CLOUD Act, FISA 702 και άλλοι αμερικανικοί νόμοι

Ενότητα 1: Γιατί ένα ευρωπαϊκό cloud; · Χρόνος ανάγνωσης: 12 λεπτά

Μαθησιακός στόχος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε ποιοι αμερικανικοί νόμοι παρέχουν πρόσβαση σε δεδομένα που βρίσκονται σε αμερικανικές εταιρείες, γιατί αυτό ισχύει ακόμη και όταν τα δεδομένα βρίσκονται στην Ευρώπη, και ποια είναι η κατάσταση τον Νοέμβριο του 2026.

Βασικές έννοιες: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", πάροχος υπηρεσίας ηλεκτρονικών επικοινωνιών, FISA Section 702, δικαστήριο FISA (FISC), πιστοποίηση, Executive Order 12333, εντολή εμπιστευτικότητας, ποινικό δίκαιο έναντι εργασίας πληροφοριών

Γιατί οι αμερικανικοί νόμοι αφορούν και ευρωπαϊκούς servers

Στο μάθημα 1.1 είδατε ότι μια εταιρεία υπάγεται στο δίκαιο της χώρας όπου εδρεύει. Για τις περισσότερες μεγάλες υπηρεσίες cloud αυτή η χώρα είναι οι Ηνωμένες Πολιτείες. Δύο αμερικανικοί νόμοι επανέρχονται σε κάθε συζήτηση για το ευρωπαϊκό cloud: ο CLOUD Act και η Section 702 του FISA. Έχουν διαφορετικό σκοπό και λειτουργούν διαφορετικά, γι' αυτό είναι καλό να τους ξεχωρίζετε.

Αυτό αποτελεί επεξήγηση, όχι νομική συμβουλή. Η αμερικανική νομοθεσία και η ερμηνεία της αλλάζουν· η κατάσταση που περιγράφεται σε αυτό το μάθημα είναι του Νοεμβρίου 2026.

Ο CLOUD Act: ανίχνευση σε ποινικές υποθέσεις

Ο CLOUD Act σημαίνει Clarifying Lawful Overseas Use of Data Act. Ο νόμος ψηφίστηκε στις 23 Μαρτίου 2018, ως μέρος ενός μεγάλου δημοσιονομικού νόμου. Η αφορμή ήταν μια δικαστική υπόθεση μεταξύ της Microsoft και της αμερικανικής κυβέρνησης: το FBI ζητούσε email ενός υπόπτου που βρισκόταν σε server στην Ιρλανδία, και η Microsoft αρνήθηκε επειδή τα δεδομένα βρίσκονταν εκτός ΗΠΑ. Πριν προλάβει να αποφασίσει το Ανώτατο Δικαστήριο, το Κογκρέσο ψήφισε τον CLOUD Act, και έτσι η υπόθεση έκλεισε.

Ο πυρήνας βρίσκεται σε μία πρόταση, σήμερα καταχωρισμένη ως 18 U.S.C. 2713. Με απλά λόγια: ένας πάροχος υπηρεσίας ηλεκτρονικών επικοινωνιών ή υπηρεσίας απομακρυσμένης αποθήκευσης πρέπει να διατηρεί ή να παραδίδει δεδομένα που βρίσκονται στην "possession, custody, or control" του, ανεξάρτητα από το αν αυτά τα δεδομένα βρίσκονται εντός ή εκτός των Ηνωμένων Πολιτειών.

Τι σημαίνει αυτό στην πράξη;

• Αφορά ποινική έρευνα. Η κυβέρνηση πρέπει να διαθέτει δικαστική εντολή, όπως ένα warrant, όπως ακριβώς και για δεδομένα εντός των ΗΠΑ.
• Αφορά δεδομένα που η εταιρεία έχει στην εξουσία της. Αν το email σας βρίσκεται σε ευρωπαϊκή θυγατρική, αλλά η αμερικανική μητρική εταιρεία έχει πρόσβαση σε αυτό, τότε η μητρική εταιρεία μπορεί να κληθεί να το παραδώσει.
• Ο πάροχος μπορεί να προβάλει αντίρρηση αν η παράδοση έρχεται σε σύγκρουση με το δίκαιο άλλης χώρας, αλλά μόνο σε ορισμένες περιπτώσεις (κυρίως με χώρες με τις οποίες οι ΗΠΑ έχουν ειδική συμφωνία, όπως το Ηνωμένο Βασίλειο και η Αυστραλία). Μια γενική συμφωνία μεταξύ ΕΕ και ΗΠΑ για αυτού του είδους τα αποδεικτικά στοιχεία δεν υπάρχει ακόμη.
• Ο πελάτης δεν ενημερώνεται πάντα. Ένας δικαστής μπορεί να επιβάλει στον πάροχο εντολή εμπιστευτικότητας, ώστε να μην μπορεί να σας προειδοποιήσει.

