Suverenita
Firmu před CLOUD Act ochráníte tím, že zvolíte, kdo data drží, a ne pouhým přesunem serverů. Americký zákon z roku 2018 umožňuje orgánu Spojených států v rámci řízení požadovat po poskytovateli, který podléhá jeho jurisdikci, data, která tento poskytovatel drží nebo kontroluje, a to i tehdy, jsou-li uložena mimo Spojené státy. Nevytváří automatický přístup do evropských datacenter.
CLOUD Act (Clarifying Lawful Overseas Use of Data Act) mění americké právo o uložených komunikacích. Tři omezení brání nedorozuměním.
Skutečné riziko je tedy užší, než se říká, a zároveň trvalejší: cílená žádost adresovaná poskytovateli v rámci řízení.
Zákon také upravuje dohody mezi vládami, které rámují některé přeshraniční žádosti. Tato část nemění nákupní otázku: kdo ve vašem řetězci je americký poskytovatel, který má data pod kontrolou?
Příkaz je adresován poskytovateli a týká se dat, která má v držení nebo pod kontrolou. Zákazník pak závisí na tom, jak poskytovatel se žádostí naloží.
Podle 18 U.S.C. § 2703(h) může poskytovatel požádat o zrušení nebo změnu příkazu, pokud se domnívá, že zákazník není „United States person“, nemá bydliště ve Spojených státech a vydání by ho vystavilo vážnému riziku porušení práva „kvalifikované zahraniční vlády“. Má na to 14 dnů od doručení.
„Kvalifikovaná zahraniční vláda“ je stát, který se Spojenými státy uzavřel výkonnou dohodu, jež vstoupila v platnost. Americké ministerstvo spravedlnosti zveřejňuje dohody se Spojeným královstvím, podepsanou 3. října 2019, a s Austrálií, podepsanou 15. prosince 2021. S Evropskou unií žádná dohoda v platnosti není; jednání mezi EU a Spojenými státy o elektronických důkazech byla obnovena v roce 2023. Stránka ministerstva neuvádí žádnou dohodu s Francií.
Důsledek: mechanismus napadení podle § 2703(h) takovou dohodu předpokládá. Francouzská firma by s tímto opravným prostředkem neměla počítat jako s jistou ochranou.
Kritériem zákona je kontrola, ne geografie. Vezměme malý či střední průmyslový podnik se dvěma provozovnami, který si u amerického výrobce softwaru zvolil evropský datový region. Jeho zprávy jsou uloženy v Evropě. Společnost, která službu spravuje a může obnovit schránku, však zůstává americká. Tváří v tvář příkazu region uložení otázku nemění: jsou tato data pod její kontrolou?
Dne 10. června 2025 byl před vyšetřovací komisí Senátu pro veřejné zakázky ředitel pro veřejné a právní záležitosti společnosti Microsoft France dotázán, zda může pod přísahou zaručit, že data francouzských občanů svěřená společnosti Microsoft prostřednictvím Ugap nebudou nikdy na základě příkazu americké vlády předána bez výslovného souhlasu francouzských orgánů. Jeho odpověď: „Ne, to zaručit nemohu, ale, opakuji, to se dosud nikdy nestalo.“ Na obou polovinách věty záleží. První popisuje právní rámec; druhá praxi, kterou společnost zaznamenala.
GDPR (obecné nařízení o ochraně osobních údajů) přistupuje k otázce z opačné strany. Podle článku 48 může být rozhodnutí soudu nebo orgánu třetí země, které vyžaduje předání nebo zpřístupnění osobních údajů, uznáno nebo vykonáno pouze tehdy, je-li založeno na mezinárodní dohodě, například smlouvě o vzájemné právní pomoci, platné mezi touto zemí a Unií nebo členským státem.
Americký poskytovatel působící v Evropě se tak může ocitnout mezi dvěma právními řády: na jedné straně americký příkaz, na druhé evropské pravidlo, které ho bez mezinárodní dohody neuznává. Článek 48 tuto kolizi za poskytovatele nerozhoduje. Pro kupujícího jde o konkrétní věc: zeptat se, jak tento poskytovatel s takovou žádostí zachází, zda ji napadá a zda o ní informuje zákazníka, pokud to zákon dovoluje.
