Suwerenność Cyfrowa on Arpokrat

Data Act vs CLOUD Act: kto naprawdę kontroluje Twoje dane w chmurze?

Fri, 19 Jun 2026 00:00:00 +0000

Przez lata świat funkcjonował na podstawie prostego założenia: dane mają określone miejsce fizycznego przechowywania. Jeśli znajdowały się na serwerze w Dublinie, podlegały prawu irlandzkiemu i europejskiemu. Założenie to legło w gruzach w 2018 roku, gdy Stany Zjednoczone uchwaliły CLOUD Act — ustawę przyznającą amerykańskim organom dostęp do danych kontrolowanych przez amerykańskie firmy, niezależnie od tego, gdzie dane te są fizycznie przechowywane na świecie. Kilka lat później Bruksela odpowiedziała własnym instrumentem ochronnym: Data Act, który jest już w pełni stosowany i który stara się ograniczyć eksterytorialny dostęp organów państw trzecich do danych przechowywanych w Unii Europejskiej.

Oto co te dwa akty prawne rzeczywiście przewidują, gdzie dochodzi do ich kolizji oraz dlaczego jedyną naprawdę solidną ochroną w obliczu tego konfliktu pozostaje techniczna niemożność dostępu.

Amerykański CLOUD Act: dostęp oparty na kontroli, a nie na lokalizacji

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), uchwalony w marcu 2018 roku, znowelizował prawo amerykańskie, dodając przepis 18 U.S. Code § 2713. Nakłada on na każdego dostawcę usług łączności elektronicznej lub przetwarzania danych w chmurze obowiązek zachowania, zabezpieczenia lub ujawnienia treści komunikacji lub wszelkich powiązanych zapisów, jeśli dane te są w jego posiadaniu, pod jego opieką lub kontrolą, niezależnie od tego, czy dane te znajdują się wewnątrz czy poza granicami Stanów Zjednoczonych.

To właśnie ta ostatnia klauzula zmienia wszystko. Przyjętym kryterium nie jest już fizyczna lokalizacja serwera, lecz kontrola sprawowana przez spółkę matkę nad jej spółkami zależnymi. Amerykańska firma prowadząca centra danych w Europie pozostaje zatem objęta amerykańskimi nakazy ujawnienia, nawet w odniesieniu do danych przechowywanych w całości na terytorium Europy.

Europejski Data Act: prawna bariera dla eksterytorialnego dostępu

Rozporządzenie (UE) 2023/2854, zwane Data Act, weszło w życie 11 stycznia 2024 roku i jest w pełni stosowane od 12 września 2025 roku, przy czym niektóre przepisy są stopniowo wdrażane do 2026 i 2027 roku. Jego artykuł 32 bezpośrednio reguluje kwestię międzynarodowego dostępu rządowego do danych.

Tekst ustanawia jasną zasadę: wszelkie orzeczenia lub decyzje sądu lub organu administracyjnego państwa trzeciego zobowiązujące dostawcę usług przetwarzania danych do przekazania lub udostępnienia danych nieosobowych przechowywanych w Unii Europejskiej są uznawane i wykonalne wyłącznie wtedy, gdy opierają się na umowie międzynarodowej, takiej jak umowa o wzajemnej pomocy prawnej (MLA), obowiązującej między państwem wnioskującym a Unią lub między tym państwem a danym państwem członkowskim.

W przypadku braku takiej umowy artykuł 32 przewiduje drugą ścieżkę, lecz ściśle uregulowaną: zagraniczna decyzja może zostać wykonana wyłącznie wtedy, gdy system prawny państwa trzeciego wymaga, aby wniosek był uzasadniony, proporcjonalny i wystarczająco konkretny — na przykład poprzez wyraźne wskazanie związku z określonymi osobami lub naruszeniami — oraz jeżeli umotywowany sprzeciw adresata może być poddany kontroli właściwego sądu tego państwa trzeciego.

