเข้ารหัสแบบ zero-access ช่วยลดความเสี่ยงจาก CLOUD Act ได้อย่างไร
หากผู้ให้บริการพื้นที่จัดเก็บคลาวด์ของคุณอยู่ภายใต้เขตอำนาจของสหรัฐฯ และเจ้าหน้าที่บังคับใช้กฎหมายของสหรัฐฯ เรียกร้องให้เข้าถึงข้อมูลของคุณ (ด้วยเหตุผลทางกฎหมายที่ชอบด้วยกฎหมาย) ทั้งคุณและผู้ให้บริการของคุณไม่สามารถหยุดยั้งไม่ให้เกิดขึ้นได้ ณ จุดนี้ การป้องกันข้อมูลของคุณเพียงอย่างเดียวคือการเข้ารหัส
การเข้ารหัสทำให้ข้อมูลไม่สามารถอ่านหรือใช้งานได้โดยอาชญากรไซเบอร์และรัฐบาลเช่นเดียวกัน โดยเข้ารหัสให้เป็น ‘ข้อความไซเฟอร์’ ที่มีเพียงผู้ที่มีกุญแจที่ถูกต้องเท่านั้นจึงจะอ่านได้
อย่างไรก็ตาม การเข้ารหัสที่ผู้ให้บริการคลาวด์สหรัฐฯ ส่วนใหญ่เสนอมาพร้อมข้อแม้ร้ายแรง: พวกเขาเก็บกุญแจถอดรหัสไว้เอง นั่นหมายความว่าพวกเขาสามารถอ่านข้อมูลของคุณ หรือถูกบังคับให้ส่งมอบสำเนาที่อ่านได้ให้บุคคลที่สาม เช่น เจ้าหน้าที่บังคับใช้กฎหมายของสหรัฐฯ
สำหรับการป้องกันที่แท้จริงจากการเปิดเผยข้อมูลไฟล์และข้อความ ไม่ว่าจะต่ออาชญากรไซเบอร์หรือรัฐบาล คุณต้องใช้ การเข้ารหัสลับจากต้นทางถึงปลายทาง หรือ การเข้ารหัสแบบ zero-access ซึ่งป้องกันไม่ให้ผู้ให้บริการเข้าถึงข้อมูล
ผู้ให้บริการที่ใช้การเข้ารหัสแบบ zero-access ไม่มีกุญแจในการถอดรหัสไฟล์ที่จัดการและจัดเก็บบนเซิร์ฟเวอร์ของตน อาจยังถูกบังคับให้เปิดเผยข้อมูลเมื่อเจ้าหน้าที่บังคับใช้กฎหมายเรียกร้อง แม้ว่าข้อมูลจะถูกจัดเก็บไว้ในเขตอำนาจที่บังคับใช้มาตรฐานการคุ้มครองข้อมูลที่เข้มงวด เช่นสวิตเซอร์แลนด์ แต่ไฟล์ที่ส่งมอบจะถูกเข้ารหัสและอ่านไม่ได้
Proton ปกป้องธุรกิจจาก CLOUD Act ได้อย่างไร
Proton ได้รับการปกป้องจาก CLOUD Act ในสองวิธีหลัก:
- เขตอำนาจสวิส ซึ่งจำกัดว่าใครสามารถบังคับให้ Proton ส่งมอบข้อมูลได้
- และ การเข้ารหัสที่แข็งแกร่ง ซึ่งจำกัดสิ่งที่พวกเขาสามารถทำได้กับสิ่งที่ Proton ส่งมอบ
Proton มีสำนักงานใหญ่ในเจนีวา สวิตเซอร์แลนด์ นอกเขตอำนาจของสหรัฐฯ และนอกขอบเขตคำสั่ง CLOUD Act เจ้าหน้าที่สหรัฐฯ ไม่สามารถใช้ทางลัดทวิภาคีได้เช่นกัน: สวิตเซอร์แลนด์ไม่ได้เป็นภาคีในข้อตกลงบริหาร CLOUD Act ใดๆ
สิ่งนี้ไม่ได้ลบกระบวนการทางกฎหมายทั้งหมด สวิตเซอร์แลนด์มีกรอบความช่วยเหลือทางกฎหมายซึ่งกันและกันของตนเอง ซึ่งช่วยให้เจ้าหน้าที่สวิสสามารถร่วมมือกับการสอบสวนต่างประเทศ แต่คำขอใดๆ ต้องผ่านกฎหมายสวิสก่อน ภายใต้ศาลสวิส — ไม่สามารถเป็นหมายค้นที่ส่งโดยตรงต่อผู้ให้บริการได้
ประวัติทางกฎหมายของ Proton แสดงให้เห็นว่าเรายินดีและสามารถท้าทายกฎหมายสวิสได้ ในปี 2020 เราท้าทายกฎหมายการเก็บรักษาข้อมูลของสวิส ที่เราเชื่อว่าเป็นความพยายามที่ไม่เหมาะสมในการใช้กฎหมายโทรคมนาคมเพื่อบ่อนทำลายความเป็นส่วนตัว ในปี 2021 ศาลปกครองกลางตัดสินว่าบริการอีเมลไม่ใช่ผู้ให้บริการโทรคมนาคม จึงไม่อยู่ภายใต้ข้อกำหนดการเก็บรักษาของกฎหมาย
และแม้คำสั่งสวิสที่ประสบความสำเร็จก็มีข้อจำกัดในสิ่งที่ได้มา การเข้ารหัสจากต้นทางถึงปลายทางและแบบ zero-access ของ Proton หมายความว่าเนื้อหาข้อความและไฟล์ไม่สามารถอ่านได้โดย Proton เอง และไม่มีกุญแจให้ส่งมอบ ไม่ว่าใครจะขอ เนื้อหาของอีเมล เอกสาร ไฟล์ และข้อมูลอื่นๆ ของคุณจะอยู่ไกลเกินเอื้อม
คำถามที่พบบ่อยเกี่ยวกับ CLOUD Act
CLOUD Act มีอำนาจเหนือ GDPR หรือไม่?
