CLOUD Act: Co potřebujete vědět

Kde se nacházejí mé osobní údaje a musím se o to zajímat? Tato otázka nabývá na významu s tím, jak se blížíme ke konci jedné digitální dekády a na začátek další.

Datové důsledky na konci dvacátých let

V 20. století si jen málokdo uvědomoval rozsah bitvy o data, která měla následovat. Každý, kdo má počítačové zařízení a/nebo přístup k internetu, má v této hře svůj podíl. Výhry zahrnují zisk, vliv, kontrolu a možnost získat přístup k informacím o jednotlivci nebo společnosti ze zákulisí.

S tím, jak firmy pokračují ve své snaze o větší integraci a propojení se svou zákaznickou základnou, roste potřeba soukromí a ochrany dat. Vzhledem k tomu, že společnost s webovou adresou nemá žádné jasné hranice, je připravena půda pro eskalaci mezinárodních podvodů a kyberkriminality. To zase otevírá dveře vládám k navrhování nových zákonů a k přesahování hranic při honbě za datovými stopami; jejich kroky jsou ospravedlňovány potřebou chránit data jednotlivců. Propast mezi ochranou osobních údajů a jejich zveřejňováním se tak ještě více prohlubuje. Zároveň pomalu mizí princip teritoriality, který je základem mezinárodního práva.

Zákon CLOUD Act

Nedávné zavedení zákona „Clarifying Lawful Use of Overseas Data Act“ (jinak známého jako CLOUD Act) americkou vládou slouží k posílení argumentů pro přeshraniční vládní dohled. CLOUD Act především mění zákon o uchovávaných komunikacích (Stored Communications Act – SCA) z roku 1986. Umožňuje federálním orgánům vynucování práva přimět technologické společnosti se sídlem v USA na základě soudního příkazu nebo předvolání k poskytnutí požadovaných dat uložených na serverech bez ohledu na to, zda jsou data uložena v USA nebo na cizím území. Až do 23. března 2018 byl pro americkou vládu jediným způsobem, jak získat přístup k datům v zahraničí, uzavření Smlouvy o vzájemné právní pomoci (Mutual Legal-Assistance Treaty), což je dohoda, v níž dvě země souhlasí se sdílením informací a společným postupem při vyšetřování.

CLOUD Act věnuje náležitou pozornost šifrování dat. Rovněž odrazuje vládu od toho, aby jej využívala k naléhání na společnosti, aby své šifrování oslabily. To je proces, který je nedílnou součástí zabezpečení dat. Nicméně mnozí považují tento zákon za zásadně chybný. Mimo jiné vyvstává obava, že zákon byl vypracován velmi narychlo. Navíc byl vydán bez veřejné hloubkové diskuse jako součást vládního zákona o výdajích, tzv. Omnibusu. CLOUD Act navíc umožňuje cizím státům uzavřít „vládní dohodu“ (executive agreement) s prezidentem USA, ministerstvem zahraničí nebo ministrem spravedlnosti a žádat o data uložená v USA přímým kontaktováním společností, čímž fakticky obcházejí vládní kontrolu. V důsledku toho se na webu rozpoutala vlna negativních ohlasů jako reakce na předvídatelné globální dopady na lidská práva a mezinárodní právo.

Uplatňování zákona CLOUD Act

CLOUD Act se již vztahuje na technologické firmy jako Google, Facebook, Twitter a Instagram. Facebook a Google se na návrhu nové legislativy skutečně podíleli společně s firmami Apple a Microsoft. Spolupráce vlády s těmito společnostmi naznačuje posun rovnováhy směrem k poskytovatelům rozsáhlých technických řešení. Všechny podniky budou mít povinnost určit právního zástupce pro záležitosti týkající se zpřístupňování údajů. Menší subjekty, startupy a inovátoři se naopak mohou potýkat s dodatečnou administrativní zátěží.

Globální agenda

V důsledku zákona Cloud Act učinila Evropská komise legislativní krok k umožnění žádostí o informace o datech. Komise také uvolní cestu pro využívání elektronických důkazů uchovávaných společnostmi registrovanými v EU, bez ohledu na konkrétní zákony o ochraně osobních údajů členských států. Logicky z toho vyplývá, že tento zákon povede k řetězové reakci. Ostatní země budou zrcadlit zákony o zpřístupňování údajů a budou také požadovat informace přes hranice. To zase může vést k celkovému zhoršení úrovně ochrany osobních údajů po celém světě.

Co to znamená pro CloudSigma?

CloudSigma má jedinečnou pozici v moři nejistoty, která se kolem zákona Cloud Act šíří. CloudSigma izoluje každou cloudovou lokalitu, kterou provozuje, ať už je kdekoli na světě. Například australský subjekt provozuje své lokality v Austrálii. Podléhají tedy pouze australskému právu. Podobně její švýcarské lokality nepodléhají jurisdikci EU, USA ani žádné jiné s výjimkou Švýcarska. Zákazníci CloudSigma tak mohou snadno kontrolovat, pod jakými jurisdikcemi budou působit.

Zákazníci navíc mohou zajistit, aby sami splňovali příslušné požadavky na ochranu údajů, kterým mohou podléhat. To je v ostrém kontrastu s globalizovaným přístupem mnoha jiných poskytovatelů. Tento přístup vystavuje zákazníky potenciálně mnoha jurisdikcím, včetně USA a dalších zemí. Data by tak mohla být přístupná proti jejich vůli a v rozporu s místními zákony o ochraně osobních údajů. V důsledku toho by je tato data mohla vystavit odpovědnosti, aniž by to byla jejich vina. Takovému scénáři se lze vyhnout využitím poskytovatele, jako je CloudSigma.