انتقل إلى المحتوى الرئيسي

أمان سحابة AWS

قانون توضيح الاستخدام القانوني للبيانات في الخارج (CLOUD Act)

نظرة عامة

في 23 مارس/آذار 2018، قام كونغرس الولايات المتحدة بتمرير قانون توضيح الاستخدام القانوني للبيانات في الخارج (CLOUD Act)، والذي حدّث الإطار القانوني الذي تستخدمه جهات إنفاذ القانون لطلب البيانات المخزنة لدى بعض مزودي الخدمات. ومن الجدير بالذكر أن قانون CLOUD Act:

  • لم يؤدِّ إلى أي حالات إفصاح عن بيانات محتوى عملاء AWS من الشركات أو الجهات الحكومية المخزنة خارج الولايات المتحدة إلى الحكومة الأمريكية منذ بدء الإبلاغ عن هذه الإحصائية في عام 2020.
  • لا يتيح للحكومة الأمريكية أو لأي حكومة أخرى وصولاً غير مقيّد أو تلقائي إلى البيانات، بما في ذلك البيانات المخزنة في السحابة.
  • لا يستهدف، رغم تسميته، مزودي خدمات البنية التحتية السحابية تحديدًا؛ بل يمتد نطاقه ليشمل طيفًا واسعًا من مزودي الخدمات عبر الإنترنت. وينطبق كذلك على أي مزود خدمات لديه عمليات داخل الولايات المتحدة، وليس فقط على الشركات التي تتخذ من الولايات المتحدة مقرًا رئيسيًا لها.
  • لا يفرض أي قيود على التدابير التقنية وضوابط التشغيل التي تقدمها AWS لعملائها لمنع الوصول إلى بيانات العملاء.

كما نعرض في تقارير الشفافية لدينا، تتلقى AWS عددًا محدودًا من الطلبات التي تؤدي إلى الكشف عن محتوى العملاء. للتأكيد، لم تفصح AWS عن أي بيانات محتوى خاصة بعملاء المؤسسات أو الجهات الحكومية المخزنة خارج الولايات المتحدة للحكومة الأمريكية منذ بدء نشر هذه الإحصائية في عام 2020. تُظهر هذه الإحصائية تعدد الحمايات القانونية المتاحة ضمن القانون الأمريكي والسياسات التي تطبقها وزارة العدل الأمريكية (DOJ)، إلى جانب الضوابط التقنية التي توفرها AWS لعملائها. لا يمكننا الاستجابة لطلبات البيانات القانونية إلا عندما تتوفر لدينا القدرة التقنية للقيام بذلك. توفر AWS مجموعة من الإجراءات التقنية وضوابط التشغيل التي تمنع الوصول إلى البيانات من قبل أي جهة، حتى AWS نفسها. تشكّل هذه الضوابط التقنية، إلى جانب المتطلبات القانونية المنصوص عليها في قانون CLOUD Act، طبقات متعددة من الحماية لبيانات العملاء.

حدّث قانون CLOUD Act قانون الاتصالات المخزنة (SCA)، الذي يحمي البيانات المحتفظ بها لدى مزودي الخدمات، ما لم يكن هناك استثناء قانوني مصرح به—ينطبق هذا الحماية على البيانات المخزنة داخل وخارج الولايات المتحدة. بيّن قانون CLOUD Act أنه إذا اضطر مزود الخدمة لإنتاج بيانات بموجب أحد الاستثناءات المحدودة، مثل مذكرة تفتيش لبيانات المحتوى، يمكن أن تتضمن البيانات المطلوب إفصاحها البيانات المخزنة داخل الولايات المتحدة أو خارجها. كما أتاح قانون CLOUD Act لحكومة الولايات المتحدة إبرام اتفاقيات تنفيذية متبادلة مع دول أخرى لإزالة العوائق القانونية وتمكين جهات إنفاذ القانون الأجنبية من إلزام مزودي الخدمات بالكشف المباشر عن بيانات المحتوى في القضايا الجنائية الخطيرة، مع الالتزام بضمانات إجرائية وموضوعية قوية. والأهم من ذلك، أنشأ قانون CLOUD Act أيضًا ضمانات إضافية، بما في ذلك الاعتراف بحق مزودي الخدمة في الطعن في الطلبات التي تتعارض مع قوانين بلد آخر أو المصالح الوطنية.

