CLOUD Act y su correo: ¿qué alcanza realmente la ley de EE. UU.?

La CLOUD Act es una ley estadounidense de 2018 que obliga a cualquier proveedor sujeto a la jurisdicción de EE. UU. a entregar datos de comunicaciones que estén en su “posesión, custodia o control” cuando se le notifica un requerimiento legal estadounidense válido, sin importar en qué país estén esos datos. No creó ningún programa de vigilancia nuevo. Zanjó una cuestión de jurisdicción que llevaba años en los tribunales, y la zanjó a favor de seguir a la empresa en lugar de al hardware.

Esa expresión — posesión, custodia o control — lo es todo. Casi todo lo que se entiende mal sobre la CLOUD Act y el correo viene de leerla como una pregunta sobre dónde en vez de una pregunta sobre quién.

¿Qué dice exactamente la CLOUD Act?

Modifica la Stored Communications Act para añadir el 18 U.S.C. § 2713, que obliga a un proveedor de servicios de comunicación electrónica o de computación remota a “conservar, respaldar o divulgar el contenido de una comunicación por cable o electrónica, y cualquier registro u otra información relativa a un cliente o abonado, que se encuentre en la posesión, custodia o control de dicho proveedor, con independencia de que esa comunicación, registro u otra información esté ubicada dentro o fuera de los Estados Unidos”.

Más allá de esa frase importan dos mecanismos. La ley resolvió Microsoft Corp. v. United States, el pleito por el correo almacenado en el centro de datos de Microsoft en Dublín, que el Tribunal Supremo sobreseyó por pérdida de objeto en abril de 2018 en cuanto el texto nuevo hizo explícita la respuesta. Y añadió una cláusula de cortesía internacional que permite al proveedor pedir la anulación del requerimiento cuando el titular de la cuenta no es persona estadounidense, no reside en EE. UU. y la divulgación crearía un riesgo material de infringir la ley de un gobierno socio cualificado. Esa petición es estrecha, discrecional y la resuelve un tribunal estadounidense. No es un escudo sobre el que se pueda planificar un negocio.

La ley también levantó un marco de acuerdos ejecutivos por el que gobiernos extranjeros cualificados pueden dirigir requerimientos directamente a proveedores estadounidenses. El acuerdo Reino Unido-EE. UU. celebrado a su amparo entró en vigor en octubre de 2022.

Con cuánta agresividad se use todo esto es un debate legítimo. El alcance no está realmente en discusión.

¿Por qué un centro de datos en la UE no pone el correo fuera de alcance?

Porque la obligación recae en la entidad, no en el rack. Una empresa constituida en EE. UU. que opera una región europea sigue controlando los datos que hay en ella: tiene las credenciales de acceso, las claves cuando existen claves y la capacidad operativa de producir una copia si se la piden. “Control”, en el § 2713, significa precisamente esa capacidad.

Es el malentendido más caro del mercado. “Sus datos se quedan en la UE” es una afirmación sobre geografía y, a veces, sobre contrato. No es una afirmación sobre jurisdicción. Una filial europea de una matriz estadounidense suele acabar en el mismo sitio, porque el control de la matriz sobre la filial es exactamente lo que se pone a prueba.

Lo inverso también es cierto y se dice bastante menos. Un proveedor constituido en la UE, sin entidad en EE. UU., sin infraestructura estadounidense y sin una matriz controlada desde allí, no es alcanzable por el § 2713 en absoluto. Las autoridades estadounidenses tendrían que pasar por el auxilio judicial internacional: más lento, documentado, con un tribunal extranjero en medio. Esa es la diferencia real, y es una diferencia de quién, no de dónde.

¿Qué significa esto para el correo en concreto?

El correo es el peor caso entre los tipos de datos, por tres razones.

Es una década de todo, conservada por defecto. Un requerimiento sobre un buzón es un requerimiento sobre años de contexto que nadie habría entregado por su cuenta.

Sus metadatos son inusualmente ricos e inusualmente menos protegidos. En derecho estadounidense, los registros que no son contenido — cabeceras, direcciones del sobre, marcas de tiempo, registros de conexión — se obtienen con un estándar más bajo que el contenido, y la fórmula legal “registro u otra información relativa a un cliente” los cubre por su nombre.

Y un buzón está lleno de datos de otras personas. La mayor parte de la información personal de su archivo pertenece a corresponsales que nunca eligieron a su proveedor. Si usted es responsable del tratamiento, la exposición de esa gente es su responsabilidad.

El cifrado en reposo cambia esto solo cuando el proveedor de verdad no puede descifrar. Los diseños de acceso cero, en los que la clave del buzón se deriva de una contraseña que el proveedor nunca ve, son una respuesta materialmente distinta: un texto cifrado no le sirve de mucho a una orden judicial. Incluso entonces el proveedor tiene ese texto cifrado, así que se le puede ordenar entregarlo y seguir entregándolo en adelante.

¿Cómo se relaciona la CLOUD Act con el RGPD?

Mal, y de forma expresa. El artículo 48 del RGPD reconoce la resolución de un tribunal o autoridad de un tercer país que exija la transferencia de datos personales solo cuando se basa en un acuerdo internacional, como un tratado de asistencia judicial mutua. Una orden estadounidense notificada a un proveedor no se basa en ninguno. El proveedor queda apretado por los dos lados: si cumple, infringe el Capítulo V; si se niega, se expone a desacato en EE. UU.

Schrems II (asunto C-311/18, sentencia de 16 de julio de 2020) es el mismo conflicto visto desde el extremo europeo. El Tribunal de Justicia anuló la decisión de adecuación del Privacy Shield porque el derecho estadounidense de vigilancia y la tutela disponible para los europeos no alcanzaban el estándar de la UE, y dejó en pie las cláusulas contractuales tipo solo con la condición de que el exportador evalúe, caso por caso, si el derecho del país de destino las derrota en la práctica. El Marco de Privacidad de Datos UE-EE. UU. adoptado en julio de 2023 es el tercer intento de puente de adecuación; sus dos predecesores fueron anulados en 2015 y en 2020.

Soy fundador, no abogado, y nada de esto es asesoramiento jurídico. Es el texto legal y las sentencias publicadas, y merece la pena leerlos en su versión original antes de aceptar el resumen de nadie, incluido el mío.

¿Qué saca de verdad su correo de este alcance?

Cambiar qué entidad controla los bytes almacenados. No la bandera de la región, no el anexo de tratamiento, no la página de confianza.

Lo deciden tres preguntas. ¿Dónde está constituida la entidad que guarda los bytes almacenados? ¿Quién puede producir técnicamente una copia legible sin su colaboración? ¿Y a qué cuenta se factura ese almacenamiento, dado que el titular de la cuenta es la parte a la que se puede notificar?

La custodia en el nivel del almacenamiento es la versión de esta respuesta que aguanta el escrutinio. Cuando el archivo vive en almacenamiento de objetos en su propia cuenta, con un operador que usted eligió y en una jurisdicción que usted eligió, un requerimiento sobre su correo tiene que llegar a su puerta. Puede que igualmente tenga que cumplirlo — nadie está por encima de la ley — pero sabrá que ocurrió, podrá impugnarlo y podrá avisar a las personas cuyos datos había dentro. Eso no es inmunidad. Es tutela judicial, que es lo máximo que alguien puede prometer con honestidad.

El enrutado es otra cuestión. Los mensajes en tránsito pasan por quien opere sus registros MX, esté donde esté, y ningún arreglo de almacenamiento corrige eso. Lo que la custodia corrige es la parte que se queda doce años.