Bezpośrednia kolizja prawna

Problem jest natychmiastowy: CLOUD Act wymaga ujawnienia danych na podstawie kontroli sprawowanej przez spółkę matkę, bez warunku proporcjonalności porównywalnego z tym wymaganym przez prawo europejskie. Data Act, przeciwnie, uzależnia uznanie takiego wniosku od istnienia umowy międzynarodowej lub od spełnienia konkretnych wymogów proceduralnych. Amerykańska firma działająca w Europie, wzywana przez organ amerykański do przekazania danych przechowywanych w Unii, znajduje się zatem w kleszczach dwóch sprzecznych zobowiązań prawnych: dostosować się do nakazu amerykańskiego, naruszając prawo Unii, lub przestrzegać Data Act, narażając się na konsekwencje odmowy w Stanach Zjednoczonych.

To napięcie nie jest teoretyczne. Zostało ono już udokumentowane przez Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w dwóch przełomowych orzeczeniach: Schrems I (2015) i Schrems II (2020). W wyroku Schrems II TSUE stwierdził, że nadzór prowadzony przez Stany Zjednoczone na podstawie sekcji 702 FISA (Foreign Intelligence Surveillance Act) i rozporządzenia wykonawczego 12333 nie spełnia minimalnych gwarancji wymaganych przez prawo Unii w świetle zasady proporcjonalności i nie może być uznany za ograniczony do tego, co jest ściśle niezbędne. Trybunał stwierdził również brak skutecznej drogi sądowej dla osób, których dane dotyczą, z Unii, co stanowi naruszenie art. 47 Karty praw podstawowych. Orzeczenie to unieważniło ramy Tarczy Prywatności, która do tamtej pory regulowała przepływy danych między UE a Stanami Zjednoczonymi.

Ryzyko strukturalne: Harvest Now, Decrypt Later

Poza konfliktem jurysdykcji, na dane przechowywane w infrastrukturach podlegających prawu amerykańskiemu ciąży bardziej podstępne zagrożenie: strategia zwana Harvest Now, Decrypt Later (HNDL). Polega ona na tym, że służby wywiadowcze lub wrogi podmiot państwowy przechwytują i przechowują już dziś zaszyfrowane dane, czekając na wystarczające możliwości obliczeń kwantowych, które pozwolą je odszyfrować w przyszłości.

Strategia ta przekształca każdą przedłużającą się zależność od amerykańskiej infrastruktury chmurowej w odroczone zobowiązanie bezpieczeństwa: to, co jest dziś poufne, może stać się czytelne za dziesięć lub piętnaście lat, bez żadnych dodatkowych działań ze strony atakującego — wystarczy czas i cierpliwość.

Dlaczego jedynie techniczna niemożność stanowi prawdziwą gwarancję

Analiza prawna prowadzi do wniosku podzielanego przez wielu ekspertów ds. zgodności: bez względu na to, jak solidne są ramy prawne Data Act, pozostaje on tekstem, który geopolityczne układy sił i naciski dyplomatyczne mogą obejść, opóźnić lub reinterpretować. Jedyną ochroną, która nie zależy od żadnych przyszłych negocjacji, jest techniczna niemożność wykonania.

Architektura zero knowledge, w której dostawca nie posiada ani nie przechowuje kluczy deszyfrowania, czyni nakaz materialnie bezskutecznym. Nie można być zmuszonym do wydania czegoś, czego się nigdy nie posiadało.

