苹果公司境内存储密钥的法律效果再分析
笔者按：
在【美国Cloud Act法案到底说了什么】和【如何看待“iCloud中国账户密钥将存储在中国”】两篇文章中，笔者无奈于“由于从公开渠道无法得知就iCloud服务云上贵州和苹果的合作模式以及具体分工，因此本节分析就此打住”。但感谢环球时报的一篇独家报道【苹果在中国做了件事，果然又被外媒给说了！】，让笔者掌握了更多的信息，而且能够对云上贵州服务协议中的一句话“您理解并同意，苹果公司和云上贵州有权访问您在此服务中存储的所有数据，包括根据适用法律向对方和在彼此之间共享、交换和披露所有用户数据（包括内容）的权利。”做出相对比较完整分析了。
正文开始：
《环球时报》报道提供的新信息是：上述接近云上贵州的知情人士25日告诉环环，只有在满足相关法律监管要求，比如为打击犯罪，公安部、省公安厅在提供合理的证据请求的时候，云上贵州才会依法执行程序，把要求提供用户数据的请求发送给苹果公司，“绝对不会随随便便地透露用户数据”。
另外根据路透社的报道：
根据路透社的报道，苹果独家控制和管理存储在中国的iCloud账户密钥。【见如何看待“iCloud中国账户密钥将存储在中国”】
首先，密钥就算移存至中国，仍然由苹果公司单独管理（Apple says the joint venture does not mean that China has any kind of “backdoor” into user data and that Apple alone – not its Chinese partner – will control the encryption keys.）。
其次，由苹果公司（而非云上贵州）单独接收、处理中国执法部门调取用户数据的法律文件。（Any information in the iCloud account could be accessible to Chinese authorities who can present Apple with a legal order.）
再次，苹果公司还会对其接收到的调取数据请求，反映在其透明度报告中，且苹果不会对“批量的数据请求”作出响应。（Apple said requests for data from the new Chinese data centre will be reflected in its transparency reports and that it won’t respond to “bulk” data requests.）
以下的分析都建立于这两篇报道内容都真实可靠的前提下，同时结合美国最高法院正在审理的微软和FBI之间的法律争议【见美国Cloud Act法案到底说了什么】：
在与“云上贵州”合作之前
苹果公司统一将所有iCloud账户内容加密，存储于全球各地的数据中心或提供存储服务的第三方云服务商，同时将密钥（通过该密钥就能访问用户iCloud账户的大部分内容）仅仅存储于美国。【“All iCloud content data stored by Apple is encrypted at the location of the server. When third-party vendors are used to store data, Apple never gives them the keys. Apple retains the encryption keys in its U.S. data centres. ”，见苹果的Legal Process Guidelines: Government & Law Enforcement outside the United States，第10页, https://www.apple.com/hk/en/privacy/government-information-requests/】
这样的设计导致的结果就是只有美国法院能够强迫总部在美国的苹果公司交出iCloud密钥。换言之，不仅是中国，世界上其他国家政府需要调取用户iCloud账户内的内容，都需要走司法协助的路径并取得美国法院的首肯。
以上这一点，在苹果自己的Legal Process Guidelines: Government & Law Enforcement outside the United States 第10页说得很明白：“All requests from government and law enforcement agencies outside of the United States for content stored in our data centers in the United States, with the exception of emergency circumstances (defined above in Emergency Requests), must comply with the United States Electronic Communications Privacy Act (ECPA) ”。其中“存储通信法案”（Stored Communication Act）就是ECPA的第二章。
