La Ley de Clarificación del Uso Legal de Datos en el Extranjero o Ley CLOUD (HR 4943) es una ley federal de los Estados Unidos promulgada en 2018 mediante la aprobación de la Ley de Asignaciones Consolidadas de 2018 , PL 115–141, División V.
La Ley CLOUD modifica principalmente la Ley de Comunicaciones Almacenadas (SCA) de 1986 para permitir que las fuerzas de seguridad federales obliguen a las empresas de tecnología con sede en Estados Unidos, mediante una orden judicial o una citación, a proporcionar los datos solicitados almacenados en servidores, independientemente de si los datos están almacenados en Estados Unidos o en suelo extranjero. [1]
La Ley CLOUD se introdujo a raíz de las dificultades que tuvo el Buró Federal de Investigaciones (FBI) para obtener datos remotos a través de proveedores de servicios mediante órdenes judiciales SCA, ya que la SCA se redactó antes de que la computación en la nube fuera una tecnología viable. [2] La situación se puso de relieve a partir de una investigación de tráfico de drogas de 2013, durante la cual el FBI emitió una orden judicial SCA para correos electrónicos que un ciudadano estadounidense había almacenado en uno de los servidores remotos de Microsoft en Irlanda, que Microsoft se negó a proporcionar .
Esta impugnación legal llevó a la Corte Suprema en el caso Microsoft Corp. v. United States . El FBI sostuvo que Microsoft tenía control total de los datos y debería ser obligada a entregarlos en respuesta a la orden judicial, pero Microsoft argumentó que la SCA no cubría los datos almacenados fuera de los Estados Unidos. [3] La impugnación reconoció que si bien el FBI podía solicitar un tratado de asistencia legal mutua (MLAT) para ayudar en el descubrimiento de datos durante la aplicación de la ley transfronteriza, el proceso para adquirir un nuevo MLAT si no existe uno, o para procesar una solicitud a través de un MLAT existente, puede ser lento y obstaculizar los esfuerzos de aplicación de la ley. [4]
El Congreso, encabezado principalmente por el senador Orrin Hatch , había intentado crear una legislación antes de la Ley CLOUD para modificar la SCA teniendo en cuenta las preocupaciones de Microsoft y otras empresas tecnológicas con respecto a los derechos de privacidad en el extranjero. La Ley de acceso de las fuerzas del orden a los datos almacenados en el extranjero (Ley LEADS) de 2015 [5] y la Ley de privacidad de las comunicaciones internacionales (ICPA) de 2017 fueron dos proyectos de ley anteriores destinados a modificar la SCA, pero que no lograron ser aprobados. [6] [7]
La Ley CLOUD establece que las compañías de datos y comunicaciones de Estados Unidos deben proporcionar los datos almacenados de un cliente o suscriptor en cualquier servidor que posean y operen cuando lo solicite una orden judicial, pero proporciona mecanismos para que las compañías o los tribunales los rechacen o impugnen si creen que la solicitud viola los derechos de privacidad del país extranjero en el que se almacenan los datos.
También proporciona una ruta alternativa y acelerada a los MLAT a través de "acuerdos ejecutivos"; al poder ejecutivo se le da la capacidad de celebrar acuerdos bilaterales con países extranjeros para proporcionar los datos solicitados relacionados con sus ciudadanos de manera simplificada, siempre que el Fiscal General , con el consentimiento del Secretario de Estado , acuerde que el país extranjero tiene suficientes protecciones para restringir el acceso a los datos relacionados con los ciudadanos de los Estados Unidos. [8] [9] El primer acuerdo de este tipo fue con el Reino Unido. [10] Hay una sección de preguntas frecuentes adjunta al libro blanco publicado por el Departamento de Justicia de los EE. UU. [11]
La Ley CLOUD recibió el apoyo del Departamento de Justicia y de importantes empresas de tecnología como Microsoft , AWS , Apple y Google . [12] [13] El proyecto de ley fue criticado por varios grupos de derechos civiles, entre ellos la Electronic Frontier Foundation , la Unión Estadounidense por las Libertades Civiles , Amnistía Internacional y Human Rights Watch . Estos grupos argumentaron que el proyecto de ley eliminaba los derechos de la Cuarta Enmienda contra registros e incautaciones irrazonables, ya que el gobierno podría celebrar acuerdos de intercambio de derechos de datos con países extranjeros y eludir los tribunales estadounidenses, y los usuarios afectados no tendrían que ser notificados cuando se emitieran dichas órdenes. [13] [14] Algunos de estos grupos temían que el gobierno no revisara por completo las solicitudes de países extranjeros para que sus ciudadanos estuvieran almacenados en servidores en los EE. UU., lo que potencialmente permitiría que dichos datos se usaran de mala fe en esos países. [15]
Después de ser presentada en el 115.º Congreso de los Estados Unidos como HR4943, la ley se incluyó como una sección de la Ley de Asignaciones Consolidadas de 2018 (HR 1625), un proyecto de ley ómnibus de gastos , que fue aprobado por ambas cámaras del Congreso y se convirtió en ley, PL 115–141, el 23 de marzo de 2018. [16]
El 17 de abril de 2018, la Corte Suprema, basándose en los escritos concurrentes presentados por el Departamento de Justicia, anuló el caso Microsoft Corp. v. United States y lo remitió a un tribunal inferior para que hiciera lo mismo, ya que el Departamento de Justicia pudo obtener una nueva orden judicial en virtud de la Ley CLOUD y ya no estaba buscando la orden judicial inicial, lo que hizo que el caso fuera discutible . [17] [18] [19]
El Supervisor Europeo de Protección de Datos (SEPD) consideró la Ley CLOUD como una ley en posible conflicto con el RGPD . [20] [21] [22] El Comisionado Alemán de Protección de Datos ha advertido contra el uso de Amazon Web Services con sede en EE. UU. para almacenar datos confidenciales para la Policía Federal . [23]
La ley ha sido vista como un paralelo a la Ley de Inteligencia Nacional de China . [24] [25]
Tras la aprobación de la Ley CLOUD, numerosos países han promulgado medidas para mantener los datos dentro de sus fronteras. [26]