CLOUD Act, FISA 702 a další americké zákony

Modul 1: Proč evropský cloud? · Doba čtení: 12 minut

Cíl lekce: Po této lekci dokážete vysvětlit, které americké zákony umožňují přístup k datům u amerických firem, proč to platí i tehdy, když data leží v Evropě, a jaký je aktuální stav v listopadu 2026.

Klíčové pojmy: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", poskytovatel elektronické komunikační služby, FISA Section 702, soud FISA (FISC), certifikace, Executive Order 12333, příkaz k mlčenlivosti, trestní právo versus zpravodajská činnost

Proč se americké zákony týkají evropských serverů

V lekci 1.1 jste se dozvěděli, že firma spadá pod právo země, kde má sídlo. U většiny velkých cloudových služeb je to Spojené státy. Ve všech diskusích o evropském cloudu se opakovaně objevují dva americké zákony: CLOUD Act a Section 702 zákona FISA. Mají odlišný účel a fungují jinak, proto je dobré je od sebe rozlišovat.

Toto je vysvětlení, nikoli právní poradenství. Americká legislativa a její výklad se mění; stav popsaný v této lekci odpovídá listopadu 2026.

CLOUD Act: vyšetřování trestných činů

CLOUD Act je zkratka pro Clarifying Lawful Overseas Use of Data Act. Zákon byl přijat 23. března 2018 jako součást rozsáhlého rozpočtového zákona. Podnětem byl soudní spor mezi Microsoftem a americkou vládou: FBI chtěla e-maily podezřelého, které byly uložené na serveru v Irsku, a Microsoft odmítl vydat je s odůvodněním, že se data nacházejí mimo USA. Dříve než Nejvyšší soud stihl rozhodnout, Kongres přijal CLOUD Act, a tím byl spor vyřešen.

Jádro zákona je obsaženo v jediné větě, dnes uvedené jako 18 U.S.C. 2713. Jednoduše řečeno: poskytovatel elektronické komunikační služby nebo služby vzdáleného úložiště musí uchovat nebo vydat data, která má ve své "possession, custody, or control" (ve svém držení, péči nebo pod kontrolou), bez ohledu na to, zda se tato data nacházejí uvnitř, nebo mimo Spojené státy.

Co to znamená v praxi?

• Jde o trestní vyšetřování. Vláda potřebuje soudní příkaz, například warrant, stejně jako u dat uložených v USA.
• Jde o data, která má firma ve své moci. Pokud jsou Vaše e-maily uložené u evropské dceřiné společnosti, ale americká mateřská firma má k nim přístup, lze požadavek adresovat mateřské firmě.
• Poskytovatel se může proti vydání dat odvolat, pokud by to bylo v rozporu s právem jiné země, ale pouze v určitých případech (zejména u zemí, s nimiž mají USA zvláštní dohodu, jako je Spojené království a Austrálie). Obecná dohoda mezi EU a USA o tomto druhu důkazů zatím neexistuje.
• Zákazník se o tom ne vždy dozví. Soud může poskytovateli uložit příkaz k mlčenlivosti, takže Vás o tom nesmí informovat.

Na druhou stranu GDPR (čl. 48) stanoví, že zahraniční rozsudek nebo příkaz k vydání dat je uznán pouze tehdy, pokud existuje mezinárodní dohoda, například dohoda o právní pomoci. Americký poskytovatel se tak může ocitnout mezi dvěma zákony. V tom spočívá podstata problému: Vy jako zákazník si nemůžete vybrat, který zákon zvítězí.

Výmluvný okamžik: v červnu 2025 se vyšetřovací komise francouzského Senátu zeptala ředitele právního oddělení Microsoftu Francie, zda může pod přísahou zaručit, že data francouzských občanů nebudou nikdy bez souhlasu Francie poskytnuta americkým orgánům. Jeho odpověď zněla: "Ne, to zaručit nemohu." Dodal, že firma neoprávněné žádosti napadá a že se v praxi taková žádost dosud neobjevila. Obě části této odpovědi jsou důležité: riziko je malé, ale existuje, a firma je nemůže vyloučit.

FISA Section 702: zpravodajské informace o cizincích

FISA je zkratka pro Foreign Intelligence Surveillance Act. Section 702 byla doplněna v roce 2008. Jejím cílem není vyšetřování trestných činů, ale shromažďování zahraničních zpravodajských informací. V tom spočívá zásadní rozdíl oproti CLOUD Actu:

Na základě Section 702 mohou americké zpravodajské služby zavázat poskytovatele elektronických komunikačních služeb ke spolupráci při shromažďování komunikace zahraničních "cílů". Pro Evropana zde americké právo poskytuje jen málo ochrany: ústavní ochrana proti domovním prohlídkám (čtvrtý dodatek) se vztahuje především na Američany. Tento program hrál klíčovou roli v rozsudku Schrems II Soudního dvora Evropské unie (lekce 1.4).

