CLOUD Act, FISA 702 a ďalšie americké zákony

Modul 1: Prečo európsky cloud? · Čas čítania: 12 minút

Cieľ lekcie: Po tejto lekcii dokážete vysvetliť, ktoré americké zákony umožňujú prístup k údajom u amerických spoločností, prečo to platí aj vtedy, keď sa údaje nachádzajú v Európe, a aký je stav vo veci k novembru 2026.

Kľúčové pojmy: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", poskytovateľ elektronickej komunikačnej služby, FISA Section 702, súd FISA (FISC), certifikácia, Executive Order 12333, príkaz na mlčanlivosť, trestné právo oproti spravodajskej činnosti

Prečo sa americké zákony týkajú európskych serverov

V lekcii 1.1 ste videli, že spoločnosť podlieha právu krajiny, v ktorej má sídlo. Pre väčšinu veľkých cloudových služieb je to Spojené štáty. V každej diskusii o európskom cloude sa objavujú dva americké zákony: CLOUD Act a Section 702 zákona FISA. Majú odlišný účel a fungujú odlišne, preto je dobré ich od seba oddeliť.

Toto je vysvetlenie, nie právne poradenstvo. Americká legislatíva a jej výklad sa menia; stav uvedený v tejto lekcii je z novembra 2026.

CLOUD Act: vyšetrovanie v trestných veciach

CLOUD Act je skratka pre Clarifying Lawful Overseas Use of Data Act. Zákon bol prijatý 23. marca 2018 ako súčasť rozsiahleho rozpočtového zákona. Podnetom bol súdny spor medzi spoločnosťou Microsoft a americkou vládou: FBI chcela e-maily podozrivého, ktoré sa nachádzali na serveri v Írsku, a Microsoft to odmietol, pretože údaje boli mimo USA. Skôr než rozhodol Najvyšší súd, Kongres prijal CLOUD Act, čím sa vec vyriešila.

Podstata je vyjadrená v jednej vete, dnes uvedenej ako 18 U.S.C. 2713. Jednoducho povedané: poskytovateľ elektronickej komunikačnej služby alebo vzdialenej úložnej služby musí uchovávať alebo vydať údaje, ktoré má vo svojej "possession, custody, or control" (držbe, úschove alebo pod kontrolou), bez ohľadu na to, či sa tieto údaje nachádzajú vnútri alebo mimo Spojených štátov.

Čo to znamená v praxi?

• Ide o trestné vyšetrovanie. Vláda musí mať súdny príkaz, napríklad warrant, rovnako ako pri údajoch v USA.
• Ide o údaje, ktoré má spoločnosť vo svojej moci. Ak sa vaša pošta nachádza u európskej dcérskej spoločnosti, ale americká materská spoločnosť sa k nej vie dostať, môže byť oslovená práve materská spoločnosť.
• Poskytovateľ môže vzniesť námietku, ak je vydanie údajov v rozpore s právom inej krajiny, ale len v určitých prípadoch (najmä pri krajinách, s ktorými majú USA osobitnú zmluvu, ako Spojené kráľovstvo a Austrália). Všeobecná zmluva medzi EÚ a USA o tomto druhu dôkazov zatiaľ neexistuje.
• Zákazník sa o tom nie vždy dozvie. Sudca môže poskytovateľovi uložiť príkaz na mlčanlivosť, takže vás nesmie upozorniť.

Proti tomu stojí GDPR (čl. 48), podľa ktorého sa zahraničný rozsudok alebo príkaz na vydanie údajov uzná len vtedy, ak existuje medzinárodná zmluva, napríklad o právnej pomoci. Americký poskytovateľ sa tak môže ocitnúť v kliešťach medzi dvoma zákonmi. Práve v tom spočíva problém: vy ako zákazník si nemôžete vybrať, ktorý zákon zvíťazí.

Výrečný moment: v júni 2025 sa vyšetrovacia komisia francúzskeho Senátu spýtala riaditeľa právneho oddelenia Microsoftu Francúzsko, či pod prísahou dokáže zaručiť, že údaje francúzskych občanov sa nikdy nevydajú americkým orgánom bez súhlasu Francúzska. Jeho odpoveď znela: "Nie, to nedokážem zaručiť." Dodal, že spoločnosť neoprávnené žiadosti napáda a že takáto žiadosť sa v praxi ešte nevyskytla. Obe časti tejto odpovede sú dôležité: riziko je malé, ale existuje, a spoločnosť ho nedokáže vylúčiť.

FISA Section 702: spravodajské informácie o cudzincoch

FISA je Foreign Intelligence Surveillance Act. Section 702 bola pridaná v roku 2008. Jej cieľom nie je vyšetrovanie trestných činov, ale zhromažďovanie zahraničných spravodajských informácií. Práve v tom spočíva zásadný rozdiel oproti CLOUD Act:

Na základe Section 702 môžu americké služby zaviazať poskytovateľov elektronických komunikačných služieb k spolupráci pri zhromažďovaní komunikácie zahraničných "cieľov". Pre Európana tu americké právo poskytuje len málo ochrany: ústavná ochrana pred domovou prehliadkou (štvrtý dodatok) sa vzťahuje najmä na Američanov. Tento program zohral kľúčovú úlohu v rozsudku Schrems II Súdneho dvora Európskej únie (lekcia 1.4).

