Microsoft a recunoscut că „nu poate garanta” suveranitatea datelor UE

Microsoft a recunoscut că nu poate garanta suveranitatea datelor pentru clienţii din Franţa sau din alte ţări ale Uniunii Europene în conformitate cu US Cloud Act, care permite guvernului american să acceseze datele firmelor de tehnologie cu sediul în SUA, chiar dacă aceste date sunt stocate în străinătate, potrivit The Register.

În faţa unei anchete a Senatului francez, Microsoft a recunoscut că nu poate proteja datele UE de spionajul SUA

În cadrul unei declaraţii sub jurământ în faţa unei anchete a Senatului francez privind rolul achiziţiilor publice în promovarea suveranităţii digitale, Anton Carniaux, directorul de afaceri publice şi juridice al Microsoft Franţa împreună cu Pierre Lagarde, directorul tehnic al sectorului public, a fost întrebat dacă poate garanta că datele cetăţenilor francezi nu vor fi niciodată transmise autorităţilor americane fără autorizarea explicită a Franţei. El a răspuns: „Nu, nu pot garanta acest lucru”.

Microsoft afirmă că „nu poate garanta” suveranitatea datelor clienţilor din Franţa şi, implicit, din întreaga Uniune Europeană, în cazul în care administraţia Trump ar solicita accesul la informaţiile clienţilor stocate pe serverele sale.

Compania susţine că se opune acestor cereri atunci când acestea sunt nefondate

Întrebat despre eventualele mecanisme tehnice sau juridice care ar putea împiedica acest acces în temeiul Cloud Act, Carniaux a răspuns că „s-a angajat contractual faţă de clienţii noştri, inclusiv cei din sectorul public, să se opună acestor cereri atunci când acestea sunt nefondate”.

„Am implementat un sistem foarte riguros, iniţiat în era Obama prin acţiuni în justiţie împotriva cererilor autorităţilor, care ne permite să obţinem concesii din partea guvernului american. Începem prin a analiza foarte precis validitatea unei solicitări şi o respingem dacă este nefondată”.

El a spus că Microsoft cere administraţiei americane să o redirecţioneze către client.

„Când acest lucru se dovedeşte imposibil, răspundem în cazuri extrem de specifice şi limitate. Aş dori să subliniez că guvernul nu poate face solicitări care nu sunt definite cu precizie”.

Carniaux a adăugat: „Dacă trebuie să comunicăm, cerem să putem notifica clientul în cauză”. El a spus că, sub fosta administraţie Obama, Microsoft a dus cazuri în faţa Curţii Supreme a SUA şi, astfel, s-a asigurat că cererile sunt „mai concentrate, precise, justificate şi legale”.

De subliniat este că ultimul cuvânt referitor la legalitatea, scopul şi justificarea acestor cereri îl are Curtea Supremă a Statelor Unite unde Trump a nominalizat trei judecători. În prezent conservatorii şi mişcarea MAGA deţin majoritatea şi conduc deciziile Curţii Supreme.

În acest context este interesant de observat că reprezentanţii Microsoft au fost nevoiţi să apeleze la exemple din era Obama, un preşedinte liberal, şi când judecătorii democraţi încă aveau majoritate în Curtea Supremă.

Ce este Cloud Act şi cum influenţează activitatea furnizorilor de servicii cloud

Cloud Act a fost promulgat în 2018, în urma provocărilor cu care s-a confruntat FBI-ul atunci când a obţinut date prin intermediul furnizorilor de servicii prin mandate conform legii Store Communications Act, care a fost legiferat înainte ca cloud computing-ul să devină realitate. Microsoft a contestat cererile anterioare, inclusiv una referitoare la o anchetă din 2016 privind traficul de droguri, când e-mailurile unui cetăţean american erau stocate pe serverele Microsoft din Irlanda, iar Microsoft a susţinut că SCA nu acoperea datele stocate în afara SUA.

Proiectul de lege a fost susţinut la momentul adoptării sale de AWS, Microsoft şi Google (deci nu este o noutate pentru ele) şi a fost criticat de grupurile pentru drepturile civile. Furnizorii europeni de servicii cloud implicaţi în acest domeniu au discutat despre potenţiala problemă a suveranităţii datelor pentru clienţii din UE, deşi, aşa cum a afirmat Microsoft, nu a primit solicitări de date din partea guvernului SUA pentru datele stocate pe serverele Microsoft din Europa.

