1. modulis · 1.3
CLOUD Act, FISA 702 un citi ASV tiesību akti
1. modulis: Kāpēc Eiropas mākonis? · Lasīšanas laiks: 12 minūtes
Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kuri ASV tiesību akti sniedz piekļuvi datiem pie ASV uzņēmumiem, kāpēc tas attiecas arī tad, ja dati atrodas Eiropā, un kāds ir stāvoklis 2026. gada novembrī.
Pamatjēdzieni: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", elektronisko sakaru pakalpojuma sniedzējs, FISA Section 702, FISA tiesa (FISC), sertifikācija, Executive Order 12333, konfidencialitātes rīkojums, krimināltiesības pretstatā izlūkošanas darbam
Kāpēc ASV tiesību akti attiecas uz Eiropas serveriem
Nodarbībā 1.1 Jūs redzējāt, ka uzņēmumam piemēro tās valsts tiesības, kurā tas ir reģistrēts. Lielākajai daļai lielo mākoņpakalpojumu tā ir Amerikas Savienotās Valstis. Divi ASV tiesību akti atkārtoti parādās jebkurā diskusijā par Eiropas mākoni: CLOUD Act un FISA 702. sadaļa. Tiem ir atšķirīgs mērķis un darbības veids, tāpēc ir svarīgi tos nesajaukt.
Šis ir skaidrojums, nevis juridisks padoms. ASV likumdošana un tās interpretācija mainās; šajā nodarbībā sniegtā informācija atbilst stāvoklim 2026. gada novembrī.
CLOUD Act: izmeklēšana krimināllietās
CLOUD Act apzīmē Clarifying Lawful Overseas Use of Data Act. Likums tika pieņemts 2018. gada 23. martā, kā daļa no liela budžeta likuma. Par iemeslu kalpoja tiesas prāva starp Microsoft un ASV valdību: FIB vēlējās iegūt kāda aizdomās turētā e-pastu, kas atradās serverī Īrijā, un Microsoft atteicās, jo dati atradās ārpus ASV. Pirms Augstākā tiesa pieņēma spriedumu, Kongress izstrādāja CLOUD Act, un tā lieta tika atrisināta.
Likuma kodols ir vienā teikumā, tagad tas atrodams kā 18 U.S.C. 2713. Vienkāršiem vārdiem sakot: elektronisko sakaru pakalpojuma sniedzējam vai attālinātas datu glabāšanas pakalpojuma sniedzējam jāuzglabā vai jāizsniedz dati, kas atrodas tā "possession, custody, or control" (valdījumā, turējumā vai kontrolē), neatkarīgi no tā, vai šie dati atrodas ASV teritorijā vai ārpus tās.
Ko tas nozīmē praksē?
- Runa ir par kriminālizmeklēšanu. Valdībai jābūt tiesneša izdotam rīkojumam, piemēram, orderim (warrant), tāpat kā attiecībā uz ASV atrodošamies datiem.
- Runa ir par datiem, kas atrodas uzņēmuma varā. Ja Jūsu e-pasts atrodas pie Eiropas meitasuzņēmuma, bet ASV mātesuzņēmumam ir tam piekļuve, tad mātesuzņēmumam var vērsties ar prasību.
- Pakalpojumu sniedzējs var iebilst, ja izsniegšana ir pretrunā ar citas valsts tiesībām, bet tikai noteiktos gadījumos (galvenokārt attiecībā uz valstīm, ar kurām ASV ir noslēgts īpašs nolīgums, piemēram, Apvienoto Karalisti un Austrāliju). Vispārējs nolīgums starp ES un ASV par šāda veida pierādījumiem vēl nav noslēgts.
- Klients par to ne vienmēr uzzina. Tiesnesis var uzlikt pakalpojumu sniedzējam konfidencialitātes rīkojumu, lai tas nedrīkstētu Jūs brīdināt.
Tam pretstatā VDAR (48. pants) nosaka, ka ārvalsts spriedums vai rīkojums izsniegt datus tiek atzīts tikai tad, ja pastāv nolīgums, piemēram, tiesiskās palīdzības līgums. Tādējādi ASV pakalpojumu sniedzējs var nonākt divu tiesību sistēmu krustugunīs. Tieši tā ir problēma: Jūs kā klients nevarat izvēlēties, kurš tiesību akts gūs virsroku.
