CLOUD Act คืออะไร
Clarifying Lawful Overseas Use of Data Act (CLOUD Act) เป็นกฎหมายของสหรัฐฯ ที่ตอบคำถามข้อเดียว: หน่วยงานของสหรัฐฯ สามารถขอข้อมูลจากบริษัทสหรัฐฯ ได้หรือไม่ เมื่อข้อมูลนั้นจัดเก็บอยู่ในประเทศอื่น คำตอบคือได้
กฎหมายนี้ทำอะไร
- ที่ตั้งไม่สำคัญ ผู้ให้บริการที่อยู่ภายใต้เขตอำนาจศาลของสหรัฐฯ ต้องส่งมอบข้อมูลที่อยู่ใน "การครอบครอง การดูแล หรือการควบคุม" ของตน เมื่อได้รับกระบวนการทางกฎหมายของสหรัฐฯ ที่ถูกต้อง ไม่ว่าข้อมูลจะจัดเก็บไว้ที่ใดในโลก แหล่งที่มา: กระทรวงยุติธรรมสหรัฐฯ
- ข้อตกลงกับประเทศอื่น สหรัฐฯ สามารถลงนามข้อตกลงการเข้าถึงข้อมูลที่ให้รัฐบาลต่างประเทศที่ไว้วางใจขอข้อมูลโดยตรงจากผู้ให้บริการในสหรัฐฯ สำหรับอาชญากรรมร้ายแรง โดยไม่ต้องผ่านกระบวนการสนธิสัญญาความช่วยเหลือซึ่งกันและกันทางอาญา (MLAT) ที่ช้ากว่า แหล่งที่มา: กระทรวงยุติธรรมสหรัฐฯ
- ช่องทางในการคัดค้าน ผู้ให้บริการสามารถขอให้ศาลยกเลิกหรือแก้ไขคำขอเมื่อขัดกับกฎหมายของประเทศอื่นที่มีข้อตกลงอยู่
ข้อตกลงมีผลบังคับใช้แล้วกับสหราชอาณาจักรและออสเตรเลีย มีการประกาศเจรจากับแคนาดาและสหภาพยุโรป แหล่งที่มา: กระทรวงยุติธรรมสหรัฐฯ
สิ่งที่กฎหมายนี้ไม่ได้ทำ
- ไม่ได้สร้างอำนาจการสอดแนมใหม่หรือยกเลิกความจำเป็นในการมีหมายค้น หน่วยงานของสหรัฐฯ ยังต้องมีกระบวนการทางกฎหมายที่ถูกต้อง และเนื้อหาการสื่อสารโดยทั่วไปต้องใช้หมายค้น
- ไม่ได้บังคับให้ผู้ให้บริการถอดรหัสข้อมูลที่ตนถอดรหัสไม่ได้ กฎหมายครอบคลุมข้อมูลที่ผู้ให้บริการมีอยู่ ข้อมูลที่เข้ารหัสด้วยกุญแจที่มีเพียงผู้ใช้ถือไว้ยังคงถูกเข้ารหัสอยู่
- ไม่ได้ใช้เฉพาะกับศูนย์ข้อมูลในสหรัฐฯ การเลือกที่ตั้งเซิร์ฟเวอร์ในยุโรปไม่ช่วยอะไร หากบริษัทที่ดำเนินการอยู่ภายใต้เขตอำนาจศาลของสหรัฐฯ
ใครได้รับผลกระทบ
ทุกบริษัทที่อยู่ภายใต้เขตอำนาจศาลของสหรัฐฯ: Google, Microsoft, Apple, Amazon, Cloudflare และบริการขนาดเล็กในสหรัฐฯ รวมถึง Forward Email ดูบริการที่ได้รับการประเมินทั้งหมดที่ตั้งอยู่ในสหรัฐอเมริกา
กฎหมายนี้ยังเข้าถึงบริการนอกสหรัฐฯ ที่จัดเก็บข้อมูลกับผู้ให้บริการคลาวด์ในสหรัฐฯ ได้ด้วย เนื่องจากผู้ให้บริการคลาวด์เองสามารถได้รับคำขอได้ นี่คือเหตุผลที่คำถามที่มีประโยชน์ไม่ได้มีเพียง "บริษัทอยู่ที่ไหน" แต่รวมถึง "มีข้อมูลอะไรอยู่ และใครถือกุญแจ"
เหตุใดการเข้ารหัสและการเก็บข้อมูลให้น้อยที่สุดจึงสำคัญกว่าที่ตั้ง
กฎหมายเปลี่ยนแปลงได้ และทุกประเทศมีวิธีบังคับเอาข้อมูล สิ่งที่สำคัญที่สุดคือสิ่งที่ผู้ให้บริการสามารถส่งมอบได้:
| สถานการณ์ | สิ่งที่คำขอเข้าถึงได้ |