La audierile din Franţa, Microsoft a fost întrebată dacă, în cazul unei solicitări de date bine formulate, corporaţia ar fi „obligată să transmită datele”.

Carniaux a recunoscut: „Absolut, respectând acest proces. Dar, din nou, acest lucru nu a afectat nicio companie europeană sau organism din sectorul public, deoarece publicăm aceste rapoarte de transparenţă”.

Rapoartele de transparenţă ale Microsoft sunt publicaţii bianuale în care compania dezvăluie modul în care gestionează solicitările de date ale utilizatorilor, eliminarea conţinutului şi multe altele.

Legrande a intervenit pentru a spune că, în ultimii trei ani, Microsoft a implementat un mediu tehnic pentru a minimiza transferurile de date şi a păstra datele clienţilor în UE, „fie că sunt în repaus, în tranzit sau în curs de procesare, fie că sunt date generate de jurnalele aplicaţiilor, inclusiv partea de asistenţă”.

Carniaux a fost întrebat dacă, în cazul unei ordonanţe judecătoreşti justificate din punct de vedere legal, el, în calitate de director al departamentului de afaceri publice şi juridice al Microsoft, ar putea „garanta comitetului nostru, sub jurământ”, că datele cetăţenilor francezi nu ar putea fi transmise guvernului american fără acordul explicit al guvernului francez.

„Nu”, a răspuns Carniaux, „nu pot garanta acest lucru, dar, repet, nu s-a întâmplat niciodată până acum”.

Suveranitatea datelor continentului european este o problemă reală

Mărturia a confirmat că furnizorii americani de servicii hyperscaler nu pot garanta suveranitatea datelor în Europa. Microsoft a recunoscut deschis ceea ce mulţi ştiau de mult timp: în conformitate cu legi precum CLOUD Act, autorităţile americane pot impune accesul la datele deţinute de furnizorii americani de servicii cloud, indiferent de locul în care se află fizic aceste date. Serverele din Marea Britanie sau din UE nu fac nicio diferenţă atunci când jurisdicţia se află în altă parte, iar filialele locale sau parteneriatele „de încredere” nu schimbă această realitate.

Este mai mult decât o chestiune tehnică. Este o problemă reală care poate afecta securitatea naţională, confidenţialitatea personală şi competitivitatea în domeniul afacerilor. Mărturia recentă a Microsoft demonstrează cum acest lucru se poate întâmpla acum la cererea autorităţilor americane.

Senatul francez a creat un precedent cerând răspunsuri, iar Marea Britanie şi Europa au ocazia să facă acelaşi lucru. Se vede o schimbare către crearea de soluţii locale care susţin suveranitatea reală a datelor, mai degrabă decât rezidenţa datelor. Guvernele europene trebuie acum să ajute industria să accelereze această tendinţă, reducând dependenţa excesivă de hyperscaleri.

Legea Cloud Act se aplică şi companiilor străine cu activitate în SUA

Important de subliniat este că legea Cloud Act nu se aplică numai companiilor cu sediul în SUA, ci tuturor „furnizorilor de servicii de comunicaţii electronice sau de servicii de calcul la distanţă” care desfăşoară activităţi în Statele Unite.

De exemplu, furnizorii de servicii cloud cu sediul în Europa care desfăşoară activităţi în SUA sunt, de asemenea, supuşi cerinţelor legii.

Astfel, deşi legislaţia UE adaugă în mod constant piedici şi fricţiuni, cu excepţia cazului în care un furnizor se află în afara jurisdicţiei SUA sau un client este singurul deţinător al unei chei de criptare, suveranitatea absolută nu poate fi garantată.

În ciuda acestui fapt, neîncrederea faţă de administraţia Trump din partea unor persoane din Europa, înseamnă că persistă îngrijorări cu privire la starea relaţiilor dintre cei din blocul comercial al UE şi SUA.

Microsoft, la fel ca AWS şi Google, a lansat o campanie pentru a asigura clienţii îngrijoraţi din UE că poate oferi suveranitate asupra datelor în contextul noii administraţii Trump şi al atitudinii puţin prietenoase a preşedintelui SUA faţă de naţiuni considerate odată aliaţi apropiaţi, inclusiv politica tarifară care a afectat previzibilitatea în industriile din întreaga lume.

Cu toate acestea, un raport recent al Parlamentului European a constatat că firmele americane deţin 69% din cota de piaţă a infrastructurii cloud în Europa, în timp ce furnizorii din UE deţin doar 13%.