Kdo může dostat příkaz vydat vaše ověřovací data

Co říká CLOUD Act

Zákon Clarifying Lawful Overseas Use of Data Act z roku 2018 přidal do amerického práva jednu větu, která je tu podstatná: poskytovatel musí uchovat nebo vydat záznamy, které má v držení, úschově nebo pod kontrolou, bez ohledu na to, zda se nacházejí na území Spojených států, nebo mimo ně („possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States“). Dosah se řídí kontrolou nad daty a americkou jurisdikcí nad společností, nikoli umístěním serveru. Americké ministerstvo spravedlnosti uvádí, že evropská dceřiná společnost americké firmy není automaticky mimo dosah zákona.

Evropské úřady pro ochranu osobních údajů zaujaly stanovisko v roce 2019: dokud mezinárodní dohoda neučiní takový příkaz vykonatelným, nemůže poskytovatel služeb podléhající právu EU na jeho základě zákonně vydat data. EU takovou dohodu se Spojenými státy nemá. Americkému poskytovateli s evropskými zákazníky tak může být nařízeno něco, co mu právo EU zakazuje. Když se výbor francouzského Senátu v červnu 2025 pod přísahou zeptal, zda může zaručit, že data francouzského veřejného sektoru nebudou nikdy předána americkým úřadům bez francouzského souhlasu, právní ředitel Microsoft France odpověděl: „Non, je ne peux pas le garantir.“ (Ne, zaručit to nemohu.)

Co CLOUD Act nedělá

CLOUD Act nezavádí žádný nový druh příkazu k vydání dat a nedovoluje hromadný sběr. K obsahu je stále potřeba soudní příkaz vydaný na základě důvodného podezření z konkrétního trestného činu a zákon je výslovně neutrální vůči šifrování: nepřidává žádnou pravomoc vynutit dešifrování. Microsoft při stejném slyšení uvedl, že od chvíle, kdy začal zveřejňovat zprávy o transparentnosti, nebyl dotčen žádný evropský podnikový zákazník ani zákazník z veřejného sektoru.

Realistické riziko je tedy právní, nikoli provozní. Nejde o obavu, že by někdo běžně četl vaše ověřovací logy. Otázka, kterou si klade regulátor, auditor nebo posouzení rizik podle NIS2, je užší: kdo může být přinucen, podle jakého práva a zda vám dodavatel může dát záruku. U americké cloudové služby zní poctivá odpověď na poslední otázku: ne.

Většina MFA je americká cloudová služba

Není to stížnost na výrobce; tak to uvádí jejich vlastní dokumentace. Cisco Duo je cloudová služba hostovaná na Amazon Web Services s dostupnými regiony v EU a její on-premise Authentication Proxy předává požadavky do tohoto cloudu. Její datový list k ochraně soukromí uvádí mezi daty uchovávanými ve službě uživatelská jména, telefonní čísla, identifikátory zařízení, IP adresy koncových uživatelů a ověřovací logy. Okta je pouze cloudová; její buňka (cell) v EU ukládá zákaznická data v Německu a Irsku, zatímco její seznam dalších zpracovatelů uvádí pro doručování SMS a e-mailů poskytovatele se sídlem v USA. Dokumentace Microsoftu k EU Data Boundary uvádí, že push notifikace Authenticatoru a přihlášení přes telefon mohou být zpracovávána mimo tuto hranici a že IP adresy spojené s podvody se zveřejňují globálně.

Evropský dodavatel na americkém hyperscaleru je vystaven podobnému riziku o vrstvu níž, protože infrastrukturu ovládá hyperscaler. To platí i pro nás, pokud zvolíte náš cloud, a proto to níže otevřeně uvádíme.

Notakey on-premise: nemáme nic, co by nám mohl někdo nařídit vydat

Zařízení Notakey je virtuální stroj, který provozujete ve vlastní infrastruktuře. Ověřovací server, jeho připojení k vašemu Active Directory, LDAP nebo RADIUSu, certifikáty zaregistrovaných zařízení i každý záznam o schválení jsou uloženy tam. Notakey k zařízení nemá přístup, pokud mu jej neudělíte pro řešení případu podpory, takže nemáme v držení, úschově ani pod kontrolou nic, co bychom mohli vydat. Příkaz k vydání těchto dat by musel směřovat na vás, podle práva, které se na vás vztahuje.

Soukromý klíč každého uživatele vzniká v zabezpečeném hardwaru telefonu a nikdy ho neopustí, takže nikde jinde neexistuje žádná kopie, ani v zařízení Notakey. Jediným externím bodem při schvalování je push notifikace. Obsahuje stejný čitelný text jako schvalovací karta v aplikaci, například název služby, účet a zdrojovou adresu, podle šablony, kterou určují vaši administrátoři, a nic jiného: žádné klíče a žádnou možnost schválit. Push služby Apple a Google tento text pouze předají. Klepnutím na notifikaci se otevře aplikace, která si přes HTTPS stáhne požadavek z vašeho zařízení Notakey, ověří, že odpovídá notifikaci, a teprve potom schválení podepíše.

Notakey cloud: poctivá verze

Notakey Latvia, SIA je lotyšská společnost podléhající lotyšskému právu, bez americké mateřské společnosti. Naše cloudová služba notakey.cloud běží na Oracle Cloud Infrastructure v regionu Frankfurt. Oracle je americká společnost, takže byste měli předpokládat, že hostingová vrstva našeho cloudu je v dosahu amerických právních nástrojů, stejně jako u každé evropské služby na AWS, Azure nebo Google Cloud. Naši cloudovou nabídku neoznačujeme za suverénní, protože suverénní není.

Co cloudová instance uchovává: uživatelská jména nebo identifikátory, které si zvolíte, veřejné klíče a certifikáty zaregistrovaných zařízení, push tokeny a podepsané záznamy o schválení. Soukromé klíče nikdy; hesla jen tehdy, když v dashboardu vytvoříte místní uživatele místo připojení vlastního adresáře. Pokud je pro vás riziko na hostingové vrstvě podstatné, je on-premise zařízení tentýž produkt se stejnou mobilní aplikací a na uživatele vyjde levněji.

Tři otázky pro každého dodavatele

Přívlastek „suverénní“ dnes nese spousta produktů. Otázky, které ukážou, co se za ním skrývá, jsou stejné pro nás i pro všechny ostatní.

• ▪Podle jakého práva působí společnost, která data drží, a má mateřskou společnost jinde?
• ▪Kdo provozuje servery a podle jakého práva tato společnost působí?
• ▪Co putuje ke společnostem Apple a Google, když je ve hře telefon, a zahrnuje to obsah požadavku?