Twoja poczta, twoje zdjęcia, twoje dokumenty, twoje lokalizacje, twój kalendarz, twój dysk w chmurze. Jeśli korzystasz z amerykańskich usług, a korzystasz, to dostawcy tych usług podlegają prawu USA, które w określonych sytuacjach pozwala organom amerykańskim żądać dostępu do danych, także przechowywanych poza USA.
Ten artykuł omawia dwa akty prawne: sekcję 702 ustawy FISA oraz Cloud Act. Cloud Act pozwala organom USA żądać od amerykańskich dostawców danych będących w ich posiadaniu, pod kontrolą lub w dyspozycji, niezależnie od tego, gdzie fizycznie znajdują się serwery. Każdy przypadek zależy od trybu, zakresu i procedur, a dostawcy mogą takie żądania kwestionować. Źródła: tekst ustawy i jej analiza w ocenie EDPB i EDPS z 10 lipca 2019 roku. To opis zasad ogólnych, nie porada prawna.
Co mówi sekcja 702 FISA i kto korzysta z tych uprawnień
Sekcja 702 ustawy FISA (50 U.S.C. § 1881a) pozwala prokuratorowi generalnemu i dyrektorowi wywiadu narodowego zatwierdzać, na okres do roku, pozyskiwanie informacji wywiadowczych o osobach, co do których można rozsądnie przyjąć, że przebywają poza USA. Przepis zakazuje celowego namierzania obywateli i rezydentów USA, ale ta ochrona nie obejmuje użytkownika z Polski. Dostawca usług łączności elektronicznej może dostać polecenie udzielenia niezbędnej pomocy i ma obowiązek zachować je w tajemnicy. Kongres przedłużał sekcję 702 w 2024 roku, a w 2026 roku na krótkie okresy, dlatego przed ważną decyzją warto sprawdzić jej aktualny stan.
W dyskusji publicznej zwykle przywołuje się NSA, ale uprawnienia z FISA 702 i powiązane procedury dotyczą szerszego kręgu instytucji wywiadowczych i organów ścigania. Dokładny zakres dostępu i warunki jego uzyskania określają przepisy oraz procedury, które zmieniały się w czasie. Warto sprawdzać aktualne źródła prawne i sprawozdania instytucji nadzorczych.
Dlaczego polskie firmy to dotyczy, nawet jeśli wydają się niezwiązane
Przykład poglądowy: polska firma używa Google Workspace, a jej zagraniczny kontrahent prowadzi korespondencję przez usługę amerykańskiego dostawcy. Jeżeli organ USA skutecznie zażąda danych od dostawcy w ramach prowadzonego postępowania, część tej korespondencji może znaleźć się w jego zasięgu. Czy i na jakich zasadach, zależy od konkretnego trybu.
Dla kancelarii prawnej, firmy konsultingowej czy startupu pracującego nad własnością intelektualną warto uwzględnić to ryzyko przy wyborze dostawców, szczególnie gdy chodzi o dane objęte tajemnicą.
A co z RODO i Data Privacy Framework
Od 10 lipca 2023 roku przekazywanie danych osobowych do amerykańskich firm, które przystąpiły do EU-US Data Privacy Framework, opiera się na decyzji Komisji Europejskiej (UE) 2023/1795 stwierdzającej odpowiedni stopień ochrony. Sąd Unii Europejskiej oddalił skargę na tę decyzję wyrokiem z 3 września 2025 roku w sprawie T-553/23 (omówienie w eucrim). Decyzja porządkuje legalność samego transferu, ale nie wyłącza uprawnień opisanych wyżej. Z kolei art. 48 RODO stanowi, że wyrok lub decyzja organu państwa trzeciego nakazująca ujawnienie danych może być uznana lub wykonana tylko na podstawie umowy międzynarodowej, co EDPB i EDPS omawiają we wspomnianej ocenie. Dla firmy praktyczny wniosek jest prosty: w ocenie ryzyka liczy się nie tylko to, gdzie stoi serwer, ale też kto kontroluje dane i kto ma klucz szyfrujący.
„Nie mam nic do ukrycia", czyli najczęstszy argument
Standardowa odpowiedź brzmi: nie mam nic do ukrycia, więc nie boję się inwigilacji. Ta odpowiedź ma dwa problemy.
