CLOUD Act, FISA 702 i drugi američki zakoni

Modul 1: Zašto europski cloud? · Vrijeme čitanja: 12 minuta

Cilj učenja: Nakon ove lekcije moći ćete objasniti koji američki zakoni omogućuju pristup podacima kod američkih tvrtki, zašto to vrijedi i kad su podaci smješteni u Europi, te kakvo je stanje u studenome 2026.

Ključni pojmovi: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", pružatelj elektroničke komunikacijske usluge, FISA Section 702, sud FISA (FISC), certifikacija, Executive Order 12333, nalog za tajnost, kazneno pravo nasuprot obavještajnom radu

Zašto se američki zakoni odnose na europske poslužitelje

U lekciji 1.1 vidjeli ste da tvrtka podliježe pravu zemlje u kojoj ima sjedište. Za većinu velikih cloud usluga to su Sjedinjene Američke Države. Dva američka zakona stalno se spominju u svakoj raspravi o europskom oblaku: CLOUD Act i Section 702 FISA zakona. Imaju različitu svrhu i funkcioniraju drugačije, pa ih je dobro razlikovati.

Ovo je objašnjenje, a ne pravni savjet. Američko zakonodavstvo i njegovo tumačenje se mijenjaju; stanje opisano u ovoj lekciji odnosi se na studeni 2026.

CLOUD Act: istraga u kaznenim predmetima

CLOUD Act je skraćenica za Clarifying Lawful Overseas Use of Data Act. Zakon je usvojen 23. ožujka 2018. kao dio velikog proračunskog zakona. Povod je bio sudski spor između Microsofta i američke vlade: FBI je htio e-poštu osumnjičenika koja se nalazila na poslužitelju u Irskoj, a Microsoft je to odbio jer su se podaci nalazili izvan SAD-a. Prije nego što je Vrhovni sud donio presudu, Kongres je donio CLOUD Act, čime je slučaj riješen.

Srž zakona nalazi se u jednoj rečenici, danas poznatoj kao 18 U.S.C. 2713. Jednostavnim riječima: pružatelj elektroničke komunikacijske usluge ili usluge udaljene pohrane mora sačuvati ili predati podatke koji se nalaze u njegovom "possession, custody, or control" (posjedu, skrbništvu ili pod njegovom kontrolom), bez obzira nalaze li se ti podaci unutar ili izvan Sjedinjenih Američkih Država.

Što to znači u praksi?

• Riječ je o kaznenoj istrazi. Vlada mora imati sudski nalog, poput warranta, baš kao i za podatke unutar SAD-a.
• Riječ je o podacima koje tvrtka ima pod svojom kontrolom. Ako se Vaša e-pošta nalazi kod europske podružnice, ali joj američko matično društvo može pristupiti, matično društvo se može pozvati na odgovornost.
• Pružatelj usluge može uložiti prigovor ako je predaja podataka u sukobu s pravom druge zemlje, ali samo u određenim slučajevima (ponajprije kod zemalja s kojima SAD ima poseban sporazum, poput Ujedinjenog Kraljevstva i Australije). Opći sporazum između EU-a i SAD-a o ovakvoj vrsti dokaza još ne postoji.
• Klijent o tome ne mora uvijek biti obaviješten. Sudac može pružatelju usluge izdati nalog za tajnost, zbog čega Vas on ne smije upozoriti.

Nasuprot tome, GDPR (čl. 48) propisuje da se strana presuda ili nalog za predaju podataka priznaje samo ako postoji sporazum, poput ugovora o pravnoj pomoći. Američki pružatelj usluge tako se može naći u procjepu između dva zakona. Upravo je to problem: Vi kao klijent ne možete birati koji zakon prevladava.

Jedan znakovit trenutak: u lipnju 2025. istražno povjerenstvo francuskog Senata pitalo je direktora pravnih poslova Microsofta Francuska može li pod prisegom jamčiti da se podaci francuskih građana nikada neće predati američkim tijelima bez odobrenja Francuske. Njegov odgovor: "Ne, to ne mogu jamčiti." Dodao je da tvrtka osporava neopravdane zahtjeve i da se takav zahtjev u praksi još nije dogodio. Oba dijela tog odgovora su važna: rizik je malen, ali postoji, i tvrtka ga ne može isključiti.

FISA Section 702: obavještajni podaci o stranim državljanima

FISA je Foreign Intelligence Surveillance Act. Section 702 dodana je 2008. godine. Cilj nije istraga kaznenih djela, nego prikupljanje stranih obavještajnih podataka. Tu je velika razlika u odnosu na CLOUD Act:

Prema Section 702, američke službe mogu obvezati pružatelje elektroničkih komunikacijskih usluga na suradnju pri prikupljanju komunikacije stranih "ciljeva" (targets). Za Europljanina američko pravo ovdje pruža malo zaštite: ustavna zaštita od pretresa (Četvrti amandman) prvenstveno vrijedi za Amerikance. Ovaj je program imao glavnu ulogu u presudi Schrems II Suda Europske unije (lekcija 1.4).

