CLOUD Act, FISA 702 in druga ameriška zakonodaja

Modul 1: Zakaj evropski oblak? · Čas branja: 12 minut

Učni cilj: Po tej lekciji boste znali razložiti, katera ameriška zakonodaja omogoča dostop do podatkov pri ameriških podjetjih, zakaj to velja tudi, če so podatki v Evropi, in kakšno je stanje stvari novembra 2026.

Ključni pojmi: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", ponudnik elektronske komunikacijske storitve, FISA Section 702, sodišče FISA (FISC), certificiranje, Executive Order 12333, odredba o molčečnosti, kazensko pravo v primerjavi z obveščevalnim delom

Zakaj ameriška zakonodaja zadeva evropske strežnike

V lekciji 1.1 ste videli, da za podjetje velja pravo države, v kateri ima sedež. Za večino velikih oblačnih storitev je to Združene države Amerike. Dva ameriška zakona se pojavljata v vsaki razpravi o evropskem oblaku: CLOUD Act in Section 702 zakona FISA. Imata drugačen namen in delujeta drugače, zato ju je dobro ločevati.

To je razlaga, ne pravni nasvet. Ameriška zakonodaja in njena razlaga se spreminjata; stanje v tej lekciji je iz novembra 2026.

CLOUD Act: pregon v kazenskih zadevah

CLOUD Act pomeni Clarifying Lawful Overseas Use of Data Act. Zakon je bil sprejet 23. marca 2018 kot del velikega proračunskega zakona. Povod je bil sodni spor med Microsoftom in ameriško vlado: FBI je želel pridobiti pošto osumljenca, ki je bila shranjena na strežniku na Irskem, Microsoft pa je to zavrnil, ker so bili podatki zunaj ZDA. Preden je vrhovno sodišče izdalo sodbo, je Kongres sprejel CLOUD Act, s čimer je bila zadeva rešena.

Jedro zakona je v enem stavku, ki ga danes najdete kot 18 U.S.C. 2713. Povedano preprosto: ponudnik elektronske komunikacijske storitve ali storitve oddaljenega shranjevanja mora hraniti ali izročiti podatke, ki so v njegovi "possession, custody, or control" (posesti, varstvu ali nadzoru), ne glede na to, ali so ti podatki znotraj ali zunaj Združenih držav Amerike.

Kaj to pomeni v praksi?

• Gre za kazenskopravno preiskavo. Vlada mora imeti sodno odredbo, na primer warrant, tako kot pri podatkih v ZDA.
• Gre za podatke, ki jih ima podjetje v svoji oblasti. Če je Vaša pošta shranjena pri evropski hčerinski družbi, do katere pa lahko dostopa ameriško matično podjetje, se lahko zahteva naslovi na matično podjetje.
• Ponudnik lahko ugovarja, če je izročitev v nasprotju s pravom druge države, vendar le v nekaterih primerih (predvsem pri državah, s katerimi imajo ZDA poseben sporazum, kot sta Združeno kraljestvo in Avstralija). Splošnega sporazuma med EU in ZDA o tovrstnih dokazih še ni.
• Stranka o tem ne izve vedno. Sodišče lahko ponudniku naloži odredbo o molčečnosti, zaradi katere Vas ne sme opozoriti.

Po drugi strani pa GDPR (člen 48) določa, da se tuja sodba ali odredba o izročitvi podatkov prizna le, če obstaja mednarodni sporazum, na primer sporazum o pravni pomoči. Ameriški ponudnik lahko tako obvisi med dvema zakonoma. Prav to je problem: Vi kot stranka ne morete izbrati, kateri zakon prevlada.

Zgovoren trenutek: junija 2025 je preiskovalna komisija francoskega senata vodjo pravne službe Microsoft Francija pod prisego vprašala, ali lahko zagotovi, da podatki francoskih državljanov nikoli ne bodo izročeni ameriškim organom brez soglasja Francije. Njegov odgovor je bil: "Ne, tega ne morem zagotoviti." Dodal je, da podjetje izpodbija neupravičene zahteve in da do takšne zahteve v praksi še ni prišlo. Oba dela tega odgovora sta pomembna: tveganje je majhno, vendar obstaja, in podjetje ga ne more izključiti.

FISA Section 702: obveščevalni podatki o tujcih

FISA je Foreign Intelligence Surveillance Act. Section 702 je bil dodan leta 2008. Namen ni pregon kaznivih dejanj, temveč zbiranje tujih obveščevalnih podatkov. V tem je velika razlika v primerjavi s CLOUD Act:

Na podlagi Section 702 lahko ameriške službe ponudnike elektronskih komunikacijskih storitev zavežejo k sodelovanju pri zbiranju komunikacije tujih "tarč". Za Evropejca ameriško pravo tu ponuja malo zaščite: ustavna zaščita pred preiskavo (četrti amandma) velja predvsem za Američane. Ta program je imel osrednjo vlogo v sodbi Schrems II Sodišča Evropske unije (lekcija 1.4).

