如果您的云服务提供商位于美国，一份有效的美国法院命令可以迫使该公司获取您公司在全球任何服务器上的数据。
包括 Google、Microsoft 和 Amazon 在内的公司都容易受到这种入侵，CLOUD Act 使这成为可能，这项 2018 年的法律赋予了美国执法官员全球触角。
这对欧盟企业来说尤其是个问题。如果您的美国提供商交出您的电子邮件或文件，这可能构成违反 GDPR 的行为，因为泄露了个人数据，最高可处以 2000 万欧元或全球年收入 4% 的罚款，以较高者为准。
这就是美国公司在营销中宣称“符合 GDPR”和“欧洲主权云”时所掩盖的现实。美国提供商的欧盟数据中心仍然由受美国司法管辖的公司运营。对您的企业而言，这意味着采购决策会带来您可能未曾计入成本的合规责任。对您的客户而言，这意味着他们委托给您的个人数据可能会卷入他们无权置喙（甚至可能永远不会知晓）的法律程序。
以下是对 CLOUD Act 的简明解释：为什么这项侵入性立法对企业很重要，以及如何限制您的风险敞口。您的数据存放位置不再决定谁能访问它。
什么是 CLOUD Act？
《澄清合法海外使用数据法案》（CLOUD Act（新窗口））是一部于 2018 年生效的美国联邦法律。它允许联邦执法机构——主要是司法部和 FBI，但也包括联邦、州和地方警察——获取搜查令、法院命令或传票，迫使受美国司法管辖的科技公司交出数据，无论该数据实际存储在世界上什么地方。
例如，如果 FBI 获得一份搜查令，迫使 Microsoft 交出某欧洲企业的电子邮件，Microsoft 必须遵守——即使欧洲法院不同意该请求。
CLOUD Act 具有正当的警务目的。它旨在帮助联邦执法机构调查严重犯罪，如恐怖主义、儿童剥削和网络犯罪。它并非为情报收集而设计，情报收集通过美国另一项授权（FISA 第 702 条）进行，常被与之混淆。
然而，这一正当目的并未消除企业面临的结构性问题：CLOUD Act 可能使受美国司法管辖的提供商陷入一种境地：履行合法的美国命令意味着违反欧盟法律。这让企业夹在两个合规制度之间，无法同时满足两者。
CLOUD Act 的起源是什么？
CLOUD Act 由美国政府于 2018 年通过，旨在修订 1986 年的《存储通信法案》（SCA）。这项修订在很大程度上是对 一起正在进行的法院案件（新窗口）——“Microsoft-爱尔兰”案的回应。
2013 年，Microsoft 对一份联邦搜查令提出质疑，该搜查令要求获取一名因贩毒接受调查的客户的电子邮件——这些电子邮件由 Microsoft 存储在爱尔兰的服务器上。此案取决于一个棘手的法律问题：根据 SCA 签发的美国搜查令，是否可以触及由美国公司控制但存储在美国境外数据服务器上的数字通信？
2018 年，当美国国会通过 CLOUD Act 时，该案正在最高法院等待上诉。这既使“Microsoft-爱尔兰”案变得无实际意义，也解决了美国政府对外国领土上存储的数据的域外权力问题，至少在纸面上如此。
CLOUD Act 赋予了美国政府哪些权力？
CLOUD Act 通过加强针对美国提供商的域外 SCA 命令，赋予美国政府请求获取目标数据的权力，无论数据存储在何处。该法案澄清，美国执法机构可以使用搜查令、传票和法院命令来访问位于美国境外的电子存储通信数据，前提是存储提供商受美国司法管辖，且所请求的数据与正在进行的刑事调查相关且重要。CLOUD Act 请求直接发送给提供商，绕过了美国政府此前依赖的慢得多的 MLAT（法律互助条约）（新窗口） 流程。
