CLOUD Act, FISA 702 ja muu Yhdysvaltain lainsäädäntö

Moduuli 1: Miksi eurooppalainen pilvipalvelu? · Lukuaika: 12 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, mitkä Yhdysvaltain lait antavat pääsyn tietoihin amerikkalaisissa yrityksissä, miksi se pätee myös silloin kun tiedot sijaitsevat Euroopassa, ja mikä on tilanne marraskuussa 2026.

Keskeiset käsitteet: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", sähköisen viestintäpalvelun tarjoaja, FISA Section 702, FISA-tuomioistuin (FISC), sertifiointi, Executive Order 12333, salassapitomääräys, rikosoikeus tiedustelutoiminnan vastakohtana

Miksi Yhdysvaltain lait koskevat eurooppalaisia palvelimia

Oppitunnilla 1.1 näit, että yritys kuuluu sen maan lainsäädännön piiriin, johon se on sijoittautunut. Useimpien suurten pilvipalvelujen kohdalla se maa on Yhdysvallat. Kaksi Yhdysvaltain lakia nousee esiin jokaisessa keskustelussa eurooppalaisesta pilvipalvelusta: CLOUD Act ja FISA:n Section 702. Niillä on eri tarkoitus ja ne toimivat eri tavalla, joten on hyvä pitää ne erillään.

Tämä on selitys, ei oikeudellinen neuvo. Yhdysvaltain lainsäädäntö ja sen tulkinta muuttuvat; tässä oppitunnissa kuvattu tilanne on marraskuulta 2026.

CLOUD Act: rikosasioiden tutkinta

CLOUD Act tulee sanoista Clarifying Lawful Overseas Use of Data Act. Laki hyväksyttiin 23.3.2018 osana laajaa budjettilakia. Taustalla oli oikeudenkäynti Microsoftin ja Yhdysvaltain hallituksen välillä: FBI halusi sähköpostit epäillyltä, jonka tiedot sijaitsivat palvelimella Irlannissa, ja Microsoft kieltäytyi, koska tiedot sijaitsivat Yhdysvaltain ulkopuolella. Ennen kuin korkein oikeus ehti antaa ratkaisunsa, kongressi sääti CLOUD Actin, ja näin asia raukesi.

Ydin on yhdessä lauseessa, joka löytyy nykyään kohdasta 18 U.S.C. 2713. Yksinkertaisesti sanottuna: sähköisen viestintäpalvelun tai etätallennuspalvelun tarjoajan on säilytettävä tai luovutettava tiedot, jotka ovat sen "possession, custody, or control" (hallussa, huostassa tai määräysvallassa), riippumatta siitä, sijaitsevatko kyseiset tiedot Yhdysvalloissa vai sen ulkopuolella.

Mitä tämä tarkoittaa käytännössä?

• Kyse on rikosoikeudellisesta tutkinnasta. Viranomaisella pitää olla tuomioistuimen määräys, kuten etsintälupa, aivan kuten Yhdysvalloissa sijaitsevien tietojen kohdalla.
• Kyse on tiedoista, jotka ovat yrityksen määräysvallassa. Jos sähköpostisi sijaitsee eurooppalaisessa tytäryhtiössä, mutta amerikkalainen emoyhtiö pääsee niihin käsiksi, emoyhtiötä voidaan vaatia luovuttamaan ne.
• Palveluntarjoaja voi vastustaa luovutusta, jos se on ristiriidassa toisen maan lainsäädännön kanssa, mutta vain tietyissä tapauksissa (lähinnä maissa, joiden kanssa Yhdysvalloilla on erityinen sopimus, kuten Yhdistynyt kuningaskunta ja Australia). Yleistä sopimusta EU:n ja Yhdysvaltain välillä tällaisesta todistusaineistosta ei vielä ole.
• Asiakas ei aina saa tietää asiasta. Tuomioistuin voi määrätä palveluntarjoajalle salassapitomääräyksen, jonka vuoksi se ei saa ilmoittaa sinulle asiasta.

