Cloud Act i RODO: dlaczego „hostowane w Europie” to za mało

Pytasz dostawcę, dokąd trafiają Twoje dane. Odpowiedź brzmi gładko: „nasze serwery są w Europie”. Brzmi jak pełna odpowiedź. To tylko połowa. Lokalizacja serwera mówi Ci, gdzie leżą dane. Nic nie mówi o tym, kto może prawnie zażądać ich ujawnienia. Od 2018 roku amerykańska ustawa sprawiła, że to drugie pytanie faktycznie decyduje o Twojej ekspozycji, i to pytanie, na które prawie żaden dostawca sam nie odpowiada.

Ten przewodnik wyjaśnia, co mówi Cloud Act, kogo naprawdę dotyczy, dlaczego Data Privacy Framework go nie neutralizuje i jak w praktyce zweryfikować, czy narzędzie SaaS lub AI znajduje się poza jurysdykcją USA.

Co naprawdę mówi Cloud Act

Cloud Act (Clarifying Lawful Overseas Use of Data Act) został podpisany jako ustawa 23 marca 2018 roku, jako część Consolidated Appropriations Act. Nie pojawił się znikąd: rozstrzygnął sprawę, którą w tamtym czasie rozpatrywał Sąd Najwyższy USA.

Ta sprawa zaczęła się w grudniu 2013 roku, gdy Microsoftowi doręczono nakaz na mocy Stored Communications Act dotyczący e-maili przechowywanych w centrum danych w Dublinie. Microsoft odmówił ich wydania, argumentując, że amerykański nakaz nie może dotyczyć danych przechowywanych w Irlandii. Spór dotarł aż do Sądu Najwyższego, który wysłuchał argumentów w lutym 2018 roku. Zanim sąd zdążył orzec, Kongres uchwalił Cloud Act, a sprawę uznano za bezprzedmiotową.

To, co zmienił Cloud Act, mieści się w jednym zdaniu. Zmienił on Stored Communications Act tak, by dostawca musiał zachować, zabezpieczyć lub ujawnić treści i zapisy będące w jego posiadaniu, pieczy lub pod jego kontrolą, „niezależnie od tego, czy dana komunikacja, zapis lub inna informacja znajduje się na terytorium Stanów Zjednoczonych, czy poza nim”.

Kogo naprawdę dotyczy

Cloud Act nie celuje w „amerykańskie firmy” jako etykietę. Obejmuje każdego dostawcę podlegającego jurysdykcji USA, a to kategoria szersza, niż zakłada większość europejskich nabywców. Trzy sytuacje są objęte najczęściej:

• Amerykańska firma, niezależnie od lokalizacji jej infrastruktury. To oczywisty przypadek.
• Europejska spółka zależna amerykańskiej spółki-matki. To przypadek, który zaskakuje ludzi. Test dotyczy kontroli: gdy amerykańska spółka-matka kontroluje swój europejski podmiot, dane przechowywane przez ten podmiot są zwykle traktowane jako pozostające pod kontrolą spółki-matki, a amerykański nakaz może do nich dotrzeć. Żaden sąd nie orzekł bezpośrednio w tym scenariuszu, a dostawcy czasem podważają ten punkt. Praktyczną odpowiedź dał sam Microsoft, o czym niżej. Zarejestrowanie GmbH czy SAS samo w sobie nie buduje muru ochronnego.
• Firma spoza USA z wystarczającą obecnością w Stanach Zjednoczonych, by uznać ją za podlegającą jurysdykcji USA.

Praktyczna konsekwencja jest niewygodna, ale prosta: o Twojej ekspozycji decyduje narodowość prawna firmy obsługującej usługę oraz grupy, która ją kontroluje. Lokalizacja serwera jest w porównaniu z tym szczegółem.

To nie abstrakcyjne pytanie o umowy chmurowe. Dotyczy każdego narzędzia w Twoim stosie: CRM, który przechowuje Twój lejek sprzedażowy, aplikacji do notatek, która przechowuje Twoje spotkania, asystenta AI, do którego wklejasz dokumenty, narzędzia do dyktowania, do którego mówisz swoje akta. Ten ostatni przypadek to ten, którego prawie nikt nie przewiduje, ponieważ podyktowany dźwięk jest często najbardziej poufną rzeczą, jaką profesjonalista tworzy w ciągu dnia.

Nie teoretyczne ryzyko: Microsoft przed francuskim Senatem

Jeśli to wciąż brzmi akademicko, jedno przesłuchanie rozstrzygnęło sprawę. W czerwcu 2025 roku, zeznając pod przysięgą przed komisją śledczą francuskiego Senatu, dyrektor prawny Microsoft France przyznał, że nie może zagwarantować, iż dane obywateli francuskich hostowane przez firmę nigdy nie zostaną przekazane amerykańskim władzom bez zgody Francji.

