Nếu nhà cung cấp đám mây của bạn có trụ sở tại Mỹ, lệnh tòa hợp lệ của Mỹ có thể buộc công ty đó truy xuất dữ liệu của công ty bạn trên các máy chủ ở bất kỳ đâu trên thế giới.
Các công ty bao gồm Google, Microsoft và Amazon dễ bị tổn thương trước sự xâm nhập này, được thực hiện nhờ CLOUD Act, luật năm 2018 trao cho các quan chức thực thi pháp luật Mỹ những xúc tu toàn cầu.
Đây đặc biệt là vấn đề đối với các doanh nghiệp EU. Nếu nhà cung cấp Mỹ của bạn chuyển giao email hoặc tệp của bạn, điều đó có thể cấu thành vi phạm GDPR vì rò rỉ dữ liệu cá nhân, có thể bị phạt tới 20 triệu EUR hoặc 4% doanh thu toàn cầu hàng năm, tùy mức nào cao hơn.
Đó là thực tế mà các công ty Mỹ che giấu khi họ nói “tuân thủ GDPR” và “đám mây chủ quyền châu Âu” trong tiếp thị của họ. Trung tâm dữ liệu EU của nhà cung cấp Mỹ vẫn được điều hành bởi một công ty thuộc thẩm quyền tài phán của Mỹ. Đối với doanh nghiệp của bạn, điều này có nghĩa là các quyết định mua sắm mang theo trách nhiệm pháp lý mà bạn có thể chưa tính đến. Đối với khách hàng của bạn, điều đó có nghĩa là dữ liệu cá nhân họ giao phó cho bạn có thể rơi vào một quy trình pháp lý mà họ không có tiếng nói (và thậm chí có thể không bao giờ biết về).
Đây là lời giải thích rõ ràng về CLOUD Act, tại sao luật xâm lấn này lại quan trọng đối với doanh nghiệp và cách hạn chế rủi ro của bạn. Nơi dữ liệu của bạn nằm không còn quyết định ai có thể truy cập nó.
CLOUD Act là gì?
Đạo luật Clarifying Lawful Overseas Use of Data (CLOUD Act(cửa sổ mới)) là luật liên bang của Mỹ có hiệu lực từ năm 2018. Nó cho phép cơ quan thực thi pháp luật liên bang, chủ yếu là Bộ Tư pháp và FBI, nhưng cũng có cả cảnh sát liên bang, tiểu bang và địa phương, có được lệnh khám xét, lệnh tòa hoặc trát đòi buộc các công ty công nghệ thuộc thẩm quyền tài phán của Mỹ phải giao nộp dữ liệu, bất kể dữ liệu đó được lưu trữ vật lý ở đâu trên thế giới.
Ví dụ, nếu FBI có được lệnh buộc Microsoft giao nộp email của một doanh nghiệp châu Âu, Microsoft phải tuân thủ, ngay cả khi tòa án châu Âu không đồng ý với yêu cầu đó.
CLOUD Act có mục đích thực thi pháp luật chính đáng. Nó được thiết kế để giúp cơ quan thực thi pháp luật liên bang điều tra các tội phạm nghiêm trọng như khủng bố, bóc lột trẻ em và tội phạm mạng. Nó không được thiết kế cho hoạt động thu thập thông tin tình báo, vốn do một cơ quan riêng của Mỹ (FISA Section 702) thực hiện, thường bị nhầm lẫn với nó.
Tuy nhiên, mục đích chính đáng đó không loại bỏ vấn đề cấu trúc đối với doanh nghiệp: CLOUD Act có thể đặt nhà cung cấp thuộc thẩm quyền tài phán của Mỹ vào tình thế mà việc tuân thủ lệnh hợp pháp của Mỹ đồng nghĩa với việc vi phạm luật EU. Nó khiến doanh nghiệp bị kẹt giữa hai chế độ tuân thủ mà không có cách nào thỏa mãn cả hai.
Nguồn gốc của CLOUD Act là gì?
CLOUD Act được chính phủ Mỹ thông qua vào năm 2018 để sửa đổi Đạo luật Truyền thông Lưu trữ (SCA) năm 1986. Sửa đổi này phần lớn là phản ứng đối với một vụ án đang diễn ra(cửa sổ mới), vụ ‘Microsoft-Ireland’.
