Twoja poczta, twoje zdjęcia, twoje dokumenty, twoje lokalizacje, twój kalendarz, twój dysk w chmurze. Jeśli korzystasz z amerykańskich usług, a korzystasz, to dostawcy tych usług podlegają prawu USA, które w określonych sytuacjach pozwala organom amerykańskim żądać dostępu do danych, także przechowywanych poza USA.

Ten artykuł omawia dwa akty prawne: sekcję 702 ustawy FISA oraz Cloud Act. Cloud Act pozwala organom USA żądać od amerykańskich dostawców danych będących w ich posiadaniu, pod kontrolą lub w dyspozycji, niezależnie od tego, gdzie fizycznie znajdują się serwery. Każdy przypadek zależy od trybu, zakresu i procedur, a dostawcy mogą takie żądania kwestionować. To opis zasad ogólnych, nie porada prawna.

Kto może korzystać z takich uprawnień

W dyskusji publicznej zwykle przywołuje się NSA, ale uprawnienia z FISA 702 i powiązane procedury dotyczą szerszego kręgu instytucji wywiadowczych i organów ścigania. Dokładny zakres dostępu i warunki jego uzyskania określają przepisy oraz procedury, które zmieniały się w czasie. Warto sprawdzać aktualne źródła prawne i sprawozdania instytucji nadzorczych.

Dlaczego polskie firmy to dotyczy, nawet jeśli wydają się niezwiązane

Przykład poglądowy: polska firma używa Google Workspace, a jej zagraniczny kontrahent prowadzi korespondencję przez usługę amerykańskiego dostawcy. Jeżeli organ USA skutecznie zażąda danych od dostawcy w ramach prowadzonego postępowania, część tej korespondencji może znaleźć się w jego zasięgu. Czy i na jakich zasadach, zależy od konkretnego trybu.

Dla kancelarii prawnej, firmy konsultingowej czy startupu pracującego nad własnością intelektualną warto uwzględnić to ryzyko przy wyborze dostawców, szczególnie gdy chodzi o dane objęte tajemnicą.

„Nie mam nic do ukrycia", czyli najczęstszy argument

Standardowa odpowiedź brzmi: nie mam nic do ukrycia, więc nie boję się inwigilacji. Ta odpowiedź ma dwa problemy.

Po pierwsze, to nie jest kwestia tego, co ty ukrywasz. To jest kwestia tego, co można z twoich danych wyinterpretować wbrew tobie. Twoja rozmowa z lekarzem przed wejściem w procedurę ubezpieczeniową. Twoja rozmowa z prawnikiem przed negocjacjami biznesowymi. Twoja lokalizacja w miejscu, które potem okaże się kontrowersyjne politycznie. Algorytmy nie analizują twoich intencji, analizują korelacje.

Po drugie, prywatność to nie jest tarcza dla kłamców. To jest podstawa autonomii decyzyjnej. Osoba, która wie, że jest obserwowana, podejmuje inne decyzje niż osoba, która tego nie wie. Badania z psychologii społecznej wskazują, że świadomość obserwacji może zmieniać zachowanie, choć siła tych efektów bywa dyskutowana.

Co realnie można zrobić, bez paranoi, bez foliowej czapki

Celem nie jest zniknięcie z internetu. Celem jest świadoma segmentacja, rozumienie, jakie dane trzymasz, gdzie i kto ma do nich dostęp.

Poczta wrażliwa, poza USA. Proton, Tuta, Mailfence, Posteo. Usługi podlegające wyłącznie prawu szwajcarskiemu, niemieckiemu, belgijskiemu. Nie są anonimowe wobec lokalnych organów ścigania, ale nie podlegają prawu USA w taki sam sposób jak amerykańscy dostawcy.

Dyski, ze szyfrowaniem po stronie klienta. Cryptomator na iCloud/Google Drive, Tresorit, Sync.com, Kdrive, pCloud Krypto. Zasada jest prosta: jeśli dostawca usługi nie ma klucza, nie może go przekazać nikomu. To jest jedyna gwarancja, której warto ufać, nie obietnica „nie przekażemy twoich danych".

Komunikatory, Signal, nie Messenger. Szyfrowanie end-to-end jest dziś standardem. Dobre są też Wire, Threema, Session. Telegram, tylko w trybie „tajny czat". WhatsApp technicznie E2E, ale metadane (kto z kim rozmawia, kiedy, jak długo) Meta widzi i przekazuje.

Hasła, menedżer lokalny, nie chmura. KeePassXC z synchronizacją przez własny serwer lub szyfrowany katalog. Bitwarden, jeśli koniecznie chmura, ma self-hosted opcję. Nigdy natywne rozwiązania Google czy Apple dla czegokolwiek ważnego.

OSINT o samym sobie, ćwiczenie, które zmienia perspektywę

Kiedy po raz pierwszy zrobisz rzetelny OSINT o samym sobie, swoje maile, swoje zdjęcia na Google Photos, swoją historię lokalizacji, wyciąg z Timeline, pliki na Google Drive sprzed pięciu lat, zobaczysz, że dane, o których dawno zapomniałeś, są skatalogowane lepiej, niż sam potrafiłbyś je opisać.

Ten moment, to jest pierwszy prawdziwy wgląd w to, co wiedzą o tobie systemy. I jeśli ty możesz to sobie wygenerować w krótkim czasie z publicznego interfejsu, wyobraź sobie, co mogą wywnioskować podmioty z szerszym dostępem do danych.

Praktyczna ścieżka: trzy poziomy higieny cyfrowej

Poziom podstawowy (dla każdego, kto cokolwiek zarabia): Signal zamiast Messengera, Proton Mail do spraw prywatnych obok Gmaila, Cryptomator na kluczowe dokumenty.

Poziom zawodowy (dla ludzi z odpowiedzialnością zawodową): Pełne przeniesienie narzędzi biznesowych na europejskie usługi, wyjście z Google Workspace i Microsoft 365 dla procesów wrażliwych, szyfrowane kopie zapasowe na własnym NAS-ie.

Poziom ekspercki (dla osób z ekspozycją publiczną/biznesową): Self-hosted Nextcloud, własny serwer VPN, e-mail na własnej domenie z własnym MX, segmentacja urządzeń (urządzenie osobiste ≠ zawodowe), OSINT samego siebie co kwartał.

Prywatność ma swoją cenę: bezpłatne wersje usług często oznaczają większą ekspozycję danych, a rozwiązania lepiej je chroniące bywają płatne. Wybór należy do ciebie.

Jeśli potrzebujesz modelu AI działającego na własnym sprzęcie, bez wysyłania danych do zewnętrznych dostawców, zobacz stronę o lokalnych modelach AI. Wycena następuje po rozmowie.