CLOUD Act, FISA 702 и други американски закони

Модул 1: Защо европейски облак? · Време за четене: 12 минути

Цел на урока: След този урок ще можете да обясните кои американски закони дават достъп до данни при американски компании, защо това важи дори когато данните се намират в Европа, и какво е положението към ноември 2026 г.

Основни понятия: CLOUD Act, 18 U.S.C. 2713, „possession, custody, or control“, доставчик на електронна комуникационна услуга, FISA Section 702, FISA съд (FISC), сертифициране, Executive Order 12333, заповед за поверителност, наказателно право срещу разузнавателна дейност

Защо американските закони засягат европейски сървъри

В урок 1.1 видяхте, че дадена компания попада под правото на държавата, в която е установена. За повечето големи облачни услуги това са Съединените щати. Два американски закона се появяват във всяка дискусия за европейския облак: CLOUD Act и Section 702 от FISA. Те имат различна цел и действат различно, затова е добре да ги разграничавате.

Това е обяснение, а не правен съвет. Американското законодателство и неговото тълкуване се променят; положението, описано в този урок, е към ноември 2026 г.

CLOUD Act: разследване по наказателни дела

CLOUD Act означава Clarifying Lawful Overseas Use of Data Act. Законът е приет на 23 март 2018 г. като част от голям бюджетен закон. Поводът беше съдебен спор между Microsoft и американското правителство: ФБР искаше имейли на заподозрян, съхранявани на сървър в Ирландия, а Microsoft отказа, тъй като данните се намираха извън САЩ. Преди Върховният съд да се произнесе, Конгресът прие CLOUD Act и по този начин случаят отпадна.

Същината се съдържа в едно изречение, сега намиращо се в 18 U.S.C. 2713. С прости думи: доставчик на електронна комуникационна услуга или услуга за отдалечено съхранение трябва да запазва или предоставя данни, които се намират в неговото „possession, custody, or control“, независимо дали тези данни се намират на територията на Съединените щати или извън нея.

Какво означава това на практика?

• Става дума за наказателно разследване. Властите трябва да разполагат със съдебна заповед, подобна на warrant, точно както при данни в САЩ.
• Става дума за данни, които компанията контролира. Ако Вашата поща се намира при европейско дъщерно дружество, но американската компания майка има достъп до нея, тогава компанията майка може да бъде задължена да я предостави.
• Доставчикът може да възрази, ако предоставянето на данните противоречи на правото на друга държава, но само в определени случаи (най-вече при държави, с които САЩ имат специално споразумение, като Обединеното кралство и Австралия). Общо споразумение между ЕС и САЩ за този вид доказателства все още няма.
• Клиентът не винаги научава за това. Съдия може да наложи на доставчика заповед за поверителност, така че той да няма право да Ви предупреди.

Срещу това стои фактът, че ОРЗД (чл. 48) постановява, че чуждестранно съдебно решение или заповед за предоставяне на данни се признава само ако съществува международно споразумение, например договор за правна помощ. Така американски доставчик може да се окаже притиснат между два закона. Точно това е проблемът: Вие като клиент не можете да изберете кой закон ще надделее.

Показателен момент: през юни 2025 г. анкетна комисия на френския Сенат попита директора по правните въпроси на Microsoft Франция дали може под клетва да гарантира, че данни на френски граждани никога не се предоставят на американските власти без съгласието на Франция. Отговорът му беше: „Не, не мога да гарантирам това.“ Той добави, че компанията оспорва неоснователни искания и че на практика такова искане все още не е имало. И двете части от този отговор са важни: рискът е малък, но съществува, и компанията не може да го изключи.

FISA Section 702: разузнаване за чужди граждани

FISA е Foreign Intelligence Surveillance Act. Section 702 е добавен през 2008 г. Целта не е разследване на престъпления, а събиране на чуждестранно разузнаване. Тук е голямата разлика с CLOUD Act:

Съгласно Section 702 американските служби могат да задължат доставчиците на електронни комуникационни услуги да съдействат при събирането на комуникации на чуждестранни „targets“. За европеец американското право предлага тук малка защита: конституционната защита срещу претърсване (Четвъртата поправка) важи най-вече за американски граждани. Тази програма изигра централна роля в решението Schrems II на Съда на Европейския съюз (урок 1.4).