Stanje u studenome 2026

Section 702 mora iznova produžavati Kongres. U travnju 2024. zakon RISAA produžio ju je za dvije godine, do travnja 2026. U travnju 2026. nije uspjelo dugoročno produženje; uslijedila su dva kratka produženja. Dana 12. lipnja 2026. zakon je istekao, prvi put od 2008. godine. Prema izvještajima, prikupljanje podataka se u praksi nastavlja jer je sud FISA u ožujku 2026. već odobrio godišnje certifikacije koje vrijede otprilike do ožujka 2027. Kongres u razdoblju tzv. lame duck sjednice, od 9. studenog 2026., nastavlja raspravu o novom produženju.

Za Vaš izbor to znači sljedeće: bez obzira je li zakon trenutno istekao ili ne, osnovni se problem ne gubi. Velika je vjerojatnost da će doći do novog produženja, a ovlasti se mogu vratiti u drugačijem obliku.

Executive Order 12333: bez suca

Uz ove zakone postoji i Executive Order 12333 iz 1981., predsjednička uredba o obavještajnom radu. Pod njom spadaju, primjerice, prisluškivanje internetskih kabela i prikupljanje podataka izvan SAD-a, bez uključivanja suca i bez obveze suradnje tvrtke. Za podatke koji su šifrirani tijekom prijenosa to predstavlja manji problem; za podatke kod američke tvrtke relevantni su CLOUD Act i Section 702.

Koliko je rizik zaista velik?

Budimo iskreni: za većinu malih organizacija vjerojatnost da će američke službe baš njihovu e-poštu smatrati zanimljivom je mala. Ipak postoje razlozi da se to shvati ozbiljno:

• Ne znate to. Zbog naloga za tajnost možda nikada nećete saznati za to.
• Niste jedini ispitanik. U Vašoj se e-pošti nalaze podaci klijenata, dobavljača i zaposlenika. Vi morate štititi njihove podatke (lekcija 1.2).
• Neki podaci su osjetljivi. Odvjetnički ured, liječnik opće prakse, novinar ili škola imaju drugačiju procjenu rizika nego pekara.
• Pravila se mogu promijeniti, a da Vi na to nemate nikakav utjecaj.

Bakkerij De Korrel ima malo razloga za strah od obavještajne službe. No Sanne se sjeti da se u njezinom poštanskom sandučiću nalaze i bolovanja njezinih zaposlenika. To su zdravstveni podaci, s kojima mora postupati s posebnom pažnjom.

U praksi: kako to izgleda kod pružatelja usluge

Europski pružatelj usluge bez američkog matičnog društva i bez američkih podizvršitelja obrade ne podliježe CLOUD Actu i nije "provider" u smislu Section 702. On i dalje može biti obvezan surađivati s europskom policijom i pravosuđem, ali tada prema europskom i nacionalnom pravu, uz europskog suca kao nadzor. Kod WebOkéa u uputama za Nextcloud stoji da Vaše datoteke ne odlaze američkim cloud tvrtkama. Kod drugih pružatelja usluga potražite popis podizvršitelja obrade i pravnog vlasnika (lekcija 2.1).

Sažetak

• CLOUD Act (2018.) obvezuje američke pružatelje usluga na predaju podataka pod njihovom kontrolom na temelju kaznenog naloga, čak i ako se ti podaci nalaze u inozemstvu.
• FISA Section 702 omogućuje američkim službama pristup komunikaciji osoba koje nisu Amerikanci, izvan SAD-a, u obavještajne svrhe, bez naloga po pojedinoj osobi.
• Section 702 istekla je 12. lipnja 2026., no prema izvještajima prikupljanje se nastavlja na temelju certifikacija iz ožujka 2026.; novo produženje je u raspravi.
• Poslužitelj u Europi ne štiti ako tvrtka iza njega podliježe američkom pravu.
• Rizik je za većinu organizacija malen, ali se ne može isključiti niti nadzirati.

Kviz

Zadatak

Zadatak E1.3: Pod čijim pravom se nalazi Vaša usluga? Odaberite svoju najvažniju cloud uslugu. Utvrdite koja tvrtka s Vama sklapa ugovor (navedeno u uvjetima korištenja), gdje ta tvrtka ima sjedište i tko je njezino konačno matično društvo. Odgovorite: može li se CLOUD Act primijeniti na ovu uslugu, i zašto?

Daljnje čitanje

Koraci u ovim člancima vrijede za usluge WebOkéa; kod drugih pružatelja usluga postupak je sličan.

• Nextcloud priručnik 15.13: Često postavljana pitanja o sigurnosti i privatnosti
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) i izvještaj CRS-a "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Uredba (EU) 2016/679 (GDPR), članak 48. (strani nalozi za predaju podataka)