若您的雲端服務供應商位於美國，一份有效的美國法院命令即可強制該公司取回您企業儲存於全球各地伺服器上的資料。
包括 Google、Microsoft 和 Amazon 在內的企業都容易受到這種入侵的影響，而這正是 CLOUD Act 所造成的。這項 2018 年的法律賦予美國執法機關伸向全球的觸手。
這對歐盟企業而言尤其是一大問題。如果您的美国供應商交出您的電子郵件或檔案，就可能因為外洩個人資料而構成違反 GDPR，可能面臨最高 2000 萬歐元或全球年營收 4% 的罰款，以較高者為準。
這就是美國企業在行銷中宣稱「符合 GDPR」和「歐洲主權雲端」時所掩蓋的現實。美國供應商的歐盟資料中心仍由受美國司法管轄的公司營運。對您的企業而言，這表示採購決策背負著您可能未曾計入成本的合規責任。對您的客戶而言，這表示他們託付給您的個人資料，可能捲入一場他們無權置喙（甚至可能永遠不會得知）的法律程序。
以下將清楚說明 CLOUD Act、這項侵入性立法為何對企業至關重要，以及如何降低您的曝險。您的資料位於何處，已不再決定誰能觸及它。
甚麼是 CLOUD Act？
《澄清海外合法使用資料法》(CLOUD Act(新視窗)) 是美國聯邦法律，於 2018 年生效。它允許聯邦執法機關——主要是司法部和 FBI，但也包括聯邦、州及地方警察——取得令狀、法院命令或傳票，強制受美國司法管轄的科技公司交出資料，無論該資料實際上儲存於世界何處。
舉例來說，若 FBI 取得令狀，強制 Microsoft 交出某家歐洲企業的電子郵件，Microsoft 就必須遵從——即使歐洲法院不同意該要求。
CLOUD Act 有其正當的警務目的。它旨在協助聯邦執法機關調查恐怖主義、兒童剝削和網路犯罪等重大犯罪。它的設計並非用於情報蒐集，情報蒐集是透過另一項美國授權 (FISA 第 702 條) 進行，經常被與之混淆。
然而，這項正當目的並未消除企業面臨的結構性問題：CLOUD Act 可能使受美國司法管轄的供應商陷入履行合法的美國命令即等同違反歐盟法律的處境。這讓企業夾在兩套合規制度之間，無法同時滿足雙方。
CLOUD Act 的起源是甚麼？
CLOUD Act 由美國政府於 2018 年通過，用以修訂 1986 年的《儲存通訊法》(SCA)。這項修訂在很大程度上是為了回應一宗持續審理的法院案件(新視窗)，即「Microsoft-Ireland」案。
2013 年，Microsoft 對一份聯邦令狀提出異議，該令狀要求交出正因販毒而受調查之客戶的電子郵件——這些電子郵件由 Microsoft 儲存於愛爾蘭的伺服器。此案取決於一個棘手的法律問題：依據 SCA 簽發的美國令狀，能否觸及由美國公司控制、但儲存於美國境外資料伺服器上的數位通訊？
2018 年，該案仍在最高法院上訴待決時，美國國會通過了 CLOUD Act。這既使「Microsoft-Ireland」案失去意義，也至少在紙面上解決了美國政府對儲存於外國領土之資料的域外管轄權問題。
CLOUD Act 賦予美國政府哪些權力？
CLOUD Act 透過強化對美國供應商的域外 SCA 命令，賦予美國政府要求取得特定資料的權力，無論資料儲存於何處。該法闡明，美國執法機關可使用令狀、傳票和法院命令，存取位於美國境外的電子儲存通訊資料，前提是儲存服務供應商受美國司法管轄，且所要求的資料與正在進行的刑事調查相關且具重要性。CLOUD Act 要求會直接送達供應商，繞過美國政府過去所依賴、速度慢得多的 MLAT (相互法律協助條約)(新視窗) 程序。
CLOUD Act 也賦予願意與美國政府簽署雙邊行政協定的政府權力，讓夥伴國家的執法機關得以就個案直接跨境要求美國服務供應商提供資料。
