GDPR on Arpokrat

Data Act проти CLOUD Act: хто насправді контролює ваші дані в хмарі?

Fri, 19 Jun 2026 00:00:00 +0000

Упродовж багатьох років світ функціонував на основі простого припущення: дані мають фізичне місце зберігання. Якщо вони знаходилися на сервері в Дубліні, то підпадали під дію ірландського та європейського права. Це припущення зруйнувалося у 2018 році, коли Сполучені Штати ухвалили CLOUD Act — закон, що надає американським органам влади доступ до даних, якими керують американські компанії, незалежно від того, де ці дані фізично зберігаються у світі. Кілька років потому Брюссель відповів власним захисним інструментом: Data Act, що нині повністю набрав чинності і намагається обмежити екстериторіальний доступ органів влади третіх країн до даних, що зберігаються в Європейському Союзі.

Нижче наведено, що насправді передбачають ці два документи, де вони вступають у суперечність і чому єдиним справді надійним захистом від цього конфлікту залишається технічна неможливість доступу.

Американський CLOUD Act: доступ, заснований на контролі, а не на місцезнаходженні

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), ухвалений у березні 2018 року, вніс зміни до американського законодавства, доповнивши його статтею 18 U.S. Code § 2713. Цей текст зобов’язує будь-якого постачальника послуг електронного зв’язку або дистанційної комп’ютерної обробки даних зберігати, захищати або розкривати вміст повідомлення чи будь-який пов’язаний із ним запис, якщо ці дані перебувають у його володінні, під його охороною або контролем, незалежно від того, знаходяться ці дані всередині чи за межами Сполучених Штатів.

Саме це останнє положення змінює все. Критерієм є вже не фізичне місцезнаходження сервера, а контроль, який материнська компанія здійснює над своїми дочірніми структурами. Таким чином, американська компанія, що управляє центрами обробки даних у Європі, залишається підпорядкованою американським запитам, навіть якщо дані зберігаються виключно на території Європи.

Європейський Data Act: юридичний бар’єр для екстериторіального доступу

Регламент (ЄС) 2023/2854, відомий як Data Act, набрав чинності 11 січня 2024 року і повністю застосовується з 12 вересня 2025 року, при цьому окремі положення розподілені до 2026 і 2027 років. Його стаття 32 безпосередньо регулює питання міжнародного урядового доступу до даних.

Документ встановлює чітке правило: будь-яке рішення або вирок суду чи адміністративного органу третьої країни, що вимагає від постачальника послуг обробки даних передати або надати доступ до неперсональних даних, що зберігаються в Європейському Союзі, визнається та підлягає виконанню лише за наявності міжнародної угоди, наприклад договору про взаємну правову допомогу (MLA), що діє між країною-заявником та Союзом або між цією країною та відповідною державою-членом.

За відсутності такої угоди стаття 32 передбачає другий шлях, але з суворими обмеженнями: іноземне рішення може бути виконане лише в тому разі, якщо правова система третьої країни вимагає, щоб запит був обґрунтованим, пропорційним і достатньо конкретним — наприклад, встановлюючи чіткий зв’язок із певними особами або конкретними правопорушеннями, — і якщо мотивована заперечення адресата може бути подана на розгляд компетентного суду цієї третьої країни.

Пряме юридичне зіткнення

Проблема є очевидною: CLOUD Act вимагає розкриття даних на підставі контролю материнської компанії, без умови пропорційності, порівнянної з тією, що вимагається європейським правом. Data Act, навпаки, обумовлює визнання такого запиту наявністю міжнародної угоди або конкретних процесуальних гарантій. Американська компанія, що діє в Європі і отримала від американського органу влади вимогу передати дані, що зберігаються в ЄС, опиняється між двома суперечливими правовими зобов’язаннями: виконати американський мандат, порушивши право Союзу, або дотриматися Data Act, ризикуючи зазнати наслідків відмови в Сполучених Штатах.

