Ley CLOUD

La Ley para la Aclaración del Uso Legal de Datos en el Extranjero o Ley CLOUD ( HR  4943 ) es una ley federal de los Estados Unidos promulgada en 2018 mediante la aprobación de la Ley de Asignaciones Consolidadas de 2018 , PL 115–141, División V.

La Ley CLOUD modifica principalmente la Ley de Comunicaciones Almacenadas (SCA) de 1986 para permitir que las fuerzas del orden federales obliguen a las empresas tecnológicas con sede en EE. UU., mediante una orden judicial o una citación, a proporcionar los datos solicitados almacenados en servidores, independientemente de si los datos se almacenan en EE. UU. o en territorio extranjero. ^{[ 1 ]}

La Ley CLOUD se introdujo tras las dificultades que tuvo el Buró Federal de Investigaciones (FBI) para obtener datos remotos a través de proveedores de servicios mediante órdenes judiciales de la SCA, ya que la SCA se redactó antes de que la computación en la nube fuera una tecnología viable. ^{[ 2 ]} La situación se puso de manifiesto en una investigación de narcotráfico de 2013, durante la cual el FBI emitió una orden judicial de la SCA para obtener correos electrónicos que un ciudadano estadounidense había almacenado en uno de los servidores remotos de Microsoft en Irlanda, información que Microsoft se negó a proporcionar.

Este desafío legal llegó hasta la Corte Suprema en el caso Microsoft Corp. v. Estados Unidos . El FBI sostuvo que Microsoft tenía el control total de los datos y debía ser obligada a entregarlos en respuesta a la orden judicial, pero Microsoft argumentó que la SCA no cubría los datos almacenados fuera de Estados Unidos. ^{[ 3 ]} El desafío reconoció que, si bien el FBI podía solicitar un tratado de asistencia legal mutua (MLAT) para facilitar el descubrimiento de datos durante las operaciones policiales transfronterizas, el proceso para obtener un nuevo MLAT si no existe uno, o para procesar una solicitud a través de un MLAT existente, puede ser lento e impedir los esfuerzos policiales. ^{[ 4 ]}

El Congreso, liderado principalmente por el senador Orrin Hatch , había intentado crear legislación antes de la Ley CLOUD para enmendar la SCA debido a las preocupaciones de Microsoft y otras empresas tecnológicas con respecto a los derechos de privacidad en el extranjero. La Ley de Acceso de las Fuerzas del Orden a los Datos Almacenados en el Extranjero (Ley LEADS) de 2015 ^{[ 5 ]} y la Ley de Privacidad de las Comunicaciones Internacionales (ICPA) de 2017 fueron proyectos de ley anteriores destinados a enmendar la SCA, pero que no lograron ser aprobados. ^{[ 6 ] [ 7 ]}

La Ley CLOUD establece que las empresas estadounidenses de datos y comunicaciones deben proporcionar los datos almacenados de un cliente o suscriptor en cualquier servidor de su propiedad y que operen cuando así lo solicite una orden judicial, pero prevé mecanismos para que las empresas o los tribunales rechacen o impugnen estas solicitudes si consideran que violan los derechos de privacidad del país extranjero donde se almacenan los datos.

También proporciona una vía alternativa y acelerada a los MLAT mediante "acuerdos ejecutivos"; el poder ejecutivo tiene la capacidad de celebrar acuerdos bilaterales con países extranjeros para proporcionar los datos solicitados relacionados con sus ciudadanos de manera simplificada, siempre que el Fiscal General , con la aprobación del Secretario de Estado , esté de acuerdo en que el país extranjero cuenta con protecciones suficientes para restringir el acceso a los datos relacionados con los ciudadanos de los Estados Unidos. ^{[ 8 ] [ 9 ]} El primer acuerdo de este tipo se firmó con el Reino Unido. ^{[ 10 ]} Hay una sección de preguntas frecuentes adjunta al libro blanco publicado por el Departamento de Justicia de los Estados Unidos. ^{[ 11 ]}

La Ley CLOUD recibió el apoyo del Departamento de Justicia y de importantes empresas tecnológicas como Microsoft , AWS , Apple y Google . ^{[ 12 ] [ 13 ]} El proyecto de ley fue criticado por varios grupos de derechos civiles, entre ellos la Electronic Frontier Foundation , la Unión Estadounidense por las Libertades Civiles , Amnistía Internacional y Human Rights Watch . Estos grupos argumentaron que el proyecto de ley eliminaba los derechos de la Cuarta Enmienda contra registros e incautaciones irrazonables, ya que el gobierno podía celebrar acuerdos de intercambio de derechos de datos con países extranjeros y eludir los tribunales estadounidenses, y los usuarios afectados no tendrían que ser notificados cuando se emitieran dichas órdenes. ^{[ 13 ] [ 14 ]} Algunos de estos grupos temían que el gobierno no revisara completamente las solicitudes de países extranjeros para obtener los datos de sus ciudadanos almacenados en servidores en los EE. UU., lo que potencialmente permitiría que dichos datos se utilizaran de mala fe en esos países. ^{[ 15 ]}

Después de ser presentada en el 115.º Congreso de los Estados Unidos como HR4943, la ley se incluyó como una sección de la Ley de Asignaciones Consolidadas de 2018 ( HR  1625 ), un proyecto de ley de gastos generales , que fue aprobado por ambas cámaras del Congreso y se promulgó como ley, PL 115-141, el 23 de marzo de 2018. ^{[ 16 ]}

El 17 de abril de 2018, la Corte Suprema, basándose en los escritos concurrentes presentados por el Departamento de Justicia, anuló la sentencia del caso Microsoft Corp. v. Estados Unidos y la devolvió al tribunal inferior para que hiciera lo mismo, ya que el Departamento de Justicia había logrado obtener una nueva orden judicial en virtud de la Ley CLOUD y ya no estaba tramitando la orden inicial, lo que hacía que el caso careciera de objeto . ^{[ 17 ] [ 18 ] [ 19 ]}

La Ley CLOUD permite a las autoridades estadounidenses solicitar datos a los proveedores de servicios en la nube y otros proveedores de servicios cubiertos, independientemente de dónde se almacenen físicamente los datos. ^{[ 26 ] [ 27 ]} La ley no se limita a las empresas con sede en Estados Unidos. Se aplica a "todos los proveedores de servicios de comunicación electrónica o de computación remota que operen o tengan presencia legal en los EE. UU." ^{[ 28 ]} Los tribunales pueden exigir a las empresas matrices que proporcionen los datos que poseen sus subsidiarias. ^{[ 29 ]}

• Hemmings, Justin; Srinivasan, Sreenidhi; Swire, Peter (7 de octubre de 2019). "Definiendo el alcance de 'posesión, custodia o control' para cuestiones de privacidad y la Ley de la Nube" . Revista de Derecho y Política de Seguridad Nacional . 10 (3): 631. SSRN 3469808 – vía SSRN. 

• 18 Código de los Estados Unidos § 2713 ( Ley de Comunicaciones Almacenadas )
• Ley CLOUD en su versión modificada ( USLM / detalles ) en la colección de compilaciones de estatutos de la GPO.
• Ley CLOUD, tal como fue promulgada ( PDF / detalles ) en los Estatutos Generales de los Estados Unidos.