Что такое CLOUD Act?
Clarifying Lawful Overseas Use of Data Act (CLOUD Act) — закон США, отвечающий на один вопрос: могут ли власти США получить данные от американской компании, если эти данные хранятся в другой стране? Ответ — да.
Что он делает
- Местоположение не имеет значения. Провайдер, подпадающий под юрисдикцию США, обязан передавать данные, находящиеся в его «владении, хранении или под его контролем», в ответ на законный судебный запрос США, где бы в мире эти данные ни хранились. Источник: Министерство юстиции США
- Соглашения с другими странами. США могут заключать соглашения о доступе к данным, которые позволяют доверенным иностранным правительствам запрашивать данные напрямую у американских провайдеров по делам о тяжких преступлениях, минуя более медленную процедуру договоров о взаимной правовой помощи (MLAT). Источник: Министерство юстиции США
- Возможность возразить. Провайдеры могут попросить суд отменить или изменить запрос, если он противоречит законам другой страны, с которой заключено соглашение.
Соглашения действуют с Великобританией и Австралией. Объявлено о переговорах с Канадой и Европейским союзом. Источник: Министерство юстиции США
Чего он не делает
- Он не создаёт новых полномочий по слежке и не отменяет необходимость ордера. Властям США по-прежнему нужен законный судебный запрос, а для доступа к содержимому сообщений, как правило, нужен ордер на обыск.
- Он не обязывает провайдера расшифровывать данные, которые тот не может расшифровать. Он распространяется на данные, которые есть у провайдера. Данные, зашифрованные ключами, которые есть только у пользователя, остаются зашифрованными.
- Он применяется не только к дата-центрам в США. Выбор сервера в Европе не поможет, если управляющая им компания подпадает под юрисдикцию США.
Кого он затрагивает
Каждую компанию, подпадающую под юрисдикцию США: Google, Microsoft, Apple, Amazon, Cloudflare и небольшие американские сервисы, включая Forward Email. Смотрите все сервисы в рейтинге, находящиеся в США.
Он также может затронуть неамериканские сервисы, хранящие данные у американских облачных провайдеров, поскольку запрос может получить сам облачный провайдер. Поэтому полезно спрашивать не только «где находится компания?», но и «какие данные существуют и у кого ключи?»
Почему шифрование и минимум данных важнее местоположения
Законы меняются, и в каждой стране есть способ принудить к передаче данных. Важнее всего то, что провайдер может передать:
| Ситуация | Что может получить запрос |
|---|---|
| Почта хранится в открытом виде | Всё содержимое почтового ящика |
| Почта зашифрована при хранении ключами провайдера | Всё, потому что провайдер может её расшифровать |
| Почта зашифрована ключами, полученными из пароля пользователя | Данные аккаунта и подключений, но не содержимое писем |
| Журналы не ведутся | Ничего об активности |
Реальные примеры:
- Proton (Швейцария, вне всех альянсов Eyes) выполнил 8313 из 9301 швейцарского судебного постановления согласно своему последнему годовому отчёту, предоставив имеющуюся у него информацию об аккаунтах. Источник: отчёт о прозрачности Proton
- Proton VPN (та же компания, та же страна) не выполнил ни одного, потому что не ведёт журналов. Источник: отчёт о прозрачности Proton
- Tuta (Германия) по постановлению немецкого судьи может быть обязана передать почтовые ящики или вести их мониторинг в реальном времени. Почта со сквозным шифрованием остаётся зашифрованной. Источник: отчёт о прозрачности Tuta
Одна и та же компания в одной и той же стране даёт совершенно разные результаты в зависимости от того, какие данные существуют. Поэтому Privacy Ratings показывает юрисдикцию на каждой странице, но оценивает то, что провайдеры делают на самом деле. Смотрите, как учитывается юрисдикция.
Как CLOUD Act применяется к Forward Email
Forward Email находится в США и подпадает под действие CLOUD Act. Его технический документ описывает, как архитектура сервиса ограничивает то, что может получить запрос:
- Зашифрованные почтовые ящики. Каждый почтовый ящик — это отдельно зашифрованный файл SQLite. В документе указано, что Forward Email не имеет доступа к содержимому писем.
- Содержимое и метаданные писем не записываются в журналы на диске. Forward Email не хранит записи о том, кому пишут пользователи.
- Ограниченный объём данных. Раскрыть можно базовую информацию об аккаунте (например, адрес почты аккаунта, дату регистрации и платёжные данные) и ограниченные журналы IP-адресов, которые могут временно храниться для обеспечения безопасности и предотвращения злоупотреблений.
- Только законный судебный запрос. Для запроса нужна повестка, судебное постановление или ордер на обыск. Запросы из-за пределов США должны поступать через суд США, договор о взаимной правовой помощи или соглашение по CLOUD Act, отвечающее правовым требованиям США.
- Уведомление и оспаривание. Пользователи уведомляются, когда это разрешено законом, а чрезмерно широкие запросы оспариваются.
Forward Email сопровождает Privacy Ratings. Его рейтинг использует те же критерии, что и для любого другого провайдера. Смотрите рейтинг Forward Email и правила управления.