CLOUD Act: kaip tai keičiasi Italijos ir Europos įmonėms

Kas yra CLOUD Act ir kokius įgaliojimus suteikia JAV institucijoms

CLOUD Act (Clarifying Lawful Overseas Use of Data Act) yra JAV įstatymas, įsigaliojęs 2018 m. kovo mėn., kuris suteikia JAV institucijoms plačius įgaliojimus pasiekti digitalinius duomenis, net jei jie fiziškai saugomi užsienyje. Daugeliui Europos įmonių tai kelia grėsmę saugumui, asmeninių duomenų apsaugai ir GDPR atitikties.

Ką reiškia CLOUD Act ir kokius įgaliojimus jis suteikia JAV institucijoms

CLOUD Act leidžia JAV teisės institucijoms reikalauti informacijos tiesiogiai iš debesų paslaugų teikėjų ir komunikacijos paslaugų teikėjų, nepriklausomai nuo duomenų saugojimo vietos. Tai reiškia, kad įmonės su serveriais Europoje, bet kurios JAV ar JAV kontroliuojamos įmonės, gali būti priverstos pateikti duomenis apie europiečius ar veiklą Europoje.

Pagrindinės CLOUD Act savybės

• Išorinė duomenų išgavimas: JAV institucijos gali reikalauti duomenų net jei jie saugomi už JAV ribų.
• Įsipareigojimai įmonėms: paslaugų teikėjai privalo teikti prieigą prie el. pašto, pokalbių, failų ir kitų digitalinių duomenų pagal JAV teisinius įsakymus.
• Tarptautinio bendradarbiavimo protokolai: leidžia dvišalius susitarimus duomenų dalijimuisi ir reikalavimams su trečiosiomis šalimis.

Kodėl CLOUD Act taip pat liečia tik Europoje veikiančias įmones

Daug europietiškų įmonių naudoja debesų paslaugas, el. paštą ar programinę įrangą, valdomą JAV ar jų kontroliuojamų paslaugų teikėjų. Net jei duomenys saugomi Europos duomenų centruose, jie gali būti priversti atskleisti duomenis pagal CLOUD Act reikalavimus.

Ekstra-teritorialumo principas ir jo ribos

CLOUD Act taikoma teisinė norma įmonėms, kurios yra JAV jurisdikcijoje, neatsižvelgiant į duomenų ar naudotojo vietą. Jei paslaugų teikėjas turi JAV buveinę ar serverius, ar kontroliuojamas JAV įmonės, gali būti priverstas pateikti duomenis JAV institucijų reikalavimais.

• Duomenys, saugomi Europoje, bet valdoma JAV
• El. pašto paskyros, pokalbiai ir debesų paslaugos su hibridinėmis infrastruktūromis
• Sąveikos tarp duomenų saugojimo ir teisinių teisių valdymo

Pasekmės įmonėms, specialistams ir viešojo sektoriaus institucijoms

Ši įstatyminė norma sukuria sudėtingas situacijas pažangos, saugumo ir atsakomybės srityse, kai kalbama apie Lietuvos ir Europos gyventojų bei klientų duomenis.

Konfliktai tarp CLOUD Act ir GDPR

• Privatumo pažeidimai: privalomas asmeninių duomenų pateikimas be sutikimo ar GDPR garantijų.
• Sankcijų rizika: GDPR nesilaikymas gali baigtis labai didelėmis baudomis.
• Teisinės dvigubos standartai: JAV pareigos gali prieštarauti europinei teisinei sistemai.

Privatumo apsaugos pavojai

CLOUD Act gali pakenkti pramoniniam sekretui, verslo strategijoms ir konfidencialiems duomenims, kurie gali būti pavojingi dėl prieigos reikalavimų, nesuderinamų su europine teise.

Kokie pavojai laukia naudojantis JAV įmonių paslaugomis

Naudojant el. pašto paslaugas, debesų ar programinės įrangos paslaugas, kurių teikėjai turi JAV buveinę ar jurisdikciją, įmonės rizikuoja:

• Priverstinis prieigos atvėrimas prie infrastruktūros, net jei ji yra Europoje
• Galimas duomenų perkėlimas JAV vyriausybei be skaidrumo
• Sunku užtikrinti saugumo auditą ir teisėtumą
• Normų konfliktai, galintys sustabdyti ar atitolti IT projektus

Kaip pasirinkti infrastruktūrą, atsižvelgiant į skaitmeninės suvereniteto ir GDPR reikalavimus

Svarbu kruopščiai tikrinti paslaugų teikėjų patvirtinimus, buvimo vietą ir sertifikatus, siekiant sumažinti CLOUD Act pavojus.

Kas vertėtų įvertinti renkantis paslaugų teikėją

• Nuosavybė ir registracija: ar įmonė yra europietiška ar amerikietiška?
• Duomenų saugojimo vieta: ar serveriai Europoje ar JAV?
• Politiniai duomenų reikalavimai iš trečiųjų šalių: kaip valdoma užsienio šalių reikalavimų suvaldymas?
• GDPR ir ISO sertifikatai: kokius saugumo ir privatumo standartus užtikrina?
• Sutartys bei duomenų apsaugos salygos: ar yra sąlygų dėl duomenų išgavimų pagal CLOUD Act?

Kas klausytis paslaugų teikėjų

• Kaip yra užtikrinama Europos duomenų skaitmeninė suverenitetas?
• Kokia CLOUD Act įtaka jūsų infrastruktūrai ir politikai?
• Kaip valdote JAV valdžios prašymus?
• Ar siūlote galimybes atmesti duomenų perkėlimą ar saugojimą JAV?
• Kaip užtikrinate GDPR atitiktį?

CLOUD Act: privatumas, atitiktis ir Europos skaitmeninė suverenitetas

Diskusija apie CLOUD Act nėra vien teisės klausimas, bet ir strateginė. Siekiant apsaugoti duomenis ir verslą, europietiškos įmonės privalo remtis sprendimais, kurios gerbti skaitmeninę suverenitetą ir atitinka ES įstatymus.

Patikimo ir skaidraus Europos debesų paslaugų teikėjo pasirinkimas nebėra tik pasirinkimas, o būtinybė užtikrinti duomenų kontrolę ir apsaugą nuo neesminių jurisdikcijos įsikišimų.

MailProfessionale.com: europietiška alternatyva verslo el. paštui

MailProfessionale.com siūlo el. pašto paslaugą, kuri remiasi privatumo, GDPR ir skaitmeninės suvereniteto principais. Infrastruktūros lokacija Europoje užtikrina, kad duomenys nebus perduoti už ES teisės ribų, mažindama riziką, susijusią su CLOUD Act. Ši paslauga yra patikimas sprendimas įmonėms, laisvai samdomiems darbuotojams ir viešojo sektoriaus institucijoms, siekiančioms saugios ir skaidrios el. pašto valdymo.

Išvada

CLOUD Act priverčia daugelį Europos įmonių giliai apmąstyti savo duomenų valdymo strategijas ir IT saugumą. Ignoruojant šį įstatymą, kyla realių pavojų – nuo privatumo pažeidimų iki teisinių baudų. Supratimas apie šią įstatymų plačią įtaką padeda pasirinkti tinkamus, teisės normų atitinkančius partnerius ir išlaikyti skaitmeninę suverenitetą – pagrindinį verslo turtą.