Sukces Microsoftu w walce z wujem Samem: serwery w Europie poza jurysdykcją USA

Administracja Stanów Zjednoczonych od dawna chciała mieć prawo dostępu do danych użytkowników przechowywanych na serwerach należących do amerykańskich firm, jednak znajdujących się poza amerykańską jurysdykcją – na przykład w Irlandii, gdzie firmy te utrzymują swoje centra danych przeznaczone do obsługi użytkowników z Europy. Microsoft od początku deklarował, że danych tych udostępniać nie zamierza, co skazało korporację z Redmond na sądowy spór z władzami federalnymi. Teraz ten spór znalazł koniec, bardzo korzystny i dla Microsoftu, i dla obrońców prywatności.

Ustawa Stored Communications Act (SCA) została przyjęta w 1986 roku, ustanawiając ramy prawne udostępniania komunikacji elektronicznej upoważnionym podmiotom, zarówno dobrowolnie, jak i pod przymusem. Wbrew temu, co twierdzą niektóre media, wcale nie służyła ona do inwigilowania internautów, a wręcz przeciwnie. Jej przyjęcie wiązało się z faktem, że 4. poprawka do konstytucji USA chroni przed bezpodstawnym przeszukaniem czy konfiskatą osoby, a nie miejsca – więc zdaniem amerykańskich konstytucjonalistów, udostępniając swoje dane stronom trzecim (operatorom usług telekomunikacyjnych) użytkownicy tracą konstytucyjne gwarancje prywatności.

Stored Communications Act przynosi więc analogiczną do 4. poprawki ochronę prywatności dla komunikacji elektronicznej, przechowywanej na serwerach, ograniczając możliwości władzy w kwestii pozyskania danych i metadanych komunikacyjnych od operatorów, jak również ograniczając możliwości operatorów w zakresie ujawniania tych danych stronom trzecim. Oczywiście jednak określa też reguły, w jaki sposób po uzyskaniu nakazu sądowego władze mogą takie dane pozyskać – i jak się szybko okazało, dla federalnej administracji pozyskiwanie nakazów nie było żadnym problemem.

Czy jednak nakaz amerykańskiego sądu może działać poza USA? W 2014 roku sąd wydał nakaz Microsoftowi udostępnienie danych użytkownika poczty elektronicznej, podejrzanego o handel narkotykami. Dane te znajdowały się fizycznie w europejskim centrum danych właśnie w Irlandii.

Microsoft nakaz zaskarżył, argumentując że administracja federalna USA nie ma jurysdykcji nad serwerami zlokalizowanymi w Unii Europejskiej. Zdaniem firmy z Redmond amerykański prokurator nie może uzyskać nakazu przeszukania czyjegoś domu, znajdującego się poza USA, tak samo jak prokurator z innego kraju nie może żądać nakazu przeszukania domu mieszkańca Stanów Zjednoczonych. Te same zasady powinny mieć zastosowanie w kwestiach internetowych.

Sąd odrzucił jednak ten argument, twierdząc, że jest bez znaczenia: nakazy przeszukania dotyczące informacji przechowywanej elektronicznie nie są od strony formalnej tym samym, co nakazy przeszukania nieruchomości. Mają one „hybrydową” naturę – występuje się o nie jak o nakazy przeszukania, ale wykonuje jak administracyjny nakaz dostarczenia dokumentów (wezwanie do sądu). Adresat takiego nakazu musi dostarczyć żądane dokumenty, bez względu na to, gdzie się one znajdują. Dodatkowo sąd federalny zauważył, że gdyby amerykańskie agencje były zmuszone do współpracy z zagranicznymi organami sprawiedliwości, poważnie obciążyłoby to władze USA i zaszkodziło wysiłkom organów ścigania.

Microsoft się jednak nie poddawał w swojej sądowej bitwie. Sprawa trafiła na wokandę Sądu Apelacyjnego w Drugim Okręgu Nowego Jorku. Ten zrewidował nakaz z 2014 roku, potwierdzając, że SCA nie może być stosowany poza granicami Stanów Zjednoczonych, właśnie ze względu na brak jurysdykcji. Sędziowe w uzasadnieniu stwierdzili, że nakazy zwyczajowo mają ograniczenia terytorialne swojej stosowalności, zaś sama ustawa Stored Communications Act nie upoważnia sądów do wydawania nakazów wydania danych komunikacji elektronicznej, które przechowywane są wyłącznie na zagranicznych serwerach.

Brad Smith, dyrektor ds. prawnych Microsoftu nie krył radości z takiego obrotu sprawy. Stwierdził: Stało się jasne, że Kongres nie może dać administracji federalnej prawa do korzystania z nakazów, wykraczających poza granice USA. Jako firma działająca na skalę międzynarodową jesteśmy od dawna znani z przekonania, że jeśli ludzie z całego świata mają ufać technologii, której używają, to chcą mieć pewność, że ich dane będą chronione przez prawa ich własnych krajów. Zarazem Smith wezwał branżę IT, Kongres i władzę wykonawczą do wspólnego zmodernizowania prawa, zarówno w wymiarze krajowym, jak i poprzez umowy międzynarodowe, tak by prywatność i prawa człowieka były lepiej przestrzegane na całym świecie.

To jednak raczej nie koniec. Departament Sprawiedliwości już ogłosił, że jest rozczarowany decyzją sądu, sugerując, że odwoła się od tej decyzji. Finalnie więc kwestię jurysdykcji władz USA nad serwerami amerykańskich firm na tej planecie rozstrzygnie dopiero amerykański Sąd Najwyższy.