|---|---|
| อีเมลจัดเก็บเป็นข้อความธรรมดา | ทุกอย่างในกล่องจดหมาย |
| อีเมลเข้ารหัสขณะจัดเก็บด้วยกุญแจที่ผู้ให้บริการถือไว้ | ทุกอย่าง เพราะผู้ให้บริการถอดรหัสได้ |
| อีเมลเข้ารหัสด้วยกุญแจที่สร้างจากรหัสผ่านของผู้ใช้ | รายละเอียดบัญชีและข้อมูลการเชื่อมต่อ ไม่ใช่เนื้อหาข้อความ |
| ไม่เก็บบันทึก | ไม่มีข้อมูลใดเกี่ยวกับกิจกรรม |
ตัวอย่างจริง:
- Proton (สวิตเซอร์แลนด์ อยู่นอกข้อตกลงกลุ่ม Eyes ทั้งหมด) ปฏิบัติตามคำสั่งทางกฎหมายของสวิส 8,313 ฉบับจาก 9,301 ฉบับในรายงานประจำปีล่าสุด โดยให้ข้อมูลบัญชีที่ตนถือไว้ แหล่งที่มา: รายงานความโปร่งใสของ Proton
- Proton VPN (บริษัทเดียวกัน ประเทศเดียวกัน) ไม่ได้ปฏิบัติตามคำสั่งใดเลย เพราะไม่เก็บบันทึก แหล่งที่มา: รายงานความโปร่งใสของ Proton
- Tuta (เยอรมนี) อาจถูกผู้พิพากษาเยอรมันสั่งให้ส่งมอบกล่องจดหมายหรือตรวจสอบแบบเรียลไทม์ อีเมลที่เข้ารหัสแบบต้นทางถึงปลายทางยังคงถูกเข้ารหัสอยู่ แหล่งที่มา: รายงานความโปร่งใสของ Tuta
บริษัทเดียวกันในประเทศเดียวกันได้ผลลัพธ์ที่แตกต่างกันมาก ขึ้นอยู่กับว่ามีข้อมูลอะไรอยู่ นี่คือเหตุผลที่ Privacy Ratings แสดงเขตอำนาจศาลในทุกหน้า แต่ให้คะแนนตามสิ่งที่ผู้ให้บริการทำจริง ดูวิธีจัดการเรื่องเขตอำนาจศาล
CLOUD Act มีผลต่อ Forward Email อย่างไร
Forward Email ตั้งอยู่ในสหรัฐอเมริกาและอยู่ภายใต้ CLOUD Act เอกสารทางเทคนิคของบริษัทอธิบายว่าการออกแบบจำกัดสิ่งที่คำขออาจเข้าถึงได้อย่างไร:
- กล่องจดหมายที่เข้ารหัส กล่องจดหมายแต่ละกล่องเป็นไฟล์ SQLite ที่เข้ารหัสแยกกัน เอกสารทางเทคนิคระบุว่า Forward Email ไม่สามารถเข้าถึงเนื้อหาข้อความได้
- ไม่บันทึกเนื้อหาหรือเมทาดาทาของอีเมลลงดิสก์ Forward Email ไม่เก็บบันทึกว่าผู้ใช้เขียนถึงใคร
- ข้อมูลที่จำกัด สิ่งที่อาจถูกเปิดเผยคือข้อมูลบัญชีพื้นฐาน (เช่น ที่อยู่อีเมลของบัญชี วันที่ลงทะเบียน และรายละเอียดการชำระเงิน) และบันทึกที่อยู่ IP แบบจำกัดที่อาจเก็บไว้ชั่วคราวเพื่อความปลอดภัยและการป้องกันการละเมิด
- เฉพาะกระบวนการทางกฎหมายที่ถูกต้อง คำขอต้องมีหมายเรียก คำสั่งศาล หรือหมายค้น คำขอจากนอกสหรัฐฯ ต้องผ่านศาลสหรัฐฯ สนธิสัญญาความช่วยเหลือซึ่งกันและกันทางอาญา หรือข้อตกลงตาม CLOUD Act ที่เป็นไปตามข้อกำหนดทางกฎหมายของสหรัฐฯ
- การแจ้งและการคัดค้าน ผู้ใช้จะได้รับแจ้งเมื่อกฎหมายอนุญาต และคำขอที่กว้างเกินไปจะถูกคัดค้าน
Forward Email ดูแล Privacy Ratings ผลการประเมินของ Forward Email ใช้เกณฑ์เดียวกับผู้ให้บริการรายอื่นทั้งหมด ดูผลการประเมินของ Forward Email และกฎธรรมาภิบาล