CLOUD Act, FISA 702 ir kiti JAV teisės aktai

1 modulis: Kodėl verta rinktis Europos debesiją? · Skaitymo trukmė: 12 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kurie JAV teisės aktai suteikia prieigą prie duomenų JAV įmonėse, kodėl tai galioja net tuomet, kai duomenys saugomi Europoje, ir kokia yra padėtis 2026 m. lapkritį.

Pagrindinės sąvokos: CLOUD Act, 18 U.S.C. 2713, „possession, custody, or control“, elektroninių ryšių paslaugų teikėjas, FISA Section 702, FISA teismas (FISC), sertifikavimas, Executive Order 12333, įpareigojimas neatskleisti informacijos, baudžiamoji teisė lyginant su žvalgybos veikla

Kodėl JAV teisės aktai turi reikšmės Europos serveriams

1.1 pamokoje matėte, kad įmonei taikoma tos šalies teisė, kurioje ji įsteigta. Daugumai didelių debesijos paslaugų ta šalis yra Jungtinės Amerikos Valstijos. Kiekvienoje diskusijoje apie Europos debesiją vis iškyla du JAV teisės aktai: CLOUD Act ir FISA 702 skirsnis. Jų tikslai ir veikimo būdas skiriasi, todėl verta juos atskirti.

Tai yra paaiškinimas, ne teisinė konsultacija. JAV teisės aktai ir jų aiškinimas keičiasi; šioje pamokoje pateikta padėtis atitinka 2026 m. lapkričio mėn.

CLOUD Act: tyrimas baudžiamosiose bylose

CLOUD Act reiškia Clarifying Lawful Overseas Use of Data Act. Įstatymas buvo priimtas 2018 m. kovo 23 d. kaip didelio biudžeto įstatymo dalis. Priežastis buvo teisminis ginčas tarp Microsoft ir JAV vyriausybės: FBI norėjo gauti įtariamojo el. laiškus, saugomus serveryje Airijoje, o Microsoft atsisakė, nes duomenys buvo saugomi už JAV ribų. Prieš Aukščiausiajam Teismui priimant sprendimą, Kongresas priėmė CLOUD Act, ir byla buvo nuimta nuo darbotvarkės.

Esmė telpa į vieną sakinį, dabar įtvirtintą 18 U.S.C. 2713. Paprastais žodžiais tariant: elektroninių ryšių paslaugos ar nuotolinio saugojimo paslaugos teikėjas privalo saugoti arba perduoti duomenis, kurie yra jo „possession, custody, or control“ (valdyme, žinioje ar kontrolėje), nepriklausomai nuo to, ar tie duomenys yra Jungtinėse Valstijose, ar už jų ribų.

Ką tai reiškia praktiškai?

• Kalbama apie baudžiamąjį tyrimą. Vyriausybė privalo turėti teismo nutartį, pavyzdžiui, orderį (warrant), lygiai taip pat, kaip ir dėl duomenų, esančių JAV.
• Kalbama apie duomenis, kuriuos įmonė valdo. Jei Jūsų paštas saugomas Europos dukterinėje įmonėje, bet prie jo gali prieiti JAV patronuojanti bendrovė, kreiptis gali būti galima būtent į patronuojančią bendrovę.
• Paslaugų teikėjas gali prieštarauti, jei duomenų perdavimas prieštarauja kitos šalies teisei, bet tik tam tikrais atvejais (ypač su šalimis, su kuriomis JAV turi specialią sutartį, pavyzdžiui, Jungtine Karalyste ir Australija). Bendros ES ir JAV sutarties dėl tokio pobūdžio įrodymų kol kas nėra.
• Klientas ne visada apie tai sužino. Teismas gali uždėti paslaugų teikėjui įpareigojimą neatskleisti informacijos, todėl jis negali Jūsų įspėti.

Tačiau BDAR (48 straipsnis) nurodo, kad užsienio teismo sprendimas ar įpareigojimas perduoti duomenis pripažįstamas tik tuomet, jei yra sutartis, pavyzdžiui, teisinės pagalbos sutartis. Taigi JAV paslaugų teikėjas gali atsidurti tarp dviejų teisės sistemų. Būtent tai ir yra problema: Jūs, kaip klientas, negalite pasirinkti, kuri teisė nugalės.

Iškalbingas momentas: 2025 m. birželį Prancūzijos Senato tyrimo komisija paklausė Microsoft Prancūzija teisės departamento direktoriaus, ar jis gali duoti priesaiką, kad Prancūzijos piliečių duomenys niekada nebus perduoti JAV institucijoms be Prancūzijos sutikimo. Jo atsakymas buvo: „Ne, to garantuoti negaliu.“ Jis pridūrė, kad įmonė ginčija nepagrįstus prašymus ir kad praktikoje tokio prašymo dar nebuvo pasitaikę. Abi šio atsakymo dalys yra svarbios: rizika yra maža, tačiau ji egzistuoja, ir įmonė negali jos visiškai atmesti.

FISA 702 skirsnis: žvalgyba apie užsieniečius

FISA reiškia Foreign Intelligence Surveillance Act. 702 skirsnis buvo pridėtas 2008 m. Jo tikslas nėra nusikalstamų veikų tyrimas, o užsienio žvalgybos rinkimas. Čia ir slypi esminis skirtumas nuo CLOUD Act:

Pagal 702 skirsnį JAV tarnybos gali įpareigoti elektroninių ryšių paslaugų teikėjus padėti renkant užsienio „taikinių“ komunikaciją. Europiečiui JAV teisė čia suteikia mažai apsaugos: konstitucinė apsauga nuo kratos (Ketvirtoji pataisa) daugiausia taikoma JAV piliečiams. Ši programa buvo centrinė tema Europos Teisingumo Teismo sprendime Schrems II (1.4 pamoka).