Stav k listopadu 2026

Section 702 musí Kongres opakovaně prodlužovat. V dubnu 2024 zákon RISAA prodloužil její platnost o dva roky, do dubna 2026. V dubnu 2026 se nepodařilo dosáhnout dlouhodobého prodloužení; následovala dvě krátká prodloužení. 12. června 2026 zákon poprvé od roku 2008 vypršel. Podle zpráv shromažďování v praxi pokračuje, protože soud FISA v březnu 2026 již schválil roční certifikace, které platí přibližně do března 2027. Kongres jedná o novém prodloužení dál v období tzv. lame duck, které začalo 9. listopadu 2026.

Pro Vaše rozhodování to znamená: ať už zákon v danou chvíli platí nebo ne, základní problém tím nemizí. Je vysoce pravděpodobné, že dojde k novému prodloužení, a tyto pravomoci se mohou vrátit v jiné podobě.

Executive Order 12333: bez soudu

Vedle těchto zákonů existuje Executive Order 12333 z roku 1981, prezidentské nařízení o zpravodajské činnosti. Patří sem například odposlech internetových kabelů a shromažďování dat mimo USA, bez zásahu soudu a bez nutnosti spolupráce firmy. U dat, která jsou během přenosu šifrovaná, je to menší problém; u dat uložených u americké firmy jsou relevantními cestami CLOUD Act a Section 702.

Jak velké je riziko ve skutečnosti?

Upřímně řečeno: u většiny malých organizací je jen malá pravděpodobnost, že se americké zpravodajské služby budou zajímat právě o jejich e-maily. Přesto existují důvody, proč to brát vážně:

• Nevíte to jistě. Kvůli příkazům k mlčenlivosti se to možná nikdy nedozvíte.
• Nejste jediným dotčeným subjektem. Ve Vašich e-mailech jsou údaje zákazníků, dodavatelů a zaměstnanců. Jejich údaje musíte chránit (lekce 1.2).
• Některá data jsou citlivá. Advokátní kancelář, praktický lékař, novinář nebo škola musí zvažovat jinak než pekárna.
• Pravidla se mohou změnit, aniž byste do toho mohli jakkoli zasáhnout.

Pekárna Bakkerij De Korrel se nemá od zpravodajské služby čeho obávat. Sanne si ale uvědomí, že v její e-mailové schránce jsou i hlášení o nemoci jejích zaměstnanců. To jsou údaje o zdraví, a s těmi musí nakládat obzvlášť pečlivě.

V praxi: jak to vypadá u poskytovatele

Evropský poskytovatel bez americké mateřské firmy a bez amerických subdodavatelů (subzpracovatelů) nespadá pod CLOUD Act a není "poskytovatelem" ve smyslu Section 702. Stále může být povinen spolupracovat s evropskou policií a justicí, ale podle evropského a vnitrostátního práva, s evropským soudem jako kontrolním orgánem. U WebOké se v návodu k Nextcloudu uvádí, že Vaše soubory nesměřují k americkým cloudovým firmám. U jiných poskytovatelů hledejte seznam subzpracovatelů a právního vlastníka (lekce 2.1).

Shrnutí

• CLOUD Act (2018) zavazuje americké poskytovatele vydat data, která mají pod kontrolou, na základě trestního příkazu, i když se nacházejí v zahraničí.
• FISA Section 702 dává americkým zpravodajským službám přístup ke komunikaci cizinců mimo USA pro zpravodajské účely, bez příkazu pro konkrétní osobu.
• Section 702 vypršela 12. června 2026, ale podle zpráv shromažďování pokračuje na základě certifikací z března 2026; o novém prodloužení se jedná.
• Server v Evropě neposkytuje ochranu, pokud firma, která za ním stojí, spadá pod americké právo.
• Pro většinu organizací je riziko malé, ale nelze je vyloučit ani zkontrolovat.

Kvíz

Úkol

Úkol E1.3: Pod jaké právo spadá Vaše služba? Vyberte si svou nejdůležitější cloudovou službu. Zjistěte, která firma s Vámi uzavírá smlouvu (je uvedeno v podmínkách), kde má sídlo a kdo je její konečnou mateřskou společností. Odpovězte: může se na tuto službu vztahovat CLOUD Act, a proč?

Další čtení

Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k Nextcloud 15.13: Často kladené otázky o zabezpečení a soukromí
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) a zpráva CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Nařízení (EU) 2016/679 (GDPR), článek 48 (zahraniční příkazy k vydání údajů)