European Trusted Cloud skulle i verkligheten fortfarande omfattas av amerikanska lagar

Det var på begäran av det nederländska justitieministeriet som ett av de största amerikanska företagen bekräftade, i en studie som offentliggjordes under sommaren, att EU:s enheter fortfarande omfattas av den amerikanska molnlagen, vilket bröt lite mot löftet från franska regeringen.

I en tid då europeiska ledare, inklusive den franska regeringen, hyllar principen om framtida betrodda Cloud-erbjudanden som S3ns-förslagen från Google och Thalès och Bleu från Microsoft, Orange och Capgemini, är studien publicerad av de amerikanska advokaterna Greenberg Traurig LLP, sägs vara en av de mest kända i världen, är uppenbarligen perfekt. Dess huvudsakliga slutsats är att förklara för de nederländska myndigheterna, som ville vara tydliga, att även europeiska enheter baserade utanför USA fortsätter att vara potentiellt föremål för amerikanska lagar som Cloud Act.

Under vissa omständigheter och trots GDPR förblir europeiska enheter underkastade den amerikanska molnlagen

Först och främst, låt oss komma ihåg vad Cloud Act är. de Förtydligande av Lawfly Overseas Use of Data Acti sitt ursprungliga namn, är en amerikansk federal text som gäller sedan 23 mars 2018 som vi redan har talat om flera gånger på Clubic. Det har kommit för att uppdatera den rättsliga ramen för rättsliga förfrågningar om uppgifter som innehas av leverantörer av kommunikationstjänster. Med andra ord är vissa kommersiella molnleverantörer (Google, Microsoft, Amazon och andra) skyldiga att överföra personuppgifter till amerikanska offentliga myndigheter, i motsats till den europeiska GDPR. Men studien går längre än bara amerikanska företag.

Vid frågan” ange om en enhet inom EU omfattas av Cloud Act, även om enheten inte är belägen i USA frågade av de nederländska myndigheterna, svarar företaget Greenberg Traurig jakande.

” Ja, under vissa omständigheter kan en EU-enhet, oavsett om en leverantör av elektroniska kommunikationstjänster eller fjärrdatortjänster, som inte är belägen i USA, fortfarande omfattas av Cloud Act om EU-enheten har tillräcklig kontakt med USA för personlig jurisdiktion som ska utövas över EU-enheten ” förklarar företaget.

För att avgöra om en EU-enhet som inte är baserad i USA faller inom tillämpningsområdet för Cloud Act måste man först överväga vilken typ av order som utfärdats, de specifika fakta och omständigheter. Advokater påpekar att amerikansk rättvisa endast kan utfärda ett beslut om dataåtkomst om det visar att den begärda kommunikationen verkligen kommer att bevisa ett brott. Och som företaget Greenberg Traurig förklarade måste företaget ha en kontinuerlig och systematisk närvaro i USA.

Ett europeiskt företag som tillhandahåller tjänster i USA kan falla under Cloud Act

Så i motsats till vad europeiska regeringar, inklusive Frankrikes, hävdar, är det inte bara amerikanska företag som finns i Europa som kan omfattas av Cloud Act. Så länge en EU-enhet som inte är belägen i USA erbjuder tjänster eller produkter i det landet, ja, det kan mycket väl omfattas av den amerikanska texten. Operatörer av vital betydelse (OIV), vars officiella lista inte är känd men som samlar organisationer som anses vara avgörande för nationens överlevnad; men även operatörer av väsentliga tjänster (energisektorn inkluderar till exempel några) och förvaltningar, inbjudna på grund av deras känslighet att prenumerera på betrodda molnerbjudanden, löper därför en risk. Och detta när löftet om skydd av data och deras överföring inte är helt säkerställt.

Utöver Cloud Act kan andra amerikanska lagar påverka europeiska företag och tillåta den amerikanska regeringen eller domstolar att söka tillgång till data som lagras av en EU-enhet inom själva området. Men då skulle EU-enheten i så fall ha förmågan, enligt Greenberg Traurig, att lämna in en yrkande om att upphäva eller ändra ett beslut på jurisdiktionsskäl.

En match långt ifrån vunnen

Andra frågor som ställts till företaget inkluderar huruvida USA kan erhålla data från ett företag i EU som det inte har någon laglig makt över, genom att beordra en amerikansk medborgare som har tillgång till data från utlandet att överföra dem till sitt land, allt enligt molnlagen.

” I teorin är svaret “nej”, men i praktiken är det troligen “ja” han svarar. Eftersom en ändring som bifogas molnlagen specificerar att tjänsteleverantörer måste lämna ut data, oavsett var de lagrar dem. För att få dessa uppgifter skickar den amerikanska rättvisan helt enkelt sin nationella en kallelse att infinna sig. Om han får dåligt råd och han vill skydda sig kommer han inte att motsätta sig det, även om han i praktiken kan göra det. ” I händelse av att den amerikanska personen inte har invänt mot stämningen eller underlåtit att invända, kan den amerikanska personen inte skilja mellan lokalt registrerad information och information tillgänglig på distans. “.

Molnlagen och allt runt omkring utgör därför en stor myrstack uppbyggd av principer och undantag som bara förstärker vagheten kring förtroendemolnet. Trenden idag verkar vara “om USA vill ha en bit data kan de få det”. Exemplet med Microsoft är slående. Företaget kan skydda sig mot Cloud Act genom att kryptera data, men det använder Cisco-routrar. Cisco (som har tillgång till data från EU-kunder och registrerade) och myndigheter skulle därför kunna komma åt data via dessa routrar. Det kommer därför att krävas mer för att lugna varandra.

Källa: NCSC, Galleriet