CLOUD Act on Arpokrat

Data Act dhidi ya CLOUD Act: nani anayodhibiti data yako kwenye wingu?

Fri, 19 Jun 2026 00:00:00 +0000

Kwa miaka mingi, dunia ilifanya kazi kwa dhana rahisi: data ina mahali pa kimwili pa kukaa. Ikiwa ilikuwa kwenye seva huko Dublin, ilisimamiwa na sheria ya Ireland na Ulaya. Dhana hii ilianguka mwaka 2018, wakati Marekani ilipopitisha CLOUD Act, sheria inayompa mamlaka za Marekani upatikanaji wa data inayodhibitiwa na kampuni za Marekani, bila kujali mahali data hiyo imehifadhiwa kimwili duniani. Miaka kadhaa baadaye, Brussels ilijibu na mfumo wake wa ulinzi: Data Act, ambayo sasa inatumika kikamilifu, inayojaribu kupunguza upatikanaji wa nje ya mipaka wa mamlaka za nchi za tatu kwa data inayoshikiliwa ndani ya Umoja wa Ulaya.

Hapa kuna kinachosemwa kweli kweli na maandishi hizi mawili, mahali yanagongana, na kwa nini ulinzi pekee unaohimili kweli dhidi ya mgongano huu unabaki kutowezekana kwa kiufundi kwa upatikanaji.

CLOUD Act ya Marekani: upatikanaji unaozingatia udhibiti, si mahali

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), iliyopitishwa mwezi Machi 2018, ilibadilisha sheria ya Marekani kwa kuongeza kifungu cha 18 U.S. Code § 2713. Maandishi haya yanalazimu mtoa huduma yoyote wa mawasiliano ya kielektroniki au usindikaji wa kompyuta wa mbali kuhifadhi, kulinda au kufichua maudhui ya mawasiliano au rekodi yoyote inayohusiana nazo, pindi data hiyo inapopatikana kwake, ipo chini ya ulinzi wake au chini ya udhibiti wake, bila kujali kama data hiyo iko ndani au nje ya Marekani.

Hasa kipengele hicho cha mwisho ndicho kinachobadilisha kila kitu. Kigezo kilichochaguliwa si tena eneo la kimwili la seva, bali udhibiti unaofanywa na kampuni mama juu ya matawi yake. Hivyo kampuni ya Marekani inayoendesha vituo vya data Ulaya inabaki kuwa chini ya mahitaji ya Marekani, hata kwa data iliyohifadhiwa kabisa kwenye ardhi ya Ulaya.

Data Act ya Ulaya: kizuizi cha kisheria dhidi ya upatikanaji wa nje ya mipaka

Kanuni (EU) 2023/2854, inayoitwa Data Act, ilianza kutumika tarehe 11 Januari 2024 na inatumika kikamilifu tangu tarehe 12 Septemba 2025, baadhi ya masharti yakipangwa hadi 2026 na 2027. Kifungu chake cha 32 kinadhibiti moja kwa moja swali la upatikanaji wa serikali wa kimataifa kwa data.

Maandishi hayo yanaanzisha kanuni wazi: uamuzi wowote au hukumu yoyote ya mahakama au mamlaka ya utawala ya nchi ya tatu inayohitaji mtoa huduma wa usindikaji wa data kuhamisha au kutoa upatikanaji wa data zisizo za kibinafsi zinazoshikiliwa ndani ya Umoja wa Ulaya unatambuliwa na kutekelezwa tu ikiwa unategemea makubaliano ya kimataifa, kama vile mkataba wa msaada wa pamoja wa kisheria (MLA), unaotumika kati ya nchi inayoomba na Umoja, au kati ya nchi hiyo na Nchi Mwanachama inayohusika.

Bila makubaliano kama hayo, kifungu cha 32 kinatoa njia ya pili, lakini iliyodhibitiwa kwa ukali: uamuzi wa kigeni unaweza kutekelezwa tu ikiwa mfumo wa kisheria wa nchi ya tatu unahitaji kwamba ombi liwe na sababu, linalingana na hali, na maalum ya kutosha, kwa mfano kwa kuanzisha uhusiano wazi na watu au makosa maalum, na ikiwa pingamizi lenye sababu la mpokeaji linaweza kuwasilishwa kwa ukaguzi wa mahakama yenye uwezo wa nchi hiyo ya tatu.