Ця напруга не є теоретичною. Вона вже була задокументована Судом справедливості Європейського Союзу (CJEU) у двох ключових рішеннях — Schrems I (2015) та Schrems II (2020). В рішенні у справі Schrems II CJEU постановив, що американське спостереження, яке здійснюється на підставі Розділу 702 FISA (Foreign Intelligence Surveillance Act) та Виконавчого наказу 12333, не відповідає мінімальним гарантіям, що вимагаються правом Союзу згідно з принципом пропорційності, і тому не може вважатися обмеженим тим, що є суворо необхідним. Суд також зазначив відсутність ефективного судового захисту для осіб, яких стосується ЄС, що є порушенням статті 47 Хартії основних прав. Це рішення визнало недійсною систему Privacy Shield, яка до того часу регулювала передачу даних між ЄС і Сполученими Штатами.

Структурний ризик: Harvest Now, Decrypt Later

Окрім конфлікту юрисдикцій, на дані, що зберігаються в інфраструктурах, підпорядкованих американському праву, нависає більш прихована загроза: стратегія під назвою Harvest Now, Decrypt Later (HNDL). Принцип полягає в тому, що розвідувальна служба або ворожий державний актор перехоплює та зберігає вже сьогодні зашифровані дані, очікуючи на достатні квантові обчислювальні потужності для їх розшифрування в майбутньому.

Ця стратегія перетворює будь-яку тривалу залежність від американської хмарної інфраструктури на відкладений борг безпеки: те, що сьогодні є конфіденційним, може стати доступним для читання через десять або п’ятнадцять років, без будь-яких додаткових дій з боку зловмисника — лише час і терпіння.

Чому лише технічна неможливість є справжньою гарантією

Юридичний аналіз приводить до висновку, якого дотримуються численні експерти з відповідності: яким би міцним не був правовий каркас Data Act, він залишається документом, який геополітичні відносини сил і дипломатичний тиск можуть обійти, затримати або переінтерпретувати. Єдиний захист, що не залежить від жодних майбутніх переговорів, — це технічна неможливість виконання.

Архітектура zero knowledge, за якої постачальник ніколи не має у своєму розпорядженні та під своєю охороною ключів дешифрування, робить будь-який запит матеріально нездійсненним. Не можна бути змушеним видати те, чим ніколи не володів.

Саме ця логіка лежить в основі таких екосистем, як Arpokrat:

Юрисдикційна нейтралізація: інфраструктура розміщена у Швейцарії, під режимом федерального закону про захист даних (LPD/FADP), поза прямою сферою дії екстериторіальності CLOUD Act
Відсутність зберігання: архітектура zero knowledge позбавляє постачальника будь-якої можливості передати ключі або вміст, яким він ніколи не володіє
Зменшення ідентифікаційного сліду: усуваючи обов’язкову реєстрацію за номером телефону або адресою електронної пошти — ідентифікаторів, які спостереження на підставі Розділу 702 FISA може легко відстежувати, — користувач перестає бути ідентифікованим абонентом і стає анонімним криптографічним ключем

Ланцюг зберігання не закінчується шифруванням повідомлень

Аспект, який часто недооцінюється в аналізах відповідності: недостатньо шифрувати вміст повідомлення, якщо базова операційна система — Android чи iOS — продовжує збирати метадані або телеметрію на рівні ядра, надсилаючи їх на сервери, підпорядковані американській юрисдикції. Захист таємниці вимагає повного закриття ланцюга зберігання — від вмісту до самої матеріальної інфраструктури.

Саме тому цифровий суверенітет передбачає також роздуми щодо операційної системи, а не лише щодо застосунків для обміну повідомленнями. Дегуглізовані системи, де такі модулі, як Bluetooth або геолокація GNSS, можуть бути відключені безпосередньо на рівні ядра, усувають фізичні вектори атак, які жодне прикладне шифрування не може компенсувати.

Постквантова криптографія: горизонт, що вже наближається

Перед лицем загрози, яку становить стратегія HNDL, впровадження стандартів постквантової криптографії (PQC) стає необхідністю для всіх, хто прагне гарантувати конфіденційність чутливих даних у довгостроковій перспективі — будь то комерційні таємниці, ділове листування чи медичні дані. Шифрування, яке сьогодні вважається надійним за класичними стандартами, не гарантує стійкості до квантових обчислювальних потужностей, що очікуються протягом наступних п’ятнадцяти років.

