CLOUD Act: Amit tudni kell

Hol találhatók a személyes adataim, és kell-e ezzel foglalkoznom? Ez a kérdés egyre időszerűbbé válik, ahogy egy digitális évtized végéhez közeledünk, és egy újabb kezdetéhez érünk.

Adatvédelmi következmények a 2020-as évek végén

Még a 20. században kevesen ismerték fel az adatokért folyó harc későbbi mértékét. Bárki, akinek van számítógépes eszköze és/vagy internet-hozzáférése, érdekelt ebben a játékban. A tét a profit, a befolyás, az ellenőrzés, valamint az a képesség, hogy a színfalak mögül hozzáférjenek egyénekre vagy vállalatokra vonatkozó információkhoz.

Ahogy a vállalatok továbbra is arra törekednek, hogy egyre inkább integrálódjanak és kapcsolódjanak ügyfélkörükhöz, nő a magánélet védelme és az adatvédelem iránti igény. Mivel egy webcímmel rendelkező vállalatnak nincsenek egyértelmű határai, minden adott a nemzetközi csalások és a kiberbűnözés szintjének növekedéséhez. Ez viszont utat nyit a kormányok előtt, hogy új törvényeket alkossanak, és határokon átnyúlva kutassanak adatnyomok után; intézkedéseiket az egyének adatainak védelmével indokolva. Így az adatvédelem és az adatszolgáltatás közötti szakadék még inkább elmélyül. Ezzel egyidejűleg a területi elv, a nemzetközi jog egyik alapköve, lassan elhalványul.

A CLOUD Act

A ’Clarifying Lawful Use of Overseas Data Act’ (más néven CLOUD Act) amerikai kormány általi közelmúltbeli bevezetése a határokon átnyúló kormányzati megfigyelés létjogosultságát hivatott erősíteni. A CLOUD Act elsősorban az 1986-os Stored Communications Act (SCA) törvényt módosítja. Lehetővé teszi a szövetségi bűnüldöző szervek számára, hogy házkutatási parancs vagy idézés útján kötelezzék az Egyesült Államokban székhellyel rendelkező technológiai vállalatokat a szervereken tárolt adatok átadására, függetlenül attól, hogy az adatokat az USA-ban vagy külföldön tárolják. 2018. március 23-ig az amerikai kormány számára az egyetlen mód a tengerentúli adatokhoz való hozzáférésre a kölcsönös jogsegélyről szóló egyezmény (Mutual Legal-Assistance Treaty) megkötése volt, amelyben két ország beleegyezik az információk megosztásába és az együttműködésbe egy jogi vizsgálat megoldása érdekében.

A CLOUD Act kellő figyelmet fordít az adattitkosításra. Arra is ösztönzi a kormányt, hogy ne használja fel arra, hogy a vállalatokat a titkosítás gyengítésére kényszerítse. Ez a folyamat elengedhetetlen az adatok biztonságához. Mindazonáltal sokan alapvető szinten hibásnak tartják a törvényt. Egyéb aggályok mellett kiemelkedik, hogy a törvényt hirtelen, kapkodva fogalmazták meg. Ezenkívül úgy adták ki, hogy nem folytattak róla nyilvános, mélyreható vitát a kormány költségvetési törvénytervezetének, az Omnibusnak a részeként. Ráadásul a CLOUD Act lehetővé teszi a külföldi országok számára, hogy „végrehajtási megállapodást” (executive agreement) kössenek az amerikai elnökkel, a Külügyminisztériummal vagy az igazságügyi miniszterrel, és az USA-ban tárolt adatokat kérjenek le közvetlenül a vállalatokkal kapcsolatba lépve, gyakorlatilag megkerülve a kormányzati ellenőrzést. Következésképpen a negatív visszajelzések hulláma söpört végig a weben az emberi jogokra és a nemzetközi jogra gyakorolt, előre látható globális következmények miatti reakcióként.

A CLOUD Act alkalmazása

A CLOUD Act már most vonatkozik az olyan technológiai cégekre, mint a Google, a Facebook, a Twitter és az Instagram. A Facebook és a Google valójában az Apple-lel és a Microsofttal együtt közreműködött az új jogszabálytervezet elkészítésében. A kormány együttműködése ezekkel a vállalatokkal az egyensúly eltolódását jelzi a nagy technológiai megoldásszolgáltatók felé. Minden vállalkozás felelőssége lesz, hogy jogi képviselőt jelöljön ki az adatszolgáltatási ügyekre. A maguk részéről a kisebb szervezetek, a startupok és az innovátorok küzdhetnek a plusz adminisztratív terhekkel.

A globális napirend

A Cloud Act eredményeként az Európai Bizottság jogalkotási lépéseket tett az adatigénylések lehetővé tétele érdekében. A Bizottság emellett utat nyit az EU-ban bejegyzett vállalatok által tárolt elektronikus bizonyítékok felhasználása előtt is, függetlenül az egyes tagállamok egyedi adatvédelmi törvényeitől. Ebből logikusan következik, hogy a törvény láncreakciót fog elindítani. Más országok is le fogják másolni az adatszolgáltatási törvényeket, és szintén határokon átnyúló információkat fognak követelni. Ez viszont az adatvédelem szintjének általános romlásához vezethet világszerte.

Mit jelent ez a CloudSigma számára?

A CloudSigma egyedülálló pozíciót foglal el a Cloud Act körül kialakuló bizonytalanság tengerében. A CloudSigma elkülöníti minden egyes felhőalapú helyszínt, amelyet a világ bármely pontján üzemeltet. Például egy ausztrál jogi személy Ausztráliában működteti a helyszíneit. Így rájuk kizárólag az ausztrál jog vonatkozik. Hasonlóképpen, a svájci helyszíneire sem az EU, sem az USA, sem Svájcon kívül más joghatóság nem vonatkozik. Ezért a CloudSigma ügyfelei könnyen ellenőrizhetik, hogy mely joghatóságok alatt működjenek.

Emellett az ügyfelek biztosíthatják, hogy ők maguk is megfeleljenek a vonatkozó adatvédelmi követelményeknek, amelyek vonatkozhatnak rájuk. Ez éles ellentétben áll sok más szolgáltató globalizált megközelítésével. Ez a megközelítés az ügyfeleket potenciálisan számos joghatóságnak teszi ki, beleértve az Egyesült Államokat és más országokat is. Így az adatokhoz akaratuk ellenére és a helyi adatvédelmi törvényeket megsértve is hozzá lehetne férni. Ennek következtében az adatok saját hibájukon kívül felelősségre vonásnak tehetik ki őket. Az ilyen forgatókönyv elkerülhető egy olyan szolgáltató használatával, mint a CloudSigma.