行政協定可加速恐怖主義和兒童剝削等重大刑事案件中的證據蒐集，而在這類案件中，MLAT 程序可能需時數月。截至本文撰寫時，僅存在兩項行政協定：美國與英國之間（2022 年 10 月(新視窗)生效），以及美國與澳洲之間（2024 年 1 月(新視窗)生效）。美國政府與歐盟及加拿大(新視窗)之間的談判已經展開，但尚未完成。
科技供應商確實有一項安全機制：若遵從美國命令將意味著違反外國法律，尤其是受行政協定涵蓋的法律，它們可依「禮讓」(comity) 原則——即法院尊重其它司法管轄區法律的法律原則——對美國命令提出異議或要求修改。在英國和澳洲以外，這種普通法上的禮讓異議是唯一可行的選項。
然而，正如 電子隱私資訊中心 (EPIC) 所主張(新視窗)，即使有禮讓原則，CLOUD Act 仍讓客戶（包括企業）幾乎沒有真正的救濟途徑。供應商無須通知資料遭存取的客戶，客戶沒有獨立的權利對要求提出異議（這完全取決於供應商是否選擇反對），且行政協定明確排除為受影響者建立任何新的救濟方式。
CLOUD Act 與 GDPR 的對比
在歐洲，Proton 自家的研究顯示超過 74% 的上市公司依賴美國的科技服務，CLOUD Act 尤其令人擔憂，因為它與歐盟的《一般資料保護規則》(GDPR) 相衝突。
依據 GDPR 第 48 條(新視窗)，外國法院命令或行政機關決定（包括 SCA 命令）要求傳輸或揭露個人資料時，不會在歐盟自動獲得承認或執行，除非是依據國際協定（例如 MLAT）所作成。
雖然目前尚未出現 GDPR 因 CLOUD Act 命令而對公司開罰的案例，但已有監管機關針對這類風險採取行動的先例：2023 年，愛爾蘭資料保護委員會因歐盟與美國之間的資料傳輸暴露於美國監控法律（具體而言是 FISA 第 702 條，而非 CLOUD Act）之下，對 Meta 開罰創紀錄的 12 億歐元(新視窗)。
對美國的雲端服務供應商而言，這表示若美國政府要求取得它們所處理、但由歐洲企業控制的資料，遵從 CLOUD Act 可能就意味著違反 GDPR。依據 第 28 條(新視窗)，供應商（處理者）僅能依控管者的書面指示行事，而「向外國政府揭露資料」並不屬於這些指示。
曝險並不限於供應商。若供應商在未具備第 48 條所要求之國際協定基礎的情況下（由於目前美國與歐盟之間並無 CLOUD Act 行政協定，這意味著需有 MLAT），依強制命令揭露客戶資料，則擁有該資料的企業本身也須承擔責任，而不只是它所僱用來儲存資料的供應商。
為何資料位置不等於資料主權
2025 年 6 月(新視窗)，Microsoft 法國的公共與法律事務總監 Anton Carniaux 在法國參議院(新視窗)被要求宣誓答覆，他能否保證法國公民的資料在未經法國同意的情況下，絕不會被交給美國當局。
他的回答是：「不。我無法保證。」他補充說「這種事從未發生過」，這當然不代表未來不會發生。
訊息很清楚：資料主權已不再取決於資料儲存於何處，而是取決於誰控制這些資料。您的資料伺服器所在位置，與對其擁有管轄權的政府，已不再必然相同。
這項事實與美國雲端巨頭（或稱「超大規模業者」）向歐洲企業行銷的「符合 GDPR」雲端服務擺在一起，令人感到不安。這些「歐洲主權雲端」產品由總部設於美國、或受美國母公司控制的公司營運，而 GDPR 的保護僅及於美國法律所允許的範圍。
零存取加密架構如何降低 CLOUD Act 的曝險
若您的雲端儲存供應商受美國司法管轄，而美國執法機關要求存取您的資料（且具正當法律理由），您和您的供應商都無法阻止這件事發生。此時，您資料唯一的防禦就是加密。