Năm 2013, Microsoft đã thách thức lệnh khám xét liên bang yêu cầu cung cấp email của một khách hàng đang bị điều tra vì buôn bán ma túy, email được Microsoft lưu trữ trên các máy chủ ở Ireland. Vụ án này xoay quanh một câu hỏi pháp lý hóc búa: Liệu lệnh khám xét của Mỹ được ban hành theo SCA có thể tiếp cận thông tin liên lạc kỹ thuật số do một công ty có trụ sở tại Mỹ kiểm soát nhưng được lưu trữ trên máy chủ dữ liệu bên ngoài nước Mỹ không?
Năm 2018, vụ án đang chờ kháng cáo tại Tòa án Tối cao thì Quốc hội Mỹ thông qua CLOUD Act. Điều này vừa làm vô hiệu hóa vụ ‘Microsoft-Ireland’ vừa giải quyết câu hỏi về quyền lực ngoài lãnh thổ của chính phủ Mỹ đối với dữ liệu được lưu trữ trên đất nước ngoài, ít nhất là trên giấy tờ.
CLOUD Act trao cho chính phủ Mỹ những quyền hạn gì?
CLOUD Act trao quyền cho chính phủ Mỹ yêu cầu dữ liệu mục tiêu, bất kể nó được lưu trữ ở đâu, bằng cách tăng cường các lệnh SCA có hiệu lực ngoài lãnh thổ đối với các nhà cung cấp Mỹ. Đạo luật làm rõ rằng cơ quan thực thi pháp luật Mỹ có thể sử dụng lệnh khám xét, trát đòi và lệnh tòa để truy cập dữ liệu liên lạc được lưu trữ điện tử nằm ngoài nước Mỹ, nếu nhà cung cấp lưu trữ thuộc thẩm quyền tài phán của Mỹ và dữ liệu được yêu cầu có liên quan và quan trọng đối với một cuộc điều tra hình sự đang diễn ra. Yêu cầu theo CLOUD Act được gửi trực tiếp đến nhà cung cấp, bỏ qua quy trình MLAT (Hiệp ước Tương trợ Tư pháp)(cửa sổ mới) chậm hơn nhiều mà chính phủ Mỹ đã dựa vào trước đây.
CLOUD Act cũng trao quyền cho các chính phủ sẵn sàng ký kết một thỏa thuận hành pháp song phương với chính phủ Mỹ, cho phép cơ quan thực thi pháp luật ở các quốc gia đối tác đưa ra yêu cầu trực tiếp, xuyên biên giới, theo từng trường hợp cụ thể đối với dữ liệu từ các nhà cung cấp dịch vụ có trụ sở tại Mỹ.
Các thỏa thuận hành pháp tăng tốc việc thu thập bằng chứng trong các vụ án hình sự nghiêm trọng như khủng bố và bóc lột trẻ em, nơi quy trình MLAT có thể mất nhiều tháng. Tại thời điểm viết bài, chỉ có hai thỏa thuận hành pháp tồn tại: giữa Mỹ và Vương quốc Anh (có hiệu lực vào tháng 10 năm 2022(cửa sổ mới)) và giữa Mỹ và Úc (có hiệu lực tháng 1 năm 2024(cửa sổ mới)). Các cuộc đàm phán giữa chính phủ Mỹ và EU và Canada(cửa sổ mới) đã được khởi xướng nhưng chưa kết thúc.
Các nhà cung cấp công nghệ có một cơ chế an toàn: Họ có thể thách thức hoặc yêu cầu sửa đổi lệnh của Mỹ theo nguyên tắc “comity”, tức là nguyên tắc pháp lý rằng tòa án tôn trọng luật của các khu vực tài phán khác, nếu việc tuân thủ đồng nghĩa với việc vi phạm luật nước ngoài, đặc biệt là luật được điều chỉnh bởi một thỏa thuận hành pháp. Ngoài Vương quốc Anh và Úc, thách thức theo nguyên tắc comity của thông luật này là lựa chọn duy nhất hiện có.
