یکی از باورهای غلط رایج میان پیمانکارانی که با اطلاعات کنترل‌شده غیرمحرمانه (Controlled Unclassified Information یا CUI) سروکار دارند، این است که تمام داده‌های CUI باید حتماً در داخل ایالات متحده باقی بمانند یا صرفاً توسط افراد یا شهروندان آمریکایی مدیریت شوند. همچنین این تصور اشتباه وجود دارد که هر اطلاعاتی که تحت کنترل صادرات (Export Control) باشد، لزوماً از نوع CUI است. علاوه بر این، ابهاماتی در مورد معنای نشانه‌گذاری‌های مربوط به CUI تحت کنترل صادرات وجود دارد.
تمایز میان CUI و کنترل‌های صادراتی
تعیین وضعیت CUI به تنهایی الزامی برای کنترل صادرات یا محدودیت شهروندی ایجاد نمی‌کند. به طور پیش‌فرض، CUI می‌تواند برای هر فردی که هدف قانونی و مجاز برای دسترسی به آن دارد، منتشر شود. همچنین، نشانه‌گذاری‌های کنترل صادرات مربوط به مقررات EAR یا ITAR لزوماً به معنای CUI بودن اطلاعات نیست؛ زیرا روش‌های متعددی وجود دارد که اطلاعات تحت کنترل EAR و ITAR باشند بدون اینکه تعریف CUI را برآورده کنند.
یک سند حاوی CUI باید صرف‌نظر از هرگونه کنترل صادراتی، دارای نشانه‌گذاری‌های CUI باشد. به همین ترتیب، سندی که حاوی اطلاعات تحت کنترل صادرات است، باید نشانه‌گذاری‌های مربوطه (خواه مرتبط با برنامه CUI، EAR یا ITAR) را داشته باشد. اگر سندی همزمان هم CUI و هم تحت کنترل صادرات باشد، باید هر دو مجموعه نشانه‌گذاری را حمل کند.
نشانه‌گذاری‌ها و کنترل‌های انتشار محدود
نشانه‌گذاری CUI EXPT (که برای اطلاعات در دسته CUI کنترل‌شده صادراتی استفاده می‌شود) به این معنا نیست که خودِ آن CUI تحت کنترل صادرات است، بلکه نشان می‌دهد که موضوعِ آن CUI درباره کنترل‌های صادراتی است. برای نشان دادن اطلاعاتی که تحت برنامه CUI تحت کنترل صادرات قرار دارند، از نشانه‌گذاری‌های «کنترل انتشار محدود» (Limited Dissemination Control) استفاده می‌شود. این نشانه‌گذاری‌ها شامل موارد زیر هستند:
- REL TO: اطلاعات نباید به هیچ شکلی به دولت‌های خارجی، اتباع خارجی، سازمان‌های بین‌المللی یا غیرشهروندان ایالات متحده منتشر شود (به همراه لیست کشورهای مجاز).
- DISPLAY ONLY: اطلاعات مجاز برای افشا به یک دریافت‌کننده خارجی است، اما بدون ارائه نسخه فیزیکی برای نگهداری.
استانداردهای وزارت دفاع (DoD) و بیانیه‌های توزیع
وزارت دفاع ایالات متحده (DoD) دقیقاً از استاندارد نشانه‌گذاری CUI سراسری پیروی نمی‌کند و استاندارد خاص خود را دارد. در اسناد DoD، به جای نشان دادن کنترل انتشار محدود در بنر هر صفحه (مطابق با استانداردهای NARA)، از یک «شاخص تعیین‌کننده» (Designation Indicator) در صفحه اول استفاده می‌شود که شامل جزئیات مربوط به نهاد تعیین‌کننده، دسته CUI و اطلاعات تماس است.
علاوه بر این، DoD از «بیانیه‌های توزیع» (Distribution Statements) استفاده می‌کند که پیش از برنامه CUI ایجاد شده‌اند. پیمانکاران معمولاً با بیانیه‌های زیر روبرو می‌شوند:
- Distribution Statement A: برای انتشار عمومی؛ این اطلاعات نمی‌توانند CUI یا تحت کنترل صادرات باشند.
- Distribution Statement C: مجاز برای سازمان‌های دولتی و پیمانکاران آن‌ها؛ این مورد معمولاً کنترل صادراتی اعمال نمی‌کند.
- Distribution Statement D: مجاز فقط برای وزارت دفاع و پیمانکاران DoD؛ این بیانیه می‌تواند کنترل‌های صادراتی را اعمال کند.
- Distribution Statement F: توزیع فقط طبق دستور نهاد کنترل‌کننده؛ این مورد بسته به تصمیم نهاد مربوطه می‌تواند کنترل صادراتی داشته باشد.
دامنه شمول EAR و ITAR در مقایسه با CUI
برخلاف برنامه CUI که مستقیماً بر دولت و به طور غیرمستقیم بر نهادهای خصوصی دارای قرارداد با دولت اعمال می‌شود، مقررات EAR و ITAR مستقیماً بر تمامی افراد در ایالات متحده، صرف‌نظر از رابطه آن‌ها با دولت، اعمال می‌گردد. همچنین، برخلاف CUI که فقط بر اطلاعات تمرکز دارد، EAR و ITAR هم بر اطلاعات و هم بر اشیاء فیزیکی اعمال می‌شوند.
در نهایت، پیمانکاران باید تمامی قراردادهای دولتی را به دقت مطالعه کنند تا الزامات مربوط به «اقامت داده‌ها» (Data Residency) را درک کنند. حتی اگر اطلاعاتی تحت کنترل صادرات نباشد، ممکن است قراردادهای خاصی وجود داشته باشد که مستلزم باقی ماندن داده‌ها در داخل مرزهای ایالات متحده باشد.