To przyznanie padło z ust hiperskalera z rozbudowanymi europejskimi centrami danych i własną, obszerną ofertą suwerenności. To nie twierdzenie konkurenta, to własna odpowiedź dostawcy, udzielona pod przysięgą. Dla każdej organizacji zarządzającej poufnymi aktami ta jedna wymiana zdań jest warta więcej niż sto stron materiałów marketingowych o europejskim hostingu.

Data Privacy Framework odpowiada na inne pytanie

Gdy naciskasz amerykańskiego dostawcę w sprawie transferów, odpowiedzią jest zwykle Data Privacy Framework (DPF), decyzja stwierdzająca odpowiedni poziom ochrony przyjęta przez Komisję Europejską 10 lipca 2023 roku. Amerykańska firma dokonuje samocertyfikacji i może następnie otrzymywać dane osobowe z Unii Europejskiej bez dalszych formalności. Na papierze transfer jest zgodny z prawem. Zanim na nim polegasz, warto znać dwie rzeczy.

Po pierwsze, to trzeci mechanizm tego rodzaju, a dwa poprzednie zostały unieważnione. Safe Harbor został unieważniony przez Trybunał Sprawiedliwości Unii Europejskiej w październiku 2015 roku (Schrems I), a Privacy Shield w lipcu 2020 roku (Schrems II), oba z powodu tego, że amerykańska inwigilacja nie zapewniała Europejczykom ochrony zasadniczo równoważnej z prawem unijnym. DPF przetrwał swoje pierwsze wyzwanie: 3 września 2025 roku Sąd UE odrzucił skargę wniesioną przez Philippe'a Latombe, deputowanego francuskiego Zgromadzenia Narodowego i członka CNIL (sprawa T-553/23). Ale ten wyrok został zaskarżony 31 października 2025 roku i jest obecnie w toku przed Trybunałem Sprawiedliwości jako sprawa C-703/25 P. Na sierpień 2026 roku odwołanie nie zostało jeszcze rozstrzygnięte, a komentatorzy nie spodziewają się wyroku wcześniej niż pod koniec 2026 roku. Budowanie poufności na mechanizmie, który już dwukrotnie został unieważniony, to zakład, nie gwarancja.

Po drugie, co ważniejsze, DPF nie neutralizuje Cloud Act. Oba instrumenty odpowiadają na różne pytania. DPF czyni komercyjny transfer danych do Stanów Zjednoczonych zgodnym z prawem. Cloud Act reguluje dostęp amerykańskich władz do danych, które dostawca już posiada. Dostawca może być nienagannie certyfikowany w ramach DPF i wciąż otrzymać ważny amerykański nakaz zmuszający do ujawnienia. Zgodność transferu nie chroni przed dostępem.

Inna podstawa prawna: FISA, sekcja 702

Cloud Act to nie jedyna droga. Sekcja 702 Foreign Intelligence Surveillance Act pozwala amerykańskim służbom wywiadowczym zmuszać dostawców usług komunikacji elektronicznej do wydania komunikacji osób niebędących obywatelami USA, przebywających poza Stanami Zjednoczonymi. Innymi słowy, Europejczyków. To właśnie niewystarczające zabezpieczenia wokół tej inwigilacji skłoniły Trybunał Sprawiedliwości do unieważnienia Privacy Shield w sprawie Schrems II.

Sekcja 702 znajdowała się w legislacyjnych turbulencjach przez cały 2026 rok. Została ostatnio przedłużona w kwietniu 2024 roku przez Reforming Intelligence and Securing America Act, z niezwykle krótkim, dwuletnim terminem wygaśnięcia, a Kongres od tego czasu nie uregulował długoterminowego przedłużenia. Ta niestabilność niczego operacyjnie nie zmienia dla europejskiego klienta: jak udokumentowało Brennan Center, zbieranie danych trwa nadal na podstawie istniejących certyfikacji wydanych przez sąd FISA, które obowiązują do marca 2027 roku, niezależnie od ustawowego terminu wygaśnięcia. Planowanie w oparciu o założenie, że ta podstawa prawna wygaśnie, nie jest strategią.

Co suwerenność naprawdę oznacza, w czterech kontrolach

„Suwerenny” stało się słowem marketingowym. Oto jak to zweryfikować, w kolejności, która ma znaczenie.

1. Kto jest właścicielem wydawcy. Sprawdź firmę w krajowym rejestrze: formę prawną, siedzibę, kapitał zakładowy, a przede wszystkim czy nad nią stoi amerykańska spółka-matka lub grupa kontrolowana przez USA. Europejska marka może być spółką zależną w 100% należącą do kogoś innego. Ta kontrola zajmuje pięć minut i odpowiada na główne pytanie.
2. Kto obsługuje podwykonawców i gdzie. Własny hosting dostawcy rzadko jest całą historią. Poproś o listę podwykonawców i przeczytaj ją: dostawca modelu, baza danych, warstwa uwierzytelniania, procesor płatności. Jedno amerykańskie ogniwo w tym łańcuchu wystarczy, by dane, których dotyka, wróciły w zasięg.
3. Treść kontra metadane. Są niemal zawsze traktowane inaczej. Dostawca może rzeczywiście przetwarzać Twoje dokumenty we Francji i wciąż kierować dane konta, e-mail, uwierzytelnianie, rozliczenia, przez amerykańskich dostawców SaaS. To może być dla Ciebie całkowicie do zaakceptowania, ale powinieneś o tym wiedzieć, a nie to odkryć. Poproś dostawcę o jednoznaczne wytyczenie tej granicy.
4. Do czego naprawdę zobowiązuje umowa. Umowa powierzenia przetwarzania danych na mocy artykułu 28 RODO powinna wymieniać podwykonawców, wskazywać, gdzie każdy z nich przetwarza dane, i zobowiązywać dostawcę do informowania Cię przed jakąkolwiek zmianą. Dostawca niechętny do wymienienia swojego łańcucha coś Ci przez to mówi.

