CLOUD Act: национальность важнее региона.

В тексте закона CLOUD ни разу не упоминается физическое местоположение сервера. 18 США § 2713 требует, чтобы любой поставщик электронных услуг предоставлял данные, которые он «находит в своем распоряжении, хранит или контролирует», независимо от того, хранятся ли они в Соединенных Штатах или за рубежом. Именно эта формулировка, а не карта проживания, определяет реальную сферу применения закона.

Этот случай возник в результате спора между Microsoft и американским правительством, который уже подробно описан в нашей статье о выборе BaaS. Конгресс принял решение на основании закона, а не ждал решения Верховного суда. Практический результат остается прежним и сегодня: национальность организации, которая контролирует данные, имеет большее значение, чем страна, в которой эти данные физически размещены.

Из этой формулировки следует прямое следствие. Поставщиком может быть компания, зарегистрированная в соответствии с американским законодательством, и на которую распространяется действие Закона CLOUD, даже если он арендует серверы у европейского хостера для обслуживания своих клиентов из ЕС. Контракт на хостинг не меняет национальности компании, подписывающей ваш контракт на обслуживание, а также ее юридических обязательств перед федеральными властями США.

Закон CLOUD также не является единственным рычагом такого типа. Раздел 702 Закона о надзоре за внешней разведкой (FISA) разрешает целенаправленное наблюдение за электронными сообщениями разведывательных служб США. Его режим остается четким, ориентированным на национальную безопасность, а не на обычную судебную процедуру. Эти два текста имеют общую точку зрения, которую полезно запомнить. Обязательство возникает из-за юридической квалификации поставщика, американской компании или субъекта американской юрисдикции, а не из-за географии его инфраструктуры.

Американская материнская компания, имеющая европейскую дочернюю компанию, не выходит автоматически за рамки Закона CLOUD только потому, что дочерняя компания зарегистрирована в ЕС. Юридическая проверка касается того, кто в цепочке фактически владеет, хранит или контролирует данные, а не имя, зарегистрированное в местном коммерческом реестре.

Возьмем конкретный случай. Американская холдинговая компания владеет 100% дочерней компании в Германии, которая размещает и технически управляет сервисом для своих европейских клиентов. Если команды материнской компании в США имеют доступ администратора к производственной базе данных, даже в целях технической поддержки, этого доступа может быть достаточно. Он может характеризовать контроль по смыслу закона, и национальность местной дочерней компании не нейтрализует его.

На практике большинство технологических групп централизуют свою инфраструктуру: доступ администратора, резервное копирование, внутренние системы аутентификации. Таким образом, проверка только регистрации юридического лица дает ответ только на часть вопроса. Мы должны вернуться к полной цепочке: кто владеет капиталом этой дочерней компании, кто контролирует ее совет директоров, кто сохраняет реальный технический доступ к данным после подписания контракта.

Это та же логика, что и проверка конечного бенефициарного владельца, применяемая при соблюдении требований по борьбе с отмыванием денег. Перенесенный на выбор бэкэнд-провайдера, это меняет задаваемый вопрос. Важно не название товарного знака или организации, выставляющей счета, а организация, которая имеет окончательный контроль над данными.

Две независимые оси определяют реальную подверженность серверной части Закону об облаках: где размещаются данные и какая компания и какой национальности контролирует эту услугу. Пересечение этих двух осей дает матрицу с четырьмя полями, что более полезно, чем поле «регион ЕС», отмеченное отдельно при сравнении. В нашей специальной статье «Регион ЕС и соответствие требованиям» мы подробно объясняем, почему установленный флажок не гарантирует.

Сравнение BaaS, которое заполняет только один столбец этой матрицы, чаще всего серверный регион, оставляет за рамками половину юридического риска. Это «слепое пятно», подробно описанное в нашем полном руководстве Соответствие GDPR и суверенный сервер ЕС. Мы исследуем это специально для американских гиперскейлеров в нашем анализе, посвященном гиперскейлерам в регионе ЕС.

Поставщик может перейти из одной ячейки в другую в этой матрице за одну ночь, без каких-либо изменений в инфраструктуре. Поглощения американской компанией достаточно, чтобы изменить фактическую национальность компании, даже если ее серверы физически остаются в том же месте. Поглощение капитала во время раунда финансирования или реструктуризация холдинговой компании дает тот же эффект.

Этот риск не ограничивается полным погашением. Раунд финансирования, который дает американским инвесторам большинство в совете директоров, дает тот же эффект. Лицензионное соглашение о технологии, которое передает операционный контроль американской компании, приводит к той же ситуации, но без традиционного приобретения. Юридическая структура, видимая на момент подписания договора, не является гарантией, зафиксированной во времени.

Задержка между сменой контроля и ее обнаружением на стороне клиента усугубляет этот риск. О смене акционера не всегда объявляется публично, особенно если речь идет о компаниях, не котирующихся на бирже. К моменту вступления в силу положения об уведомлении в договоре обработка данных в соответствии с новой структурой могла пройти несколько месяцев без уведомления клиента.

Схема принятия решений в нашей статье о выборе BaaS уже предполагает требование права на прекращение без штрафных санкций в случае изменения структуры акционеров. Этот пункт заслуживает пояснения. Оно должно охватывать любое изменение контроля над капиталом, а не только изменение названия компании. Он также должен предусматривать предусмотренный договором период уведомления, а не простое упоминание мелким шрифтом в обновлении общих условий.

В нашей статье о выборе BaaS уже подробно описано, как читать политику конфиденциальности провайдера и положения применимого законодательства. Этот метод остается первым шагом; Одного этого недостаточно, чтобы проследить цепочку собственности, которая может включать несколько холдинговых компаний.

1. Обратитесь к коммерческому реестру страны регистрации: Infogreffe во Франции, Handelsregister в Германии, Регистрационная палата в Соединенном Королевстве, SEC EDGAR для зарегистрированных на бирже американских компаний или финансируемых венчурным капиталом. Цель: определить заявленную конечную материнскую компанию.
2. Найдите упоминание о структуре группы или обязательстве уведомлять в случае смены контроля в отчете SOC 2 типа II или заявлении о применимости ISO 27001. Этот документ не всегда существует, но его стоит запросить, когда поставщик его опубликует.
3. Проверьте состав последнего раунда финансирования через публичные объявления: большинство американских инвесторов в столице — это сигнал к сомнению, даже для компании, зарегистрированной в ЕС.
4. В ходе переговоров по DPA прямо запросите письменное обязательство уведомлять в случае изменения контроля над капиталом.
5. Если поставщик уже сообщает о своей независимости от капитала, попросите письменное подтверждение с указанием даты. Устное заявление в коммерческой демонстрации не имеет той же ценности, что и договорное обязательство.

Ни одна из этих проверок не заменяет юридическую консультацию для проекта с высокими ставками. Однако их достаточно, чтобы за час выявить поставщика, структура собственности которого заслуживает прямого вопроса перед подписанием.