Toisaalta tietosuoja-asetus (48 artikla) sanoo, että ulkomaisen tuomioistuimen tai viranomaisen päätös tai määräys tietojen luovuttamisesta tunnustetaan vain, jos siitä on sopimus, kuten oikeusapusopimus. Amerikkalainen palveluntarjoaja voi siis joutua kahden lain väliin puristuksiin. Juuri siinä on ongelma: sinä asiakkaana et voi valita, kumpi laki voittaa.

Kertova hetki: kesäkuussa 2025 Ranskan senaatin tutkintavaliokunta kysyi Microsoft Francen lakiasiainjohtajalta, voisiko hän valan nojalla taata, ettei Ranskan kansalaisten tietoja koskaan luovuteta Yhdysvaltain viranomaisille ilman Ranskan suostumusta. Vastaus oli: "Ei, sitä en voi taata." Hän lisäsi, että yritys vastustaa aiheettomia pyyntöjä ja ettei tällaista pyyntöä ollut käytännössä vielä esiintynyt. Molemmat osat vastauksesta ovat tärkeitä: riski on pieni, mutta se on olemassa, eikä yritys voi sulkea sitä pois.

FISA Section 702: tiedustelua ulkomaalaisista

FISA tarkoittaa Foreign Intelligence Surveillance Act. Section 702 lisättiin lakiin vuonna 2008. Tarkoituksena ei ole rikosten tutkinta, vaan ulkomaisen tiedustelutiedon kerääminen. Tässä on suuri ero CLOUD Actiin verrattuna:

Section 702:n nojalla Yhdysvaltain viranomaiset voivat velvoittaa sähköisen viestintäpalvelun tarjoajia osallistumaan ulkomaisten "kohteiden" viestinnän keräämiseen. Eurooppalaiselle Yhdysvaltain lainsäädäntö tarjoaa tässä vähän suojaa: perustuslaillinen suoja kotietsintää vastaan (neljäs lisäys) koskee lähinnä amerikkalaisia. Tämä ohjelma oli keskeisessä roolissa Euroopan unionin tuomioistuimen Schrems II -ratkaisussa (oppitunti 1.4).

Tilanne marraskuussa 2026

Section 702 pitää uudistaa kongressissa toistuvasti. Huhtikuussa 2024 RISAA-laki jatkoi sitä kahdella vuodella, huhtikuuhun 2026 asti. Huhtikuussa 2026 pitkä jatko ei onnistunut; sen sijaan tehtiin kaksi lyhyttä jatkoa. Laki raukesi 12.6.2026, ensimmäistä kertaa vuoden 2008 jälkeen. Uutisoinnin mukaan tietojen kerääminen jatkuu käytännössä, koska FISA-tuomioistuin oli jo maaliskuussa 2026 hyväksynyt vuosittaiset sertifioinnit; ne ovat voimassa suunnilleen maaliskuuhun 2027 asti. Kongressi jatkaa keskustelua uudesta jatkosta niin sanotussa lame duck -kaudessa 9.11.2026 alkaen.

Valintasi kannalta tämä tarkoittaa, että riippumatta siitä, onko laki juuri nyt voimassa vai ei, taustalla oleva ongelma ei katoa. On todennäköistä, että uusi jatko tulee, ja valtuudet voivat palata takaisin jossain toisessa muodossa.

Executive Order 12333: ilman tuomioistuinta

Näiden lakien lisäksi on vuodelta 1981 peräisin oleva Executive Order 12333, presidentin asetus tiedustelutoiminnasta. Sen piiriin kuuluvat esimerkiksi internet-kaapeleiden salakuuntelu ja tietojen kerääminen Yhdysvaltain ulkopuolella, ilman tuomioistuimen myötävaikutusta ja ilman että yrityksen tarvitsee osallistua siihen. Siirron aikana salatuille tiedoille tämä ei ole niin suuri ongelma; amerikkalaisen yrityksen hallussa olevien tietojen kohdalla CLOUD Act ja Section 702 ovat se olennainen reitti.