Από την άλλη πλευρά, ο ΓΚΠΔ (άρθρο 48) ορίζει ότι μια αλλοδαπή δικαστική απόφαση ή εντολή παράδοσης δεδομένων αναγνωρίζεται μόνο εάν υπάρχει σχετική συμφωνία, όπως μια συνθήκη δικαστικής συνδρομής. Μια αμερικανική εταιρεία μπορεί συνεπώς να βρεθεί παγιδευμένη ανάμεσα σε δύο νόμους. Αυτό είναι ακριβώς το πρόβλημα: εσείς, ως πελάτης, δεν μπορείτε να επιλέξετε ποιος νόμος θα υπερισχύσει.

Μια αποκαλυπτική στιγμή: τον Ιούνιο του 2025, μια ερευνητική επιτροπή της γαλλικής Γερουσίας ρώτησε τον διευθυντή νομικών υποθέσεων της Microsoft Γαλλίας αν μπορούσε να εγγυηθεί ενόρκως ότι τα δεδομένα Γάλλων πολιτών δεν θα παραδίδονταν ποτέ στις αμερικανικές αρχές χωρίς την έγκριση της Γαλλίας. Η απάντησή του: "Όχι, δεν μπορώ να το εγγυηθώ αυτό." Πρόσθεσε ότι η εταιρεία αμφισβητεί τα αδικαιολόγητα αιτήματα και ότι ένα τέτοιο αίτημα δεν είχε ακόμη εμφανιστεί στην πράξη. Και τα δύο μέρη αυτής της απάντησης είναι σημαντικά: ο κίνδυνος είναι μικρός, αλλά υπάρχει, και η εταιρεία δεν μπορεί να τον αποκλείσει.

FISA Section 702: πληροφορίες για αλλοδαπούς

Ο FISA είναι ο Foreign Intelligence Surveillance Act. Η Section 702 προστέθηκε το 2008. Ο στόχος δεν είναι η δίωξη αξιόποινων πράξεων, αλλά η συλλογή αλλοδαπών πληροφοριών. Εκεί βρίσκεται η μεγάλη διαφορά με τον CLOUD Act:

Βάσει της Section 702, οι αμερικανικές υπηρεσίες μπορούν να υποχρεώσουν παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών να συνεργαστούν στη συλλογή επικοινωνιών αλλοδαπών "targets". Για έναν Ευρωπαίο, το αμερικανικό δίκαιο προσφέρει εδώ ελάχιστη προστασία: η συνταγματική προστασία κατά της έρευνας (η Τέταρτη Τροπολογία) ισχύει κυρίως για Αμερικανούς πολίτες. Αυτό το πρόγραμμα διαδραμάτισε κεντρικό ρόλο στην απόφαση Schrems II του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) (μάθημα 1.4).

Κατάσταση τον Νοέμβριο του 2026

Η Section 702 πρέπει να ανανεώνεται κάθε φορά από το Κογκρέσο. Τον Απρίλιο του 2024, ο νόμος RISAA την παρέτεινε για δύο έτη, έως τον Απρίλιο του 2026. Τον Απρίλιο του 2026 δεν κατέστη δυνατή μια μακροχρόνια παράταση· ακολούθησαν δύο σύντομες παρατάσεις. Στις 12 Ιουνίου 2026 ο νόμος έληξε, για πρώτη φορά από το 2008. Σύμφωνα με δημοσιεύματα, η συλλογή δεδομένων συνεχίζεται στην πράξη, διότι το δικαστήριο FISA είχε ήδη εγκρίνει τις ετήσιες πιστοποιήσεις τον Μάρτιο του 2026· αυτές ισχύουν περίπου έως τον Μάρτιο του 2027. Το Κογκρέσο συνεχίζει τις συζητήσεις για νέα παράταση κατά την περίοδο lame-duck από τις 9 Νοεμβρίου 2026.

Για την επιλογή σας αυτό σημαίνει: ανεξάρτητα από το αν ο νόμος έχει λήξει προσωρινά ή όχι, το υποκείμενο πρόβλημα δεν εξαφανίζεται. Είναι πολύ πιθανό να υπάρξει νέα παράταση, και οι εξουσίες μπορεί να επανέλθουν σε διαφορετική μορφή.

Executive Order 12333: χωρίς δικαστή

Εκτός από αυτούς τους νόμους, υπάρχει το Executive Order 12333 του 1981, μια προεδρική απόφαση σχετικά με την εργασία πληροφοριών. Σε αυτό εμπίπτουν, για παράδειγμα, η υποκλοπή καλωδίων internet και η συλλογή δεδομένων εκτός ΗΠΑ, χωρίς παρέμβαση δικαστή και χωρίς να απαιτείται συνεργασία κάποιας εταιρείας. Για δεδομένα που είναι κρυπτογραφημένα κατά τη μεταφορά τους, αυτό αποτελεί μικρότερο πρόβλημα· για δεδομένα που βρίσκονται σε αμερικανική εταιρεία, ο CLOUD Act και η Section 702 είναι οι σχετικές οδοί.