Конфлікт між Data Act та CLOUD Act ілюструє ширшу реальність: цифровий суверенітет більше не може будуватися виключно на законодавчих текстах, якими б міцними вони не були. Він вимагає повного закриття ланцюга зберігання на кожному рівні — від протоколу шифрування до юрисдикції розміщення, включно з самою операційною системою. Саме цей багаторівневий підхід, а не довіра, що спирається на єдину нормативну базу, визначає сьогодні справжній цифровий суверенітет за задумом.

Кінець конфіденційності? Бекдори, Online Safety Act та відповідь суверенних екосистем

Wed, 10 Jun 2026 00:00:00 +0000

Лондон став епіцентром глобальної битви за майбутнє цифрової конфіденційності. З ухваленням закону Online Safety Act 2023 (OSA) та нещодавніми пропозиціями щодо перегляду закону Investigatory Powers Act (IPA) — прозваного його критиками «Хартією шпигунів» —, британський уряд привласнює собі право нав’язувати зобов’язання зі стеження в самому серці приватних комунікацій. Переломним моментом стала влада, надана регулятору OFCOM, вимагати від платформ впровадження «акредитованої технології» для виявлення матеріалів, що містять сексуальне насильство над дітьми (CSEA), або тероризму, в тому числі всередині комунікацій з наскрізним шифруванням .

Для великих цифрових платформ послання Вестмінстера є недвозначним: або вони сприяють доступу держави до своїх інфраструктур, або стикаються зі штрафами в розмірі до 10% від їхнього світового доходу. Реакція була миттєвою: такі сервіси, як Signal та WhatsApp, публічно пригрозили піти з британського ринку, відмовившись ставити під загрозу безпеку своїх користувачів заради задоволення однієї єдиної юрисдикції. Технічний аргумент важко оскаржити: не існує майстер-ключа, зарезервованого лише для легітимних суб’єктів. Відкриті двері для правоохоронних органів за своєю конструкцією є відкритими дверима для кіберзлочинців та іноземних спецслужб.

Бізнес-модель великих платформ: структурна перешкода для Zero-Knowledge

Опір великих платформ впровадженню шифрування типу Zero-Knowledge пояснюється не технічною нездатністю, а фундаментальною економічною несумісністю. Компанії на кшталт Alphabet і Meta спираються на моделі монетизації, засновані на систематичному зборі поведінкових даних. Ця модель, до речі, неявно визнається Законом про цифрові ринки (DMA) Європейського Союзу, який класифікує цих «воротарів» (gatekeepers) як організації, чиє домінуюче становище підживлюється саме накопиченням даних у безпрецедентних масштабах. Для цих гравців впровадження архітектури Zero-Knowledge означало б позбавлення їхніх рекламних систем безперервної ідентифікації користувачів, яка є їхнім паливом. Таким чином, це не технічний вибір, а компроміс між конфіденційністю користувачів та життєздатністю їхньої бізнес-моделі.

Стратегічний ризик: загроза «Harvest Now, Decrypt Later»

Крім дебатів про конфіденційність, ослаблення шифрування піднімає питання національної безпеки зовсім іншого масштабу. Стратегія, відома як Harvest Now, Decrypt Later (HNDL) , полягає в тому, що державні супротивники вже сьогодні перехоплюють і зберігають величезні обсяги зашифрованих повідомлень в очікуванні майбутніх можливостей квантового розшифрування. Ослаблюючи поточні стандарти шифрування, британська законодавча база об’єктивно сприяє проведенню операцій такого типу проти урядових, дипломатичних або промислових комунікацій.

Саме в цьому контексті дефіциту довіри екосистеми, подібні до Arpokrat, набувають експлуатаційної значущості. Працюючи в рамках Федерального закону Швейцарії про захист даних (FADP), з архітектурою, яка не збирає жодних цивільних ідентифікаторів, Arpokrat пропонує технічний розрив з інфраструктурами, що підпадають під британську юрисдикцію — гарантуючи, що система залишається глухою до приписів, передбачених OSA.