الأسئلة الشائعة

فتح الكل

    نؤمن بأن العملاء ينبغي أن يحتفظوا بالتحكم في بياناتهم الخاصة. صُمِّمَت AWS لتكون أكثر بنية تحتية سحابية عالمية أمانًا لبناء التطبيقات وأعباء العمل وترحيلها وإدارتها، ونحن ملتزمون بتوفير حماية رائدة في الصناعة للخصوصية والأمان لعملائنا عند استخدام خدماتنا.

    قامت AWS بتصميم منتجات وخدمات تضمن ألا يتمكن أي طرف، بما في ذلك مشغلو AWS أنفسهم، من الوصول إلى محتوى العملاء. لا يمكننا الاستجابة لطلبات البيانات القانونية إلا عندما تتوفر لدينا القدرة التقنية للقيام بذلك. يمتلك عملاء AWS مجموعة من الإجراءات التقنية وضوابط التشغيل التي تمنع الوصول إلى البيانات. على سبيل المثال، صُممت العديد من أنظمة وخدمات AWS الأساسية بحيث لا يتوفر وصول للمشغلين، مما يعني أن هذه الخدمات لا تمتلك أي وسيلة تقنية تمكّن مشغّلي AWS من الوصول إلى بيانات العملاء.

    يستخدم AWS Nitro System، الذي يعد أساس خدمات AWS للحوسبة، أجهزة وبرامج متخصصة لحماية البيانات من الوصول الخارجي أثناء المعالجة على Amazon Elastic Compute Cloud (Amazon EC2). عبر توفير حدود أمان مادية ومنطقية قوية، تم تصميم Nitro بحيث لا يمكن لأي طرف غير مصرح له، بما في ذلك مشغّلو AWS، الوصول إلى أعباء العمل الخاصة بالعملاء على EC2. تم اعتماد تصميم Nitro System من قبل NCC Group، وهي شركة مستقلة متخصصة في الأمن السيبراني. تُعد الضوابط التي تمنع وصول المشغّلين عنصرًا جوهريًا في Nitro System، وقد قمنا بإدراجها ضمن شروط خدمات AWS لتوفير ضمان تعاقدي إضافي لكافة عملائنا.

    كما نقدم للعملاء ميزات وعناصر تحكم لتشفير البيانات، سواء أثناء النقل أو في حالة الراحة أو في الذاكرة. تدعم جميع خدمات AWS التشفير بالفعل، حيث تدعم معظمها أيضًا التشفير باستخدام المفاتيح التي يديرها العميل والتي لا يمكن لـ AWS الوصول إليها. المحتوى المشفر لا قيمة له من دون مفاتيح التشفير الملائمة.

    لمزيد من التفاصيل حول خدماتنا التي تدعم مبدأ عدم وصول المشغّلين، يُرجى الاطلاع على وصول المشغل على AWS.

    لا تستطيع جهات إنفاذ القانون في الولايات المتحدة إلزام مزودي الخدمات بتقديم بيانات المحتوى إلا بموجب مذكرة قضائية يوافق عليها قاضٍ اتحادي مستقل وفقًا للإجراءات الجنائية الأمريكية. لكي يتم إصدار مذكرة قضائية وفقًا للقانون الأمريكي، يجب أن يقتنع القاضي بوجود سبب محتمل للاعتقاد بوقوع جريمة، وأن الأدلة المتعلقة بها ستُعثر عليها في الموقع المحدد في المذكرة (مثل البيانات الموجودة في حساب إلكتروني معين كحساب بريد إلكتروني). يجب تأسيس هذا المعيار القانوني استنادًا إلى وقائع محددة وموثوقة. يتعين على كل مذكرة تفتيش أن تجتاز هذا التقييم الصارم للسبب المحتمل من حيث الوقائع الموثوقة والتحديد والشرعية، وأن تتم الموافقة عليها من قاضٍ مستقل، وأن تفي بمتطلبات النطاق والاختصاص القضائي.

