CLOUD Act, FISA 702 i inne amerykańskie ustawy

Moduł 1: Dlaczego europejska chmura? · Czas czytania: 12 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, które amerykańskie ustawy dają dostęp do danych u amerykańskich firm, dlaczego dotyczy to również sytuacji, gdy dane znajdują się w Europie, oraz jaki jest stan rzeczy w listopadzie 2026 roku.

Kluczowe pojęcia: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", dostawca elektronicznej usługi komunikacyjnej, FISA Section 702, sąd FISA (FISC), certyfikacja, Executive Order 12333, nakaz zachowania poufności, prawo karne a praca wywiadowcza

Dlaczego amerykańskie ustawy dotyczą europejskich serwerów

W lekcji 1.1 widzieli Państwo, że firma podlega prawu kraju, w którym ma siedzibę. Dla większości dużych usług chmurowych jest to Stany Zjednoczone. Dwie amerykańskie ustawy powracają w każdej dyskusji o europejskiej chmurze: CLOUD Act oraz Section 702 ustawy FISA. Mają inny cel i działają inaczej, więc warto je od siebie odróżniać.

To jest wyjaśnienie, a nie porada prawna. Amerykańskie prawodawstwo i jego interpretacja zmieniają się; stan opisany w tej lekcji pochodzi z listopada 2026 roku.

CLOUD Act: ściganie w sprawach karnych

CLOUD Act to skrót od Clarifying Lawful Overseas Use of Data Act. Ustawa została przyjęta 23 marca 2018 roku jako część dużej ustawy budżetowej. Powodem był spór sądowy między Microsoftem a rządem Stanów Zjednoczonych: FBI chciało uzyskać pocztę elektroniczną podejrzanego, która znajdowała się na serwerze w Irlandii, a Microsoft odmówił, ponieważ dane znajdowały się poza terytorium USA. Zanim Sąd Najwyższy wydał wyrok, Kongres uchwalił CLOUD Act, przez co sprawa stała się bezprzedmiotowa.

Sedno sprawy zawiera się w jednym zdaniu, obecnie znajdującym się w 18 U.S.C. 2713. W prostych słowach: dostawca elektronicznej usługi komunikacyjnej lub usługi zdalnego przechowywania danych musi zachować lub udostępnić dane, które znajdują się w jego "possession, custody, or control" (posiadaniu, pieczy lub pod jego kontrolą), niezależnie od tego, czy dane te znajdują się na terytorium Stanów Zjednoczonych, czy poza nim.

Co to oznacza w praktyce?

• Chodzi o postępowanie karne. Organ państwowy musi dysponować nakazem sądowym, podobnie jak w przypadku danych znajdujących się w USA.
• Chodzi o dane, nad którymi firma sprawuje kontrolę. Jeśli Państwa poczta znajduje się u europejskiej spółki zależnej, ale amerykańska spółka macierzysta ma do niej dostęp, to spółka macierzysta może zostać do tego zobowiązana.
• Dostawca może wnieść sprzeciw, jeśli udostępnienie danych koliduje z prawem innego kraju, ale tylko w określonych przypadkach (przede wszystkim w odniesieniu do krajów, z którymi USA mają specjalną umowę, jak Zjednoczone Królestwo i Australia). Ogólnej umowy między UE a USA dotyczącej tego rodzaju dowodów wciąż nie ma.
• Klient nie zawsze zostaje o tym poinformowany. Sąd może nałożyć na dostawcę nakaz zachowania poufności, przez co nie może on Państwa ostrzec.

Z drugiej strony RODO (art. 48) stanowi, że zagraniczny wyrok lub nakaz udostępnienia danych jest uznawany wyłącznie wtedy, gdy istnieje odpowiednia umowa, na przykład umowa o wzajemnej pomocy prawnej. Amerykański dostawca może zatem znaleźć się w potrzasku między dwoma systemami prawnymi. Na tym właśnie polega problem: jako klient nie mają Państwo wpływu na to, które prawo zwycięży.

Wymowny moment: w czerwcu 2025 roku komisja śledcza francuskiego Senatu zapytała dyrektora ds. prawnych Microsoft France, czy pod przysięgą może zagwarantować, że dane francuskich obywateli nigdy nie zostaną przekazane amerykańskim organom bez zgody Francji. Jego odpowiedź brzmiała: "Nie, nie mogę tego zagwarantować". Dodał, że firma kwestionuje nieuzasadnione żądania i że w praktyce taki przypadek jeszcze się nie zdarzył. Obie części tej odpowiedzi są istotne: ryzyko jest niewielkie, ale istnieje, i firma nie może go wykluczyć.

FISA Section 702: wywiad dotyczący cudzoziemców

FISA to Foreign Intelligence Surveillance Act. Section 702 dodano w 2008 roku. Celem nie jest ściganie przestępstw, lecz zbieranie zagranicznych danych wywiadowczych. Na tym polega zasadnicza różnica w stosunku do CLOUD Act:

Na podstawie Section 702 amerykańskie służby mogą zobowiązać dostawców elektronicznych usług komunikacyjnych do współpracy przy zbieraniu komunikacji zagranicznych "targetów". Dla Europejczyka amerykańskie prawo zapewnia w tym zakresie niewielką ochronę: konstytucyjna ochrona przed przeszukaniem (Czwarta Poprawka) dotyczy przede wszystkim obywateli USA. Program ten odegrał kluczową rolę w wyroku Schrems II Trybunału Sprawiedliwości Unii Europejskiej (lekcja 1.4).

