CLOUD Act, FISA 702 és más amerikai törvények

Modul 1: Miért válasszon európai felhőt? · Olvasási idő: 12 perc

Tanulási cél: Ennek a leckének a végén Ön el tudja magyarázni, mely amerikai törvények biztosítanak hozzáférést az amerikai cégeknél tárolt adatokhoz, miért érvényes ez akkor is, ha az adatok Európában vannak, és mi a helyzet 2026 novemberében.

Kulcsfogalmak: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", elektronikus hírközlési szolgáltatás nyújtója, FISA Section 702, FISA-bíróság (FISC), tanúsítás (certification), Executive Order 12333, titoktartási kötelezettség (gag order), büntetőjog kontra hírszerzési munka

Miért vonatkoznak amerikai törvények európai szerverekre

Az 1.1. leckében Ön látta, hogy egy vállalatra annak az országnak a joga vonatkozik, ahol székhellyel rendelkezik. A legtöbb nagy felhőszolgáltatás esetében ez az Amerikai Egyesült Államok. Két amerikai törvény minden, az európai felhőről szóló vitában visszatér: a CLOUD Act és a FISA 702. szakasza. Céljuk és működésük eltérő, ezért érdemes különválasztani őket.

Ez magyarázat, nem jogi tanács. Az amerikai jogszabályok és azok értelmezése folyamatosan változik; az ebben a leckében szereplő állapot 2026 novemberére vonatkozik.

A CLOUD Act: nyomozás büntetőügyekben

A CLOUD Act a Clarifying Lawful Overseas Use of Data Act rövidítése. A törvényt 2018. március 23-án fogadták el, egy nagy költségvetési törvénycsomag részeként. Az előzménye a Microsoft és az amerikai kormány közötti per volt: az FBI egy gyanúsított levelezéséhez akart hozzáférni, amely egy írországi szerveren volt tárolva, a Microsoft pedig megtagadta ezt, mivel az adatok az Egyesült Államokon kívül voltak. Mielőtt a Legfelsőbb Bíróság ítéletet hozott volna, a Kongresszus megalkotta a CLOUD Actet, így az ügy lekerült a napirendről.

A lényeg egyetlen mondatban rejlik, amely ma a 18 U.S.C. 2713 alatt található. Egyszerűen fogalmazva: egy elektronikus hírközlési szolgáltatás vagy távoli tárhelyszolgáltatás nyújtójának meg kell őriznie, illetve ki kell adnia az adatokat, amelyek az ő "possession, custody, or control" (birtokában, őrizetében vagy ellenőrzése alatt) állnak, függetlenül attól, hogy ezek az adatok az Egyesült Államokon belül vagy kívül találhatók.

Mit jelent ez a gyakorlatban?

• Erről büntetőeljárási nyomozás keretében van szó. A kormánynak bírói engedéllyel kell rendelkeznie, például egy warrant formájában, ugyanúgy, mint az Egyesült Államokon belüli adatok esetében.
• Olyan adatokról van szó, amelyek a vállalat ellenőrzése alatt állnak. Ha az Ön levelezése egy európai leányvállalatnál van tárolva, de az amerikai anyavállalat hozzáfér azokhoz, akkor az anyavállalat is megszólítható.
• A szolgáltató kifogást emelhet, ha a kiadás ütközik egy másik ország jogával, de ez csak bizonyos esetekben lehetséges (főként olyan országok esetében, amelyekkel az Egyesült Államoknak speciális megállapodása van, mint az Egyesült Királyság és Ausztrália). Az EU és az Egyesült Államok között erre vonatkozó általános megállapodás egyelőre nincs.
• Az ügyfél nem mindig értesül erről. A bíró a szolgáltatóra titoktartási kötelezettséget róhat, amely megtiltja, hogy figyelmeztesse Önt.

Ezzel szemben a GDPR (48. cikk) kimondja, hogy egy külföldi ítéletet vagy adatkiadásra kötelező határozatot csak akkor ismernek el, ha van erre vonatkozó nemzetközi megállapodás, például egy jogsegélyegyezmény. Egy amerikai szolgáltató tehát két jogrendszer közé szorulhat. Pontosan ez a probléma: Önnek ügyfélként nincs beleszólása abba, melyik törvény győz.

Egy beszédes pillanat: 2025 júniusában a francia szenátus egyik vizsgálóbizottsága megkérdezte a Microsoft France jogi igazgatóját, hogy esküvel tudja-e garantálni, hogy francia állampolgárok adatait soha nem adják ki amerikai hatóságoknak Franciaország engedélye nélkül. A válasza: "Nem, ezt nem tudom garantálni." Hozzátette, hogy a vállalat vitatja a jogtalan kéréseket, és hogy ilyen kérés a gyakorlatban még nem fordult elő. A válasz mindkét fele fontos: a kockázat kicsi, de létezik, és a vállalat nem tudja kizárni.

FISA 702. szakasz: hírszerzés külföldiekről

A FISA a Foreign Intelligence Surveillance Act rövidítése. A 702. szakaszt 2008-ban iktatták be. Célja nem a bűncselekmények felderítése, hanem a külföldi hírszerzési adatok gyűjtése. Itt van a nagy különbség a CLOUD Acthez képest:

A 702. szakasz alapján az amerikai hírszerző szolgálatok kötelezhetik az elektronikus hírközlési szolgáltatókat, hogy működjenek együtt a külföldi "célszemélyek" kommunikációjának gyűjtésében. Egy európai számára az amerikai jog itt kevés védelmet nyújt: az alkotmányos védelem a házkutatás ellen (a negyedik alkotmánykiegészítés) elsősorban amerikai állampolgárokra vonatkozik. Ez a program központi szerepet játszott az Európai Unió Bírósága Schrems II ítéletében (1.4. lecke).