Mgongano wa kisheria wa moja kwa moja

Tatizo ni la haraka: CLOUD Act inahitaji ufafanuzi kulingana na udhibiti unaofanywa na kampuni mama, bila hali ya uwiano inayolingana na ile inayohitajika na sheria ya Ulaya. Data Act, kinyume chake, inafanya utambuzi wa ombi kama hilo kutegemea uwepo wa makubaliano ya kimataifa au dhamana maalum za mchakato. Kampuni ya Marekani inayofanya kazi Ulaya, iliyoambiwa na mamlaka za Marekani kuwasilisha data iliyohifadhiwa ndani ya Umoja, inapata nafsi yake imekwama kati ya majukumu mawili ya kisheria yanayopingana: kutii amri ya Marekani kwa kukiuka sheria ya Umoja, au kuheshimu Data Act kwa kukabiliwa na matokeo ya kukataa huko Marekani.

Mvutano huu si wa kinadharia. Umeshakuandikwa na Mahakama ya Haki ya Umoja wa Ulaya (CJEU) katika maamuzi mawili makuu, Schrems I (2015) na Schrems II (2020). Katika uamuzi wa Schrems II, CJEU iliamua kwamba ufuatiliaji wa Marekani uliofanywa chini ya Kifungu cha 702 cha FISA (Foreign Intelligence Surveillance Act) na Executive Order 12333 haukuzingatia dhamana za chini zinazohitajika na sheria ya Umoja chini ya kanuni ya uwiano, na kwa hivyo haiwezi kuzingatiwa kuwa imepunguzwa kwa kile kinachohitajika kabisa. Mahakama pia ilibaini kutokuwepo kwa njia ya utetezi wa mahakama yenye ufanisi kwa watu wanaohusika wa Umoja, kwa kukiuka kifungu cha 47 cha Mkataba wa Haki za Msingi. Uamuzi huu ulifuta mfumo wa Privacy Shield, ambao ulisimamia hapo awali uhamisho wa data kati ya EU na Marekani.

Hatari ya muundo: Harvest Now, Decrypt Later

Zaidi ya mgongano wa mamlaka, tishio zito zaidi linalemea data iliyohifadhiwa katika miundombinu inayosimamiwa na sheria ya Marekani: mkakati unaoitwa Harvest Now, Decrypt Later (HNDL). Kanuni inajumuisha, kwa huduma ya ujasusi au mhusika wa serikali adui, kukamata na kuhifadhi leo data iliyosimbwa, huku wakingoja uwezo wa kutosha wa kompyuta ya quantum ili kusimbua katika siku zijazo.

Mkakati huu unabadilisha utegemezi wowote wa muda mrefu kwa miundombinu ya wingu ya Marekani kuwa deni la usalama lililokopeshwa: kile kinachosiri leo kinaweza kuwa kinachosomeka baada ya miaka kumi au kumi na tano, bila kuhitaji hatua yoyote ya ziada kutoka kwa mshambuliaji, ni muda na subira tu.

Kwa nini tu kutowezekana kwa kiufundi kunaunda dhamana ya kweli

Uchambuzi wa kisheria unakusanyika kuelekea hitimisho linaloungwa mkono na wataalamu wengi wa utiifu: haijalishi mfumo wa kisheria wa Data Act ni imara kiasi gani, unabaki kuwa maandishi ambayo nguvu za kisiasa za kijiografia na shinikizo la kidiplomasia vinaweza kupita pembeni, kuchelewa au kufasiriwa upya. Ulinzi pekee ambao haujategemea mazungumzo yoyote ya siku zijazo ni kutowezekana kwa kiufundi kwa utekelezaji.

Usanifu wa zero knowledge, ambapo mtoa huduma hana milki wala ulinzi wa funguo za kusimbuliwa, hufanya ombi la kisheria kuwa lisilo na athari kimwili. Mtu hawezi kulazimishwa kuwasilisha kile ambacho hakuwahi kumiliki.