CLOUD Act 还赋予那些愿意与美国政府签署双边行政协议的外国政府权力，这将允许伙伴国家的执法机构直接向美国服务提供商提出跨境、针对具体案件的数据请求。
行政协议加快了恐怖主义和儿童剥削等严重刑事案件中的证据收集，而 MLAT 流程可能需要数月。截至本文撰写时，仅存在两项行政协议：美国与英国之间（2022 年 10 月生效（新窗口）），以及美国与澳大利亚之间（2024 年 1 月生效（新窗口））。美国政府与欧盟和加拿大（新窗口）之间的谈判已经启动，但尚未结束。
科技提供商确实有一个安全机制：它们可以根据“礼让”原则——法院尊重其他司法管辖区法律的法律原则——对美国命令提出质疑或请求修改，如果遵守该命令意味着违反外国法律，尤其是行政协议涵盖的法律。在英国和澳大利亚之外，这种普通法礼让挑战是唯一可用的选择。
然而，正如 电子隐私信息中心（EPIC）所主张（新窗口），即使有礼让原则，CLOUD Act 仍使客户（包括企业）几乎没有真正的追索权。提供商无需通知数据被访问的客户，客户没有独立权利质疑请求（这完全取决于提供商是否选择反对），且行政协议明确排除了为受影响人群创设任何新救济。
CLOUD Act 与 GDPR 的对比
在欧洲，Proton 自己的研究显示 超过 74% 的上市公司依赖美国的技术服务，CLOUD Act 尤其令人担忧，因为它与欧盟的《通用数据保护条例》（GDPR）相冲突。
根据 GDPR 的 第 48 条（新窗口），外国法院命令或行政当局的决定（包括 SCA 命令）要求传输或披露个人数据，不会在欧盟自动得到承认或执行，除非是根据国际协议（如 MLAT）作出的。
尽管还没有 GDPR 因 CLOUD Act 命令而对公司处以罚款的案例，但已有监管机构针对此类风险采取行动的先例：2023 年，爱尔兰数据保护委员会因欧盟-美国数据传输暴露于美国监控法律——具体是 FISA 第 702 条，而非 CLOUD Act——对 Meta 处以创纪录的 12 亿欧元罚款（新窗口）。
对于美国云提供商而言，这意味着如果美国政府请求获取它们处理但由欧洲企业控制的数据，遵守 CLOUD Act 可能意味着违反 GDPR。根据 第 28 条（新窗口），提供商（处理者）只能按照控制者记录的指示行事，而“向外国政府披露数据”并不属于这些指示。
风险敞口不仅限于提供商。如果提供商在回应强制命令时披露客户数据，而没有第 48 条所要求的国际协议依据（由于目前美国和欧盟之间不存在 CLOUD Act 行政协议，这意味着需要 MLAT），拥有该数据的企业要承担自己的责任，而不仅仅是其雇用来存储数据的供应商。
为什么数据位置并不意味着数据主权
2025 年 6 月（新窗口），Microsoft 法国公共与法律事务总监 Anton Carniaux 在 法国参议院（新窗口） 宣誓后被问及，他能否保证法国公民的数据永远不会在未经法国同意的情况下被交给美国当局。
他的回答是：“不。我无法保证。”他补充说“这以前从未发生过”，当然，这并不意味着将来不会发生。
信息很明确：数据主权 不再关乎数据存储在哪里，而是关乎谁控制数据。您的数据服务器的位置以及对其拥有管辖权的政府，不再必然是同一回事。
这一事实与美国云巨头（或“超大规模云服务商”）正在向欧洲企业营销的“符合 GDPR”的云产品格格不入。这些“欧洲主权云”产品由总部位于美国的公司运营，或由美国母公司控制，而 GDPR 的保护范围仅限于美国法律允许的范围。
零访问加密架构如何减轻 CLOUD Act 风险敞口
如果您的云存储提供商受美国司法管辖，且美国执法机构要求访问您的数据（有正当法律理由），您和您的提供商都无法阻止这种情况发生。此时，您数据的唯一防御手段就是加密。
