Për vite me radhë, bota funksionoi mbi një supozim të thjeshtë: të dhënat kanë një vendndodhje fizike. Nëse ndodheshin në një server në Dublin, ato i nënshtroheshin të drejtës irlandeze dhe evropiane. Ky supozim u rrëzua në vitin 2018, kur Shtetet e Bashkuara miratuan CLOUD Act, një ligj që u jep autoriteteve amerikane akses ndaj të dhënave të kontrolluara nga kompanitë amerikane, pavarësisht se ku janë fizikisht ruajtur këto të dhëna në botë. Disa vite më vonë, Brukseli u përgjigj me mekanizmin e vet të mbrojtjes: Data Act, tashmë plotësisht i zbatueshëm, i cili tenton të kufizojë aksesin ekstraterritorial të autoriteteve të vendeve të treta ndaj të dhënave të mbajtura brenda Bashkimit Evropian.
Ja çfarë parashikojnë vërtet këto dy tekste, ku bien ndesh, dhe pse mbrojtja e vetme vërtet e fortë ndaj këtij konflikti mbetet pamundësia teknike e aksesit.
CLOUD Act amerikan: akses i bazuar në kontroll, jo në vendndodhje
CLOUD Act (Clarifying Lawful Overseas Use of Data Act), miratuar në mars 2018, ndryshoi të drejtën amerikane duke shtuar nenin 18 U.S. Code § 2713. Ky tekst u imponon të gjithë ofruesve të shërbimeve të komunikimit elektronik ose të përpunimit informatik në distancë detyrimin për të ruajtur, siguruar ose zbuluar përmbajtjen e një komunikimi ose çdo regjistrim që lidhet me të, sapo këto të dhëna janë në posedimin, kujdestarinë ose kontrollin e tyre, pavarësisht nëse këto të dhëna ndodhen brenda ose jashtë Shteteve të Bashkuara.
Pikërisht kjo klauzolë e fundit ndryshon gjithçka. Kriteri i mbajtur nuk është më vendndodhja fizike e serverit, por kontrolli i ushtruar nga kompania mëmë mbi filialet e saj. Kështu, një kompani amerikane që operon qendra të dhënash në Evropë mbetet e nënshtruar ndaj urdhëresave amerikane, madje edhe për të dhënat e ruajtura tërësisht në tokën evropiane.
Data Act evropian: një pengesë juridike ndaj aksesit ekstraterritorial
Rregullorja (BE) 2023/2854, e njohur si Data Act, hyri në fuqi më 11 janar 2024 dhe zbatohet plotësisht që nga 12 shtator 2025, me disa dispozita të shkallëzuara deri në vitin 2026 dhe 2027. Neni 32 i saj rregullon drejtpërdrejt çështjen e aksesit qeveritar ndërkombëtar ndaj të dhënave.
Teksti vendos një rregull të qartë: çdo vendim ose gjykim i një gjykate ose autoriteti administrativ të një vendi të tretë që kërkon nga një ofrues shërbimesh përpunimi të dhënash të transferojë ose të japë akses ndaj të dhënave jo-personale të mbajtura në Bashkimin Evropian njihet dhe ekzekutohet vetëm nëse bazohet në një marrëveshje ndërkombëtare, si një traktat ndihme reciproke juridike (MLA), në fuqi ndërmjet vendit kërkues dhe Unionit, ose ndërmjet atij vendi dhe shtetit anëtar të shqetësuar.
Në mungesë të një marrëveshjeje të tillë, neni 32 parashikon një rrugë të dytë, por me kufizime të rrepta: vendimi i huaj mund të ekzekutohet vetëm nëse sistemi juridik i vendit të tretë kërkon që kërkesa të jetë e motivuar, proporcionale dhe mjaftueshëm specifike — për shembull, duke vendosur një lidhje të qartë me persona ose shkelje të caktuara — dhe nëse kundërshtimi i motivuar i adresatit mund t’i nënshtrohet kontrollit të një gjykate kompetente të atij vendi të tretë.
Një përplasje e drejtpërdrejtë juridike
Problemi është i menjëhershëm: CLOUD Act kërkon zbulim të bazuar në kontrollin e ushtruar nga kompania mëmë, pa kushte proporcionaliteti të krahasueshme me ato të kërkuara nga e drejta evropiane. Data Act, përkundrazi, e varet njohjen e një kërkese të tillë nga ekzistenca e një marrëveshjeje ndërkombëtare ose nga garanci procedurale të sakta. Një kompani amerikane që operon në Evropë, e urdhëruar nga një autoritet amerikan të transmetojë të dhëna të strehuara brenda Unionit, gjendet kështu e kapur mes dy detyrimeve ligjore kontradiktore: të përmbushë urdhëresën amerikane duke shkelur të drejtën e Unionit, ose të respektojë Data Act duke u ekspozuar ndaj pasojave të refuzimit në Shtetet e Bashkuara.
Kjo tension nuk është teorike. Ajo tashmë është dokumentuar nga Gjykata e Drejtësisë e Bashkimit Evropian (CJUE) në dy vendime të rëndësishme, Schrems I (2015) dhe Schrems II (2020). Në vendimin Schrems II, CJUE gjykoi se mbikëqyrja amerikane e kryer sipas Seksionit 702 të FISA (Foreign Intelligence Surveillance Act) dhe Urdhrit Ekzekutiv 12333 nuk respekton garancitë minimale të kërkuara nga e drejta e Unionit sipas parimit të proporcionalitetit, dhe kështu nuk mund të konsiderohet e kufizuar në atë që është rreptësisht e nevojshme. Gjykata vërejti gjithashtu mungesën e një mjeti efektiv juridik për personat e interesuar nga Unioni, në shkelje të nenit 47 të Kartës së të Drejtave Themelore. Ky vendim e bëri të pavlefshëm kuadrin e Privacy Shield, i cili deri atëherë organizonte transferimet e të dhënave ndërmjet BE-së dhe Shteteve të Bashkuara.