    يتعين على الحكومات الأجنبية التي تطلب بيانات وفقًا لاتفاق تنفيذي لقانون CLOUD Act مع الولايات المتحدة الامتثال لمتطلبات مماثلة. أوضحت وزارة العدل (DOJ) أن "طلبات البيانات بموجب قانون CLOUD Act يجب أن تُستخرج بصورة قانونية وفق النظام المحلي للدولة الطالبة؛ وأن تستهدف أفرادًا أو حسابات محددة؛ وأن تستند إلى مبررات معقولة قائمة على وقائع دقيقة وموثوقة، مع مراعاة التحديد والشرعية والخطورة؛ وأن تخضع لمراجعة أو إشراف جهة مستقلة مثل قاضٍ أو قاضٍ صلح. لا يُسمح بجمع البيانات على نطاق واسع."

    كما أصدرت وزارة العدل (DOJ) سياسة في مايو/أيار 2023 تنص على أنه ينبغي للمدعين العامين التواصل مع مكتب الشؤون الدولية (OIA) لدى الوزارة عند إدراكهم الحاجة إلى أدلة تقع في دولة أخرى. يشترط ذلك أن يحصل المدعون العامون الذين يسعون إلى أدلة معروفة بأنها موجودة خارج البلاد على موافقة مكتب الشؤون الدولية (OIA) قبل استصدار أمر يُلزم مزودًا في الولايات المتحدة بالكشف عن هذه الأدلة. توضح سياسة وزارة العدل (DOJ) المتعلقة بالأدلة في الخارج أن كل دولة تضع قوانين لحماية سيادتها؛ ويعمل مكتب الشؤون الدولية (OIA) على معالجة هذه المسائل ومساعدة المدعين العامين في اختيار الوسيلة المناسبة للحصول على الأدلة.

    حتى يونيو/حزيران 2025، لم تتلق AWS أي طلبات بيانات أدت إلى الكشف عن بيانات محتوى المؤسسات أو الحكومات المخزنة خارج الولايات المتحدة إلى الحكومة الأمريكية منذ بدء الإبلاغ عن هذه الإحصائية. يُظهر هذا السجل متانة الحماية القانونية في القوانين الأمريكية والسياسات التي تنفذها وزارة العدل الأمريكية، إلى جانب الضمانات التقنية التي توفرها AWS.

    أصدرت وحدة جرائم الحاسوب والملكية الفكرية في وزارة العدل (DOJ) إرشادات في عام 2017 توصي المدعين العامين بالحصول على البيانات من الكيان المؤسسي، مثل شركة تخزن بياناتها لدى مزود سحابي، بدلًا من طلبها من المزود، إلا في حالات خاصة. يقدّم هذا توجيهات مهمة للمدعين العامين للحصول على البيانات مباشرة من المؤسسات. عند تلقي مثل هذه الطلبات الخاصة بمحتوى عملاء المؤسسات، نبذل قصارى جهدنا المعقول لإعادة توجيه جهات إنفاذ القانون إلى العميل، ونقوم بإبلاغ العميل بذلك عندما يسمح القانون.

    لا. يطبَّق قانون CLOUD Act على جميع مزوّدي خدمات الاتصالات الإلكترونية أو خدمات الحوسبة عن بُعد الذين يعملون أو يمتلكون وجودًا قانونيًا داخل الولايات المتحدة. على سبيل المثال، يسري قانون CLOUD Act أيضًا على مزود خدمات سحابية يتخذ من الاتحاد الأوروبي مقرًا رئيسيًا له ويقوم بعمليات داخل الولايات المتحدة. تذكر OVHcloud، مزود الخدمات السحابية الذي يتخذ من فرنسا مقرًا رئيسيًا ويعمل في الولايات المتحدة، في صفحة الأسئلة الشائعة الخاصة بقانون CLOUD Act أن "OVHcloud ستلتزم بالطلبات القانونية الصادرة عن السلطات العامة. وفقًا لقانون CLOUD، قد يشمل ذلك البيانات المخزنة خارج الولايات المتحدة."

    بموجب القانون الأمريكي، لا يمكن للإجراءات التنفيذية استحداث قوانين جديدة أو التعارض مع القوانين القائمة التي أقرها الكونغرس، مثل قانون CLOUD Act.