Zīmīgs brīdis: 2025. gada jūnijā Francijas Senāta izmeklēšanas komisija jautāja Microsoft Francijas juridisko lietu direktoram, vai viņš zem zvēresta var garantēt, ka Francijas pilsoņu dati nekad bez Francijas piekrišanas netiek nodoti ASV iestādēm. Viņa atbilde bija: "Nē, to es nevaru garantēt." Viņš piebilda, ka uzņēmums apstrīd nepamatotus pieprasījumus un ka šāds pieprasījums praksē vēl nebija noticis. Abas atbildes daļas ir svarīgas: risks ir mazs, bet tas pastāv, un uzņēmums to nevar izslēgt.
FISA 702. sadaļa: izlūkošana par ārvalstniekiem
FISA ir Foreign Intelligence Surveillance Act. 702. sadaļa tika pievienota 2008. gadā. Tās mērķis nav noziedzīgu nodarījumu izmeklēšana, bet gan ārvalstu izlūkošanas datu vākšana. Tur arī ir galvenā atšķirība no CLOUD Act:
| CLOUD Act | FISA 702. sadaļa | |
|---|---|---|
| Mērķis | Kriminālizmeklēšana | Ārvalstu izlūkošana |
| Kas tiek pārraudzīts | Aizdomās turētais, arī ASV pilsonis | Personas, kas nav ASV pilsoņi un atrodas ārpus ASV |
| Atļauja | Tiesneša rīkojums katrā atsevišķā lietā | Gadskārtēja programmas sertifikācija, ko veic slepenā FISA tiesa (FISC), nevis rīkojums par katru personu |
| Attiecībā uz Jums kā eiropieti | Tikai, ja esat iesaistīts(a) izmeklēšanā | Jūs tieši atrodaties mērķa grupā |
Saskaņā ar 702. sadaļu ASV dienesti var likt elektronisko sakaru pakalpojumu sniedzējiem sadarboties ārvalstu "mērķu" saziņas datu vākšanā. Eiropietim ASV tiesības šeit piedāvā maz aizsardzības: konstitucionālā aizsardzība pret kratīšanu (Ceturtais grozījums) attiecas galvenokārt uz ASV pilsoņiem. Šai programmai bija galvenā loma Eiropas Savienības Tiesas spriedumā Schrems II (nodarbība 1.4).
Stāvoklis 2026. gada novembrī
702. sadaļu Kongresam ir regulāri jāpagarina. 2024. gada aprīlī likums RISAA to pagarināja uz diviem gadiem, līdz 2026. gada aprīlim. 2026. gada aprīlī ilgtermiņa pagarinājums neizdevās; sekoja divi īstermiņa pagarinājumi. 2026. gada 12. jūnijā likuma darbība beidzās, pirmo reizi kopš 2008. gada. Saskaņā ar ziņojumiem datu vākšana praksē turpinās, jo FISA tiesa jau 2026. gada martā bija apstiprinājusi gadskārtējās sertifikācijas; tās ir spēkā aptuveni līdz 2027. gada martam. Kongress no 2026. gada 9. novembra, tā sauktajā lame duck periodā, turpina pārrunas par jaunu pagarinājumu.
Jūsu izvēlei tas nozīmē: neatkarīgi no tā, vai likums šobrīd ir vai nav īslaicīgi zaudējis spēku, pamatproblēma nekur nepazūd. Visticamāk tiks pieņemts jauns pagarinājums, un pilnvaras var atgriezties citā formā.
Executive Order 12333: bez tiesneša
Papildus šiem likumiem pastāv Executive Order 12333 no 1981. gada, prezidenta rīkojums par izlūkošanas darbu. Tas aptver, piemēram, interneta kabeļu pārtveršanu un datu vākšanu ārpus ASV, bez tiesneša iesaistes un bez nepieciešamības uzņēmumam sadarboties. Datiem, kas pārraides laikā ir šifrēti, tas ir mazāk nozīmīgs risks; datiem, kas atrodas pie ASV uzņēmuma, nozīmīgākie ir CLOUD Act un 702. sadaļa.