Po pierwsze, to nie jest kwestia tego, co ty ukrywasz. To jest kwestia tego, co można z twoich danych wyinterpretować wbrew tobie. Twoja rozmowa z lekarzem przed wejściem w procedurę ubezpieczeniową. Twoja rozmowa z prawnikiem przed negocjacjami biznesowymi. Twoja lokalizacja w miejscu, które potem okaże się kontrowersyjne politycznie. Algorytmy nie analizują twoich intencji, analizują korelacje.
Po drugie, prywatność to nie jest tarcza dla kłamców. To jest podstawa autonomii decyzyjnej. Osoba, która wie, że jest obserwowana, podejmuje inne decyzje niż osoba, która tego nie wie. Badania z psychologii społecznej wskazują, że świadomość obserwacji może zmieniać zachowanie, choć siła tych efektów bywa dyskutowana.
Co realnie można zrobić, bez paranoi, bez foliowej czapki
Celem nie jest zniknięcie z internetu. Celem jest świadoma segmentacja, rozumienie, jakie dane trzymasz, gdzie i kto ma do nich dostęp.
Poczta wrażliwa, poza USA. Proton, Tuta, Mailfence, Posteo, czyli dostawcy z siedzibą w Szwajcarii, Niemczech i Belgii. Nie są anonimowe wobec lokalnych organów ścigania, ale nie podlegają prawu USA w taki sam sposób jak amerykańscy dostawcy.
Dyski, ze szyfrowaniem po stronie klienta. Cryptomator na iCloud lub Google Drive, Tresorit, Sync.com, pCloud z płatnym dodatkiem pCloud Encryption. Zasada jest prosta: jeśli dostawca usługi nie ma klucza, nie może go przekazać nikomu. To jest jedyna gwarancja, której warto ufać, nie obietnica „nie przekażemy twoich danych".
Komunikatory: Signal zamiast Messengera. Messenger i WhatsApp szyfrują treść prywatnych rozmów end-to-end, ale metadane (kto z kim rozmawia, kiedy, jak często) pozostają dostępne dla Meta. Signal podaje, że na żądanie organów może przekazać tylko datę rejestracji konta i datę ostatniego połączenia (signal.org/bigbrother). Inne możliwości to Wire, Threema i Session. Telegram szyfruje rozmowy end-to-end tylko w trybie „tajny czat”.
Hasła, menedżer lokalny, nie chmura. KeePassXC z synchronizacją przez własny serwer lub szyfrowany katalog. Bitwarden, jeśli wolisz chmurę, ma też wersję do samodzielnego utrzymania na własnym serwerze.
OSINT o samym sobie, ćwiczenie, które zmienia perspektywę
Kiedy po raz pierwszy zrobisz rzetelny OSINT o samym sobie, swoje maile, swoje zdjęcia na Google Photos, swoją historię lokalizacji (jeśli była zapisywana), pliki na Google Drive sprzed pięciu lat, zobaczysz, że dane, o których dawno zapomniałeś, są skatalogowane lepiej, niż sam potrafiłbyś je opisać.
Ten moment, to jest pierwszy prawdziwy wgląd w to, co wiedzą o tobie systemy. I jeśli ty możesz to sobie wygenerować w krótkim czasie przez Google Takeout albo podobną usługę eksportu danych, wyobraź sobie, co mogą wywnioskować podmioty z szerszym dostępem do danych.
Praktyczna ścieżka: trzy poziomy higieny cyfrowej
Poziom podstawowy (dla każdego): Signal zamiast Messengera, Proton Mail do spraw prywatnych obok Gmaila, Cryptomator na kluczowe dokumenty.
Poziom zawodowy (dla ludzi z odpowiedzialnością zawodową): Pełne przeniesienie narzędzi biznesowych na europejskie usługi, wyjście z Google Workspace i Microsoft 365 dla procesów wrażliwych, szyfrowane kopie zapasowe na własnym NAS-ie.
Poziom ekspercki (dla osób z ekspozycją publiczną lub biznesową): Nextcloud na własnym serwerze, własny serwer VPN, e-mail na własnej domenie z własnym MX, segmentacja urządzeń (urządzenie osobiste ≠ zawodowe), OSINT samego siebie co kwartał.
Prywatność ma swoją cenę: bezpłatne wersje usług często oznaczają większą ekspozycję danych, a rozwiązania lepiej je chroniące bywają płatne. Wybór należy do ciebie.
Jeśli potrzebujesz modelu AI działającego na własnym sprzęcie, bez wysyłania danych do zewnętrznych dostawców, zobacz stronę o lokalnych modelach AI. Wycena następuje po rozmowie.