Stan rzeczy w listopadzie 2026

Section 702 musi być regularnie przedłużana przez Kongres. W kwietniu 2024 roku ustawa RISAA przedłużyła ją o dwa lata, do kwietnia 2026 roku. W kwietniu 2026 roku nie udało się uzyskać długiego przedłużenia; wprowadzono dwa krótkie przedłużenia. 12 czerwca 2026 roku ustawa wygasła, po raz pierwszy od 2008 roku. Według doniesień zbieranie danych w praktyce trwa nadal, ponieważ sąd FISA zatwierdził już w marcu 2026 roku coroczne certyfikacje; obowiązują one mniej więcej do marca 2027 roku. Kongres kontynuuje rozmowy na temat nowego przedłużenia w okresie lame duck od 9 listopada 2026 roku.

Dla Państwa wyboru oznacza to: niezależnie od tego, czy ustawa akurat wygasła, czy nie, podstawowy problem nie znika. Istnieje duże prawdopodobieństwo nowego przedłużenia, a uprawnienia mogą powrócić w innej formie.

Executive Order 12333: bez sądu

Oprócz tych ustaw istnieje Executive Order 12333 z 1981 roku, rozporządzenie prezydenckie dotyczące pracy wywiadowczej. Obejmuje ono na przykład podsłuchiwanie kabli internetowych i zbieranie danych poza terytorium USA, bez udziału sądu i bez konieczności współpracy ze strony firmy. W przypadku danych szyfrowanych podczas przesyłania jest to mniejszy problem; dla danych znajdujących się u amerykańskiej firmy istotne pozostają CLOUD Act i Section 702.

Jak duże jest to ryzyko w rzeczywistości?

Szczerze mówiąc: dla większości małych organizacji prawdopodobieństwo, że amerykańskie służby będą zainteresowane akurat ich pocztą, jest niewielkie. Mimo to istnieją powody, by traktować tę kwestię poważnie:

• Nie wiedzą Państwo o tym. Z powodu nakazów zachowania poufności mogą Państwo nigdy się o tym nie dowiedzieć.
• Nie są Państwo jedyną zainteresowaną stroną. W Państwa poczcie znajdują się dane klientów, dostawców i pracowników. Mają Państwo obowiązek chronić ich dane (lekcja 1.2).
• Niektóre dane są wrażliwe. Kancelaria prawna, lekarz rodzinny, dziennikarz czy szkoła mają inne ryzyko do rozważenia niż piekarnia.
• Przepisy mogą się zmienić bez żadnego wpływu z Państwa strony.

Piekarnia Ziarno ma niewiele powodów do obaw ze strony służb wywiadowczych. Sanne zdaje sobie jednak sprawę, że w jej skrzynce pocztowej znajdują się również zwolnienia lekarskie jej pracowników. Są to dane dotyczące zdrowia, więc musi obchodzić się z nimi ze szczególną starannością.

W praktyce: jak to wygląda u dostawcy

Europejski dostawca bez amerykańskiej spółki macierzystej i bez amerykańskich podwykonawców przetwarzania nie podlega CLOUD Act i nie jest "dostawcą" w rozumieniu Section 702. Może nadal zostać zobowiązany do współpracy z europejską policją i wymiarem sprawiedliwości, ale wtedy na podstawie prawa europejskiego i krajowego, pod kontrolą europejskiego sądu. W instrukcji WebOké dotyczącej Nextcloud wskazano, że Państwa pliki nie trafiają do amerykańskich firm chmurowych. U innych dostawców warto poszukać listy podwykonawców przetwarzania oraz informacji o podmiocie będącym prawnym właścicielem usługi (lekcja 2.1).

Podsumowanie

• CLOUD Act (2018) zobowiązuje amerykańskich dostawców do udostępnienia danych, nad którymi sprawują kontrolę, na podstawie nakazu w sprawie karnej, nawet jeśli dane te znajdują się za granicą.
• FISA Section 702 daje amerykańskim służbom dostęp do komunikacji osób niebędących obywatelami USA, przebywających poza terytorium USA, dla celów wywiadowczych, bez nakazu dla konkretnej osoby.
• Section 702 wygasła 12 czerwca 2026 roku, ale według doniesień zbieranie danych trwa na podstawie certyfikacji z marca 2026 roku; nowe przedłużenie jest przedmiotem rozmów.
• Serwer znajdujący się w Europie nie zapewnia ochrony, jeśli firma stojąca za nim podlega prawu amerykańskiemu.
• Dla większości organizacji ryzyko jest niewielkie, ale nie da się go wykluczyć ani kontrolować.

Quiz

Zadanie

Zadanie E1.3: Jakiemu prawu podlega Państwa usługa? Proszę wybrać swoją najważniejszą usługę chmurową. Proszę ustalić, która firma zawiera z Państwem umowę (informacja znajduje się w regulaminie), gdzie ma siedzibę oraz kto jest jej ostateczną spółką macierzystą. Proszę odpowiedzieć: czy CLOUD Act może mieć zastosowanie do tej usługi i dlaczego?

Więcej informacji

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców proces wygląda podobnie.

• Podręcznik Nextcloud 15.13: Najczęściej zadawane pytania dotyczące bezpieczeństwa i prywatności
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) oraz raport CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Rozporządzenie (UE) 2016/679 (RODO), artykuł 48 (zagraniczne nakazy udostępnienia danych)