Stanje novembra 2026

Section 702 mora Kongres vedno znova podaljšati. Aprila 2024 je zakon RISAA podaljšal veljavnost za dve leti, do aprila 2026. Aprila 2026 dolgoročno podaljšanje ni uspelo; sledili sta dve kratki podaljšanji. Dne 12. junija 2026 je zakon prenehal veljati, prvič od leta 2008. Po poročanju medijev zbiranje podatkov v praksi vendarle poteka naprej, ker je sodišče FISA že marca 2026 odobrilo letna certificiranja, ki veljajo približno do marca 2027. Kongres se v obdobju "lame duck" od 9. novembra 2026 naprej še naprej pogaja o novem podaljšanju.

Za Vašo odločitev to pomeni: ne glede na to, ali je zakon trenutno res potekel ali ne, temeljni problem ne izgine. Velika verjetnost je, da bo prišlo do novega podaljšanja, pooblastila pa se lahko vrnejo tudi v drugačni obliki.

Executive Order 12333: brez sodišča

Poleg teh zakonov obstaja tudi Executive Order 12333 iz leta 1981, predsedniški odlok o obveščevalnem delu. Pod to sodijo na primer prisluškovanje internetnim kablom in zbiranje podatkov zunaj ZDA, brez posredovanja sodišča in brez obveznosti sodelovanja podjetja. Za podatke, ki so med prenosom šifrirani, je to manjši problem; za podatke pri ameriškem podjetju sta ustrezni poti CLOUD Act in Section 702.

Kako veliko je tveganje v resnici?

Po pravici povedano je za večino majhnih organizacij majhna verjetnost, da bi ameriške službe zanimala prav njihova pošta. Kljub temu obstajajo razlogi, da to vzamete resno:

• Ne veste. Zaradi odredb o molčečnosti morda o tem nikoli ne boste izvedeli.
• Niste edini vpleteni. V Vaši pošti so podatki strank, dobaviteljev in zaposlenih. Njihove podatke morate zaščititi (lekcija 1.2).
• Nekateri podatki so občutljivi. Odvetniška pisarna, splošni zdravnik, novinar ali šola imajo drugačno tehtanje tveganja kot pekarna.
• Pravila se lahko spremenijo, ne da bi imeli Vi pri tem kakršno koli besedo.

Pekarna De Korrel se nima česa bati obveščevalne službe. Vendar Sanne pomisli, da so v njenem poštnem predalu tudi bolniški listi njenih zaposlenih. To so zdravstveni podatki, s katerimi mora ravnati še posebej skrbno.

V praksi: tako to izgleda pri ponudniku

Evropski ponudnik brez ameriškega matičnega podjetja in brez ameriških podobdelovalcev ne spada pod CLOUD Act in ni "ponudnik" v smislu Section 702. Še vedno je lahko zavezan k sodelovanju z evropsko policijo in pravosodjem, vendar po evropskem in nacionalnem pravu, pod nadzorom evropskega sodišča. Pri WebOké v navodilih za Nextcloud piše, da Vaše datoteke ne gredo k ameriškim oblačnim podjetjem. Pri drugih ponudnikih poiščite seznam podobdelovalcev in pravnega lastnika (lekcija 2.1).

Povzetek

• CLOUD Act (2018) ameriške ponudnike zavezuje, da na podlagi kazenskopravne odredbe izročijo podatke, ki so v njihovi oblasti, tudi če so shranjeni v tujini.
• FISA Section 702 ameriškim službam omogoča dostop do komunikacije nedržavljanov ZDA zunaj ZDA, za namen obveščevalnega dela, brez odredbe za vsako osebo posebej.
• Section 702 je prenehal veljati 12. junija 2026, vendar po poročanju medijev zbiranje podatkov poteka naprej na podlagi certificiranj iz marca 2026; o novem podaljšanju trenutno potekajo pogovori.
• Strežnik v Evropi ne nudi zaščite, če podjetje, ki stoji za njim, spada pod ameriško pravo.
• Za večino organizacij je tveganje majhno, vendar ga ni mogoče izključiti niti nadzorovati.

Kviz

Naloga

Naloga E1.3: Pod katero pravo spada Vaša storitev? Izberite svojo najpomembnejšo oblačno storitev. Ugotovite, katero podjetje z Vami sklepa pogodbo (navedeno v pogojih), kje ima to podjetje sedež in katero je končno matično podjetje. Odgovorite: ali se CLOUD Act lahko uporablja za to storitev, in zakaj?

Za nadaljnje branje

Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik za Nextcloud 15.13: Pogosta vprašanja o varnosti in zasebnosti
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) in poročilo CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Uredba (EU) 2016/679 (GDPR), člen 48 (tuje odredbe za izročitev podatkov)