Cloud Act — Die Doktrin der drei Wörter
Traduction assistée par machine — pour la précision juridique, consultez la version allemande de référence.
Cloud Act — Doktrin der drei Wörter und Konsequenz für Schweizer Cloud-Kunden
En trois phrases
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) von 2018 verpflichtet US-fournisseur zur Herausgabe von Daten in ihrem «possession, custody, or control» — unabhängig vom physischen Speicherort. US-poursuite pénale erhält damit de jure accès direct auf Daten in Schweizer Rechenzentren von Microsoft, AWS, Google. Der CLOUD Act ist poursuite pénales-Instrument; nachrichtendienstliche Zugriffe laufen über FISA 702.
Mécanique
18 U.S.C. § 2713 stellt klar: fournisseur müssen Daten herausgeben, sofern sie diese in «possession, custody, or control» haben. Die physische Lokalisierung ist juridiquement unerheblich. US-Gerichte unterstellen, dass der US-Mutterkonzern faktische Kontrolle über Daten europäischer Tochtergesellschaften ausübt.
Title II ermöglicht bilaterale Executive Agreements mit «qualifying countries» — bisher nur mit dem Vereinigten Königreich (10/2022) und Australien. Mit EU/Schweiz existieren keine Abkommen.
Conséquences pour la Suisse
données suisses in Microsoft 365, AWS, Google Cloud, Salesforce, ServiceNow unterliegen dem CLOUD Act. «EU-Region» oder «Daten bleiben in de la Suisse» schliesst US-autoritészugriff nach US-Recht ne ... pas aus. Schweizer fournisseur ohne US-Nexus (Infomaniak, Hostpoint, Cyon, Nine.ch) sind ne ... pas betroffen.
Conclusion logique
Die Behauptung einer technischen «Datensouverainität» bei US-Hyperscaler-Diensten ist juridiquement ne ... pas haltbar. Customer-Key kann den Risikobereich verkleinern, ne ... pas eliminieren.
Implications législatives
Note : Les points suivants sont des recommandations issues du projet LFSN (section 6) — pas de droit en vigueur, mais des propositions pour une future législation suisse.
Le projet LFSN (Art. 9-14) serait für catégories de données sensibles die traitement bei fournisseurn unter CLOUD-Act-Reichweite verbieten.