K 5. října 2026 se předávání z Evropské unie certifikovaným americkým organizacím může stále opírat o rozhodnutí o odpovídající ochraně (EU) 2023/1795, tzv. Data Privacy Framework. Toto rozhodnutí je v platnosti. Je napadeno a vývoj amerického práva vedl Evropský sbor pro ochranu osobních údajů k tomu, že požádal Komisi o vyhodnocení jeho dopadů. Dokud není zrušeno nebo prohlášeno za neplatné, má účinky.
Soudní spor pokračuje. Podle komentáře advokátní kanceláře WilmerHale zveřejněného 1. prosince 2025 zamítl Tribunál Evropské unie dne 3. září 2025 žalobu na neplatnost a dne 31. října 2025 bylo k Soudnímu dvoru podáno odvolání. Kancelář DAC Beachcroft shrnuje situaci formulí: zatím stabilita, do budoucna nejistota. Tyto informace jsou zde uvedeny podle komentářů advokátů.
Data Privacy Framework upravuje předávání ve smyslu GDPR. Nevyjímá amerického poskytovatele z působnosti CLOUD Act. Obezřetná firma tento právní základ dokumentuje a plánuje, co udělá, pokud padne. Toto sledování patří do evidence předávání, ne do sloganu.
Zvolit provozovatele. Pokud je společnost, která fakturuje, zálohuje a spravuje službu, evropská a pro držení dat není závislá na americké skupině, příkaz podle CLOUD Act se na ni nevztahuje. To je hlavní páka.
Prověřit zpracovatele. Evropský provozovatel, který posílá e-maily, zálohy nebo podporu americkému zpracovateli, znovu zavádí poskytovatele podléhajícího americkému právu. Seznam zpracovatelů je součástí ochrany. Častá chyba: ověřit hlavního poskytovatele hostingu a zapomenout na systém tiketů nebo na zálohování.
Rozlišovat výrobce softwaru a provozovatele. Používat software amerického výrobce neznamená svěřit data tomuto výrobci. Zimbra vyvíjí Synacor ve Spojených státech. Pokud ji instaluje a zálohuje evropský poskytovatel hostingu ve svých sálech, provozním držitelem schránek je tento poskytovatel hostingu. Smlouva musí výrobci softwaru zakázat přístup k obsahu a stanovit, kdo instaluje opravy.
Považovat podporu za přístup. Technik, který otevře schránku nebo zálohu, zpracovává data. Místo, kde se tento technik nachází, záznam o přístupu a jeho důvod jsou stejně důležité jako umístění disku.
Šifrovat klíčem, který držíte vy, pokud to služba umožňuje. Šifrování v klidovém stavu, k němuž drží klíč poskytovatel, ho chrání před krádeží disku. Nebrání mu číst data za účelem poskytování služby ani je vydat, je-li k tomu donucen. Šifrování, k němuž máte klíč pouze vy, mění situaci u obsahu. U kompletního balíku však nepokrývá vždy všechny kroky: některé vyžadují, aby služba obsah zpracovala, a šifrování tam pak spadá do kompetence výrobce softwaru nebo provozovatele (filtrování a karanténa, indexace pro vyhledávání, zpracování dokumentů v CRM). Správné otázky tedy zní: v jakých krocích spravuje klíč poskytovatel, jak dlouho tam data zůstávají a kdo k nim má přístup? Je třeba si přečíst rozsah.
Zachovat si možnost odchodu. Pravidelný export, otevřené formáty a zkouška obnovy. Právní ochrana bez obnovitelné kopie je neúplná.
CLOUD Act také není jediným kritériem. Firma s málo citlivými daty, která závisí na pokročilých funkcích Microsoft 365 nebo Google Workspace a dokumentuje Data Privacy Framework ve svých záznamech, může rozumně zůstat. Volba se stává spornou, pokud nebyla učiněna: nikdo nejmenoval držitele dat ani nenaplánoval odchod. Stránky evropský, nebo americký cloud a Microsoft 365, nebo suverénní řešení toto zvažování rozvádějí.
Příklad: účetní kancelář s 25 zaměstnanci, která toto cvičení provede, často zjistí, že e-mailová služba je jasně identifikována, ale nástroj pro podpisy, sdílení souborů s klienty nebo zálohování byly přidány bez ověření provozovatele. Právě tyto položky je třeba ošetřit přednostně.