加密使資料對網路罪犯和政府而言皆無法讀取和使用，將其擾亂成只有持有正確金鑰者才能讀取的「密文」。
然而，大多數美國雲端供應商所提供的加密都存在一個致命缺點：它們自己保留解密金鑰。這表示它們可以讀取您的資料，或被迫交出一份可讀的副本給第三方，例如美國執法機關。
若要真正保護檔案和訊息資料免於外洩（無論是對網路罪犯或政府），您需要端對端加密或零存取加密，這可防止供應商存取資料。
採用零存取加密的供應商，並不持有可解密其處理並儲存於自家伺服器之檔案的金鑰。當執法機關要求時，它仍可能被迫揭露資料，即使資料儲存於執行嚴格資料保護標準的司法管轄區，例如瑞士。但所交出的檔案將是已加密且無法讀取的。
Proton 如何保護企業免受 CLOUD Act 影響
Proton 透過兩項關鍵方式免受 CLOUD Act 影響：
- 瑞士司法管轄，這限制了誰能強制 Proton 交出資料
- 以及強大的加密，這限制了他們能對 Proton 所交出的內容做些甚麼
Proton 總部設於瑞士日內瓦，不受美國司法管轄，也不在 CLOUD Act 命令的觸及範圍內。美國當局也無法訴諸雙邊捷徑：瑞士並非任何 CLOUD Act 行政協定的締約方。
這並不代表完全排除法律程序。瑞士有其自身的相互法律協助架構，讓瑞士當局能與外國調查合作。但任何要求都必須先通過瑞士法律審查，由瑞士法院處理——不能是直接送達供應商的令狀。
Proton 的法律歷史顯示，我們願意也有能力挑戰瑞士法律。2020 年，我們挑戰了一項瑞士資料保留法，我們認為該法是不當利用電信法律來破壞隱私的企圖。2021 年，聯邦行政法院裁定電子郵件服務並非電信供應商，因此不受該法保留要求的約束。
而且即使瑞士的命令成功核發，能取得的內容也有限。Proton 的端對端和零存取加密意味著訊息內容和檔案對 Proton 本身而言也無法讀取，無論是誰要求，都沒有金鑰可以交出。您的電子郵件、文件、檔案和其它資料的內容都無法觸及。
關於 CLOUD Act 的常見問題
CLOUD Act 會凌駕 GDPR 嗎？
CLOUD Act 不會凌駕 GDPR，但確實會與其衝突。一項 CLOUD Act 命令可能讓美國供應商陷入一種處境：遵守命令反而違反 GDPR 第 48 條（在沒有國際協議的情況下，外國命令不會自動獲得承認）。兩項法律互不讓步，而供應商，以及其所服務的任何歐洲公司，都被夾在兩者之間。
CLOUD Act 只適用於美國公司嗎？
CLOUD Act 不僅適用於總部位於美國，或由美國母公司控制的企業。它也會涵蓋任何在美國有足夠法律存在或業務連結的供應商。美國子公司、位於美國的員工或辦公室，或刻意以美國客戶為對象的企業，都可能足以讓總部設於美國境外的組織落入 CLOUD Act 的適用範圍。
我可以拒絕 CLOUD Act 的要求嗎？
客戶（控管者）通常不是被送達命令的一方，供應商才是。如果遵守會違反外國法律，供應商可以提出國際禮讓異議；如果要求在法律上有瑕疵，也可以提出反駁。但如果法律救濟已用盡，且命令仍然有效，供應商就將被迫遵守。
CLOUD Act 與 MLAT 有什麼不同？
當透過司法互助條約 (MLAT) 請求數位證據時，這項請求會經過司法審查，這是一個徹底但緩慢的過程。CLOUD Act 促成的行政協議，讓執法機關在向夥伴國家請求資料時，可以繞過 MLAT 程序。到目前為止，只有英國和澳洲與美國簽有行政協議。
加密能阻止 CLOUD Act 的要求嗎？
加密不會阻止法律命令，但如果供應商以端對端加密或零存取加密儲存客戶資料，他們就不會有任何可讀取的資料可交給當局，因為他們沒有解密金鑰。因此，他們只會交出已加密的檔案。
