--- id: CP-374 slug: cloud-act-fisa-702-suwerennosc-danych lang: pl title: Cloud Act, FISA i suwerenność danych description: Przepisy USA mogą otwierać dostęp do danych przechowywanych w Europie. Co mówi RODO, co zmieniają ramy UE-USA oraz SecNumCloud. canonical_url: https://startbrain.io/cyberpedia/pl/articles/cloud-act-fisa-702-suwerennosc-danych/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/cloud-act-fisa-702-suwerennosc-danych.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Cloud Act, FISA i suwerenność danych”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/cloud-act-fisa-702-suwerennosc-danych/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-039 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/cloud-act-fisa-702-suwerennosc-danych/ fr: https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ en: https://startbrain.io/cyberpedia/en/articles/cloud-act-fisa-702-data-sovereignty/ de: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ es: https://startbrain.io/cyberpedia/es/articles/cloud-act-fisa-702-soberania-datos/ it: https://startbrain.io/cyberpedia/it/articles/cloud-act-fisa-702-sovranita-dati/ nl: https://startbrain.io/cyberpedia/nl/articles/cloud-act-fisa-702-gegevenssoevereiniteit/ pt: https://startbrain.io/cyberpedia/pt/articles/cloud-act-fisa-702-soberania-dados/ sources: - "n": 1 title: "Cloud computing : état de la menace informatique" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf published: "2025-02-19" accessed: "2026-11-03" - "n": 2 title: Le devoir de souveraineté numérique publisher: Sénat url: https://www.senat.fr/rap/r19-007-1/r19-007-13.html published: "2019-10-01" accessed: "2026-11-03" - "n": 3 title: CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 accessed: "2026-11-03" - "n": 4 title: EU-US data transfers publisher: Commission européenne url: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en accessed: "2026-11-03" - "n": 5 title: "Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles" publisher: CNIL url: https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres published: "2024-07-19" accessed: "2026-11-03" --- # Cloud Act, FISA i suwerenność danych Gdy firma powierza usłudze chmurowej swoje pliki, wiadomości lub oprogramowanie, wybiera też, nie zawsze zdając sobie z tego sprawę, prawo, któremu te dane podlegają. CERT-FR, działający przy ANSSI, zauważa, że niektórzy dostawcy usług hostingowych podlegają przepisom takim jak amerykańskie Cloud Act i FISA, które pozwalają organom tych państw uzyskiwać dostęp do danych przechowywanych w chmurze, także poza ich terytorium [1]. W raporcie Senatu (w oryginale francuskim) czytamy: „les géants américains sont tenus à l'application des régimes de sanctions extraterritoriales ou des règles d'accès aux preuves électroniques (comme le Cloud Act)” [2]. Ta strona wyjaśnia, co to oznacza dla pracownika i dla zarządu. ## W 30 sekund - Gdzie to występuje: w każdej usłudze chmurowej (przechowywanie plików, poczta, pakiety biurowe online) świadczonej przez dostawcę podlegającego prawu spoza Europy, nawet jeśli serwery znajdują się w Europie [1]. - Co przewiduje prawo: RODO uznaje decyzję organu państwa trzeciego żądającego danych tylko wtedy, gdy opiera się ona na umowie międzynarodowej, takiej jak traktat o pomocy prawnej [3]. - Co proponuje Francja: wersja 3.2 standardu SecNumCloud agencji ANSSI zawiera wymogi ochrony przed tymi przepisami [1]. - Odruch: zanim wprowadzą Państwo dane do narzędzia chmurowego, należy sprawdzić, czy zostało ono udostępnione lub zatwierdzone przez firmę, oraz zapytać dział