加密使数据对网络犯罪分子和政府来说都不可读且不可用，将其打乱成只有拥有正确密钥的人才能读取的“密文”。
然而，大多数美国云提供商提供的加密有一个致命缺陷：它们自己保留解密密钥。这意味着它们可以读取您的数据，或被迫将可读副本交给第三方，如美国执法机构。
要真正保护文件与消息数据免遭网络犯罪分子或政府泄露，您需要 端到端加密 或 零访问加密，这可以防止提供商访问数据。
使用零访问加密的提供商没有密钥来解密它在其服务器上处理和存储的文件。当执法机构要求时，它可能仍被迫披露数据，即使数据存储在实施严格数据保护标准的司法管辖区，例如瑞士。但交出的文件将是加密的且不可读。
Proton 如何保护企业免受 CLOUD Act 影响
Proton 以两种关键方式免受 CLOUD Act 影响：
- 瑞士司法管辖，限制了谁能迫使 Proton 交出数据
- 以及强加密，限制了他们对 Proton 交出的任何内容能做什么
Proton 总部位于瑞士日内瓦，不受美国司法管辖和 CLOUD Act 命令的触及。美国当局也无法诉诸双边捷径：瑞士不是任何 CLOUD Act 行政协议的缔约方。
这并未完全消除法律程序。瑞士有自己的法律互助框架，允许瑞士当局与外国调查合作。但任何请求都必须首先通过瑞士法律，由瑞士法院审理——不能是直接送达提供商的搜查令。
Proton 的法律历史表明，我们愿意也有能力挑战瑞士法律。2020 年，我们挑战了一项瑞士数据保留法，我们认为该法是以电信法律破坏隐私的不当尝试。2021 年，联邦行政法院裁定电子邮件服务不是电信提供商，因此不受该法保留要求的约束。
即使成功的瑞士命令也对其能获取的内容有限制。Proton 的端到端和零访问加密意味着消息内容和文件对 Proton 本身来说也是不可读的，并且无论谁要求，都没有密钥可以交出。您的电子邮件、文档、文件和其他数据的内容都遥不可及。
关于 CLOUD Act 的常见问题
CLOUD Act 会覆盖 GDPR 吗？
CLOUD Act 并不能取代 GDPR，但两者确实存在冲突。一项 CLOUD Act 命令可能让美国服务提供商陷入两难：若遵守该命令，就会违反 GDPR 第 48 条（在没有国际协议的情况下，外国命令不会自动获得承认）。两部法律互不让步，而服务提供商——以及他们服务的任何欧洲公司——就此被夹在中间。
CLOUD Act 只针对美国公司吗？
CLOUD Act 不仅适用于总部位于美国或受美国母公司控制的企业，还覆盖任何在美国拥有充分法律存在或商业联系的提供商。只要在美国设有子公司、拥有驻美员工或办公室，或是刻意面向美国客户开展业务，就足以让一家总部设在美国境外的组织落入 CLOUD Act 的管辖范围。
我可以拒绝 CLOUD Act 的请求吗？
被送达命令的通常不是客户（控制者），而是提供商。如果遵守命令会违反外国法律，提供商可以提出礼让抗辩；如果请求在法律上存在瑕疵，也可以提出异议。但如果法律救济途径已用尽，而命令依然有效，提供商就只能被迫遵守。
CLOUD Act 与 MLAT 有什么区别？
通过《司法协助条约》（MLAT）请求数字证据时，该请求需经过司法审查，过程详尽但缓慢。CLOUD Act 所促成的行政协议让执法机构在向伙伴国请求数据时可以绕过 MLAT 流程。到目前为止，只有英国和澳大利亚与美国签订了行政协议。
加密能阻止 CLOUD Act 的请求吗？
加密并不能阻止法律命令，但如果提供商以端到端加密或零访问加密方式存储客户数据，那么他们就没有任何可读数据可以交给当局，因为他们没有解密密钥。因此，他们只能交出已加密的文件。
