CLOUD Act, FISA 702 și alte legi americane

Modulul 1: De ce un cloud european? · Timp de citire: 12 minute

Obiectivul lecției: După această lecție veți putea explica ce legi americane oferă acces la date deținute de companii americane, de ce acest lucru este valabil chiar dacă datele se află în Europa, și care este situația în noiembrie 2026.

Concepte-cheie: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", furnizor de servicii de comunicații electronice, FISA Section 702, instanța FISA (FISC), certificare, Executive Order 12333, ordin de confidențialitate, drept penal versus activitate de informații

De ce legile americane privesc și serverele europene

În lecția 1.1 ați văzut că o companie intră sub incidența dreptului țării în care este înființată. Pentru majoritatea marilor furnizori de servicii cloud, această țară sunt Statele Unite. Două legi americane revin în orice discuție despre cloud-ul european: CLOUD Act și Secțiunea 702 din FISA. Au scopuri diferite și funcționează diferit, așa că este bine să le distingem clar.

Aceasta este o explicație, nu o consultanță juridică. Legislația americană și interpretarea ei se schimbă; situația descrisă în această lecție este cea din noiembrie 2026.

CLOUD Act: investigații în cauze penale

CLOUD Act înseamnă Clarifying Lawful Overseas Use of Data Act. Legea a fost adoptată la 23 martie 2018, ca parte a unei legi bugetare ample. Motivul a fost un proces între Microsoft și guvernul american: FBI dorea e-mailurile unui suspect, stocate pe un server din Irlanda, iar Microsoft a refuzat pentru că datele se aflau în afara SUA. Înainte ca Curtea Supremă să se pronunțe, Congresul a adoptat CLOUD Act, iar astfel cauza a devenit caducă.

Esența legii se regăsește într-o singură frază, acum codificată ca 18 U.S.C. 2713. În termeni simpli: un furnizor de servicii de comunicații electronice sau de stocare la distanță trebuie să păstreze sau să predea datele aflate în "possession, custody, or control" (posesia, custodia sau controlul) său, indiferent dacă aceste date se află în interiorul sau în afara Statelor Unite.

Ce înseamnă acest lucru în practică?

• Este vorba despre investigații penale. Autoritățile trebuie să dețină un ordin emis de un judecător, precum un mandat (warrant), la fel ca în cazul datelor aflate în SUA.
• Este vorba despre date pe care compania le are sub controlul său. Dacă e-mailul dumneavoastră este stocat la o filială europeană, dar compania-mamă americană are acces la el, atunci compania-mamă poate fi obligată să îl predea.
• Furnizorul poate contesta, dacă predarea datelor intră în conflict cu legislația altei țări, dar doar în anumite situații (mai ales pentru țările cu care SUA au un tratat special, precum Regatul Unit și Australia). Un tratat general între UE și SUA privind acest tip de probe nu există încă.
• Clientul nu este întotdeauna informat. Un judecător poate impune furnizorului un ordin de confidențialitate, astfel încât acesta să nu vă poată avertiza.

Pe de altă parte, GDPR (art. 48) prevede că o hotărâre sau un ordin străin de predare a datelor este recunoscut doar dacă există un tratat, precum un tratat de asistență judiciară. Un furnizor american se poate astfel afla prins între două legi. Aceasta este exact problema: dumneavoastră, ca și client, nu puteți alege ce lege prevalează.

Un moment grăitor: în iunie 2025, o comisie de anchetă a Senatului francez l-a întrebat pe directorul juridic al Microsoft Franța dacă poate garanta sub jurământ că datele cetățenilor francezi nu vor fi niciodată predate autorităților americane fără acordul Franței. Răspunsul său a fost: "Nu, nu pot garanta acest lucru." A adăugat că firma contestă solicitările nejustificate și că, în practică, o astfel de solicitare nu s-a produs încă. Ambele părți ale acestui răspuns sunt importante: riscul este mic, dar există, iar firma nu îl poate exclude.

FISA Secțiunea 702: informații despre cetățeni străini

FISA este Foreign Intelligence Surveillance Act. Secțiunea 702 a fost adăugată în 2008. Scopul nu este investigarea faptelor penale, ci colectarea de informații externe (de tip intelligence). Aici apare marea diferență față de CLOUD Act:

În temeiul Secțiunii 702, serviciile americane pot obliga furnizorii de servicii de comunicații electronice să coopereze la colectarea comunicațiilor unor "ținte" (targets) străine. Pentru un european, dreptul american oferă aici puțină protecție: protecția constituțională împotriva perchezițiilor (Al Patrulea Amendament) se aplică în principal cetățenilor americani. Acest program a jucat un rol central în hotărârea Schrems II a Curții de Justiție a Uniunii Europene (lecția 1.4).