Hii ndiyo mantiki inayounda mifumo kama Arpokrat:

Kupunguza mamlaka ya kisheria: miundombinu imehifadhiwa Uswizi, chini ya mfumo wa sheria ya shirikisho ya ulinzi wa data (LPD/FADP), nje ya wigo wa moja kwa moja wa upendeleo wa nje ya mipaka wa CLOUD Act
Kutokuwa na ulinzi: usanifu wa zero knowledge humnyang’anya mtoa huduma uwezo wowote wa kuwasilisha funguo au maudhui ambayo hayawahi kumilikiwa
Kupunguza alama ya utambulisho: kwa kuondoa wajibu wa usajili kwa nambari ya simu au anwani ya barua pepe, vitambulisho ambavyo ufuatiliaji unaotegemea Kifungu cha 702 cha FISA unaweza kufuatilia kwa urahisi, mtumiaji anaacha kuwa mwanachama anayetambuliwa na kuwa funguo ya kriptografia isiyojulikana

Mnyororo wa ulinzi haushindi kwenye usimbaji wa ujumbe

Jambo mara nyingi linalopuuzwa katika uchambuzi wa utiifu: haitoshi kusimba maudhui ya mawasiliano ikiwa mfumo wa uendeshaji ulioko chini, iwe Android au iOS, unaendelea kukusanya metadata au telemetry katika kiwango cha msingi, kwa mwelekeo wa seva zinazosimamiwa na mamlaka ya Marekani. Ulinzi wa siri unahitaji kufungwa kamili kwa mnyororo wa ulinzi, kutoka maudhui hadi miundombinu ya mwili yenyewe.

Ndiyo maana uhuru wa kidijitali pia unahusisha tafakari kuhusu mfumo wa uendeshaji unaotumika, si tu kuhusu programu za ujumbe. Mifumo iliyoondolewa Google, ambapo moduli kama Bluetooth au urambazaji wa eneo GNSS zinaweza kuzimwa moja kwa moja katika kiwango cha msingi, huondoa vekta za shambulio za kimwili ambazo hakuna usimbaji wa programu unaweza kulipa fidia.

Kriptografia ya baada ya quantum, upeo ulioshajihusisha

Kukabili tishio linalowakilishwa na mkakati wa HNDL, kupitisha viwango vya kriptografia ya baada ya quantum (PQC) inakuwa hitaji kwa yeyote anayetaka kuhakikisha usiri wa data nyeti kwa muda mrefu, iwe ni siri za biashara, mawasiliano ya kitaaluma au data ya afya. Usimbaji unaochukuliwa kuwa imara leo kulingana na viwango vya kawaida haukuhakikishi kwamba utastahimili uwezo wa kompyuta ya quantum unaotarajiwa katika miaka kumi na tano ijayo.

Mgongano kati ya Data Act na CLOUD Act unaonyesha ukweli mpana zaidi: uhuru wa kidijitali hauwezi tena kujengwa peke yake kwa maandishi ya sheria, haijalishi ni imara kiasi gani. Inahitaji kufungwa kwa mnyororo wa ulinzi katika kila kiwango, kutoka itifaki ya usimbaji hadi mamlaka ya kuhifadhi, ikipita kwenye mfumo wa uendeshaji wenyewe. Ni njia hii ya tabaka, badala ya imani inayotegemea mfumo mmoja wa udhibiti, ndio inayofafanua leo uhuru wa kweli wa kidijitali kwa muundo.

Ukimya Unaopiga Kelele: Warrant Canary ni nini na kwa nini kutoweka kwake kunapaswa kukutia wasiwasi?

Mon, 01 Jun 2026 00:00:00 +0000

Kina ndani ya migodi ya makaa ya mawe ya karne ya 19, wachimbaji walibeba ndege aina ya canaries kwenye vizimba. Ndege hawa wadogo, ambao ni wepesi sana kuathiriwa na gesi zenye sumu, walikufa muda mrefu kabla ya wachimbaji kugundua hatari.

Katika ulimwengu wetu wa kisasa wa kidijitali, ndege huyu amefufuliwa kwa mfumo wa « Warrant Canary ».

Warrant Canary ni nini?

Ni taarifa ya umma, inayosasishwa mara kwa mara na mtoa huduma, inayothibitisha kwamba, hadi tarehe hiyo, hajapokea ombi lolote la siri la kisheria linalomlazimu kuhatarisha data za watumiaji wake.

Umuhimu wote upo katika kile kinachotokea anapotoweka.

Ikiwa huduma inayoonyesha kauli “Hatujapokea maagizo ya siri” inapoacha kuisasisha ghafla, mtumiaji mwelewa anagundua wazi: canary amekufa.

Kampuni imelengwa na agizo la ufuatiliaji linaloambatana na agizo la kutozungumza (gag order). Kwa kuwa hawawezi kusema wamedukuliwa, wanaacha tu kusema wako salama.

