Datové centrum není právní argument

Datové centrum není právní argument

The address on the brochure

There is a sentence that appears in cloud tenders with the confidence of a completed argument: the data will be stored in a European data centre. The sentence may be true. It may also be doing far more work than it can carry.

A data centre has a location. That location matters for physical security, resilience, energy, connectivity, national rules and the practical reach of a local authority. It tells a buyer something useful about where some equipment stands. It does not, by itself, tell the buyer who owns the service, who operates the equipment, where copies are made, who holds the keys, which people can administer it, which companies are allowed to subcontract parts of the work, or which legal system can compel a party to provide access.

The distinction is easy to state and surprisingly easy to lose. A postcode is visible. Control is distributed. The postcode fits neatly in a procurement spreadsheet; control arrives as a chain of contracts, identities, support accounts, management planes, encryption keys, corporate relationships, operational procedures and legal duties. The first is a fact about place. The second is a question about power.

European data protection law has been making this point in increasingly precise language. In the Schrems II judgment of 16 July 2020, the Court of Justice of the European Union examined how personal data could leave the European Economic Area while retaining a level of protection essentially equivalent to the one guaranteed inside it. The Court upheld standard contractual clauses as a possible transfer tool, but made clear that they do not operate in a vacuum. The exporter has to examine the law and practice of the destination in the circumstances of the transfer, and act when the safeguards cannot work in practice.

The judgment did not say that a border is irrelevant. It said that a border is one part of the question. The European Data Protection Board's subsequent recommendations turn that principle into a method: know the transfers, identify the legal tool, assess the law and practice that can affect it, add measures where they can work, complete the required procedure, and keep the assessment under review. A server address appears in that map. It is not the map.

This matters beyond personal data. The Data Act treats cloud and other data-processing services as infrastructure from which customers should be able to switch. It also addresses conditions under which a third-country public authority seeks access to non-personal data held in the Union. Again, the legal answer is built from actors, purposes, safeguards, evidence and remedies. A building is involved. A building is not enough.

The practical lesson for a European institution is therefore blunt. Ask where the data is. Then keep asking questions until the answer includes who can read it, who can change it, who can stop it, who can export it, who can be forced to disclose it, and what evidence will remain when the parties disagree. If the answer ends at the door of the data centre, the useful part of the investigation has only just begun.

Residency is about place

Data residency is a statement about where data is stored or processed under a defined arrangement. The definition needs a scope. Is it the primary copy, the backup, the index, the cache, the telemetry, the disaster-recovery site, or all of them? Does processing include an administrator viewing a record from another country? Does a support session count? What happens when an incident team needs to copy a diagnostic trace? A residency promise that does not say what it covers is an attractive label attached to an unfinished sentence.

Cloudové systémy jsou navrženy tak, aby přesouvaly práci. Replikace může zlepšit dostupnost. Druhá lokalita může udržet službu v chodu, když první lokalita není dostupná. Okrajová lokalita může snížit latenci. Bezpečnostní tým může směrovat log do centrálního analytického systému. To jsou běžná technická rozhodnutí, nikoli důkaz pochybení. Znamenají však, že k sousloví „uloženo v Evropě“ je třeba připojit technický objekt. Která data, v jakém stavu, po jakou dobu, v rámci jaké operace?

Hodnocení cloudových rizik agentury ENISA, poprvé publikované v roce 2009, zůstává užitečné právě proto, že odmítlo považovat geografii za úplnou kontrolu. Identifikuje rizika plynoucí z ukládání ve více jurisdikcích, nedostatečných informací o jurisdikcích, ztráty správy, subdodávek a změn v kontrole poskytovatele. Dokument je dost starý na to, aby měl zálibu ve zkratkách, které moderní týmy nemusí sdílet, ale organizační problém nezmizel. Pokud zákazník nevidí, kde jsou data zpracovávána nebo kdo odpovídá za další předání, nemůže učinit spolehlivé rozhodnutí o riziku.

Rezidence může být oprávněným požadavkem. Veřejný archiv může potřebovat, aby záznamy zůstaly ve vymezené právní oblasti. Zdravotnická služba může potřebovat dohodu o zpracování, která omezuje, kam mohou citlivá data putovat. Výzkumné konsorcium může mít závazky vyplývající z poskytovatele financování nebo dohody o sdílení dat. Tyto požadavky by měly být formulovány jako provozní podmínky s metodou jejich ověřování, nikoli jako jediný název země, který si každý může vykládat velkoryse.