To właśnie ta logika leży u podstaw ekosystemów takich jak Arpokrat:

Neutralizacja jurysdykcyjna: infrastruktura jest hostowana w Szwajcarii, pod reżimem federalnej ustawy o ochronie danych (LPD/FADP), poza bezpośrednim zakresem eksterytorialności CLOUD Act
Brak przechowywania: architektura zero knowledge pozbawia dostawcę wszelkiej możliwości wydania kluczy lub treści, których nigdy nie posiadał
Redukcja śladu tożsamościowego: eliminując obowiązek rejestracji za pomocą numeru telefonu lub adresu e-mail — identyfikatorów, które nadzór oparty na sekcji 702 FISA może łatwo śledzić — użytkownik przestaje być identyfikowalnym abonentem, stając się anonimowym kluczem kryptograficznym

Łańcuch pieczy nie kończy się na szyfrowaniu wiadomości

Kwestia często niedoceniana w analizach zgodności: nie wystarczy szyfrować treści komunikacji, jeśli bazowy system operacyjny — czy to Android, czy iOS — nadal przechwytuje metadane lub dane telemetryczne na poziomie jądra systemu, przesyłając je do serwerów podlegających jurysdykcji amerykańskiej. Ochrona tajemnicy wymaga całkowitego zamknięcia łańcucha pieczy — od treści aż po samą infrastrukturę sprzętową.

Właśnie dlatego suwerenność cyfrowa wymaga również refleksji nad używanym systemem operacyjnym, a nie tylko nad aplikacjami do przesyłania wiadomości. Systemy odgoogleowane, w których moduły takie jak Bluetooth lub geolokalizacja GNSS mogą być wyłączane bezpośrednio na poziomie jądra, eliminują fizyczne wektory ataku, których żadne szyfrowanie aplikacyjne nie jest w stanie zrekompensować.

Kryptografia post-kwantowa — horyzont, który jest już w zasięgu

W obliczu zagrożenia ze strony strategii HNDL, przyjęcie standardów kryptografii post-kwantowej (PQC) staje się koniecznością dla każdego, kto chce zagwarantować poufność wrażliwych danych w długim horyzoncie czasowym — niezależnie od tego, czy chodzi o tajemnice handlowe, korespondencję zawodową czy dane dotyczące zdrowia. Szyfrowanie uznawane dziś za solidne według klasycznych standardów nie gwarantuje, że oprze się możliwościom obliczeniowym komputerów kwantowych spodziewanym w ciągu najbliższych piętnastu lat.

Konflikt między Data Act a CLOUD Act ilustruje szerszą rzeczywistość: suwerenności cyfrowej nie można już budować wyłącznie na tekstach prawnych, bez względu na to, jak solidne by one były. Wymaga ona zamknięcia łańcucha pieczy na każdym poziomie — od protokołu szyfrowania, przez jurysdykcję hostingu, aż po sam system operacyjny. To właśnie to warstwowe podejście, a nie zaufanie opierające się na jednym ramach regulacyjnych, definiuje dziś prawdziwą suwerenność cyfrową przez projekt.

Koniec prywatności? Backdoors, Online Safety Act i odpowiedź suwerennych ekosystemów

Wed, 10 Jun 2026 00:00:00 +0000

Londyn stał się epicentrum globalnej bitwy o przyszłość cyfrowej prywatności. Wraz z przyjęciem ustawy Online Safety Act 2023 (OSA) oraz niedawnymi propozycjami rewizji ustawy Investigatory Powers Act (IPA) — nazywanej przez jej krytyków „Kartą Szpiegów” —, brytyjski rząd przyznaje sobie prawo do nakładania obowiązków inwigilacyjnych w samym sercu prywatnej komunikacji. Punktem krytycznym jest uprawnienie przyznane regulatorowi OFCOM do żądania od platform wdrożenia „akredytowanej technologii” w celu wykrywania materiałów przedstawiających seksualne wykorzystywanie dzieci (CSEA) lub terroryzm, w tym wewnątrz komunikacji szyfrowanej typu end-to-end .