Padėtis 2026 m. lapkritį

702 skirsnį Kongresas turi reguliariai pratęsti. 2024 m. balandį įstatymas RISAA jį pratęsė dvejiems metams, iki 2026 m. balandžio. 2026 m. balandį ilgas pratęsimas nepavyko; buvo priimti du trumpi pratęsimai. 2026 m. birželio 12 d. įstatymo galiojimas baigėsi, pirmą kartą nuo 2008 m. Pranešimų duomenimis, duomenų rinkimas praktiškai tęsiasi, nes FISA teismas 2026 m. kovą jau buvo patvirtinęs metinius sertifikavimus; jie galioja maždaug iki 2027 m. kovo. Kongresas nuo 2026 m. lapkričio 9 d. vykstančioje „lame duck“ sesijoje toliau derasi dėl naujo pratęsimo.

Jūsų pasirinkimui tai reiškia štai ką: nesvarbu, ar įstatymas šiuo metu galioja, ar ne, pagrindinė problema niekur nedingsta. Didelė tikimybė, kad bus naujas pratęsimas, o įgaliojimai gali sugrįžti kitokia forma.

Executive Order 12333: be teismo

Be šių teisės aktų, egzistuoja ir Executive Order 12333 iš 1981 m., prezidento dekretas dėl žvalgybos veiklos. Pagal jį vykdomas, pavyzdžiui, interneto kabelių klausymasis ir duomenų rinkimas už JAV ribų, be teismo įsikišimo ir be reikalavimo įmonėms bendradarbiauti. Šifruotiems perduodamiems duomenims tai mažesnė problema; duomenims, saugomiems JAV įmonėje, aktualūs būtent CLOUD Act ir 702 skirsnis.

Kiek rizika yra reali?

Sąžiningai reikia pasakyti: daugumai mažų organizacijų tikimybė, kad JAV tarnybos būtent jų paštu domėsis, yra maža. Vis dėlto yra priežasčių tai vertinti rimtai:

• Jūs to nežinote. Dėl įpareigojimų neatskleisti informacijos galbūt niekada apie tai nesužinosite.
• Jūs esate ne vienintelis susijęs asmuo. Jūsų pašte yra klientų, tiekėjų ir darbuotojų duomenys. Jūs privalote saugoti jų duomenis (1.2 pamoka).
• Kai kurie duomenys yra jautrūs. Advokatų kontora, šeimos gydytojas, žurnalistas ar mokykla vertina riziką kitaip nei kepykla.
• Taisyklės gali pasikeisti, o Jūs neturite jokios įtakos tam.

Bakkerij De Korrel turi mažai ko bijoti iš žvalgybos tarnybos pusės. Tačiau Sanne susimąsto, kad jos pašto dėžutėje taip pat yra darbuotojų pranešimai apie nedarbingumą. Tai sveikatos duomenys, ir su jais reikia elgtis itin atsargiai.

Praktikoje: kaip tai atrodo pas paslaugų teikėją

Europos paslaugų teikėjui, neturinčiam JAV patronuojančios bendrovės ir JAV subtvarkytojų, CLOUD Act netaikomas, ir jis nelaikomas „teikėju“ 702 skirsnio prasme. Jam vis dar gali būti taikomas įpareigojimas bendradarbiauti su Europos policija ir teisėsauga, tačiau tuomet pagal Europos ir nacionalinę teisę, kontroliuojant Europos teismui. WebOké atveju Nextcloud instrukcijose nurodyta, kad Jūsų failai nekeliauja į JAV debesijos įmones. Pas kitus paslaugų teikėjus ieškokite subtvarkytojų sąrašo ir teisinio savininko informacijos (2.1 pamoka).

Santrauka

• CLOUD Act (2018) įpareigoja JAV paslaugų teikėjus perduoti jų valdomus duomenis gavus baudžiamosios teisėsaugos nutartį, net jei duomenys saugomi užsienyje.
• FISA 702 skirsnis suteikia JAV tarnyboms prieigą prie ne JAV piliečių, esančių už JAV ribų, komunikacijos, žvalgybos tikslais, be atskiro leidimo kiekvienam asmeniui.
• 702 skirsnio galiojimas baigėsi 2026 m. birželio 12 d., tačiau pranešimų duomenimis, duomenų rinkimas tęsiasi remiantis 2026 m. kovo sertifikavimais; naujas pratęsimas svarstomas.
• Serveris Europoje neapsaugo, jei už jo esanti įmonė patenka į JAV teisės taikymo sritį.
• Daugumai organizacijų rizika yra maža, tačiau jos negalima atmesti ar kontroliuoti.

Testas

Užduotis

Užduotis E1.3: Kuriai teisei priklauso Jūsų paslauga? Pasirinkite savo svarbiausią debesijos paslaugą. Išsiaiškinkite, kuri įmonė su Jumis sudaro sutartį (nurodyta sąlygose), kur ji įsteigta ir kas yra galutinė patronuojanti bendrovė. Atsakykite: ar šiai paslaugai gali būti taikomas CLOUD Act, ir kodėl?

Skaitykite daugiau

Šiuose straipsniuose aprašyti žingsniai galioja WebOké paslaugoms; pas kitus paslaugų teikėjus veikimo principas panašus.

• Nextcloud vadovas 15.13: Dažniausiai užduodami klausimai apie saugumą ir privatumą
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) ir CRS ataskaita „FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act“ (congress.gov, R48592)
• Reglamentas (ES) 2016/679 (BDAR), 48 straipsnis (užsienio įpareigojimai perduoti duomenis)