Що таке CLOUD Act?
Clarifying Lawful Overseas Use of Data Act (CLOUD Act) — це закон США, що відповідає на одне запитання: чи можуть американські органи отримати дані від американської компанії, якщо ці дані зберігаються в іншій країні? Відповідь — так.
Що він робить
- Розташування не має значення. Постачальник, що перебуває під юрисдикцією США, повинен передати дані, які перебувають у його «володінні, зберіганні або під контролем», у відповідь на законний правовий запит США, незалежно від того, де у світі ці дані зберігаються. Джерело: Міністерство юстиції США
- Угоди з іншими країнами. США можуть укладати угоди про доступ до даних, які дозволяють довіреним іноземним урядам запитувати дані безпосередньо в американських постачальників у справах про тяжкі злочини, без повільнішої процедури договорів про взаємну правову допомогу (MLAT). Джерело: Міністерство юстиції США
- Можливість заперечити. Постачальники можуть просити суд скасувати або змінити запит, якщо він суперечить законам іншої країни, з якою діє угода.
Угоди діють із Великою Британією та Австралією. Оголошено переговори з Канадою та Європейським Союзом. Джерело: Міністерство юстиції США
Чого він не робить
- Він не створює нових повноважень для стеження і не скасовує потреби в ордері. Американським органам усе одно потрібен законний правовий запит, а для доступу до вмісту комунікацій зазвичай потрібен ордер на обшук.
- Він не змушує постачальника розшифровувати дані, які той не може розшифрувати. Він охоплює дані, які має постачальник. Дані, зашифровані ключами, що є лише в користувача, залишаються зашифрованими.
- Він стосується не лише центрів обробки даних у США. Вибір сервера в Європі не допоможе, якщо компанія, що ним керує, перебуває під юрисдикцією США.
Кого він стосується
Кожної компанії під юрисдикцією США: Google, Microsoft, Apple, Amazon, Cloudflare і менших американських сервісів, зокрема Forward Email. Див. усі оцінені сервіси, розташовані в США.
Він також може поширюватися на неамериканські сервіси, що зберігають дані в американських хмарних постачальників, оскільки запит може отримати сам хмарний постачальник. Тому корисне запитання не лише «де розташована компанія?», а й «які дані існують і в кого ключі?»
Чому шифрування та мінімум даних важливіші за розташування
Закони змінюються, і кожна країна має спосіб примусити передати дані. Найважливіше — що постачальник може передати:
| Ситуація | Що може охопити запит |
|---|---|
| Пошта зберігається у відкритому вигляді | Усе в поштовій скриньці |
| Пошта зашифрована під час зберігання ключами постачальника | Усе, бо постачальник може її розшифрувати |
| Пошта зашифрована ключами, отриманими з пароля користувача | Дані облікового запису та з’єднань, але не вміст повідомлень |
| Журнали не ведуться | Нічого про активність |
Реальні приклади:
- Proton (Швейцарія, поза всіма альянсами Eyes) виконав 8 313 із 9 301 швейцарської правової постанови за даними свого останнього річного звіту, надавши наявну в нього інформацію про облікові записи. Джерело: звіт про прозорість Proton
- Proton VPN (та сама компанія, та сама країна) не виконав жодної, бо не веде журналів. Джерело: звіт про прозорість Proton
- Tuta (Німеччина) німецький суддя може зобов’язати передати поштові скриньки або стежити за ними в реальному часі. Пошта з наскрізним шифруванням залишається зашифрованою. Джерело: звіт про прозорість Tuta
Та сама компанія в тій самій країні отримує дуже різні результати залежно від того, які дані існують. Саме тому Privacy Ratings показує юрисдикцію на кожній сторінці, але оцінює те, що постачальники роблять насправді. Див. як враховується юрисдикція.
Як CLOUD Act стосується Forward Email
Forward Email розташований у США й підпадає під дію CLOUD Act. Його технічний документ описує, як архітектура обмежує те, що може охопити запит:
- Зашифровані поштові скриньки. Кожна поштова скринька — окремо зашифрований файл SQLite. У технічному документі зазначено, що Forward Email не має доступу до вмісту повідомлень.
- Без запису вмісту чи метаданих пошти в журнали на диску. Forward Email не веде записів про те, кому пишуть користувачі.
- Обмежені дані. Розкрити можна базову інформацію облікового запису (як-от адресу пошти облікового запису, дату реєстрації та платіжні дані) та обмежені журнали IP-адрес, які можуть тимчасово зберігатися для безпеки та запобігання зловживанням.
- Лише законний правовий запит. Запити потребують судової повістки, судового рішення або ордера на обшук. Запити з-поза меж США мають надходити через суд США, договір про взаємну правову допомогу або угоду за CLOUD Act, що відповідає правовим вимогам США.
- Повідомлення та оскарження. Користувачів повідомляють, коли це дозволяє закон, а надто широкі запити оскаржуються.
Forward Email супроводжує Privacy Ratings. Його рейтинг використовує ті самі критерії, що й для кожного іншого постачальника. Див. рейтинг Forward Email і правила управління.