Dla dużych platform cyfrowych przesłanie z Westminsteru jest jednoznaczne: albo ułatwią państwu dostęp do swoich infrastruktur, albo narażą się na kary sięgające 10% ich globalnego obrotu. Reakcja była natychmiastowa: usługi takie jak Signal i WhatsApp publicznie zagroziły wycofaniem się z brytyjskiego rynku, odmawiając naruszenia bezpieczeństwa swoich użytkowników w celu zaspokojenia jednej jurysdykcji. Argument techniczny jest trudny do podważenia: nie istnieje klucz uniwersalny (master key) zarezerwowany wyłącznie dla legalnych podmiotów. Otwarte drzwi dla organów ścigania są, z założenia, otwartymi drzwiami dla cyberprzestępców i zagranicznych służb wywiadowczych.

Model biznesowy wielkich platform: strukturalna przeszkoda dla Zero-Knowledge

Opór wielkich platform przed wdrożeniem szyfrowania typu Zero-Knowledge nie wynika z niezdolności technicznej, lecz z fundamentalnej niezgodności ekonomicznej. Firmy takie jak Alphabet i Meta opierają się na modelach monetyzacji opartych na systematycznym zbieraniu danych behawioralnych. Model ten jest zresztą pośrednio uznany przez Akt o rynkach cyfrowych (DMA) Unii Europejskiej, który klasyfikuje tych „strażników dostępu” (gatekeepers) jako podmioty, których dominująca pozycja jest napędzana właśnie przez akumulację danych na niespotykaną skalę. Dla tych graczy przyjęcie architektury Zero-Knowledge oznaczałoby pozbawienie ich systemów reklamowych ciągłej identyfikacji użytkowników, która stanowi ich paliwo. Nie jest to więc wybór techniczny, ale kompromis między prywatnością użytkowników a żywotnością ich modelu biznesowego.

Ryzyko strategiczne: zagrożenie „Harvest Now, Decrypt Later”

Poza debatą na temat prywatności, osłabienie szyfrowania podnosi kwestię bezpieczeństwa narodowego o zupełnie innym zasięgu. Strategia znana jako Harvest Now, Decrypt Later (HNDL) polega na przechwytywaniu i przechowywaniu przez państwowych adwersarzy masowych ilości zaszyfrowanej komunikacji dzisiaj, w oczekiwaniu na przyszłe możliwości deszyfrowania kwantowego. Osłabiając obecne standardy szyfrowania, brytyjskie ramy prawne obiektywnie ułatwiają tego typu operacje przeciwko komunikacji rządowej, dyplomatycznej czy przemysłowej.

Właśnie w tym kontekście deficytu zaufania ekosystemy takie jak Arpokrat zyskują operacyjne znaczenie. Działając w reżimie szwajcarskiej federalnej ustawy o ochronie danych (LPD/FADP), z architekturą, która ne gromadzi żadnych cywilnych identyfikatorów, Arpokrat oferuje techniczne zerwanie z infrastrukturami podlegającymi jurysdykcji brytyjskiej — gwarantując, że system pozostaje głuchy na nakazy przewidziane przez OSA.

Konflikt norm: OSA i IPA kontra prawo europejskie

Analiza prawna nowych brytyjskich prerogatyw państwowych ujawnia bezpośrednie zderzenie z fundamentami prawa europejskiego w zakresie ochrony danych i poufności komunikacji.

OSA kontra zakaz ogólnej inwigilacji

Artykuł 121 ustawy OSA wprowadza możliwość wydawania przez OFCOM nakazów zmuszających platformy do wdrożenia skanowania po stronie klienta (client-side scanning). Środek ten jest bezpośrednio sprzeczny z zasadą, wywodzącą się l prawem europejskim i zawartą w orzecznictwie TSUE, zakazującą ogólnych obowiązków nadzorczych. Narzucając „podatność z założenia” (vulnerability by design), stawia on również firmy w sytuacji podwójnego wiązania: osłabiając swoje bezpieczeństwo w celu dostosowania się do mandatu państwowego, uchybiają one obowiązkowi zagwarantowania poziomu bezpieczeństwa odpowiedniego do przetwarzania, zapisanemu w artykule 32 RODO.