Положение към ноември 2026 г.

Section 702 трябва периодично да се удължава от Конгреса. През април 2024 г. законът RISAA го удължи с две години, до април 2026 г. През април 2026 г. не се стигна до дългосрочно удължаване; бяха приети две кратки удължения. На 12 юни 2026 г. законът изтече, за първи път от 2008 г. Според съобщения в медиите събирането на практика продължава, тъй като FISA съдът вече е одобрил годишните сертификати през март 2026 г.; те важат приблизително до март 2027 г. Конгресът продължава да обсъжда ново удължаване в периода след изборите, считано от 9 ноември 2026 г.

За Вашия избор това означава следното: независимо дали законът временно е изтекъл или не, основният проблем не изчезва. Вероятно ще има ново удължаване, а правомощията могат да се върнат в друга форма.

Executive Order 12333: без съдия

Освен тези закони съществува и Executive Order 12333 от 1981 г., президентска заповед относно разузнавателната дейност. Тя обхваща например подслушването на интернет кабели и събирането на данни извън САЩ, без намесата на съдия и без да е необходимо съдействието на дадена компания. За данни, които са криптирани по време на предаване, това представлява по-малък проблем; за данни, съхранявани при американска компания, релевантните пътища са CLOUD Act и 702.

Колко голям е рискът в действителност?

Честно казано: за повечето малки организации вероятността американските служби да проявят конкретен интерес към тяхната поща е малка. Въпреки това има причини да се отнасяте сериозно към това:

• Вие не знаете. Поради заповеди за поверителност може никога да не научите за това.
• Вие не сте единственото засегнато лице. Във Вашата поща има данни на клиенти, доставчици и служители. Вие трябва да защитавате техните данни (урок 1.2).
• Някои данни са чувствителни. Адвокатска кантора, личен лекар, журналист или училище правят различна преценка от една пекарна.
• Правилата могат да се променят, без Вие да имате думата по този въпрос.

Пекарна „Зърно“ няма много за какво да се опасява от разузнавателна служба. Но Sanne се замисля, че в нейната пощенска кутия се съхраняват и съобщенията за болест на нейния персонал. Това са данни за здравето, с които тя трябва да борави особено внимателно.

На практика: как изглежда това при един доставчик

Европейски доставчик без американска компания майка и без американски подизпълнители не попада под CLOUD Act и не е „provider“ по смисъла на Section 702. Той все пак може да бъде задължен да съдейства на европейската полиция и правосъдие, но тогава съгласно европейското и националното право, с европейски съдия като контролен орган. При WebOké в ръководството за Nextcloud е посочено, че Вашите файлове не се предават на американски облачни компании. При други доставчици трябва да потърсите списък с подизпълнители и правния собственик (урок 2.1).

Обобщение

• CLOUD Act (2018 г.) задължава американските доставчици да предоставят данни, които контролират, при наказателна заповед, дори ако се намират в чужбина.
• FISA Section 702 дава на американските служби достъп до комуникации на лица, които не са американски граждани и се намират извън САЩ, за разузнавателни цели, без заповед за всяко отделно лице.
• Section 702 изтече на 12 юни 2026 г., но според съобщения събирането продължава въз основа на сертификатите от март 2026 г.; обсъжда се ново удължаване.
• Сървър в Европа не защитава, ако компанията зад него попада под американското право.
• За повечето организации рискът е малък, но не може да бъде изключен или проверен.

Тест

Задача

Задача E1.3: Под кое право попада Вашата услуга? Изберете Вашата най-важна облачна услуга. Открийте коя компания сключва договора с Вас (посочено е в условията), къде е установена тя, и коя е крайната компания майка. Отговорете: може ли CLOUD Act да бъде приложим към тази услуга, и защо?

Допълнително четене

Стъпките в тези статии важат за услугите на WebOké; при други доставчици процесът е подобен.

• Nextcloud наръчник 15.13: Често задавани въпроси за сигурността и поверителността
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) и докладът на CRS „FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act“ (congress.gov, R48592)
• Регламент (ЕС) 2016/679 (ОРЗД), член 48 (чуждестранни заповеди за предоставяне на данни)