Tuy nhiên, như Trung tâm Thông tin Quyền riêng tư Điện tử (EPIC) lập luận(cửa sổ mới), ngay cả với nguyên tắc comity, CLOUD Act để khách hàng, bao gồm cả doanh nghiệp, có rất ít biện pháp thực sự. Các nhà cung cấp không bắt buộc phải thông báo cho khách hàng có dữ liệu bị truy cập, khách hàng không có quyền độc lập để thách thức yêu cầu (điều đó hoàn toàn phụ thuộc vào việc nhà cung cấp chọn phản đối), và các thỏa thuận hành pháp loại trừ rõ ràng việc tạo ra bất kỳ biện pháp khắc phục mới nào cho những người bị ảnh hưởng.
CLOUD Act so với GDPR
Ở châu Âu, nơi nghiên cứu của chính Proton cho thấy hơn 74% tất cả các công ty niêm yết công khai phụ thuộc vào dịch vụ công nghệ có trụ sở tại Mỹ, CLOUD Act đặc biệt đáng lo ngại vì nó xung đột với Quy định Bảo vệ Dữ liệu Chung (GDPR) của EU.
Theo Điều 48(cửa sổ mới) của GDPR, lệnh của tòa án nước ngoài hoặc quyết định của cơ quan hành chính (bao gồm lệnh SCA) để chuyển hoặc tiết lộ dữ liệu cá nhân sẽ không được tự động công nhận hoặc thực thi ở EU, trừ khi được đưa ra theo một thỏa thuận quốc tế, chẳng hạn như MLAT.
Mặc dù chưa có trường hợp GDPR phạt một công ty liên quan đến lệnh CLOUD Act, nhưng có tiền lệ về các nhà quản lý hành động dựa trên loại rủi ro này: Năm 2023, Ủy ban Bảo vệ Dữ liệu Ireland đã phạt Meta mức kỷ lục 1,2 tỷ EUR(cửa sổ mới) vì chuyển dữ liệu EU-Mỹ bị phơi nhiễm với luật giám sát của Mỹ, cụ thể là Mục 702 FISA, không phải CLOUD Act.
Đối với các nhà cung cấp đám mây có trụ sở tại Mỹ, điều này có nghĩa là nếu chính phủ Mỹ yêu cầu dữ liệu mà họ xử lý nhưng được kiểm soát bởi các doanh nghiệp châu Âu, việc tuân thủ CLOUD Act có thể đồng nghĩa với việc vi phạm GDPR. Theo Điều 28(cửa sổ mới), nhà cung cấp (bên xử lý) chỉ có thể hành động theo hướng dẫn bằng văn bản của bên kiểm soát, và “tiết lộ dữ liệu cho chính phủ nước ngoài” không nằm trong số những hướng dẫn đó.
Rủi ro không chỉ giới hạn ở nhà cung cấp. Nếu nhà cung cấp tiết lộ dữ liệu của khách hàng để đáp ứng lệnh bắt buộc mà không có cơ sở thỏa thuận quốc tế theo yêu cầu của Điều 48 (mà, vì hiện tại không có thỏa thuận hành pháp CLOUD Act nào giữa Mỹ và EU, có nghĩa là MLAT) doanh nghiệp sở hữu dữ liệu đó phải chịu trách nhiệm pháp lý của chính mình, không chỉ nhà cung cấp mà họ thuê để lưu trữ nó.
Tại sao vị trí dữ liệu không có nghĩa là chủ quyền dữ liệu
Vào tháng 6 năm 2025(cửa sổ mới), giám đốc phụ trách các vấn đề công và pháp lý của Microsoft Pháp, Anton Carniaux, đã được hỏi dưới lời thề tại Thượng viện Pháp(cửa sổ mới) liệu ông có thể đảm bảo dữ liệu của công dân Pháp sẽ không bao giờ được giao cho chính quyền Mỹ mà không có sự đồng ý của Pháp hay không.
Câu trả lời của ông: “Không. Tôi không thể đảm bảo điều đó.” Ông nói thêm rằng “điều đó chưa từng xảy ra trước đây”, tất nhiên, điều đó không có nghĩa là nó không thể xảy ra trong tương lai.
Thông điệp rất rõ ràng: Chủ quyền dữ liệu không còn là về nơi dữ liệu được lưu trữ, mà là ai kiểm soát dữ liệu đó. Vị trí máy chủ dữ liệu của bạn và các chính phủ có thẩm quyền đối với chúng không còn nhất thiết phải là một.