Helyzetkép 2026 novemberében

A 702. szakaszt a Kongresszusnak rendszeresen meg kell hosszabbítania. 2024 áprilisában a RISAA törvény két évvel, 2026 áprilisáig hosszabbította meg. 2026 áprilisában egy hosszú távú meghosszabbítás nem sikerült; két rövid meghosszabbításra került sor. 2026. június 12-én a törvény lejárt, először 2008 óta. A hírek szerint az adatgyűjtés a gyakorlatban folytatódik, mivel a FISA-bíróság 2026 márciusában már jóváhagyta az éves tanúsításokat, amelyek nagyjából 2027 márciusáig érvényesek. A Kongresszus 2026. november 9-től kezdődő lame duck időszakban folytatja a tárgyalásokat egy új meghosszabbításról.

Az Ön döntése szempontjából ez azt jelenti: akár lejárt átmenetileg a törvény, akár nem, a mögöttes probléma nem tűnik el. Nagy az esélye egy új meghosszabbításnak, és a hatáskörök más formában is visszatérhetnek.

Executive Order 12333: bírói engedély nélkül

E törvények mellett létezik az 1981-es Executive Order 12333, egy elnöki rendelet a hírszerzési tevékenységről. Ez alá tartozik például az internetes kábelek lehallgatása és adatok gyűjtése az Egyesült Államokon kívül, bírói közreműködés nélkül, és anélkül, hogy egy vállalatnak együtt kellene működnie. Az útközben titkosított adatok esetében ez kevésbé jelent problémát; egy amerikai vállalatnál tárolt adatok esetében a CLOUD Act és a 702. szakasz a releváns utak.

Mekkora valójában a kockázat?

Őszintén szólva: a legtöbb kis szervezet esetében kicsi az esélye, hogy az amerikai hírszerző szolgálatok éppen az ő levelezésük iránt érdeklődnének. Mégis vannak okok, amiért ezt komolyan kell venni:

• Ön nem tudja meg. A titoktartási kötelezettségek miatt lehet, hogy soha nem értesül róla.
• Ön nem az egyetlen érintett. Az Ön levelezésében ügyfelek, beszállítók és munkatársak adatai is szerepelnek. Önnek védenie kell az ő adataikat (1.2. lecke).
• Egyes adatok érzékenyek. Egy ügyvédi iroda, egy háziorvos, egy újságíró vagy egy iskola más mérlegelést igényel, mint egy pékség.
• A szabályok megváltozhatnak, anélkül, hogy Önnek bármi beleszólása lenne ebbe.

A Szemcse Pékségnek kevés oka van tartani egy hírszerző szolgálattól. Sanne azonban rájön, hogy a postafiókjában a dolgozók betegbejelentései is szerepelnek. Ezek egészségügyi adatok, amelyekkel különös gondossággal kell bánnia.

A gyakorlatban: így néz ki ez egy szolgáltatónál

Egy olyan európai szolgáltató, amelynek nincs amerikai anyavállalata és amerikai alvállalkozó adatfeldolgozója, nem tartozik a CLOUD Act hatálya alá, és nem minősül "szolgáltatónak" a 702. szakasz értelmében sem. Továbbra is kötelezhető az együttműködésre az európai rendőrséggel és igazságszolgáltatással, de ekkor európai és nemzeti jog szerint, európai bírói kontroll mellett. A WebOkénál a Nextcloud használati útmutatójában szerepel, hogy az Ön fájljai nem kerülnek amerikai felhőszolgáltatókhoz. Más szolgáltatóknál érdemes megkeresni az alvállalkozó adatfeldolgozók listáját és a jogi tulajdonost (2.1. lecke).

Összefoglalás

• A CLOUD Act (2018) kötelezi az amerikai szolgáltatókat, hogy büntetőjogi határozat alapján kiadják az ellenőrzésük alatt álló adatokat, akkor is, ha azok külföldön vannak.
• A FISA 702. szakasza hozzáférést biztosít az amerikai hírszerző szolgálatoknak az Egyesült Államokon kívül tartózkodó, nem amerikai állampolgárok kommunikációjához, hírszerzési célból, személyenkénti engedély nélkül.
• A 702. szakasz 2026. június 12-én lejárt, de a hírek szerint az adatgyűjtés a 2026 márciusi tanúsítások alapján folytatódik; egy új meghosszabbításról tárgyalások folynak.
• Egy európai szerver nem nyújt védelmet, ha a mögötte álló vállalatra amerikai jog vonatkozik.
• A kockázat a legtöbb szervezet számára kicsi, de nem zárható ki és nem ellenőrizhető.

Kvíz

Feladat

E1.3. feladat: Melyik jog vonatkozik az Ön szolgáltatására? Válassza ki a legfontosabb felhőszolgáltatását. Derítse ki, melyik vállalat köti Önnel a szerződést (ez szerepel az általános szerződési feltételekben), hol van a székhelye, és ki a végső anyavállalat. Válaszoljon: vonatkozhat-e a CLOUD Act erre a szolgáltatásra, és miért?

További olvasnivaló

Az ezekben a cikkekben szereplő lépések a WebOké szolgáltatásaira vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Nextcloud kézikönyv 15.13: Gyakori kérdések a biztonságról és az adatvédelemről
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) és a CRS-jelentés "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Az (EU) 2016/679 rendelet (GDPR) 48. cikke (külföldi adatkiadási határozatok)