Čo zákon naozaj hovorí
Kľúčové ustanovenie: firma so sídlom v USA, ktorá má údaje „v držbe, úschove alebo pod kontrolou“, musí tieto údaje vydať, keď dostane americký príkaz, predvolanie alebo súdny príkaz, bez ohľadu na to, kde sú údaje uložené. Tým bol prekonaný prípad z roku 2017, keď Microsoft odmietol vydať e-maily uložené v Írsku s odôvodnením, že údaje sú mimo americkej jurisdikcie.
Zákon tiež umožňuje USA uzatvárať s inými krajinami výkonné dohody, podľa ktorých môžu orgány činné v trestnom konaní týchto krajín žiadať o údaje priamo amerických poskytovateľov (a naopak), a obísť tak pomalý postup podľa zmlúv o vzájomnej právnej pomoci (MLAT). Spojené kráľovstvo a Austrália ich podpísali; ďalšie krajiny rokujú.
Koho sa týka
Do pôsobnosti potenciálne patrí každá firma so sídlom v USA, vo vlastníctve americkej firmy alebo s významnými aktivitami v USA. To zahŕňa tie zrejmé (Google, Microsoft, Amazon, Apple, Meta) aj dlhý zoznam menej zrejmých: každý poskytovateľ cloudu alebo SaaS, ktorého používate a ktorý má americkú materskú spoločnosť alebo dátové centrá v USA, je vystavený CLOUD Act.
Údaje nemusia byť na americkej pôde. Zákon bol napísaný práve tak, aby na geografii nezáležalo. Ak má vaše údaje Microsoft Ireland a Microsoft Corporation (USA) ovláda Microsoft Ireland, údaje sú dosiahnuteľné.
Čo to znamená v spojení s oddielom 702 FISA
CLOUD Act pokrýva bežné žiadosti orgánov činných v trestnom konaní (príkazy, predvolania). Oddiel 702 FISA pokrýva spravodajskú činnosť, hromadný zber zahraničných spravodajských informácií od amerických poskytovateľov, keď tajný súd (FISC) schvaľuje programový dohľad namiesto jednotlivých príkazov. Spolu dávajú americkým agentúram niekoľko rôznych ciest k používateľským údajom, ktoré majú americké firmy.
Oddiel 702 bol hlavným právnym argumentom, ktorý SDEÚ v rozsudku Schrems II použil, keď rozhodol, že údaje z EÚ nie sú u amerických firiem bezpečne chránené.
Európska odpoveď
Regulátori EÚ presadzujú „dátovú suverenitu“ ako štrukturálnu odpoveď: ak údaje drží firma so sídlom v EÚ v dátových centrách v EÚ podľa práva EÚ, CLOUD Act na ne nedosiahne (pretože neexistuje americká materská spoločnosť, ktorú by bolo možné donútiť). Na tom stoja projekty ako GAIA-X a rôzne programy EÚ na financovanie infraštruktúry vytvorenej v Európe. Preto je tiež európsky prehliadač, ktorého služby bežia na európskych serveroch, kvalitatívne odlišný od amerického prehliadača, ktorý robí to isté v dátových centrách v EÚ.