Πόσο μεγάλος είναι πραγματικά ο κίνδυνος;

Ας είμαστε ειλικρινείς: για τους περισσότερους μικρούς οργανισμούς, η πιθανότητα να ενδιαφέρονται οι αμερικανικές υπηρεσίες ειδικά για το email τους είναι μικρή. Ωστόσο υπάρχουν λόγοι να το αντιμετωπίσετε σοβαρά:

• Δεν το γνωρίζετε. Λόγω των εντολών εμπιστευτικότητας, ίσως να μην το μάθετε ποτέ.
• Δεν είστε το μόνο υποκείμενο. Στο email σας υπάρχουν δεδομένα πελατών, προμηθευτών και εργαζομένων. Πρέπει να προστατεύσετε τα δεδομένα τους (μάθημα 1.2).
• Ορισμένα δεδομένα είναι ευαίσθητα. Ένα δικηγορικό γραφείο, ένας οικογενειακός γιατρός, ένας δημοσιογράφος ή ένα σχολείο έχουν διαφορετική στάθμιση κινδύνου από έναν φούρνο.
• Οι κανόνες μπορούν να αλλάξουν χωρίς να έχετε εσείς κανέναν λόγο στην απόφαση.

Ο Φούρνος Κόκκος έχει λίγα να φοβηθεί από μια υπηρεσία πληροφοριών. Όμως η Sanne σκέφτεται ότι στο γραμματοκιβώτιό της υπάρχουν επίσης οι αναφορές ασθενείας του προσωπικού της. Αυτά είναι δεδομένα υγείας, και πρέπει να τα χειρίζεται με ιδιαίτερη προσοχή.

Στην πράξη: έτσι μοιάζει σε έναν πάροχο

Ένας ευρωπαϊκός πάροχος χωρίς αμερικανική μητρική εταιρεία και χωρίς αμερικανούς υπεργολάβους επεξεργασίας δεν υπάγεται στον CLOUD Act και δεν αποτελεί "provider" κατά την έννοια της Section 702. Μπορεί ακόμη να υποχρεωθεί να συνεργαστεί με την ευρωπαϊκή αστυνομία και δικαιοσύνη, αλλά τότε σύμφωνα με το ευρωπαϊκό και εθνικό δίκαιο, με έναν ευρωπαϊκό δικαστή ως έλεγχο. Στο WebOké, το εγχειρίδιο Nextcloud αναφέρει ότι τα αρχεία σας δεν μεταβαίνουν σε αμερικανικές εταιρείες cloud. Σε άλλους παρόχους, αναζητήστε έναν κατάλογο υπεργολάβων επεξεργασίας και τον νομικό ιδιοκτήτη (μάθημα 2.1).

Σύνοψη

• Ο CLOUD Act (2018) υποχρεώνει τους αμερικανικούς παρόχους να παραδίδουν δεδομένα που βρίσκονται στην εξουσία τους κατόπιν ποινικής εντολής, ακόμη και αν αυτά βρίσκονται στο εξωτερικό.
• Η FISA Section 702 παρέχει στις αμερικανικές υπηρεσίες πρόσβαση σε επικοινωνίες μη Αμερικανών εκτός ΗΠΑ, για σκοπούς πληροφοριών, χωρίς εντολή ανά πρόσωπο.
• Η Section 702 έληξε στις 12 Ιουνίου 2026, αλλά σύμφωνα με δημοσιεύματα η συλλογή δεδομένων συνεχίζεται βάσει πιστοποιήσεων από τον Μάρτιο του 2026· μια νέα παράταση βρίσκεται υπό συζήτηση.
• Ένας server στην Ευρώπη δεν προστατεύει αν η εταιρεία πίσω από αυτόν υπάγεται στο αμερικανικό δίκαιο.
• Ο κίνδυνος είναι μικρός για τους περισσότερους οργανισμούς, αλλά δεν αποκλείεται και δεν μπορεί να ελεγχθεί.

Κουίζ

Άσκηση

Άσκηση E1.3: Υπό ποιο δίκαιο υπάγεται η υπηρεσία σας; Επιλέξτε τη σημαντικότερη υπηρεσία cloud που χρησιμοποιείτε. Διερευνήστε ποια εταιρεία συνάπτει τη σύμβαση μαζί σας (αναφέρεται στους όρους χρήσης), πού εδρεύει, και ποια είναι η τελική μητρική εταιρεία. Απαντήστε: μπορεί ο CLOUD Act να εφαρμοστεί σε αυτή την υπηρεσία, και γιατί;

Για περαιτέρω μελέτη

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Οδηγός Nextcloud 15.13: Συχνές ερωτήσεις σχετικά με την ασφάλεια και το απόρρητο
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) και η έκθεση CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), άρθρο 48 (αλλοδαπές εντολές παράδοσης δεδομένων)