Enzi ya Ufuatiliaji Asioonekana

Proton : Hutoa ripoti ya uwazi inayojumuisha Warrant Canary kali.
Riseup : Hudumisha moja ya canaries maarufu zaidi.
Arpokrat : Mfumo wetu wa ikolojia hudumisha Warrant Canary wa umma.

Mbinu ya Arpokrat (Zero-Knowledge)

Chini ya sheria za Uswisi, usanifu wa Arpokrat wa Zero-Knowledge huunda kutowezekana kwa kiufundi kutii agizo, kwa sababu hakuna funguo za kibinafsi au vitambulisho (Zero-ID) vya kukabidhi.

Udanganyifu wa Uhuru: Kesi ya Olvid na Mtego wa CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

Tangazo hilo lilisikika kama “kilio cha kweli cha uhuru” katika korido za Paris: Waziri Mkuu aliamuru serikali kuachana na WhatsApp na Signal na kupendelea Olvid, programu iliyowasilishwa kama ya “kizalendo”. Lengo lilikuwa wazi: kulinda siri za serikali dhidi ya mashirika ya ujasusi ya kigeni.

Hata hivyo, dhihaka kali iliibuka haraka: msingi wa Olvid — miundombinu yake ya seva — inapatikana ndani ya Amazon Web Services (AWS), kampuni kubwa ya Marekani.

Kwa umma, hili linaonekana kama suala dogo la kiufundi. Lakini kwa wasanifu wa usalama wa mtandao huru , ni hatari ya kisiasa ya daraja la kwanza.

Nje ya Mipaka na Mgongano wa Mamlaka

Kwa kutegemea miundombinu ya Amazon, Olvid inaingia moja kwa moja katika obiti ya CLOUD Act ya Marekani.

Uchambuzi wa kisheria unaonyesha mazingira ya ukosefu wa usalama wa kisheria ambayo kupitisha tu “programu” ya kitaifa hakutatui. Kigezo muhimu kiko katika dhana ya “udhibiti” dhidi ya “uingizaji wa ndani”.

CLOUD Act ilibadilisha sheria kwa kusema kwamba eneo halisi la seva haijalishi. Wajibu wa mtoa huduma (hapa, AWS) kutoa ushirikiano unatokana tu na uhusiano wake wa kisheria na Marekani.

Kisheria, hii inaleta mgongano wa moja kwa moja na GDPR. Mahakama ya Haki ya Umoja wa Ulaya tayari imethibitisha kuwa sheria za ufuatiliaji za Marekani hazitoi kiwango cha ulinzi sawa na Ulaya.

Uhuru wa kidijitali sio sifa ya programu, bali ni sifa ya uadilifu wa mnyororo wa ulinzi wa data.

Kivuli cha FISA na Ahadi ya Uongo ya Usimbaji Fiche

Baya zaidi, utegemezi huu kwa miundombinu ya Marekani unaweka data hizi chini ya kivuli cha Foreign Intelligence Surveillance Act (FISA) .

Ikikabiliwa na vitisho hivi, Olvid inadai kwamba usimbaji fiche wake unatosha. Kutoka kwa mtazamo wa uhandisi wa faragha, utetezi huu ni wa kijuujuu na hatari.

Hata kama maudhui ya ujumbe yamesimbwa, miundombinu ya kati ya AWS inafichua metadata. Kujua nani anazungumza na nani, lini, mara ngapi, na kutoka wapi mara nyingi kuna thamani zaidi kwa ujasusi kuliko ujumbe wenyewe.

Usimbaji fiche hulinda maandishi, lakini seva kuu hufichua mtandao wa mawasiliano.

Hatari Halisi Bado Inakuja

Ilimradi miundombinu ya Ulaya inategemea mashirika yaliyo chini ya sheria za nje ya mipaka, usalama wa mawasiliano yetu utabaki kuwa wa muda tu na wa udanganyifu.

Usalama wa taifa katika karne ya 21 unahitaji uhuru kamili wa miundombinu na vifaa . Mkakati wa “Kusanya sasa, simba baadaye” ndio tishio kubwa zaidi la muongo ujao.

Siri ya serikali inayonasa leo sio chochote bali ni bomu la wakati la kihisabati.

(Soma uchambuzi wetu uliobaki katika Sehemu ya 2: Bomu la Wakati na Ulazima wa Zero-Knowledge )