Co zákon skutečně říká
Klíčové ustanovení: firma se sídlem v USA, která má data „v držení, úschově nebo pod kontrolou“, musí tato data vydat, když obdrží americký příkaz, předvolání nebo soudní příkaz, bez ohledu na to, kde jsou data uložena. Tím byl překonán případ z roku 2017, kdy Microsoft odmítl vydat e-maily uložené v Irsku s odůvodněním, že data jsou mimo americkou jurisdikci.
Zákon také umožňuje USA uzavírat s jinými zeměmi výkonné dohody, podle kterých mohou orgány činné v trestním řízení těchto zemí žádat o data přímo americké poskytovatele (a naopak), a obejít tak pomalý postup podle smluv o vzájemné právní pomoci (MLAT). Spojené království a Austrálie je podepsaly; další země jednají.
Koho se týká
Do působnosti potenciálně spadá každá firma se sídlem v USA, ve vlastnictví americké firmy nebo s významnými aktivitami v USA. To zahrnuje ty zřejmé (Google, Microsoft, Amazon, Apple, Meta) i dlouhý seznam méně zřejmých: každý poskytovatel cloudu nebo SaaS, kterého používáte a který má americkou mateřskou společnost nebo datová centra v USA, je vystaven CLOUD Act.
Data nemusí být na americké půdě. Zákon byl napsán právě tak, aby na geografii nezáleželo. Pokud má vaše data Microsoft Ireland a Microsoft Corporation (USA) ovládá Microsoft Ireland, jsou data dosažitelná.
Co to znamená ve spojení s oddílem 702 FISA
CLOUD Act pokrývá běžné žádosti orgánů činných v trestním řízení (příkazy, předvolání). Oddíl 702 FISA pokrývá zpravodajskou činnost, hromadný sběr zahraničních zpravodajských informací od amerických poskytovatelů, kdy tajný soud (FISC) schvaluje programový dohled místo jednotlivých příkazů. Dohromady dávají americkým agenturám několik různých cest k uživatelským datům, která mají americké firmy.
Oddíl 702 byl hlavním právním argumentem, který SDEU v rozsudku Schrems II použil, když rozhodl, že data z EU nejsou u amerických firem bezpečně chráněna.
Evropská odpověď
Regulátoři EU prosazují „datovou suverenitu“ jako strukturální odpověď: pokud data drží firma se sídlem v EU v datových centrech v EU podle práva EU, CLOUD Act na ně nedosáhne (protože neexistuje americká mateřská společnost, kterou by bylo možné donutit). Na tom stojí projekty jako GAIA-X a různé programy EU na financování infrastruktury vytvořené v Evropě. Proto je také evropský prohlížeč, jehož služby běží na evropských serverech, kvalitativně odlišný od amerického prohlížeče, který dělá totéž v datových centrech v EU.