    لا. تفرض العديد من الدول الإفصاح عن بيانات العملاء بغض النظر عن مكان تخزينها استجابةً لإجراءات قانونية مرتبطة بجرائم خطيرة. يتجسد هذا المفهوم في اتفاقية بودابست للجرائم الإلكترونية، التي تُعد أول معاهدة دولية تهدف إلى تحسين التعاون في التحقيقات المرتبطة بالجرائم الإلكترونية. على سبيل المثال، يتيح قانون الجريمة (أوامر الإنتاج الخارجية) في المملكة المتحدة لجهات إنفاذ القانون البريطانية الحصول على البيانات الإلكترونية المخزنة خارج المملكة المتحدة في إطار تحقيق جنائي. بحسب مستند قُدّم في عام 2024 من وزارة العدل الأمريكية (DOJ)، فإن قوانين عدة دول أعضاء في أوروبا، مثل بلجيكا والدنمارك وفرنسا وأيرلندا وإسبانيا، تحتوي على متطلبات مماثلة.

    نمتلك إجراءات دقيقة ومفصلة جدًا للتعامل مع طلبات جهات إنفاذ القانون من أي دولة. لا نقوم بالإفصاح عن بيانات العملاء استجابةً لطلبات جهات إنفاذ القانون إلا إذا كان ذلك مفروضًا علينا بموجب أمر قانوني صحيح وملزم، كما أعلنا التزامنا بذلك في الملحق الإضافي لاتفاقية معالجة البيانات في AWS. عند استلام طلب من جهات إنفاذ القانون، ندرسه بعناية للتحقق من مشروعيته والتأكد من التزامه بالقوانين المعمول بها. إذا استلمت AWS طلبًا قانونيًا صحيحًا وملزمًا يتعلق بمحتوى عملاء المؤسسات، فستبذل كل جهد معقول لتوجيه جهات إنفاذ القانون إلى العميل، وستُخطر العميل بذلك إذا كان مسموحًا قانونيًا. ستعترض AWS على الطلبات التي تخالف القانون أو تتسم بالإفراط أو تكون غير ملائمة، وذلك وفقًا لالتزامنا العلني في الملحق التكميلي لاتفاقية معالجة البيانات في AWS. إذا استمرت AWS في كونها مُلزَمة بالكشف عن بيانات العملاء بعد استنفاد هذه الإجراءات، وكانت لديها القدرة التقنية على ذلك، فإنها تكشف فقط عن الحد الأدنى المطلوب لتلبية الطلب. لمعرفة المزيد عن نهجنا في التعامل مع طلبات جهات إنفاذ القانون، تفضل بزيارة صفحة طلبات معلومات إنفاذ القانون.

    لا. لا يمنح قانون CLOUD Act أي سلطة جديدة لجهات إنفاذ القانون لإجبار مزودي الخدمات على فك تشفير الاتصالات.

    توفر AWS للعملاء ميزات وعناصر تحكم لتشفير البيانات، سواء أثناء النقل أو في حالة الراحة أو في الذاكرة. تدعم جميع خدمات AWS التشفير بالفعل، حيث تدعم معظمها أيضًا التشفير باستخدام المفاتيح التي يديرها العميل والتي لا يمكن لـ AWS الوصول إليها. المحتوى المشفر لا قيمة له من دون مفاتيح التشفير الملائمة.

    تلتزم AWS بموجب تعاقد بالامتثال لقوانين حماية البيانات السارية. نلتزم كذلك بالاعتراض على أي طلب مفرط أو غير ملائم من جهة حكومية (بما في ذلك في حال تعارض هذا الطلب مع القوانين السارية في الاتحاد الأوروبي أو قوانين إحدى الدول الأعضاء).

    كلا. لا يحل قانون توضيح الاستخدام القانوني للبيانات في الخارج (CLOUD Act) محل القوانين المحلية لأي دولة أخرى. في الحقيقة، يقر قانون توضيح الاستخدام القانوني للبيانات في الخارج (CLOUD Act) بحق مزودي الخدمات في رفض الطلبات التي تتعارض مع القوانين، أو الاهتمامات الوطنية الخاصة بدولة أخرى.