ชี้แจงพระราชบัญญัติการใช้ข้อมูลในต่างประเทศอย่างถูกกฎหมาย

คำย่อ(ภาษาพูด)	คลาวด์ แอคท์
ตรากฎหมายโดย	รัฐสภาสหรัฐอเมริกาชุดที่ 115
มีประสิทธิภาพ	23 มีนาคม 2561
การอ้างอิง
กฎหมายมหาชน	สิ่งพิมพ์ L.  115–141 (ข้อความ) (PDF) , หมวด V
การกำหนดรหัส
พระราชบัญญัติที่แก้ไขเพิ่มเติม	พระราชบัญญัติการสื่อสารที่จัดเก็บไว้ , พระราชบัญญัติความเป็นส่วนตัวของการสื่อสารทางอิเล็กทรอนิกส์
ชื่อเรื่องได้รับการแก้ไขแล้ว	18
มาตรา USC ที่แก้ไขแล้ว	2523
ประวัติการออกกฎหมาย
ร่างกฎหมายนี้ ถูกเสนอเข้าสู่สภาผู้แทนราษฎรในชื่อHR 4943โดยดั๊ก คอลลินส์ ( พรรครีพับลิกัน – รัฐจอร์เจีย – เขต 9 ) เมื่อวันที่ 6 กุมภาพันธ์ 2018 การพิจารณาของ คณะ กรรมการตุลาการสภาผู้แทนราษฎร ผ่านการอนุมัติจากสภาผู้แทนราษฎรเมื่อวันที่ 22 มีนาคม 2561  ผ่านการ อนุมัติจาก วุฒิสภาในฐานะพระราชบัญญัติงบประมาณรวม พ.ศ. 2561 หมวดที่ 5 เมื่อวันที่ 23 มีนาคม พ.ศ. 2561  ลงนามบังคับใช้โดยประธานาธิบดีโดนัลด์ ทรัมป์เมื่อวันที่ 23 มีนาคม 2561

พระราชบัญญัติว่าด้วยการชี้แจงการใช้ข้อมูลในต่างประเทศอย่างถูกกฎหมายหรือพระราชบัญญัติ CLOUD ( HR 4943 ) เป็น กฎหมายของรัฐบาลกลางสหรัฐอเมริกาที่ตราขึ้นในปี 2018 โดยการผ่านร่างพระราชบัญญัติงบประมาณรวมปี 2018 (Consolidated Appropriations Act, 2018) , PL 115–141, Division V

พระราชบัญญัติ CLOUD แก้ไขพระราชบัญญัติการสื่อสารที่จัดเก็บ (SCA) ปี 1986 เป็นหลัก เพื่ออนุญาตให้หน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางสามารถบังคับบริษัทเทคโนโลยีในสหรัฐอเมริกาผ่านหมายศาลหรือหมายเรียกให้ส่งมอบข้อมูลที่ร้องขอซึ่งจัดเก็บไว้บนเซิร์ฟเวอร์ โดยไม่คำนึงถึงว่าข้อมูลนั้นจัดเก็บอยู่ในสหรัฐอเมริกาหรือในต่างประเทศ^{[ 1 ]}

กฎหมาย CLOUD Act ถูกนำมาใช้หลังจากที่สำนักงานสอบสวนกลาง (FBI) ประสบปัญหาในการขอรับข้อมูลจากระยะไกลผ่านผู้ให้บริการโดยใช้หมายศาล SCA เนื่องจาก SCA ถูกเขียนขึ้นก่อนที่การประมวลผลแบบคลาวด์จะเป็นเทคโนโลยีที่ใช้งานได้จริง^{[ 2 ]}สถานการณ์ดังกล่าวได้รับการเน้นย้ำจากการสืบสวนคดีค้ายาเสพติดในปี 2013 ซึ่ง FBI ได้ออกหมายศาล SCA สำหรับอีเมลที่พลเมืองสหรัฐฯ เก็บไว้ใน เซิร์ฟเวอร์ระยะไกลของ Microsoftในไอร์แลนด์ ซึ่ง Microsoft ปฏิเสธที่จะให้ข้อมูลดังกล่าว

ความท้าทายทางกฎหมายนี้นำไปสู่ศาลฎีกาใน คดี Microsoft Corp. v. United States FBI โต้แย้งว่า Microsoft ควบคุมข้อมูลได้อย่างสมบูรณ์และควรถูกบังคับให้ส่งมอบข้อมูลตามหมายค้น แต่ Microsoft โต้แย้งว่า SCA ไม่ครอบคลุมข้อมูลที่จัดเก็บไว้นอกสหรัฐอเมริกา^{[ 3 ]}ความท้าทายนี้ยอมรับว่าในขณะที่ FBI สามารถขอสนธิสัญญาความช่วยเหลือทางกฎหมายระหว่างประเทศ (MLAT) เพื่อช่วยในการค้นหาข้อมูลระหว่างการบังคับใช้กฎหมายข้ามพรมแดน กระบวนการในการขอรับ MLAT ใหม่หากไม่มีอยู่ หรือการดำเนินการตามคำขอผ่าน MLAT ที่มีอยู่ อาจล่าช้าและขัดขวางความพยายามในการบังคับใช้กฎหมาย^{[ 4 ​​]}