Thực tế này không thoải mái chút nào khi đặt cạnh các dịch vụ đám mây “tuân thủ GDPR” mà các gã khổng lồ đám mây Mỹ (hay còn gọi là ‘hyperscalers’) đang tiếp thị cho các doanh nghiệp châu Âu. Các sản phẩm “đám mây chủ quyền châu Âu” này được điều hành bởi các công ty có trụ sở tại Mỹ, hoặc được kiểm soát bởi một công ty mẹ Mỹ, và các biện pháp bảo vệ của GDPR chỉ mở rộng đến mức luật pháp Mỹ cho phép.
Kiến trúc mã hóa không truy cập giúp giảm thiểu rủi ro từ CLOUD Act như thế nào
Nếu nhà cung cấp lưu trữ đám mây của bạn thuộc thẩm quyền tài phán của Mỹ và cơ quan thực thi pháp luật Mỹ yêu cầu truy cập dữ liệu của bạn (với lý do pháp lý chính đáng), cả bạn và nhà cung cấp của bạn đều không thể ngăn chặn điều đó xảy ra. Tại thời điểm này, biện pháp bảo vệ duy nhất cho dữ liệu của bạn là mã hóa.
Mã hóa khiến dữ liệu không thể đọc và không thể sử dụng được đối với tội phạm mạng và chính phủ, biến nó thành ‘văn bản mật mã’ mà chỉ người có chìa khóa đúng mới có thể đọc được.
Tuy nhiên, mã hóa do hầu hết các nhà cung cấp đám mây Mỹ cung cấp đi kèm với một lưu ý nghiêm trọng: Họ giữ chìa khóa giải mã cho chính mình. Điều đó có nghĩa là họ có thể đọc dữ liệu của bạn, hoặc bị buộc phải giao một bản sao có thể đọc được cho bên thứ ba như cơ quan thực thi pháp luật Mỹ.
Để bảo vệ thực sự chống lại việc lộ dữ liệu tệp và tin nhắn, dù là trước tội phạm mạng hay chính phủ, bạn cần mã hóa đầu cuối hoặc mã hóa không truy cập, giúp ngăn nhà cung cấp truy cập dữ liệu.
Nhà cung cấp sử dụng mã hóa không truy cập không có chìa khóa để giải mã các tệp mà họ xử lý và lưu trữ trên máy chủ của mình. Họ vẫn có thể bị buộc phải tiết lộ dữ liệu khi cơ quan thực thi pháp luật yêu cầu, ngay cả khi dữ liệu được lưu trữ ở một khu vực tài phán thực thi tiêu chuẩn bảo vệ dữ liệu nghiêm ngặt, chẳng hạn như Thụy Sĩ. Nhưng các tệp được giao sẽ được mã hóa và không thể đọc được.
Proton bảo vệ doanh nghiệp khỏi CLOUD Act như thế nào
Proton được bảo vệ khỏi CLOUD Act theo hai cách chính:
- Thẩm quyền tài phán của Thụy Sĩ, hạn chế ai có thể buộc Proton giao nộp dữ liệu
- Và mã hóa mạnh, hạn chế những gì họ có thể làm với bất cứ thứ gì Proton giao nộp
Proton có trụ sở tại Geneva, Thụy Sĩ, nằm ngoài thẩm quyền tài phán của Mỹ và tầm với của các lệnh CLOUD Act. Chính quyền Mỹ cũng không thể sử dụng một lối tắt song phương: Thụy Sĩ không phải là thành viên của bất kỳ thỏa thuận hành pháp CLOUD Act nào.
Điều này không loại bỏ hoàn toàn quy trình pháp lý. Thụy Sĩ có khuôn khổ tương trợ tư pháp riêng, cho phép chính quyền Thụy Sĩ hợp tác với các cuộc điều tra nước ngoài. Nhưng bất kỳ yêu cầu nào cũng phải tuân theo luật Thụy Sĩ trước, dưới các tòa án Thụy Sĩ, nó không thể là một lệnh khám xét được tống đạt trực tiếp cho nhà cung cấp.