Stav k novembru 2026

Section 702 musí Kongres pravidelne znova predlžovať. V apríli 2024 ju zákon RISAA predĺžil o dva roky, do apríla 2026. V apríli 2026 sa dlhé predĺženie nepodarilo presadiť; nasledovali dve krátke predĺženia. Dňa 12. júna 2026 zákon vypršal, po prvýkrát od roku 2008. Podľa dostupných správ zhromažďovanie v praxi pokračuje, pretože súd FISA v marci 2026 už schválil ročné certifikácie; tie platia približne do marca 2027. Kongres pokračuje v rokovaniach o novom predĺžení počas obdobia tzv. lame duck od 9. novembra 2026.

Pre vaše rozhodovanie to znamená: či už zákon dočasne vypršal, alebo nie, základný problém nezmizne. Je vysoko pravdepodobné, že príde nové predĺženie, a tieto právomoci sa môžu vrátiť v inej podobe.

Executive Order 12333: bez súdu

Okrem týchto zákonov existuje Executive Order 12333 z roku 1981, prezidentský dekrét o spravodajskej činnosti. Patrí sem napríklad odpočúvanie internetových káblov a zhromažďovanie údajov mimo USA, bez zásahu súdu a bez toho, aby spoločnosť musela spolupracovať. Pri údajoch, ktoré sú počas prenosu šifrované, to predstavuje menší problém; pri údajoch u americkej spoločnosti sú relevantnými cestami CLOUD Act a Section 702.

Aké veľké je riziko naozaj?

Úprimne povedané: pre väčšinu malých organizácií je pravdepodobnosť, že by americké služby mali záujem práve o ich poštu, malá. Napriek tomu existujú dôvody brať to vážne:

• Nemusíte sa to nikdy dozvedieť. Vďaka príkazom na mlčanlivosť sa o tom možno nikdy nedozviete.
• Nie ste jediná dotknutá osoba. Vo vašej pošte sú údaje zákazníkov, dodávateľov a zamestnancov. Ich údaje musíte chrániť (lekcia 1.2).
• Niektoré údaje sú citlivé. Advokátska kancelária, praktický lekár, novinár alebo škola majú iné zváženie rizika než pekáreň.
• Pravidlá sa môžu zmeniť, bez toho, aby ste do toho mohli akokoľvek zasiahnuť.

Pekáreň Bakkerij De Korrel sa od spravodajskej služby nemá čoho obávať. Sanne si však uvedomuje, že v jej mailovej schránke sú aj hlásenia o chorobe jej zamestnancov. To sú údaje o zdraví a s tými musí zaobchádzať obzvlášť opatrne.

V praxi: ako to vyzerá u poskytovateľa

Európsky poskytovateľ bez americkej materskej spoločnosti a bez amerických subdodávateľov (sprostredkovateľov) nespadá pod CLOUD Act a nie je "provider" v zmysle Section 702. Stále môže byť povinný spolupracovať s európskou políciou a justíciou, ale podľa európskeho a vnútroštátneho práva, pod kontrolou európskeho súdu. Pri WebOké sa v návode k Nextcloud uvádza, že vaše súbory nesmerujú k americkým cloudovým spoločnostiam. U iných poskytovateľov si overte zoznam subdodávateľov (sprostredkovateľov) a právneho vlastníka (lekcia 2.1).

Zhrnutie

• CLOUD Act (2018) zaväzuje amerických poskytovateľov vydať údaje, ktoré majú vo svojej moci, na základe trestného príkazu, aj keď sa nachádzajú v zahraničí.
• FISA Section 702 dáva americkým službám prístup ku komunikácii nie-Američanov mimo USA, na spravodajské účely, bez príkazu na osobu.
• Section 702 vypršala 12. júna 2026, ale podľa dostupných správ zhromažďovanie pokračuje na základe certifikácií z marca 2026; o novom predĺžení sa rokuje.
• Server v Európe vás nechráni, ak spoločnosť za ním podlieha americkému právu.
• Pre väčšinu organizácií je riziko malé, ale nedá sa vylúčiť ani skontrolovať.

Kvíz

Úloha

Úloha E1.3: Akému právu podlieha vaša služba? Vyberte si svoju najdôležitejšiu cloudovú službu. Zistite, ktorá spoločnosť s vami uzatvára zmluvu (uvedené v podmienkach), kde má sídlo a kto je jej konečnou materskou spoločnosťou. Odpovedzte: môže sa na túto službu vzťahovať CLOUD Act, a prečo?

Ďalšie čítanie

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 15.13: Často kladené otázky o zabezpečení a ochrane súkromia
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) a správa CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Nariadenie (EÚ) 2016/679 (GDPR), článok 48 (zahraničné príkazy na vydanie údajov)