รัฐสภาซึ่งนำโดยวุฒิสมาชิกออร์ริน แฮทช์ เป็นหลัก ได้พยายามร่างกฎหมายก่อนพระราชบัญญัติ CLOUD เพื่อแก้ไข SCA โดยคำนึงถึงข้อกังวลของ Microsoft และบริษัทเทคโนโลยีอื่นๆ เกี่ยวกับสิทธิความเป็นส่วนตัวในต่างประเทศ พระราชบัญญัติการเข้าถึงข้อมูลที่จัดเก็บในต่างประเทศของหน่วยงานบังคับใช้กฎหมาย (LEADS Act) ในปี 2558 ^{[ 5 ]}และพระราชบัญญัติความเป็นส่วนตัวในการสื่อสารระหว่างประเทศ (ICPA) ในปี 2560 ต่างก็เป็นร่างกฎหมายก่อนหน้านี้ที่มุ่งแก้ไข SCA แต่ไม่ผ่านการอนุมัติ^{[ 6 ] [ 7 ]}

กฎหมาย CLOUD Act ระบุว่า บริษัทข้อมูลและการสื่อสารของสหรัฐฯ ต้องจัดหาข้อมูลที่จัดเก็บไว้สำหรับลูกค้าหรือผู้สมัครใช้บริการบนเซิร์ฟเวอร์ใดๆ ที่ตนเป็นเจ้าของและดำเนินการ เมื่อได้รับการร้องขอตามหมายศาล แต่ก็มีกลไกให้บริษัทหรือศาลสามารถปฏิเสธหรือโต้แย้งคำขอเหล่านั้นได้ หากเชื่อว่าคำขอนั้นละเมิดสิทธิความเป็นส่วนตัวของประเทศต่างประเทศที่จัดเก็บข้อมูลอยู่

นอกจากนี้ยังเป็นเส้นทางทางเลือกและเร่งด่วนสำหรับ MLAT ผ่าน "ข้อตกลงบริหาร" โดยฝ่ายบริหารมีอำนาจในการทำข้อตกลงทวิภาคีกับต่างประเทศเพื่อจัดหาข้อมูลที่เกี่ยวข้องกับพลเมืองของประเทศนั้นๆ ในลักษณะที่คล่องตัว ตราบใดที่อัยการสูงสุดโดยความเห็นชอบของรัฐมนตรี ว่าการกระทรวง ต่างประเทศ เห็นพ้องว่าประเทศนั้นๆ มีมาตรการคุ้มครองที่เพียงพอในการจำกัดการเข้าถึงข้อมูลที่เกี่ยวข้องกับพลเมืองของสหรัฐอเมริกา^{[ 8 ] [ 9 ]}ข้อตกลงดังกล่าวฉบับแรกเกิดขึ้นกับสหราชอาณาจักร^{[ 10 ]}มีคำถามที่พบบ่อยแนบมากับเอกสารไวท์เปเปอร์ที่เผยแพร่โดยกระทรวงยุติธรรมของสหรัฐอเมริกา^{[ 11 ]}

กฎหมาย CLOUD ได้รับการสนับสนุนจากกระทรวงยุติธรรมและบริษัทเทคโนโลยีรายใหญ่ เช่นMicrosoft , AWS , AppleและGoogle ^{[ 12 ] [ 13} ] ร่างกฎหมายนี้ถูกวิพากษ์วิจารณ์โดยกลุ่มสิทธิพลเมืองหลายกลุ่ม รวมถึงElectronic Frontier Foundation , American Civil Liberties Union , Amnesty InternationalและHuman Rights Watchกลุ่มเหล่านี้โต้แย้งว่าร่างกฎหมายนี้ได้ลิดรอน สิทธิตาม ^บทแก้ไขเพิ่มเติมที่สี่ของ รัฐธรรมนูญ ที่ต่อต้านการค้นหาและการยึดทรัพย์โดยไม่สมเหตุสมผล เนื่องจากรัฐบาลสามารถทำข้อตกลงการแบ่งปันสิทธิ์ข้อมูลกับต่างประเทศและหลีกเลี่ยงศาลสหรัฐฯ ได้ และผู้ใช้ที่ได้รับผลกระทบจะไม่ต้องได้รับการแจ้งเตือนเมื่อมีการออกหมายค้นดังกล่าว^{[ 13 ] [ 14 ]}บางกลุ่มเหล่านี้เกรงว่ารัฐบาลจะไม่ตรวจสอบคำขอจากต่างประเทศอย่างครบถ้วนสำหรับข้อมูลของพลเมืองของตนที่จัดเก็บไว้ในเซิร์ฟเวอร์ในสหรัฐฯ ซึ่งอาจทำให้ข้อมูลดังกล่าวถูกนำไปใช้ในทางที่ผิดในประเทศเหล่านั้นได้^{[ 15 ]}