IT albo inspektora ochrony danych, jakie dane mogą się tam znaleźć. ## Pytania wprost ### Czy dane przechowywane w Europie są chronione przed prawem amerykańskim? Niekoniecznie. Według CERT-FR przepisy te pozwalają organom USA uzyskiwać dostęp do danych przechowywanych w chmurze, także poza ich terytorium [1]. CNIL mówi o ryzyku dla danych przechowywanych przez firmę podlegającą prawu spoza Europy, na przykład przez dostawców hostingu, których spółka matka ma siedzibę w Stanach Zjednoczonych [5]. ### Czy dostawca może uprzedzić klienta? CERT-FR opisuje przepisy, które nakładają na dostawców hostingu obowiązek przekazywania danych klientów własnym organom, bez możliwości odwołania i bez informowania klientów [1]. ### Czy szyfrowanie wystarczy? Nie, jak podaje CERT-FR. Nie zapewnia ono odpowiedniej ochrony, jeśli klucze szyfrujące również znajdują się w chmurze, co zwykle ma miejsce, gdy zaszyfrowane dane są w chmurze przetwarzane, a nie tylko przechowywane [1]. ### Co mówi RODO? Artykuł 48 wyklucza automatyczne uznawanie decyzji zagranicznej: może ona zostać uznana lub uznana za wykonalną tylko wtedy, gdy opiera się na umowie międzynarodowej obowiązującej między państwem występującym z żądaniem a Unią lub państwem członkowskim [3]. ### Czy Stany Zjednoczone są krajem zapewniającym „odpowiedni” poziom ochrony? Dla firm uczestniczących w Data Privacy Framework tak. Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni poziom ochrony 10 lipca, a dane osobowe mogą swobodnie przepływać z UE do tych firm [4]. CNIL datuje tę decyzję na 10 lipca 2023 roku [5]. ## Co się zmienia dla pracowników Pracownik nie musi oceniać, jakie prawo ma zastosowanie: jego rola polega na tym, by nie omijać narzędzi wybranych przez firmę. Prywatna lub bezpłatna usługa chmurowa, użyta do dokumentu służbowego, wymyka się wyborowi dostawcy hostingu, klasyfikacji danych i umowie, którą zarząd mógł wynegocjować. CERT-FR przypomina też, że w chmurze klienci usług chmurowych ponoszą istotną odpowiedzialność za zarządzanie danymi i tożsamościami [1]. Pracownik, który udostępnia plik lub przesyła dokument, działa na danych firmy. Wynikają z tego dwa nawyki: korzystanie z narzędzi udostępnionych lub zatwierdzonych oraz zgłaszanie działowi IT korzystania z chmury, które nie zostało zatwierdzone; pytanie przed umieszczeniem tam dużych baz danych dotyczących zdrowia, przestępstw lub małoletnich, które CNIL zalicza do danych wrażliwych [5]. ## Co się zmienia dla zarządu Wybór dostawcy hostingu staje się decyzją prawną w tej samej mierze co techniczną. CERT-FR pisze, że konieczna jest ocena tych zagrożeń w każdym przypadku z osobna [1]. W przypadku najbardziej wrażliwych przetwarzań CNIL zaleca skorzystanie z dostawcy podlegającego wyłącznie prawu europejskiemu i oferującego odpowiedni poziom ochrony [5]. CERT-FR wskazuje drugie ryzyko. Usługa świadczona przez zagranicznego dostawcę może podlegać ograniczeniom eksportowym lub sankcjom, które mogą zmieniać się w czasie, co wpływa na dostępność danych i aplikacji [1]. ## Co mówi tekst Rozdział V RODO reguluje przekazywanie danych osobowych do państw trzecich. Artykuł 44 ustanawia zasadę: przekazanie następuje tylko wtedy, gdy spełnione są warunki tego rozdziału, tak aby nie zagrozić poziomowi ochrony gwarantowanemu przez rozporządzenie [3]. Rozdział przewiduje kilka dróg. Decyzja Komisji stwierdzająca odpowiedni poziom ochrony nie wymaga szczególnego zezwolenia (artykuł 45) [3]. W razie jej braku możliwe są odpowiednie zabezpieczenia: wiążące reguły korporacyjne lub standardowe klauzule ochrony danych, między innymi (artykuł 46) [3]. Odstępstwa istnieją dla szczególnych sytuacji, na przykład wyraźnej zgody osoby, której dane dotyczą (artykuł 49) [3]. Artykuł 48 dotyczy konkretnego przypadku nakazu zagranicznego: orzeczenie sądu lub decyzja organu administracyjnego państwa trzeciego żądające przekazania lub ujawnienia danych mogą zostać uznane lub uznane za wykonalne tylko wtedy, gdy opierają się na umowie międzynarodowej, takiej jak traktat o pomocy prawnej [3]. Po stronie amerykańskiej Komisja wyjaśnia, że stwierdzenie odpowiedniego poziomu ochrony nastąpiło po zarządzeniu wykonawczym prezydenta z 7 października oraz rozporządzeniu prokuratora generalnego USA. Teksty te wprowadziły wiążące gwarancje w odpowiedzi na wyrok Schrems II Trybunału Sprawiedliwości Unii Europejskiej z lipca 2020 roku: dostęp agencji wywiadowczych ograniczony do tego, co konieczne i proporcjonalne, oraz niezależny mechanizm odwoławczy dla skarg Europejczyków [4]. Gwarancje te obowiązują przy wszystkich przekazaniach do firm amerykańskich, niezależnie od zastosowanego narzędzia przekazania [4]. Po stronie francuskiej wersja 3.2 standardu SecNumCloud agencji ANSSI zawiera wymogi ochrony przed stosowaniem tych przepisów eksterytorialnych [1]. CNIL zaznacza, że ta certyfikacja pozwala chronić się przed dostępem organów zagranicznych [5]. ## Stan wdrożenia Decyzja stwierdzająca odpowiedni poziom ochrony w odniesieniu do Data Privacy Framework została przyjęta i obowiązuje wobec uczestniczących firm amerykańskich [4]. RODO przewiduje okresowy przegląd takiej decyzji co najmniej raz na cztery lata, a Komisja może ją uchylić, zmienić lub zawiesić, jeśli poziom ochrony nie jest już odpowiedni [3]. Europejska certyfikacja EUCS była w lipcu 2024 roku nadal projektem. Według CNIL z tamtego czasu projekt prowadzony przez ENISA nie pozwalał już upewnić się, że dostawca hostingu nie podlega przepisom spoza Europy, nawet na najwyższych poziomach i nawet opcjonalnie [5]. CNIL wzywała do przywrócenia w nim kryteriów odporności na prawo spoza Europy, wzorowanych na SecNumCloud [5]. Kwestia ta miała zostać ponownie podjęta zaraz po ukonstytuowaniu się nowej Komisji Europejskiej [5]. We Francji ustawa z 21 maja, przywołana przez CNIL, zwana ustawą SREN, przewiduje, że w przypadku danych o szczególnej wrażliwości dla państwa usługa chmurowa musi stosować kryteria bezpieczeństwa i ochrony danych, które uniemożliwią dostęp organów publicznych państw trzecich nieautoryzowany przez prawo Unii lub państwa członkowskiego [5]. Doktryna „Cloud au centre” zwraca się natomiast do organów publicznych o upewnianie się, że dane „d'une sensibilité particulière” (w oryginale francuskim) przechowywane w chmurze nie podlegają przepisom spoza Europy [5]. ## Źródła 1. CERT-FR (ANSSI), „Cloud computing : état de la menace informatique”, 19 lutego 2025. https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf (dostęp 3 listopada 2026) 2. Sénat, „Le devoir de souveraineté numérique”, 1 października 2019. https://www.senat.fr/rap/r19-007-1/r19-007-13.html (dostęp 3 listopada 2026) 3. CNIL, „CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales”. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 (dostęp 3 listopada 2026) 4. Commission européenne, „EU-US data transfers”. https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en (dostęp 3 listopada 2026) 5. CNIL, „Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles”, 19 lipca 2024. https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/cloud-act-fisa-702-suwerennosc-danych/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.