Ověření specifická pro jednotlivé balíky najdete na stránkách GDPR a Microsoft 365 a GDPR a Google Workspace; obecná kritéria v článku co je suverénní cloud.
Ne. Zákon míří na poskytovatele podléhajícího americkému právu, který má data v držení nebo pod kontrolou, ať jsou uložena kdekoli. Umístění disku zůstává užitečné, ale neodpovídá na otázku provozovatele.
§ 2703(h) upravuje návrh na zrušení nebo změnu do 14 dnů od doručení. Tento opravný prostředek předpokládá výkonnou dohodu platnou s dotčenou zemí. Stránka amerického ministerstva spravedlnosti neuvádí žádnou dohodu s Francií a s Evropskou unií žádná dohoda v platnosti není.
Stanoví evropské pravidlo: zahraniční rozhodnutí je uznáno pouze tehdy, je-li založeno na platné mezinárodní dohodě. Staví amerického poskytovatele do kolize právních řádů, aniž by ji za něj řešil.
Klytic provozuje Dedicace Software, francouzská společnost. Hosting je zajištěn v jakékoli geografické oblasti odpovídající rozhodné jurisdikci, s výhradou dostupnosti požadovaných služeb, například v Evropě nebo na Mauriciu, nebo na serverech zákazníka. E-mailovým softwarem je Zimbra, vyvíjená ve Spojených státech: ochrana vychází z provozovatele a z provozní smlouvy, ne ze státní příslušnosti výrobce softwaru. Výrobce softwaru nemá k datům přístup a nemůže Klytic donutit, aby mu je předal.
Data jsou v plném vlastnictví zákazníka, nebo je drží Klytic jménem zákazníka, v geografické oblasti, která spadá pod rozhodnou jurisdikci. Jsou šifrována nativně, nebo podle volby zákazníka. Klíč drží zákazník nebo je uložen v jeho účtu a Klytic k němu nemá přístup.
Některé kroky spadají pod šifrování spravované společností Klytic, protože služba musí obsah zpracovat: e-maily a dokumenty zpracovávané v CRM a e-maily zadržené filtrem v karanténě, které jsou šifrovány v databázi. Výjimkou je e-mailová služba: pokud zákazník neaktivoval šifrování vlastním klíčem, jsou jeho e-maily uloženy šifrované klíčem spravovaným společností Klytic. Naopak e-maily šifrované zákazníkem lze indexovat pro vyhledávání, pokud zákazník předal svůj klíč svému e-mailovému klientovi.
Během přenosu jsou e-maily šifrovány od průchodu filtrem Klytic MTA, dále mezi servery platformy a při každém přístupu k e-mailové službě: webmail, e-mailový klient nebo mobil, ze sítě firmy i zvenčí. Jediný krok nezávisí na Klytic: odeslání na jinou doménu. Šifrování je tam zachováno, pokud ho server příjemce podporuje, což bývá často; jinak zpráva urazí tento poslední úsek nešifrovaně, jako u každého poskytovatele e-mailu. Chcete-li zaručit důvěrnost až k příjemci ve všech případech, je třeba šifrovat samotnou zprávu (S/MIME nebo PGP).
Přístup k souborům je výrazně omezen restriktivními přístupovými právy a audit přihlášení upozorní na každý podvodný pokus. Jako u každého dodavatele musí smlouva toto držení, toto šifrování a jejich rozsah popisovat. Viz také stránku hosting a suverenita.
Klytic nemá kvalifikaci SecNumCloud. Žádná z těchto vět nepředstavuje obecnou imunitu: francouzský provozovatel podléhá francouzskému právu.
Tato stránka popisuje obecný rámec. Nepředstavuje právní poradenství.
Právní stav k 5. říjnu 2026. Tento text nenahrazuje analýzu smlouvy. Rozhodnutí o odpovídající ochraně EU–USA (EU) 2023/1795 je v platnosti. Je napadeno. Pro SecNumCloud je rozhodující katalog ANSSI.
Ověřeno v říjnu 2026.
E-mail, dokumenty, videokonference, CRM a telefonie, hostované v oblasti odpovídající vaší jurisdikci, například v Evropě nebo na Mauriciu, nebo u vás.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