Rreziku strukturor: Harvest Now, Decrypt Later
Përtej konfliktit të juridiksioneve, një kërcënim më i fshehtë peshon mbi të dhënat e strehura në infrastruktura të nënshtruara ndaj të drejtës amerikane: strategjia e quajtur Harvest Now, Decrypt Later (HNDL). Parimi konsiston, për një shërbim inteligjence ose një aktor shtetëror armiqësor, në përgjimin dhe ruajtjen sot të dhënave të enkriptuara, duke pritur kapacitete të mjaftueshme të llogaritjes kuantike për t’i deshifruar ato në të ardhmen.
Kjo strategji e shndërron çdo varësi të zgjatur ndaj një infrastrukture cloud amerikane në një borxh të shtyrë sigurie: ajo që është konfidenciale sot mund të bëhet e lexueshme për dhjetë ose pesëmbëdhjetë vjet, pa qenë e nevojshme ndonjë veprim shtesë nga ana e sulmuesit — vetëm koha dhe durimi.
Pse vetëm pamundësia teknike përbën një garanci të vërtetë
Analiza juridike konvergon drejt një konstatimi të ndarë nga shumë ekspertë të konformitetit: sado i fortë të jetë kuadri ligjor i Data Act, ai mbetet një tekst që raportet e forcave gjeopolitike dhe presionet diplomatike mund ta anashkalojnë, vonojnë ose rinterpretojnë. Mbrojtja e vetme që nuk varet nga asnjë negociatë e ardhshme është pamundësia teknike e ekzekutimit.
Një arkitekturë zero knowledge, ku ofruesi nuk mban as posedimin as kujdestarinë e çelësave të deshifrimit, e bën një urdhëresë materialisht të pafuqishme. Nuk mund të detyrohet dikush të dorëzojë atë që nuk ka zotëruar kurrë.
Kjo është logjika që strukturon ekosisteme si Arpokrat:
- Neutralizim juridiksiional: infrastruktura është e strehuar në Zvicër, nën regjimin e ligjit federal për mbrojtjen e të dhënave (LPD/FADP), jashtë fushës së zbatimit të drejtpërdrejtë të ekstraterritorialitetit të CLOUD Act
- Mungesë kujdestarie: arkitektura zero knowledge e privon ofruesin nga çdo kapacitet për të dorëzuar çelësa ose përmbajtje që nuk i ka zotëruar kurrë
- Reduktim i gjurmës identitare: duke eliminuar detyrimin e regjistrimit me numër telefoni ose adresë e-mail — identifikues që mbikëqyrja e bazuar në Seksionin 702 të FISA mund t’i ndjekë lehtësisht — përdoruesi pushon së qeni një abonent i identifikueshëm dhe bëhet një çelës kriptografik anonim
Zinxhiri i kujdestarisë nuk ndalet te enkriptimi i mesazheve
Një pikë shpesh e nënvlerësuar në analizat e konformitetit: nuk mjafton të enkriptohet përmbajtja e një komunikimi nëse sistemi operativ themelor — qoftë Android ose iOS — vazhdon të kapturojë metadatë ose telemetri në nivelin e bërthamës, drejt serverëve që i nënshtrohen juridiksionit amerikan. Mbrojtja e sekretit kërkon mbylljen e plotë të zinxhirit të kujdestarisë, nga përmbajtja deri te infrastruktura materiale vetë.
Për këtë arsye, sovraniteti dixhital nënkupton gjithashtu një reflektim mbi sistemin operativ të përdorur, jo vetëm mbi aplikacionet e mesazherisë. Sistemet e degooglizuara, ku module si Bluetooth ose gjeolokalizimi GNSS mund të çaktivizohen drejtpërdrejt në nivelin e bërthamës, eliminojnë vektore sulmesh fizike që asnjë enkriptim aplikativ nuk mund t’i kompensojë.
Kriptografia post-kuantike, një horizont tashmë i angazhuar
Përballë kërcënimit që përfaqëson strategjia HNDL, adoptimi i standardeve të kriptografisë post-kuantike (PQC) bëhet një domosdoshmëri për këdo që dëshiron të garantojë konfidencialitetin e të dhënave të ndjeshme në afat të gjatë — qoftë sekrete tregtare, korrespondencë profesionale ose të dhëna shëndetësore. Një enkriptim i konsideruar i fortë sot sipas standardeve klasike nuk garanton që do t’i rezistojë kapaciteteve të llogaritjes kuantike të pritura në pesëmbëdhjetë vitet e ardhshme.
Konflikti ndërmjet Data Act dhe CLOUD Act ilustron një realitet më të gjerë: sovraniteti dixhital nuk mund të ndërtohet më vetëm mbi tekste ligjore, sado të forta të jenë ato. Ai kërkon mbylljen e zinxhirit të kujdestarisë në çdo nivel, nga protokolli i enkriptimit deri te juridiksioni i strehimit, duke kaluar nëpër vetë sistemin operativ. Është kjo qasja me shtresa, në vend të një besimi që mbështetet në një kuadër të vetëm rregullator, që sot përcakton një sovranitet të vërtetë dixhital me konceptim.