Kuinka suuri riski todella on?

Rehellisyyden nimissä: useimmille pienille organisaatioille on epätodennäköistä, että Yhdysvaltain viranomaiset olisivat kiinnostuneita juuri niiden sähköpostista. Silti on syitä ottaa asia vakavasti:

• Et saa sitä koskaan tietää. Salassapitomääräysten vuoksi et ehkä kuule asiasta ikinä.
• Et ole ainoa asianosainen. Sähköpostissasi on asiakkaiden, toimittajien ja työntekijöiden tietoja. Sinun on suojattava heidän tietonsa (oppitunti 1.2).
• Osa tiedoista on arkaluonteisia. Asianajotoimistolla, lääkärillä, toimittajalla tai koululla on erilainen punninta kuin leipomolla.
• Säännöt voivat muuttua ilman että sinulla on siihen mitään sananvaltaa.

Bakkerij De Korrelilla ei ole juuri mitään pelättävää tiedustelupalvelun taholta. Mutta Sanne huomaa, että hänen sähköpostissaan on myös henkilökuntansa sairauspoissaoloilmoitukset. Ne ovat terveystietoja, ja niiden kanssa pitää olla erityisen huolellinen.

Käytännössä: miltä tämä näyttää palveluntarjoajan luona

Eurooppalainen palveluntarjoaja, jolla ei ole amerikkalaista emoyhtiötä eikä amerikkalaisia alikäsittelijöitä, ei kuulu CLOUD Actin piiriin eikä ole Section 702:n tarkoittama "provider". Sitä voidaan silti velvoittaa toimimaan yhteistyössä eurooppalaisen poliisin ja oikeuslaitoksen kanssa, mutta silloin eurooppalaisen ja kansallisen lainsäädännön mukaisesti, eurooppalaisen tuomioistuimen valvonnassa. WebOkén Nextcloud-ohjeessa kerrotaan, ettei tiedostosi siirry amerikkalaisille pilvipalveluyrityksille. Muiden palveluntarjoajien kohdalla kannattaa etsiä luettelo alikäsittelijöistä ja selvittää juridinen omistaja (oppitunti 2.1).

Yhteenveto

• CLOUD Act (2018) velvoittaa amerikkalaiset palveluntarjoajat luovuttamaan hallussaan olevat tiedot rikosoikeudellisen määräyksen perusteella, vaikka ne sijaitsisivat ulkomailla.
• FISA Section 702 antaa Yhdysvaltain viranomaisille pääsyn ei-amerikkalaisten viestintään Yhdysvaltain ulkopuolella, tiedustelutarkoituksiin, ilman henkilökohtaista määräystä.
• Section 702 raukesi 12.6.2026, mutta uutisoinnin mukaan tietojen kerääminen jatkuu maaliskuun 2026 sertifiointien nojalla; uudesta jatkosta neuvotellaan parhaillaan.
• Palvelin Euroopassa ei suojaa, jos sen takana oleva yritys kuuluu Yhdysvaltain lainsäädännön piiriin.
• Useimmille organisaatioille riski on pieni, mutta sitä ei voi sulkea pois eikä valvoa.

Tietovisa

Tehtävä

Tehtävä E1.3: Minkä maan lainsäädännön alle palvelusi kuuluu? Valitse tärkein pilvipalvelusi. Selvitä, mikä yritys tekee sopimuksen kanssasi (löytyy ehdoista), minne se on sijoittautunut, ja mikä on sen lopullinen emoyhtiö. Vastaa: voiko CLOUD Act koskea tätä palvelua, ja miksi?

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén palveluja; muilla palveluntarjoajilla toiminta on samankaltaista.

• Nextcloud-opas 15.13: Usein kysytyt kysymykset turvallisuudesta ja yksityisyydestä
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) ja CRS-raportti "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Asetus (EU) 2016/679 (tietosuoja-asetus), 48 artikla (ulkomaiset luovutusmääräykset)