Dyrektywa ePrivacy a poufność komunikacji

Skanowanie prywatnych wiadomości stoi w bezpośredniej sprzeczności z artykułem 5, paragraf 1 Dyrektywy 2002/58/WE (ePrivacy), która zobowiązuje państwa członkowskie do zagwarantowania poufności komunikacji elektronicznej i zakazuje wszelkiej formy przechwytywania lub inwigilacji bez wyraźnej zgody zainteresowanych użytkowników.

Technical Capability Notices i blokowanie aktualizacji bezpieczeństwa

W reżimie ustawy IPA 2016 rząd brytyjski zamierza teraz używać nakazów Technical Capability Notices (TCN) do sprzeciwiania się aktualizacjom bezpieczeństwa przed ich wdrożeniem. Mechanizm ten tworzy niemożliwy do rozwiązania konflikt z obowiązkiem, nałożonym przez artykuł 32 RODO, zapewnienia ciągłego bezpieczeństwa systemów przetwarzania — obowiązkiem, który wymaga precyzyjnie zdolności do wdrażania poprawek (patches) bez zwłoki i zewnętrznej ingerencji.

Ryzyka zgodności dla firm prowadzących działalność w Europie

Rewizje IPA mają na celu zmuszenie firm do powiadamiania rządu brytyjskiego o wszelkich modyfikacjach technicznych wpływających na bezpieczeństwo przed ich wdrożeniem, przyznając mu tym samym prawo weta wobec ewolucji produktów. Ta ingerencja tworzy znaczną niestabilność prawną dla dostawców działających na rynku europejskim: brytyjska adekwatność do prawa europejskiego — i tak już krucha — mogłaby zostać podana w wątpliwość, gdyby Wielka Brytania przestała gwarantować ochronę zasadniczo równoważną z RODO. Transfery danych do Wielkiej Brytanii w tych nowych ramach mogłyby w konsekwencji narazić firmy na sankcje z tytułu RODO.

Obrona przez techniczną niemożliwość: zasada Zero-Knowledge jako tarcza prawna

Międzynarodowe orzecznictwo, skonsolidowane wyrokami Schrems I i Schrems II TSUE, ustanowiło decydującą zasadę: jedynym solidnym zabezpieczeniem przed nieproporcjonalną inwigilacją jest techniczna niemożliwość uzyskania do niej dostępu. Architektury Zero-Knowledge realizują tę zasadę w trzech warstwach ochrony:

Brak pieczy: ponieważ platforma nie posiada kluczy deszyfrujących, jakikolwiek nakaz skanowania wiadomości jest technicznie bezprzedmiotowy;
Suwerenność systemu operacyjnego: kontrola nad ArpokratOS eliminuje telemetrię, która napędza zbieranie danych wywiadowczych na poziomie urządzenia;
Szwajcarskie zakotwiczenie jurysdykcyjne: hostując swoją infrastrukturę w Szwajcarii, Arpokrat działa w reżimie prawnym wymagającym indywidualnych i uzasadnionych wniosków o wzajemną pomoc prawną, co neutralizuje automatyczne wykonywanie masowych skanów przewidzianych przez OSA.

Podsumowanie

Przepisy OSA i rewizje IPA stanowią zagrożenie nie tylko dla prywatności jednostek: reprezentują one naruszenie pewności prawnej dla wszystkich europejskich danych przechodzących przez infrastruktury podlegające jurysdykcji brytyjskiej. Legitymizując osłabienie szyfrowania w imię bezpieczeństwa publicznego, Londyn paradoksalnie naraża swoich sojuszników i partnerów handlowcych na ryzyko szpiegostwa przemysłowego i państwowego, któremu architektury Zero-Knowledge mają precyzyjnie zapobiegać.

Integralność komunikacji zawodowej i instytucjonalnej wymaga obecnie strukturalnej odpowiedzi: migracji w kierunku zdecentralizowanych ekosystemów gwarantujących suwerenność cyfrową, od poziomu kodu aż po zakotwiczenie jurysdykcyjne.