Existuje také rozdíl mezi omezením a zárukou. Požadavek, aby poskytovatel uchovával primární úložiště v Evropské unii, omezuje jednu třídu přesunů. Nezaručuje, že k záznamu nemá přístup žádná osoba mimo Unii, že neodcházejí žádná metadata ani že se na poskytovatele nevztahuje žádná zahraniční právní povinnost. Omezení může být užitečné, aniž by bylo zárukou. Záměna obojího vytváří příběh o shodě, který obstojí při prohlídce serverovny, ale selže při bližším pohledu na řídicí rovinu.

Užitečná otázka rezidence není jednoduše „kde to je?“ Je to „které lokality jsou možné pro každý stav těchto dat a kdo může tento stav změnit?“ Poskytovatel by měl umět odpověď vysvětlit tak, aby ji inženýr mohl implementovat a kupující ověřit. Pokud vysvětlení závisí na nedokumentované výjimce, zavedeném zvyku podpory nebo slibu, že se subdodavatelé poskytovatele budou pravděpodobně chovat správně, tvrzení o rezidenci zatím není provozuschopné.

Pět otázek skrytých ve slově kde

Když se lidé ptají, kde jsou jejich data, často tím myslí několik různých věcí najednou. Rozdělení těchto otázek činí jednání o nákupu méně divadelním a užitečnějším.

1. Kde jsou bity? To je otázka fyzického a logického uložení. Zahrnuje primární data, repliky, zálohy, mezipaměti, indexy a příslušné protokoly. Uspokojivá odpověď uvádí rozsah a podmínky, za kterých se odpověď mění.

2. Kde probíhá zpracování? Záznam může být uložen v jedné jurisdikci a transformován, vyhledáván, klasifikován, šifrován nebo dešifrován jinde. Zpracování může být plánovaná úloha, podpůrný zásah, monitorovací kanál nebo dočasná kopie vytvořená během obnovy.

3. Kdo k němu může získat přístup? To je otázka identity a provozu. Zahrnuje zaměstnance, administrátory, dodavatele, servisní účty, pracovníky řešící incidenty a automatizované systémy. Člověk nemusí bydlet vedle serveru, aby k němu měl skutečný přístup.

4. Kdo může tento přístup vynutit? To je otázka jurisdikce a právní autority. Sleduje příslušné organizace a osoby, role, které zastávají, smlouvy, které podepisují, a právní povinnosti, které je mohou zavazovat. Na tuto otázku neodpoví pouze špendlík na mapě.

5. Co může zákazník udělat, když se odpověď změní? To je otázka kontroly a odchodu. Může zákazník omezit přístup, otočit klíče, získat důvěryhodný záznam, obnovit službu, přesunout data a ukončit vztah, aniž by ztratil to, co se snažil chránit?

Tyto otázky se překrývají, ale nejsou zaměnitelné. Poskytovatel může přesvědčivě odpovědět na první otázku a špatně na třetí. Smlouva může na papíře odpovědět na pátou otázku, zatímco technický tým nikdy odchod neprovedl. Místní dceřiná společnost může odpovědět na otázku firemní identity, zatímco služba závisí na infrastruktuře nebo podpůrné organizaci mateřské společnosti. Správnou reakcí není vybrat si nejuklidňující odpověď. Je jí zachovat celý soubor.

To je také důvod, proč mohou být hodnocení suverenity matoucí. Slovo má pokrýt fyzické umístění, právní nezávislost, provozní způsobilost, ekonomické vlastnictví, strategickou autonomii a schopnost odejít. To jsou související ambice. Nejsou jednou vlastností. Přesná instituce uvede, kterou vlastnost potřebuje a jaké důkazy by prokázaly, že existuje.

Jurisdikce následuje autoritu

Jurisdikce není mystický mrak obklopující zemi. Je to způsob, jak popsat, které právní orgány mohou regulovat, nařizovat, vyšetřovat, přezkoumávat nebo napravovat jednání příslušných aktérů. V distribuované službě záleží na aktérech stejně jako na místech. Společnost může být zapsána v jednom členském státě, provozovat zařízení ve druhém, využívat podpůrný tým ve třetím a záviset na mateřské společnosti nebo subdodavateli, kteří podléhají povinnostem jinde. Zákazník, který se snaží pochopit právní dosah, musí sledovat řetězec autority, ne zastavit u nejbližší budovy.

