ما هو قانون CLOUD Act؟
قانون توضيح الاستخدام المشروع للبيانات في الخارج (CLOUD Act) قانون أمريكي يتيح للسلطات الأمريكية الحصول على بيانات من شركة أمريكية عندما تكون تلك البيانات مخزّنة في دولة أخرى.
ماذا يفعل
- الموقع لا يهم. يجب على المزوّد الخاضع للولاية القضائية الأمريكية تسليم البيانات التي في "حيازته أو عهدته أو سيطرته" استجابةً لإجراء قانوني أمريكي صالح، أينما كانت البيانات مخزّنة في العالم. المصدر: وزارة العدل الأمريكية
- اتفاقيات مع دول أخرى. يمكن للولايات المتحدة توقيع اتفاقيات للوصول إلى البيانات تتيح لحكومات أجنبية موثوقة طلب البيانات مباشرة من المزوّدين الأمريكيين في الجرائم الخطيرة، دون المرور بإجراءات معاهدات المساعدة القانونية المتبادلة (MLAT) الأبطأ. المصدر: وزارة العدل الأمريكية
- وسيلة للاعتراض. يمكن للمزوّدين أن يطلبوا من المحكمة إلغاء طلب أو تعديله عندما يتعارض مع قوانين دولة أخرى لديها اتفاقية سارية.
الاتفاقيات سارية مع المملكة المتحدة وأستراليا. وأُعلن عن مفاوضات مع كندا والاتحاد الأوروبي. المصدر: وزارة العدل الأمريكية
ما لا يفعله
- لا يُنشئ صلاحيات مراقبة جديدة ولا يلغي الحاجة إلى أمر قضائي. فالسلطات الأمريكية ما زالت تحتاج إلى إجراء قانوني صالح، ويحتاج محتوى الاتصالات عمومًا إلى أمر تفتيش.
- لا يُجبر المزوّد على فك تشفير بيانات لا يستطيع فك تشفيرها. فهو يشمل البيانات التي يملكها المزوّد. والبيانات المشفّرة بمفاتيح لا يملكها سوى المستخدم تبقى مشفّرة.
- لا ينطبق على مراكز البيانات الأمريكية فقط. فاختيار موقع خادم أوروبي لا يفيد إذا كانت الشركة التي تشغّله خاضعة للولاية القضائية الأمريكية.
من يطاله
كل شركة خاضعة للولاية القضائية الأمريكية: Google وMicrosoft وApple وAmazon وCloudflare، والخدمات الأمريكية الأصغر، ومنها Forward Email. راجع كل الخدمات المُقيَّمة التي يقع مقرها في الولايات المتحدة.
ويمكن أن يطال أيضًا الخدمات غير الأمريكية التي تخزّن البيانات لدى مزوّدي سحابة أمريكيين، لأن مزوّد السحابة نفسه قد يتلقى طلبًا. لذا فالأسئلة المفيدة هي: أين مقر الشركة، وما البيانات الموجودة، ومن يملك المفاتيح.
لماذا يهم التشفير وتقليل البيانات أكثر من الموقع
تتغير القوانين، ولكل دولة وسيلة لإلزام الشركات بتسليم البيانات. والعامل الحاسم هو ما يستطيع المزوّد تسليمه:
| الحالة | ما يمكن أن يطاله الطلب |
|---|---|
| بريد مخزّن بنص واضح | كل ما في صندوق البريد |
| بريد مشفّر أثناء التخزين بمفاتيح يملكها المزوّد | كل شيء، لأن المزوّد يستطيع فك تشفيره |
| بريد مشفّر بمفاتيح مشتقة من كلمة مرور المستخدم | بيانات الحساب وبيانات الاتصال، لا محتوى الرسائل |
| لا تُحفظ سجلات | لا شيء عن النشاط |
أمثلة:
- Proton (سويسرا، خارج كل ترتيبات العيون) امتثلت لـ 8,313 من أصل 9,301 أمر قانوني سويسري في أحدث تقرير سنوي لها، وقدّمت معلومات الحسابات التي تملكها. المصدر: تقرير الشفافية من Proton
- Proton VPN (الشركة نفسها، الدولة نفسها) لم تمتثل لأي أمر، لأنها لا تحتفظ بسجلات. المصدر: تقرير الشفافية من Proton
- Tuta (ألمانيا) يمكن أن يأمرها قاضٍ ألماني بتسليم صناديق البريد أو مراقبتها في الوقت الفعلي. ويبقى البريد المشفّر من طرف إلى طرف مشفّرًا. المصدر: تقرير الشفافية من Tuta
الشركة نفسها في الدولة نفسها تحصل على نتائج مختلفة بحسب البيانات الموجودة. ولهذا السبب يعرض Privacy Ratings الولاية القضائية في كل تقييم ويحتسب ما يفعله المزوّدون. راجع كيف يُتعامل مع الولاية القضائية.
كيف ينطبق قانون CLOUD Act على Forward Email
يقع مقر Forward Email في الولايات المتحدة، وهو خاضع لقانون CLOUD Act. وتصف ورقته البيضاء التقنية كيف يحدّ تصميمه مما يمكن أن يطاله الطلب:
- صناديق بريد مشفّرة. كل صندوق بريد ملف SQLite مشفّر بشكل مستقل. وتذكر الورقة البيضاء أن Forward Email لا يستطيع الوصول إلى محتوى الرسائل.
- لا تسجيل لمحتوى البريد أو بياناته الوصفية على القرص. لا يحتفظ Forward Email بسجلات عمّن يراسلهم المستخدمون.
- بيانات محدودة. ما يمكن الإفصاح عنه هو معلومات الحساب الأساسية (مثل عنوان البريد الإلكتروني للحساب وتاريخ التسجيل وبيانات الدفع) وسجلات محدودة لعناوين IP قد تُحفظ مؤقتًا لأغراض الأمان ومنع إساءة الاستخدام.
- إجراء قانوني صالح فقط. تحتاج الطلبات إلى أمر استدعاء أو أمر محكمة أو أمر تفتيش. ويجب أن تأتي الطلبات من خارج الولايات المتحدة عبر محكمة أمريكية، أو معاهدة مساعدة قانونية متبادلة، أو اتفاقية بموجب CLOUD Act تستوفي المتطلبات القانونية الأمريكية.
- الإبلاغ والاعتراض. يُبلغ Forward Email المستخدمين متى سمح القانون بذلك، ويعترض على الطلبات المفرطة في اتساعها.
يتولى Forward Email صيانة Privacy Ratings. ويستخدم تقييمه المعايير نفسها المطبقة على كل مزوّد آخر. راجع تقييم Forward Email وقواعد الحوكمة.