Situația în noiembrie 2026

Secțiunea 702 trebuie reînnoită periodic de Congres. În aprilie 2024, legea RISAA a prelungit-o cu doi ani, până în aprilie 2026. În aprilie 2026 nu s-a reușit o prelungire pe termen lung; au urmat două prelungiri de scurtă durată. La 12 iunie 2026, legea a expirat, pentru prima dată din 2008. Potrivit relatărilor, colectarea datelor continuă în practică, întrucât instanța FISA aprobase deja, în martie 2026, certificările anuale; acestea sunt valabile până aproximativ în martie 2027. Congresul continuă discuțiile privind o nouă prelungire în perioada de „lame duck” care a început la 9 noiembrie 2026.

Pentru alegerea dumneavoastră, aceasta înseamnă: indiferent dacă legea a expirat temporar sau nu, problema de fond nu dispare. Este foarte probabil să apară o nouă prelungire, iar competențele respective se pot întoarce sub o altă formă.

Executive Order 12333: fără judecător

Pe lângă aceste legi, există Executive Order 12333 din 1981, un decret prezidențial privind activitatea de informații. Sub incidența acestuia intră, de exemplu, interceptarea cablurilor de internet și colectarea de date în afara SUA, fără intervenția unui judecător și fără ca o companie să fie obligată să coopereze. Pentru datele care sunt criptate în timpul transmiterii, acest lucru reprezintă o problemă mai mică; pentru datele aflate la o companie americană, CLOUD Act și Secțiunea 702 sunt căile relevante.

Cât de mare este riscul în realitate?

Să fim sinceri: pentru majoritatea organizațiilor mici, șansa ca serviciile americane să fie interesate tocmai de e-mailul lor este mică. Totuși, există motive să fie luat în serios:

• Nu puteți ști. Din cauza ordinelor de confidențialitate, s-ar putea să nu aflați niciodată despre acest lucru.
• Nu sunteți singura persoană vizată. În e-mailul dumneavoastră se află date ale clienților, furnizorilor și angajaților. Trebuie să le protejați datele (lecția 1.2).
• Unele date sunt sensibile. Un cabinet de avocatură, un medic de familie, un jurnalist sau o școală au o altă evaluare de risc decât o brutărie.
• Regulile se pot schimba fără ca dumneavoastră să aveți vreun cuvânt de spus.

Brutăria Nisip are puține motive de teamă din partea unui serviciu de informații. Dar Sanne se gândește că în căsuța ei de e-mail se află și concediile medicale ale personalului. Acestea sunt date privind sănătatea, și de aceea trebuie să fie extrem de atentă.

În practică: cum arată acest lucru la un furnizor

Un furnizor european fără companie-mamă americană și fără subpersoane împuternicite americane nu intră sub incidența CLOUD Act și nu este un "furnizor" ("provider") în sensul Secțiunii 702. El poate fi în continuare obligat să coopereze cu poliția și justiția europeană, dar atunci conform dreptului european și național, cu un judecător european ca garanție de control. La WebOké, în ghidul Nextcloud se menționează că fișierele dumneavoastră nu ajung la companii cloud americane. La alți furnizori, căutați o listă cu subpersoanele împuternicite și proprietarul juridic (lecția 2.1).

Rezumat

• CLOUD Act (2018) obligă furnizorii americani să predea datele aflate sub controlul lor în baza unui ordin penal, chiar dacă acestea se află în străinătate.
• FISA Secțiunea 702 oferă serviciilor americane acces la comunicațiile persoanelor care nu sunt cetățeni americani aflate în afara SUA, în scopuri de informații, fără ordin per persoană.
• Secțiunea 702 a expirat la 12 iunie 2026, dar potrivit relatărilor colectarea continuă pe baza certificărilor din martie 2026; o nouă prelungire este în discuție.
• Un server situat în Europa nu oferă protecție dacă firma care îl operează intră sub incidența dreptului american.
• Pentru majoritatea organizațiilor, riscul este mic, dar nu poate fi exclus și nici controlat.

Quiz

Exercițiu

Exercițiul E1.3: Sub ce jurisdicție se află serviciul dumneavoastră? Alegeți cel mai important serviciu cloud al dumneavoastră. Aflați ce firmă încheie contractul cu dumneavoastră (se găsește în condiții), unde este înființată și cine este compania-mamă finală. Răspundeți: se poate aplica CLOUD Act acestui serviciu, și de ce?

Lectură suplimentară

Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori, procesul este similar.

• Manual Nextcloud 15.13: Întrebări frecvente despre securitate și confidențialitate
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) și raportul CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Regulamentul (UE) 2016/679 (GDPR), articolul 48 (ordine străine de predare a datelor)