Конфлікт норм: OSA та IPA проти європейського права

Юридичний аналіз нових прерогатив британської держави виявляє пряме зіткнення з основами європейського права щодо захисту даних та конфіденційності зв’язку.

OSA проти заборони на загальне стеження

Стаття 121 OSA вводить для OFCOM можливість видавати приписи, що примушують платформи впроваджувати сканування на боці клієнта (client-side scanning). Цей захід прямо суперечить принципу, що випливає з європейського права і включений до судової практики Суду Європейського Союзу (CJEU), який забороняє загальні зобов’язання зі стеження. Нав’язуючи «вразливість за дизайном» (vulnerability by design), це також ставить компанії в ситуацію подвійного примусу: послаблюючи свою безпеку для виконання державного мандата, вони не виконують своє зобов’язання щодо забезпечення рівня безпеки, відповідного обробці, як це закріплено в статті 32 GDPR.

Директива ePrivacy та конфіденційність комунікацій

Сканування приватних повідомлень прямо суперечить статті 5, абзац 1 Директиви 2002/58/EC (ePrivacy), яка зобов’язує держави-члени гарантувати конфіденційність електронних комунікацій і забороняє будь-які форми перехоплення або стеження без явної згоди відповідних користувачів.

Technical Capability Notices та блокування оновлень безпеки

В рамках режиму IPA 2016 британський уряд тепер має намір використовувати Повідомлення про технічні можливості (Technical Capability Notices - TCN) для блокування оновлень безпеки до їх розгортання. Цей механізм створює нерозв’язний конфлікт із зобов’язанням, встановленим статтею 32 GDPR, щодо забезпечення безперервної безпеки систем обробки — зобов’язанням, яке вимагає саме здатності застосовувати виправлення (patches) без зволікання або зовнішнього втручання.

Ризики комплаєнсу для компаній, що працюють в Європі

Перегляди IPA спрямовані на те, щоб змусити компанії повідомляти британський уряд про будь-які технічні зміни, що впливають на безпеку, до їх впровадження, надаючи йому таким чином право вето на розробку продуктів. Це втручання створює значну правову нестабільність для постачальників, що працюють на європейському ринку: відповідність Великобританії європейському праву — і без того крихка — може бути поставлена під сумнів, якщо Великобританія більше не гарантуватиме захист, по суті еквівалентний захисту GDPR. Отже, передача даних до Великобританії в цих нових рамках, ймовірно, піддасть компанії санкціям відповідно до GDPR.

Захист через технічну неможливість: принцип Zero-Knowledge як правовий щит

Міжнародна судова практика, консолідована рішеннями Schrems I та Schrems II Суду ЄС, встановила визначальний принцип: єдиним надійним захистом від непропорційного стеження є технічна неможливість доступу до даних. Архітектури Zero-Knowledge застосовують цей принцип у трьох рівнях захисту:

Відсутність зберігання: оскільки платформа не зберігає ключі розшифрування, будь-який припис сканувати повідомлення є технічно нездійсненним;
Суверенітет операційної системи: контроль над ArpokratOS усуває телеметрію, яка живить збір розвідданих на рівні пристрою;
Швейцарська юрисдикційна прив’язка: розміщуючи свою інфраструктуру у Швейцарії, Arpokrat працює в правовому режимі, що вимагає індивідуалізованих і мотивованих запитів про взаємну правову допомогу, нейтралізуючи автоматизоване виконання масових сканувань, передбачених OSA.

Висновок

Положення OSA та перегляди IPA становлять загрозу не лише для конфіденційності приватних осіб: вони є порушенням правової визначеності для всіх європейських даних, що проходять через інфраструктури, які підпадають під британську юрисдикцію. Узаконюючи ослаблення шифрування в ім’я громадської безпеки, Лондон парадоксальним чином піддає своїх союзників і торгових партнерів ризикам промислового і державного шпигунства, які архітектури Zero-Knowledge якраз і покликані запобігати.

Цілісність професійних та інституційних комунікацій тепер вимагає структурної відповіді: переходу до децентралізованих екосистем, що гарантують цифровий суверенітет, від рівня коду до юрисдикційної прив’язки.