CLOUD Act, FISA 702 ja teised USA seadused

Moodul 1: Miks valida Euroopa pilv? · Lugemisaeg: 12 minutit

Õpieesmärk: Pärast seda tundi oskad selgitada, millised USA seadused annavad ligipääsu andmetele USA ettevõtetes, miks see kehtib ka siis, kui andmed asuvad Euroopas, ja milline on olukord 2026. aasta novembri seisuga.

Põhimõisted: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", elektroonilise sideteenuse pakkuja, FISA Section 702, FISA-kohus (FISC), sertifitseerimine, Executive Order 12333, saladuses hoidmise korraldus, kriminaalõigus versus luuretöö

Miks USA seadused puudutavad Euroopa servereid

Tunnis 1.1 nägid, et ettevõte allub selle riigi õigusele, kus ta asub. Enamiku suurte pilveteenuste puhul on see riik Ameerika Ühendriigid. Kaks USA seadust kerkivad esile igas arutelus Euroopa pilve üle: CLOUD Act ja FISA Section 702. Neil on erinev eesmärk ja nad toimivad erinevalt, seega tasub neid eristada.

See on selgitus, mitte juriidiline nõuanne. USA seadusandlus ja selle tõlgendamine muutuvad; selles tunnis kirjeldatu kehtib 2026. aasta novembri seisuga.

CLOUD Act: kriminaalasjade uurimine

CLOUD Act tähendab Clarifying Lawful Overseas Use of Data Act. Seadus võeti vastu 23. märtsil 2018, osana suurest eelarveseadusest. Ajendiks oli kohtuasi Microsofti ja USA valitsuse vahel: FBI soovis kahtlusaluse e-kirju, mis asusid serveris Iirimaal, ja Microsoft keeldus, kuna andmed asusid väljaspool USA-d. Enne kui ülemkohus jõudis otsuseni, võttis Kongress vastu CLOUD Acti, ja nii langes asi laualt.

Tuum on ühes lauses, mis nüüd on leitav kui 18 U.S.C. 2713. Lihtsalt öeldes: elektroonilise sideteenuse pakkuja või kaugsalvestusteenuse pakkuja peab säilitama või väljastama andmed, mis on tema "possession, custody, or control" all (tema valduses, hoole all või kontrolli all), sõltumata sellest, kas need andmed asuvad Ameerika Ühendriikides või väljaspool neid.

Mida see praktikas tähendab?

• Tegemist on kriminaaluurimisega. Valitsusel peab olema kohtuniku korraldus, näiteks warrant, täpselt samuti nagu USA-s asuvate andmete puhul.
• Tegemist on andmetega, mis on ettevõtte kontrolli all. Kui su e-kiri asub Euroopa tütarettevõttes, kuid USA emaettevõte pääseb sellele ligi, võib nõue esitada emaettevõttele.
• Teenusepakkuja võib esitada vastuväite, kui väljastamine satub vastuollu teise riigi õigusega, kuid ainult teatud juhtudel (eelkõige riikide puhul, kellega USA-l on eraldi leping, näiteks Suurbritannia ja Austraalia). Üldist ELi ja USA vahelist kokkulepet selliste tõendite kohta veel ei ole.
• Klient ei saa sellest alati teada. Kohtunik võib teenusepakkujale kehtestada saladuses hoidmise korralduse, mistõttu teenusepakkuja ei tohi sind hoiatada.

Samas ütleb isikuandmete kaitse üldmäärus (IKÜM, art 48), et välisriigi kohtuotsus või korraldus andmete väljastamiseks tunnustatakse ainult siis, kui on olemas leping, näiteks õigusabileping. USA teenusepakkuja võib seega sattuda kahe seaduse vahele pihtide vahele. Just see ongi probleem: sina kui klient ei saa valida, kumb seadus peale jääb.

Kõnekas hetk: 2025. aasta juunis küsis Prantsuse senati uurimiskomisjon Microsoft France'i õigusosakonna juhilt, kas ta saab vande all kinnitada, et Prantsuse kodanike andmeid ei anta kunagi USA ametivõimudele ilma Prantsusmaa loata. Tema vastus: "Ei, seda ma kinnitada ei saa." Ta lisas, et ettevõte vaidlustab alusetud taotlused ning et praktikas pole sellist taotlust veel esinenud. Mõlemad vastuse osad on olulised: risk on väike, aga see on olemas, ja ettevõte ei saa seda välistada.

FISA Section 702: luureandmed välismaalaste kohta

FISA tähendab Foreign Intelligence Surveillance Act. Section 702 lisati 2008. aastal. Eesmärk ei ole kuritegude uurimine, vaid välisluureandmete kogumine. Siin peitubki suur erinevus võrreldes CLOUD Actiga:

Section 702 alusel võivad USA ametkonnad kohustada elektrooniliste sideteenuste pakkujaid tegema koostööd välismaiste "sihtmärkide" side kogumisel. Eurooplasele pakub USA õigus siin vähe kaitset: põhiseaduslik kaitse läbiotsimise vastu (neljas põhiseaduse parandus) kehtib peamiselt ameeriklastele. See programm mängis peaosa Euroopa Liidu Kohtu otsuses Schrems II (tund 1.4).