หลังจากได้รับการเสนอเข้าสู่รัฐสภาสหรัฐอเมริกาชุดที่ 115ในชื่อ HR4943 กฎหมายฉบับนี้ได้ถูกรวมไว้เป็นส่วนหนึ่งของพระราชบัญญัติงบประมาณรวม พ.ศ. 2561 ( HR 1625 ) ซึ่งเป็นร่าง กฎหมายงบประมาณรวมที่ผ่านการอนุมัติจากทั้งสองสภาของรัฐสภาและได้รับการลงนามให้เป็นกฎหมาย PL 115–141 เมื่อวันที่ 23 มีนาคม พ.ศ. 2561 ^{[ 16 ]}

เมื่อวันที่ 17 เมษายน 2561 ศาลฎีกา โดยอาศัยคำชี้แจงที่เห็นพ้องกันที่กระทรวงยุติธรรมยื่นมา ได้ยกเลิกคำพิพากษาในคดีMicrosoft Corp. v. United Statesและส่งเรื่องกลับไปยังศาลชั้นต้นเพื่อดำเนินการเช่นเดียวกัน เนื่องจากกระทรวงยุติธรรมสามารถขอหมายค้นใหม่ได้ภายใต้กฎหมาย CLOUD Act และไม่ได้ดำเนินการตามหมายค้นเดิมอีกต่อไป ทำให้คดีนี้เป็นโมฆะ^{[ 17 ] [ 18 ] [ 19 ]}

ผู้กำกับดูแลการคุ้มครองข้อมูลของยุโรป (EDPS) มองว่ากฎหมาย CLOUD Act อาจขัดแย้งกับGDPR [ ^{20 ] [ 10 ] [ 21 ] คณะ}กรรมาธิการด้านการคุ้มครองข้อมูลของเยอรมนีได้เตือนเกี่ยวกับการใช้Amazon Web Services ซึ่งตั้งอยู่ในสหรัฐอเมริกา สำหรับการจัดเก็บข้อมูลที่ละเอียดอ่อนสำหรับตำรวจสหพันธ์^{[ 22 ]}

กฎหมายนี้ถูกมองว่าเป็นกฎหมายคู่ขนานกับกฎหมายข่าวกรองแห่งชาติ ของ จีน^{[ 23 ] [ 24 ]}

หลังจากที่กฎหมาย CLOUD Act ผ่านการอนุมัติ ประเทศต่างๆ จำนวนมากได้ออกมาตรการเพื่อเก็บข้อมูลไว้ภายในพรมแดนของตน^{[ 25 ]}

กฎหมาย CLOUD Act อนุญาตให้หน่วยงานของสหรัฐอเมริการ้องขอข้อมูลจากผู้ให้บริการคลาวด์และผู้ให้บริการอื่นๆ ที่อยู่ภายใต้ขอบเขตของกฎหมาย โดยไม่คำนึงถึงว่าข้อมูลนั้นจัดเก็บอยู่ที่ใด^{[ 26 ] [ 27 ]}กฎหมายนี้ไม่ได้จำกัดเฉพาะบริษัทที่ตั้งอยู่ในสหรัฐอเมริกาเท่านั้น แต่ครอบคลุมถึง "ผู้ให้บริการการสื่อสารทางอิเล็กทรอนิกส์หรือผู้ให้บริการการประมวลผลระยะไกลทั้งหมดที่ดำเนินงานหรือมีสถานะทางกฎหมายในสหรัฐอเมริกา" ^{[ 28 ]}ศาลสามารถสั่งให้บริษัทแม่จัดหาข้อมูลที่บริษัทลูกถือครองอยู่ได้^{[ 29 ]}

• Hemmings, Justin; Srinivasan, Sreenidhi; Swire, Peter (2019-10-07). "การกำหนดขอบเขตของ 'การครอบครอง การดูแล หรือการควบคุม' สำหรับประเด็นความเป็นส่วนตัวและพระราชบัญญัติคลาวด์"วารสารกฎหมายและนโยบายความมั่นคงแห่งชาติ 10 ( 3): 631. SSRN  3469808 – ผ่าน SSRN

• 18 US Code § 2713 ( Stored Communications Act )
• พระราชบัญญัติ CLOUDฉบับแก้ไขเพิ่มเติม ( USLM / รายละเอียด ) ในชุดรวบรวมกฎหมายของ GPO
• กฎหมาย CLOUD Act ( PDF / รายละเอียด ) ที่บัญญัติไว้ ใน ประมวลกฎหมายสหรัฐอเมริกา