CLOUD Act ไม่ได้แทนที่ GDPR แต่ขัดแย้งกับ GDPR คำสั่งตาม CLOUD Act อาจทำให้ผู้ให้บริการสัญชาติสหรัฐฯ ตกอยู่ในสถานะที่การปฏิบัติตามคำสั่งดังกล่าวเป็นการละเมิดข้อมูลตามมาตรา 48 ของ GDPR ซึ่งไม่มีการยอมรับคำสั่งจากต่างประเทศโดยอัตโนมัติหากไม่มีข้อตกลงระหว่างประเทศ ไม่มีกฎหมายใดยอมตามอีกฉบับหนึ่ง และผู้ให้บริการ — รวมถึงบริษัทในยุโรปที่พวกเขาให้บริการ — ตกอยู่ระหว่างกลาง
CLOUD Act ใช้กับบริษัทสัญชาติสหรัฐฯ เท่านั้นหรือไม่ ?
CLOUD Act ไม่ได้นำไปใช้เฉพาะกับธุรกิจที่มีสำนักงานใหญ่ในสหรัฐฯ หรือถูกควบคุมโดยบริษัทแม่สัญชาติสหรัฐฯ ยังครอบคลุมถึงผู้ให้บริการรายใดก็ตามที่มีสถานะทางกฎหมายในสหรัฐฯ หรือมีความเชื่อมโยงทางธุรกิจกับสหรัฐฯ อย่างเพียงพอ บริษัทย่อยในสหรัฐฯ พนักงานหรือสำนักงานที่ตั้งอยู่ในสหรัฐฯ หรือธุรกิจที่มุ่งเป้าไปที่ลูกค้าในสหรัฐฯ โดยเฉพาะ อาจเพียงพอที่จะทำให้องค์กรที่มีสำนักงานใหญ่นอกสหรัฐฯ อยู่ในขอบเขตของ CLOUD Act
สามารถปฏิเสธคำขอตาม CLOUD Act ได้หรือไม่ ?
โดยทั่วไปแล้วลูกค้าซึ่งเป็นผู้ควบคุมไม่ใช่ผู้ที่ถูกเรียกให้ปฏิบัติตาม — ผู้ให้บริการต่างหาก ผู้ให้บริการสามารถโต้แย้งเรื่องความสัมพันธ์ระหว่างประเทศได้ หากการปฏิบัติตามคำสั่งขัดต่อกฎหมายต่างประเทศ หรือคัดค้านได้หากคำขอไม่ชอบด้วยกฎหมาย แต่หากใช้มาตรการทางกฎหมายจนหมดแล้วและคำสั่งยังคงมีผล ผู้ให้บริการก็จำเป็นต้องปฏิบัติตาม
CLOUD Act กับ MLAT แตกต่างกันอย่างไร ?
เมื่อมีการขอหลักฐานดิจิทัลผ่านสนธิสัญญาความช่วยเหลือทางกฎหมายระหว่างกัน (MLAT) คำขอจะถูกตรวจสอบโดยกระบวนการทางตุลาการ ซึ่งเป็นกระบวนการที่ละเอียดถี่ถ้วนและล่าช้า ข้อตกลงระดับผู้บริหารที่เปิดใช้งานโดย CLOUD Act ทำให้หน่วยงานบังคับใช้กฎหมายสามารถข้ามขั้นตอน MLAT ได้ หากเป็นการขอข้อมูลจากประเทศคู่สัญญา จนถึงขณะนี้ มีเพียงสหราชอาณาจักรและออสเตรเลียเท่านั้นที่มีข้อตกลงระดับผู้บริหารกับสหรัฐฯ
การเข้ารหัสลับสามารถหยุดคำขอตาม CLOUD Act ได้หรือไม่ ?
การเข้ารหัสลับไม่ได้หยุดคำสั่งทางกฎหมาย แต่หากผู้ให้บริการจัดเก็บข้อมูลลูกค้าด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง หรือการเข้ารหัสลับแบบไม่สามารถเข้าถึง พวกเขาจะไม่มีข้อมูลที่อ่านได้ให้กับหน่วยงานเนื่องจากไม่มีคีย์ถอดรหัส ดังนั้นพวกเขาจะส่งมอบเฉพาะไฟล์ที่เข้ารหัสแล้วเท่านั้น
