JAV CLOUD Act ir jūsų duomenys: kada reikia ES suverenumo

Dauguma viešojo sektoriaus organizacijų naudoja Microsoft 365, Google Workspace ar kitą JAV tiekėjo debesį, o duomenis laiko Europos regione. Dažnas klausimas: ar to pakanka, kad duomenys liktų tik ES jurisdikcijoje? Trumpas atsakymas: ne visada. Šiame straipsnyje paaiškiname, kodėl, ir kaip nuspręsti, kur reikia daugiau.

Ką nustato CLOUD Act

JAV CLOUD Act (Clarifying Lawful Overseas Use of Data Act) priimtas 2018 m. Jis nustato, kad JAV jurisdikcijai priklausantis elektroninių ryšių ar debesijos paslaugų teikėjas pagal teisėtą JAV institucijų reikalavimą privalo pateikti duomenis, kuriuos jis turi, saugo ar kontroliuoja, nepriklausomai nuo to, kurioje šalyje duomenys fiziškai saugomi.

Įstatymas atsirado po bylos, kurioje JAV teisėsauga reikalavo iš Microsoft el. laiškų, saugomų Airijos duomenų centre. Microsoft atsisakė, nes duomenys buvo už JAV ribų. CLOUD Act šį klausimą išsprendė JAV institucijų naudai.

Svarbu: lemia ne duomenų centro vieta, o tiekėjo jurisdikcija. JAV įmonės dukterinė bendrovė Europoje gali būti laikoma kontroliuojama JAV įmonės.

Ko CLOUD Act nereiškia

• Tai ne masinė prieiga. Reikalingas konkretus teisėtas reikalavimas konkrečiam tyrimui.
• Tiekėjas gali ginčyti. Tiekėjas gali ginčyti reikalavimą teisme, pavyzdžiui, kai jis prieštarauja kitos šalies teisei. Specialią procedūrą įstatymas numato šalims, sudariusioms su JAV atskirą susitarimą. Dideli tiekėjai skelbia skaidrumo ataskaitas apie gautus reikalavimus.
• ES ir JAV duomenų apsaugos sistema jo nepanaikina. 2023 m. priimtas ES ir JAV duomenų apsaugos sistemos (Data Privacy Framework) sprendimas reguliuoja asmens duomenų perdavimą į JAV. ES Bendrasis Teismas 2025 m. rugsėjo 3 d. byloje Latombe prieš Komisiją jį paliko galioti, tačiau sprendimas gali būti skundžiamas, o CLOUD Act klausimo jis nesprendžia.

Bendrasis duomenų apsaugos reglamentas (BDAR) 48 straipsnyje numato, kad trečiosios šalies teismo ar institucijos reikalavimas perduoti asmens duomenis pripažįstamas tik pagal tarptautinį susitarimą. Taip atsiranda teisės konfliktas, kurį tiekėjas sprendžia kiekvienu atveju atskirai, o jūs to sprendimo nekontroliuojate.

Kada ES regiono pakanka, o kada ne

Ne visi duomenys vienodi. Siūlome juos suskirstyti į tris grupes.

Duomenų grupė	Pavyzdžiai	Rekomendacija
Bendri darbo duomenys	Susirašinėjimas, vidiniai dokumentai, viešai skelbiama informacija	Pasaulinio tiekėjo ES regionas paprastai tinka
Jautrūs duomenys	Sveikatos duomenys, kritinės infrastruktūros valdymo ir tinklo schemos, tyrimų medžiaga	Europos tiekėjas, vietinė infrastruktūra arba šifravimas raktais, kurių tiekėjas neturi
Įslaptinta informacija	Riboto naudojimo ir aukštesnio slaptumo informacija	Tik akredituotose sistemose pagal Lietuvos reikalavimus, ne viešoje debesijoje

Šifravimas sumažina riziką tik tada, kai raktai yra pas jus, o ne pas tiekėją. Debesijos tiekėjo valdomi raktai CLOUD Act požiūriu duomenų neapsaugo, nes tiekėjas juos kontroliuoja.

Ką galima pakeisti Europos sprendimais

ES suverenumas nebūtinai reiškia visišką atsisakymą JAV technologijų. Dažniausiai pakanka pakeisti sluoksnius, kuriuose saugomi jautrūs duomenys:

• Infrastruktūra: virtualizacija SUSE ar Proxmox, veikianti jūsų serverinėje.
• Debesija: Europos tiekėjai Scaleway (Prancūzija) ar STACKIT (Vokietija).
• Bendradarbiavimas: Nextcloud kaip failų, kalendoriaus ir pokalbių platforma, veikianti jūsų infrastruktūroje.
• Dirbtinis intelektas: atviri modeliai, pvz. Mistral, Europos debesyje, su DI platforma visiems darbuotojams.
• Saugumas ir prieiga: Europos ir atviro kodo MFA, VPN ir įvykių stebėsenos sprendimai.

Nuo ko pradėti

1. Duomenų klasifikavimas. Nustatykite, kurios sistemos tvarko jautrius duomenis. Dažnai jų yra mažiau, nei atrodo.
2. Priklausomybių sąrašas. Kiekvienai jautriai sistemai užrašykite tiekėją, jo jurisdikciją ir kas valdo šifravimo raktus.
3. Pasitraukimo planas. Net jei šiandien nieko nekeičiate, turėkite planą, kaip per 6–12 mėnesių perkelti jautriausias sistemas pas Europos tiekėją ar į savo infrastruktūrą.

Suverenumas kainuoja, todėl jį verta taikyti ten, kur jis būtinas, o ne visur. Sprendimų pagal sluoksnius sąrašą rasite ES suverenumo puslapyje.