Cik liels ir risks patiesībā?
Godīgi sakot, lielākajai daļai mazo organizāciju ir maza iespējamība, ka ASV dienesti tieši interesēsies par to e-pastiem. Tomēr ir iemesli to uztvert nopietni:
- Jūs to nezināt. Konfidencialitātes rīkojumu dēļ Jūs par to, iespējams, nekad neuzzināsiet.
- Jūs neesat vienīgais skartais. Jūsu e-pastā ir klientu, piegādātāju un darbinieku dati. Jums ir jāaizsargā viņu dati (nodarbība 1.2).
- Daži dati ir sensitīvi. Advokātu birojam, ģimenes ārstam, žurnālistam vai skolai ir cits riska izvērtējums nekā maiznīcai.
- Noteikumi var mainīties, un Jums nav par to nekādas ietekmes.
Maiznīcai Grauds no izlūkdienesta puses nav daudz ko baidīties. Taču Sanne apdomā, ka viņas pastkastē atrodas arī darbinieku slimības paziņojumi. Tie ir veselības dati, un ar tiem jārīkojas īpaši rūpīgi.
Praksē: kā tas izskatās pie pakalpojumu sniedzēja
Eiropas pakalpojumu sniedzējs bez ASV mātesuzņēmuma un bez ASV apakšapstrādātājiem neietilpst CLOUD Act darbības jomā un nav "provider" 702. sadaļas izpratnē. Tam joprojām var likt sadarboties ar Eiropas policiju un tiesu iestādēm, bet tad saskaņā ar Eiropas un valsts tiesībām, ar Eiropas tiesas kontroli. WebOké Nextcloud rokasgrāmatā ir norādīts, ka Jūsu faili nenonāk pie ASV mākoņpakalpojumu uzņēmumiem. Pie citiem pakalpojumu sniedzējiem meklējiet apakšapstrādātāju sarakstu un juridisko īpašnieku (nodarbība 2.1).
Kopsavilkums
- CLOUD Act (2018) uzliek ASV pakalpojumu sniedzējiem pienākumu izsniegt datus, kas atrodas to varā, saskaņā ar krimināltiesisku rīkojumu, pat ja tie atrodas ārzemēs.
- FISA 702. sadaļa dod ASV dienestiem piekļuvi ārpus ASV esošu, ne ASV pilsoņu, saziņai izlūkošanas nolūkos, bez rīkojuma par katru personu.
- 702. sadaļas darbība beidzās 2026. gada 12. jūnijā, taču saskaņā ar ziņojumiem datu vākšana turpinās, pamatojoties uz 2026. gada marta sertifikācijām; jauns pagarinājums tiek apspriests.
- Serveris Eiropā nenodrošina aizsardzību, ja uzņēmums, kam tas pieder, ietilpst ASV tiesību jomā.
- Lielākajai daļai organizāciju risks ir mazs, bet to nevar izslēgt un nevar kontrolēt.
Tests
Uzdevums
Uzdevums E1.3: Kuras valsts tiesību aktiem pakļauts Jūsu pakalpojums? Izvēlieties savu svarīgāko mākoņpakalpojumu. Noskaidrojiet, kurš uzņēmums ar Jums noslēdz līgumu (atrodams noteikumos), kur tas ir reģistrēts, un kurš ir galējais mātesuzņēmums. Atbildiet: vai CLOUD Act var attiekties uz šo pakalpojumu, un kāpēc?
Uzdevums E1.3: Kuras valsts tiesību aktiem pakļauts Jūsu pakalpojums?
Noteikumos vai līgumā atrodiet līgumslēdzēju pusi, tās juridisko adresi un mātesuzņēmumu (gada pārskats, uzņēmumu reģistrs).
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Papildu lasāmviela
Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; pie citiem pakalpojumu sniedzējiem process ir līdzīgs.
- Nextcloud rokasgrāmata 15.13: Biežāk uzdotie jautājumi par drošību un privātumu
- 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
- FISA Section 702 (50 U.S.C. 1881a) un CRS ziņojums "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
- Regula (ES) 2016/679 (VDAR), 48. pants (ārvalstu rīkojumi par datu izsniegšanu)