Olukord 2026. aasta novembri seisuga

Section 702 tuleb Kongressil pidevalt uuesti pikendada. 2024. aasta aprillis pikendas seadus RISAA seda kahe aasta võrra, 2026. aasta aprillini. 2026. aasta aprillis ei õnnestunud pikka pikendust saavutada; tehti kaks lühikest pikendust. 12. juunil 2026 lõppes seadus kehtivus, esimest korda alates 2008. aastast. Teadete kohaselt kogumine praktikas jätkub, kuna FISA-kohus kiitis 2026. aasta märtsis juba heaks iga-aastased sertifitseerimised; need kehtivad umbes 2027. aasta märtsini. Kongress arutab alates 9. novembrist 2026 algavas lahkuva koosseisu istungjärgus uut pikendust.

Sinu valiku jaoks tähendab see: olenemata sellest, kas seadus hetkel ajutiselt kehtivuse kaotas või mitte, aluspõhimõtte probleem ei kao kuhugi. Tõenäoliselt tuleb uus pikendus, ja volitused võivad teises vormis tagasi tulla.

Executive Order 12333: ilma kohtunikuta

Lisaks neile seadustele on olemas Executive Order 12333 aastast 1981, presidendi määrus luuretöö kohta. Selle alla kuuluvad näiteks internetikaablite pealtkuulamine ja andmete kogumine väljaspool USA-d, ilma kohtuniku sekkumiseta ja ilma et ettevõte peaks koostööd tegema. Teel krüpteeritud andmete puhul on see väiksem probleem; USA ettevõttes asuvate andmete puhul on olulised just CLOUD Act ja Section 702.

Kui suur on risk tegelikult?

Aus vastus: enamiku väikeste organisatsioonide puhul on väike tõenäosus, et USA ametkonnad on huvitatud just nende e-kirjadest. Siiski on põhjuseid seda tõsiselt võtta:

• Sa ei tea seda. Saladuses hoidmise korralduste tõttu ei pruugi sa sellest kunagi teada saada.
• Sina ei ole ainus asjasse puutuv. Su e-kirjades on klientide, tarnijate ja töötajate andmed. Sina pead nende andmeid kaitsma (tund 1.2).
• Mõned andmed on tundlikud. Advokaadibüroo, perearst, ajakirjanik või kool kaalub asja teisiti kui pagariäri.
• Reeglid võivad muutuda, ilma et sul oleks selles osas sõnaõigust.

Pagariäril De Korrel ei ole luureteenistuste poolt palju karta. Kuid Sanne mõtleb, et tema postkastis on ka tema töötajate haigestumisteated. Need on terviseandmed, ja nendega peab ta olema eriti hoolikas.

Praktikas: nii näeb see välja teenusepakkuja juures

Euroopa teenusepakkuja, kellel pole USA emaettevõtet ega USA allhanke töötlejaid, ei kuulu CLOUD Acti alla ega ole "provider" Section 702 tähenduses. Ta võib siiski olla kohustatud tegema koostööd Euroopa politsei ja õigusasutustega, kuid siis Euroopa ja riikliku õiguse alusel, kontrollmehhanismina Euroopa kohus. WebOké juures on Nextcloudi juhendis kirjas, et su failid ei liigu USA pilveettevõteteni. Teiste teenusepakkujate puhul otsi allhanke töötlejate nimekirja ja õiguslikku omanikku (tund 2.1).

Kokkuvõte

• CLOUD Act (2018) kohustab USA teenusepakkujaid väljastama nende kontrolli all olevaid andmeid kriminaalkorralduse alusel, ka siis, kui need asuvad välismaal.
• FISA Section 702 annab USA ametkondadele ligipääsu mitte-ameeriklaste sidele väljaspool USA-d, luureandmete eesmärgil, ilma isikupõhise korralduseta.
• Section 702 kaotas kehtivuse 12. juunil 2026, kuid teadete kohaselt jätkub kogumine 2026. aasta märtsi sertifitseerimiste alusel; uus pikendus on arutlusel.
• Euroopas asuv server ei kaitse, kui selle taga olev ettevõte allub USA õigusele.
• Risk on enamiku organisatsioonide jaoks väike, kuid seda ei saa välistada ega kontrollida.

Test

Ülesanne

Ülesanne E1.3: Millise riigi õiguse alla sinu teenus käib? Vali oma kõige olulisem pilveteenus. Uuri välja, milline ettevõte sõlmib sinuga lepingu (see on kirjas tingimustes), kus see ettevõte asub, ja kes on lõplik emaettevõte. Vasta: kas CLOUD Act võib sellele teenusele kohalduda ja miks?

Loe edasi

Nendes artiklites kirjeldatud sammud kehtivad WebOké teenuste kohta; teiste teenusepakkujate puhul toimib see sarnaselt.

• Nextcloudi juhend 15.13: Korduma kippuvad küsimused turvalisuse ja privaatsuse kohta
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) ja CRS-aruanne "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus, IKÜM), artikkel 48 (välisriigi korraldused andmete väljastamiseks)