Pułapka specyficzna dla narzędzi AI

Jest jeden scenariusz porażki, na który europejscy nabywcy narzędzi AI trafiają raz za razem, i warto omówić go osobno.

Dostawca może być prawdziwą europejską firmą, hostującą swoją aplikację na prawdziwej europejskiej infrastrukturze, i wciąż wysyłać każdy z Twoich dokumentów do Stanów Zjednoczonych. Dzieje się to w momencie wywołania modelu. Jeśli inteligencja produktu pochodzi z API obsługiwanego przez OpenAI, Anthropic, Google lub chmurę kontrolowaną przez USA, Twoja treść opuszcza europejski obszar dokładnie w momencie, gdy produkt staje się użyteczny. Europejski hosting jest prawdziwy, ale też nie na temat: przechowuje interfejs, nie ładunek.

W przypadku dyktowania głosowego to niemal domyślny scenariusz. Większość narzędzi na rynku, w tym kilka prezentowanych jako priorytetowo dbające o prywatność, transkrybuje, wywołując amerykańskie API do zamiany mowy na tekst. Podyktowany dźwięk, który jest często najbardziej poufną rzeczą, jaką profesjonalista tworzy w ciągu dnia, trafia wprost w zasięg.

Sześć pytań do zadania każdemu dostawcy, na piśmie

1. Jaki podmiot prawny wydaje usługę i czy jest kontrolowany przez pozaeuropejską spółkę-matkę?
2. Gdzie są przetwarzane moje treści i przez jakie firmy? Nie „w Europie”, tylko konkretna lista.
3. Jakich modeli AI używacie i kto je obsługuje? Punkt awarii specyficzny dla produktów AI.
4. Które z moich danych to treść, a które metadane konta, i czy są traktowane inaczej?
5. Czy wy lub którykolwiek z waszych podwykonawców podlegacie Cloud Act lub innej ustawie eksterytorialnej? Europejski dostawca bez amerykańskiej spółki-matki może odpowiedzieć nie, wprost.
6. Czy udostępniacie DPA na mocy artykułu 28, który wymienia waszych podwykonawców i zobowiązuje do informowania o zmianach?

Odpowiedzi powinny przyjść na piśmie i bez wykrętów. Tam, gdzie tak się nie dzieje, i tak masz swoją odpowiedź. Jeśli chcesz zobaczyć stronę RODO tej samej analizy, nasz przewodnik dyktowanie głosowe a RODO omawia obowiązki dotyczące samego narzędzia, a nasz artykuł o AI Act wyjaśnia, dlaczego regulacja AI nic z tego wszystkiego nie mówi.

Gdzie plasuje się Fast Dictate

Fast Dictate powstał, by odpowiedzieć na tych sześć pytań na jednej stronie, a nie podczas rozmowy handlowej.

• Wydawcą jest francuska firma. Synapse Crew SAS, zarejestrowana w sądzie gospodarczym w Paryżu, bez amerykańskiej spółki-matki. Nie podlega Cloud Act.
• Plan Pro: podyktowana treść zostaje we Francji. Dźwięk i transkrypcje są przetwarzane wyłącznie na serwerach we Francji, na infrastrukturze certyfikowanej ISO/IEC 27001:2022.
• Modele też działają we Francji. Transkrypcja i przetwarzanie językowe końcowe działają na francuskiej infrastrukturze, bez żadnego wywołania API AI poza Francją do przetwarzania tej treści. To właśnie w tym miejscu wycieka większość narzędzi, więc mówimy o tym wprost.
• Zero retencji w każdym planie. Dźwięk jest transkrybowany, a następnie natychmiast usuwany, i nigdy nie jest ponownie wykorzystywany do trenowania modeli.
• Uczciwy niuans dotyczący metadanych. Techniczne dane konta, adres e-mail, uwierzytelnianie, status subskrypcji, korzystają z międzynarodowych podwykonawców objętych standardowymi klauzulami umownymi Komisji Europejskiej. Żadna podyktowana treść przez nich nie przechodzi. Pełny rozkład znajduje się na naszej stronie Bezpieczeństwo, a DPA jest udostępniane klientom planu Pro.

Najczęściej zadawane pytania