这样的安排使得位于美国的苹果总部成为全球iCloud账户内容数据的唯一数据控制者。法律效果：
从境外调取的方面来说，既然密钥是在美国境内，那美国政府通过法律程序自然能够强迫苹果交出全球用户的iCloud内容数据。【这点是从苹果没有像微软那样将FBI告到法院推断出来的。但从许多美国公司的标准做法来说，一般都是配合美国执法机构。】
从“防”境外拿的角度，SCA禁止苹果（作为美国的数据控制者）向外国政府直接提供内容数据。就拿中国来说，苹果公司从2013年年中到2017年年中，收到了来自我国有关部门的176项调取数据请求，但苹果没有一次提供用户账户内容数据。同期，苹果对来自美国政府的8475项请求中的2366项作出响应，提供了用户账户内容。
在与“云上贵州”合作之后
2018年年初，苹果公司做出了全球范围内的唯一一次“妥协”。在中国以外的世界其他地方，苹果公司都是独营iCloud服务，是单独的数据控制者。但在中国，是由“云上贵州”和中国用户签订iCloud的条款与条件，因此“云上贵州”应和苹果一道被视为中国用户数据的共同控制者（joint controllers）。同时，苹果公司决定将中国区用户的iCloud密钥也在中国境内存储，但继续独家管理iCloud密钥，并处理中国执法部门调取用户数据的法律要求。
结合《环球时报》提供的新信息，分工如下：云上贵州对接中国执法部门，如果数据请求合法正当，将请求转交给苹果公司（独家掌握密钥），然后苹果公司对中国区iCloud账户内容解密，提供给云上贵州，然后云上贵州提供给中国执法部门。
为什么要通过云上贵州？这样做的法律效果是什么呢？为什么协议中要有这句话“您理解并同意，苹果公司和云上贵州有权访问您在此服务中存储的所有数据，包括根据适用法律向对方和在彼此之间共享、交换和披露所有用户数据（包括内容）的权利。”
如果中国执法机构直接对苹果中国发出iCloud账户内容数据调取命令，苹果中国还是要将数据请求发往美国总部，而且美国的SCA法案禁止美国的数据控制者向外国政府交出内容数据。这才有了路透社报道中的苹果公司从2013年年中到2017年年中，收到了来自我国有关部门的176项调取数据请求，但苹果没有一次提供用户账户内容数据。
但是如果中国执法机构向云上贵州发出iCloud账户内容数据调取命令，云上贵州是个中国公司，所以没问题。但云上贵州没有密钥，只能将请求转给苹果。当苹果解密中国区iCloud账户内容数据后，注意，不是向中国执法机构提供，而是向云上贵州提供，因此，不触犯SCA禁止向外国政府提供内容数据的要求。
但是SCA是否允许美国数据控制者将内容数据提供给私主体？在SCA §2702 (b)
“获得了发送方/通信对象/预期的接收方的合法同意，或获得了远程计算服务的订阅用户的合法同意”，则可向任何人提供。
因此，为了获得用户同意，所以在协议中有了这句话：“您理解并同意，苹果公司和云上贵州有权访问您在此服务中存储的所有数据，包括根据适用法律向对方和在彼此之间共享、交换和披露所有用户数据（包括内容）的权利。”
至此，用户给了同意。
因此，苹果公司与云上贵州之间的合作，合法地满足了美国SCA法案的要求。内容数据到了云上贵州后，就完全遵循中国法律了。环球时报中的消息人士强调，只有在公安部、省公安厅在提供合理的证据请求的时候，因此云上贵州自然应该将数据提供给公安部、省公安厅。这样，原本中国执法机关在苹果面前的闭门羹，通过云上贵州就能得到满足。
美国最高法院如果采用了“数据存储地标准”
如果美国最高法院采用了数据存储地标准，则中国用户iCloud账户内容和密钥都可以躲开美国政府的直接调取；
对存储于其他国家的用户数据来说，美国政府虽然能通过国内法律流程拿到密钥，但是只能走司法协助等国际合作形式拿到存储于其他国家的加密数据，所以多了一道困难。
美国最高法院如果采用了“数据控制者标准”
先看从境外调取数据，由于苹果公司还是中国用户的共同数据控制者之一，单独管理着密钥，同时也管理着中国区iCloud账户内容的加密数据包，如果美国最高法院采用了数据控制者标准，美国政府还是可以要求苹果公司提供存储于中国的数据，苹果公司也有义务提供。
注：以上所有的分析仅限于iCloud账户内容数据，其他类型的数据需要另外分析。