Lịch sử pháp lý của Proton cho thấy chúng tôi sẵn sàng và có khả năng thách thức luật Thụy Sĩ. Năm 2020, chúng tôi đã thách thức luật lưu giữ dữ liệu của Thụy Sĩ mà chúng tôi cho là nỗ lực không chính đáng nhằm sử dụng luật viễn thông để làm suy yếu quyền riêng tư. Năm 2021, Tòa án Hành chính Liên bang phán quyết rằng dịch vụ email không phải là nhà cung cấp viễn thông, và do đó không phải tuân theo các yêu cầu lưu giữ của luật.
Và ngay cả một lệnh Thụy Sĩ thành công cũng có giới hạn về những gì nó có thể lấy được. Mã hóa đầu cuối và không truy cập của Proton có nghĩa là nội dung tin nhắn và tệp không thể đọc được đối với chính Proton, và không có chìa khóa để giao nộp, bất kể ai yêu cầu. Nội dung email, tài liệu, tệp và dữ liệu khác của bạn vẫn nằm ngoài tầm với.
Các câu hỏi thường gặp về CLOUD Act
CLOUD Act có ghi đè GDPR không?
CLOUD Act không thay thế GDPR, nhưng nó xung đột với GDPR. Một lệnh theo CLOUD Act có thể đặt nhà cung cấp Hoa Kỳ vào tình thế mà việc tuân thủ sẽ vi phạm Điều 48 GDPR, vì không có sự công nhận tự động lệnh nước ngoài nếu không có thỏa thuận quốc tế. Không luật nào nhường cho luật nào và nhà cung cấp, cùng với bất kỳ công ty châu Âu nào họ phục vụ, bị kẹt giữa hai luật.
CLOUD Act chỉ áp dụng cho các công ty Hoa Kỳ?
CLOUD Act không chỉ áp dụng cho các doanh nghiệp có trụ sở chính tại Hoa Kỳ hoặc được kiểm soát bởi một công ty mẹ Hoa Kỳ. Nó cũng áp dụng cho bất kỳ nhà cung cấp nào có sự hiện diện pháp lý đủ tại Hoa Kỳ hoặc mối liên hệ kinh doanh. Một công ty con tại Hoa Kỳ, nhân viên hoặc văn phòng tại Hoa Kỳ, hoặc các doanh nghiệp hướng đến khách hàng Hoa Kỳ một cách có chủ đích cũng có thể đủ để đưa một tổ chức có trụ sở ngoài Hoa Kỳ vào phạm vi điều chỉnh của CLOUD Act.
Tôi có thể từ chối yêu cầu của CLOUD Act không?
Khách hàng, với tư cách là bên kiểm soát, thường không phải là người nhận lệnh mà là nhà cung cấp. Nhà cung cấp có thể đưa ra thách thức về phép lịch sự quốc tế nếu việc tuân thủ vi phạm pháp luật nước ngoài hoặc phản đối nếu yêu cầu thiếu căn cứ pháp lý. Nhưng nếu các biện pháp pháp lý đã cạn kiệt và lệnh vẫn còn hiệu lực, nhà cung cấp sẽ buộc phải tuân thủ.
Sự khác biệt giữa CLOUD Act và MLAT là gì?
Khi bằng chứng kỹ thuật số được yêu cầu thông qua Hiệp ước tương trợ tư pháp, hay MLAT, yêu cầu này được xem xét bởi tòa án, một quá trình kỹ lưỡng và chậm chạp. Các thỏa thuận hành pháp được kích hoạt bởi CLOUD Act cho phép cơ quan thực thi pháp luật bỏ qua quy trình MLAT nếu yêu cầu dữ liệu từ một quốc gia đối tác. Cho đến nay, chỉ có Vương quốc Anh và Úc có thỏa thuận hành pháp với Hoa Kỳ.
Mã hóa có ngăn chặn yêu cầu của CLOUD Act không?
Mã hóa không ngăn chặn một lệnh pháp lý, nhưng nếu nhà cung cấp lưu trữ dữ liệu khách hàng bằng mã hóa đầu cuối hoặc mã hóa không truy cập thì họ sẽ không có bất kỳ dữ liệu có thể đọc được nào để cung cấp cho cơ quan chức năng vì họ không có khóa giải mã. Do đó, họ sẽ chỉ giao nộp các tệp đã mã hóa.