To neznamená, že každé zahraniční spojení maří evropskou kontrolu. Evropské služby jsou záměrně propojené. Přeshraniční obchod, výzkum, podpora, financování a infrastruktura jsou běžné. Otázkou je, zda instituce ví, které spojení nese kterou pravomoc. Evropský provozovatel může být schopen odmítnout běžnou žádost, ale nemusí mít pravomoc odolat závaznému pokynu jiné organizace. Subdodavatel může držet pověření, které hlavní společnost nezahrnula do svého vlastního inventáře přístupů. Podpůrný proces může umožnit vzdálený přístup, i když smlouva o ukládání slibuje místní region.

Právní analýza závisí také na druhu dat a druhu žádosti. Osobní údaje přivádějí do hry pravidla GDPR pro předávání údajů a rámec základních práv. Neosobní údaje nejsou právním vakuem. Nařízení o datech obsahuje záruky pro určité žádosti orgánů třetích zemí o neosobní údaje uchovávané v Unii. Žádost je třeba posuzovat podle podmínek nařízení, včetně povahy žádosti a ochran dostupných v právním systému třetí země. Tyto dva režimy se liší, a právě tento rozdíl je důvodem, proč by kupující neměl oba smrskávat do slova rezidence.

Rozsudek Soudního dvora EU ve věci C-311/18 nabízí užitečný evropský právní vzorec. Soud se neptal, zda smlouva vypadá dostatečně formálně. Ptal se, zda by ochrana zaručená evropským právem zůstala v daných okolnostech předání v podstatě rovnocenná, s přihlédnutím k právu a praxi, které by mohly na data působit. Standardní smluvní doložky mohou zavazovat strany, které je podepíší. Nezavazují však orgán veřejné moci, který není stranou smlouvy. Pokud právní prostředí podkopává slíbené záruky, musí vývozce reagovat.

Tato logika je širší než konkrétní spor. Smlouva je nástrojem soukromého rozdělení práv. Jurisdikce je oblastí, v níž může působit veřejná moc. Smlouva může dodavateli říci, co zákazníkovi slíbil. Nemůže však sama o sobě odstranit veřejnou pravomoc, která dodavatele nebo jeho lidi zavazuje. Řádná správa bere obě tvrzení vážně. Využívá smlouvy ke stanovení povinností a technická opatření k tomu, aby byly tyto povinnosti pozorovatelné, a zároveň uznává, že právní dosah může stále měnit dostupné možnosti.

Je lákavé proměnit to v hon na jednu nebezpečnou zemi. To je méně užitečné než zmapování skutečných orgánů. Který subjekt je správcem nebo zpracovatelem? Který subjekt zaměstnává administrátora? Který subjekt drží šifrovací klíče? Který subjekt může vytvořit kopii? Který subjekt obdrží žádost o podporu? Který orgán by mohl vydat příkaz? Jaký opravný prostředek by měl zákazník a u kterého soudu? Mapa může být uklidňující. Také nemusí. Oba výsledky jsou cennější než nálepka se zemí.

Vlastnictví je titul, ne klíč

Vlastnictví má skutečnou právní a ekonomickou sílu. Může určovat, kdo smí prodat aktivum, jmenovat členy vedení, poskytovat licence k duševnímu vlastnictví, přijímat výnosy nebo činit určitá rozhodnutí. Ve veřejném subjektu může být spojeno se zákonnou odpovědností za záznamy nebo infrastrukturu. V podnikové skupině může vysvětlit, kdo může hlasovat, sloučit se, financovat nebo vyměnit poskytovatele. Vlastnictví patří do hodnocení suverenity.

Vlastnictví automaticky neposkytuje provozní kontrolu. Zákazník může vlastnit data, zatímco dodavatel provozuje databázi, spravuje záložní systém a ovládá servisní účet. Veřejná instituce může vlastnit budovu, zatímco dodavatel drží přihlašovací údaje k údržbě a jedinou vyzkoušenou cestu k obnovení zařízení. Společnost může vlastnit zdrojový kód, zatímco třetí strana ovládá podpisový klíč, sestavovací prostředí, registr balíčků a identitu pro nasazení. Titul je skutečný. Stejně tak závislost.

Rozdíl je vidět ve slovesech. Vlastnictví je podstatné jméno ve smlouvě. Kontrola je schopnost kontrolovat, provozovat, měnit, zastavit, obnovit, exportovat, smazat a dokázat. Zadávací řízení, které zaznamenává pouze podstatná jména, může nechat důležitá slovesa nepřiřazená. Může mít jmenovaného vlastníka platformy, a přesto nemít žádnou jmenovanou osobu, která může otočit klíč, odebrat privilegovaný účet nebo obnovit data ze zálohy, aniž by se musela ptát organizace, která není v místnosti.

