Cloud Act, FISA i suwerenność danych

Pracownik nie musi oceniać, jakie prawo ma zastosowanie: jego rola polega na tym, by nie omijać narzędzi wybranych przez firmę. Prywatna lub bezpłatna usługa chmurowa, użyta do dokumentu służbowego, wymyka się wyborowi dostawcy hostingu, klasyfikacji danych i umowie, którą zarząd mógł wynegocjować.

CERT-FR przypomina też, że w chmurze klienci usług chmurowych ponoszą istotną odpowiedzialność za zarządzanie danymi i tożsamościami¹. Pracownik, który udostępnia plik lub przesyła dokument, działa na danych firmy.

Wynikają z tego dwa nawyki: korzystanie z narzędzi udostępnionych lub zatwierdzonych oraz zgłaszanie działowi IT korzystania z chmury, które nie zostało zatwierdzone; pytanie przed umieszczeniem tam dużych baz danych dotyczących zdrowia, przestępstw lub małoletnich, które CNIL zalicza do danych wrażliwych⁵.

Wybór dostawcy hostingu staje się decyzją prawną w tej samej mierze co techniczną. CERT-FR pisze, że konieczna jest ocena tych zagrożeń w każdym przypadku z osobna¹.

W przypadku najbardziej wrażliwych przetwarzań CNIL zaleca skorzystanie z dostawcy podlegającego wyłącznie prawu europejskiemu i oferującego odpowiedni poziom ochrony⁵. CERT-FR wskazuje drugie ryzyko. Usługa świadczona przez zagranicznego dostawcę może podlegać ograniczeniom eksportowym lub sankcjom, które mogą zmieniać się w czasie, co wpływa na dostępność danych i aplikacji¹.

Rozdział V RODO reguluje przekazywanie danych osobowych do państw trzecich. Artykuł 44 ustanawia zasadę: przekazanie następuje tylko wtedy, gdy spełnione są warunki tego rozdziału, tak aby nie zagrozić poziomowi ochrony gwarantowanemu przez rozporządzenie³.

Rozdział przewiduje kilka dróg. Decyzja Komisji stwierdzająca odpowiedni poziom ochrony nie wymaga szczególnego zezwolenia (artykuł 45)³. W razie jej braku możliwe są odpowiednie zabezpieczenia: wiążące reguły korporacyjne lub standardowe klauzule ochrony danych, między innymi (artykuł 46)³. Odstępstwa istnieją dla szczególnych sytuacji, na przykład wyraźnej zgody osoby, której dane dotyczą (artykuł 49)³.

Artykuł 48 dotyczy konkretnego przypadku nakazu zagranicznego: orzeczenie sądu lub decyzja organu administracyjnego państwa trzeciego żądające przekazania lub ujawnienia danych mogą zostać uznane lub uznane za wykonalne tylko wtedy, gdy opierają się na umowie międzynarodowej, takiej jak traktat o pomocy prawnej³.

Po stronie amerykańskiej Komisja wyjaśnia, że stwierdzenie odpowiedniego poziomu ochrony nastąpiło po zarządzeniu wykonawczym prezydenta z 7 października oraz rozporządzeniu prokuratora generalnego USA. Teksty te wprowadziły wiążące gwarancje w odpowiedzi na wyrok Schrems II Trybunału Sprawiedliwości Unii Europejskiej z lipca 2020 roku: dostęp agencji wywiadowczych ograniczony do tego, co konieczne i proporcjonalne, oraz niezależny mechanizm odwoławczy dla skarg Europejczyków⁴. Gwarancje te obowiązują przy wszystkich przekazaniach do firm amerykańskich, niezależnie od zastosowanego narzędzia przekazania⁴.

Po stronie francuskiej wersja 3.2 standardu SecNumCloud agencji ANSSI zawiera wymogi ochrony przed stosowaniem tych przepisów eksterytorialnych¹. CNIL zaznacza, że ta certyfikacja pozwala chronić się przed dostępem organów zagranicznych⁵.

Decyzja stwierdzająca odpowiedni poziom ochrony w odniesieniu do Data Privacy Framework została przyjęta i obowiązuje wobec uczestniczących firm amerykańskich⁴. RODO przewiduje okresowy przegląd takiej decyzji co najmniej raz na cztery lata, a Komisja może ją uchylić, zmienić lub zawiesić, jeśli poziom ochrony nie jest już odpowiedni³.

Europejska certyfikacja EUCS była w lipcu 2024 roku nadal projektem. Według CNIL z tamtego czasu projekt prowadzony przez ENISA nie pozwalał już upewnić się, że dostawca hostingu nie podlega przepisom spoza Europy, nawet na najwyższych poziomach i nawet opcjonalnie⁵. CNIL wzywała do przywrócenia w nim kryteriów odporności na prawo spoza Europy, wzorowanych na SecNumCloud⁵. Kwestia ta miała zostać ponownie podjęta zaraz po ukonstytuowaniu się nowej Komisji Europejskiej⁵. We Francji ustawa z 21 maja, przywołana przez CNIL, zwana ustawą SREN, przewiduje, że w przypadku danych o szczególnej wrażliwości dla państwa usługa chmurowa musi stosować kryteria bezpieczeństwa i ochrony danych, które uniemożliwią dostęp organów publicznych państw trzecich nieautoryzowany przez prawo Unii lub państwa członkowskiego⁵. Doktryna „Cloud au centre” zwraca się natomiast do organów publicznych o upewnianie się, że dane „d'une sensibilité particulière” (w oryginale francuskim) przechowywane w chmurze nie podlegają przepisom spoza Europy⁵.