Nemá smysl vyžadovat maximální vlastnictví. Nemocnici, univerzitě nebo obci může chybět personál a bezpečnostní kapacita, aby bezpečně provozovala každou vrstvu. Delegování úkolu může být odpovědné, pokud jsou hranice jasně vymezené a zákazník si zachovává možnost dohlížet, testovat a obnovovat. Nejde o to umístit každý server do veřejného sklepa. Jde o to rozhodnout, které pravomoci jsou pro poslání nezbytné, a udržet je dostatečně blízko, aby je bylo možné řídit.

Toto rozhodnutí potřebuje důkazy. „Zákazník vlastní data“ by mělo vést k otázkám ohledně formátu exportu, správy klíčů, uchovávání, mazání, přístupových protokolů a oprávnění podpory. „Poskytovatel je evropský“ by mělo vést k otázkám ohledně korporátní kontroly, subdodavatelů, infrastruktury, právní expozice a kontinuity. „Data jsou v Unii“ by mělo vést k otázkám ohledně vzdálené správy, replik, míst zpracování a právních žádostí. Dobrá odpověď může být složitá. Složitost není chybou, když je systém složitý.

Provozní kontrola je právo jednat

Provozní kontrole se nejsnáze porozumí prostřednictvím činu, nikoli přídavného jména. Představte si zákazníka, který potřebuje odebrat oprávnění správce. Kdo může odebrání provést? Který systém identit jej autorizuje? Musí změnu provést poskytovatel, nebo ji může zákazník provést přímo? Vztahuje se akce na účty podpory, nouzové účty a neaktivní přihlašovací údaje? Existuje záznam, který dokazuje, kdy oprávnění zmizelo? Pokud akce závisí na helpdesku, je helpdesk součástí řídicí roviny.

Stejný test platí pro klíče. Šifrování může snížit expozici, ale jeho správa závisí na tom, kdo klíče vytváří, ukládá, rotuje, obnovuje a může je používat. Lokálně uložený záznam může zůstat nečitelný pro stranu, která nemůže získat klíč. Může se také stát nepřístupným pro zákazníka, pokud jediná cesta obnovy vede přes dodavatele. Správa klíčů tedy není ani sloganem suverenity, ani kouzelnou gumou na jurisdikci. Je to konkrétní kontrola, která musí být přidělena a nacvičena.

Protokoly si zaslouží stejné zacházení. Dashboard může ukazovat aktivitu. Důkazy vyžadují záznam, který si zákazník může ponechat, interpretovat a zpochybnit. Kdo protokol zapisuje? Může jej správce změnit? Je zdroj času důvěryhodný? Pokrývá přístup podpory a automatizované zpracování? Může zákazník získat použitelný export bez svolení poskytovatele? Co se stane, když je účet uzavřen? Protokol, který zmizí spolu se službou, je užitečný pro provoz, ale slabý pro odpovědnost.

Obnova je nejtěžším testem provozní kontroly, protože odhaluje všechny závislosti. Poskytovatel může slíbit zálohování, ale obnova může vyžadovat konkrétní region, nedostupnou licenci, inženýra, který tam už nepracuje, nebo tajemství uložené v samostatném systému. Zákazník může vlastnit záložní soubor, a přesto nemusí být schopen z něj udělat fungující službu. Obnova by měla být testována jako celý úkon, s zaznamenaným výsledkem a mezerami přidělenými lidem, kteří je mohou uzavřít.

Zastavení služby je také kontrola. Instituce může potřebovat pozastavit integraci, izolovat datovou sadu, pozastavit automatizované zpracování nebo zabránit vytvoření nové repliky. Pokud zastavení může provést pouze dodavatel, stávají se jeho identita, právní povinnosti, doba odezvy a proces podpory součástí rizika instituce. To může být přijatelné uspořádání. Není to neviditelné.

Smyslem těchto testů není nedůvěřovat každému dodavateli. Je jím nahradit důvěru vztahem, který lze zkoumat. Dodavatel s jasnou odpovědí může vysvětlit, které akce provádí sám, které provádí zákazník a které vyžadují spolupráci. Dodavatel, který se spoléhá na jednu uklidňující větu, na provozní otázku ještě neodpověděl.

Subdodavatelé mění jednu odpověď v řetězec

Služba jen zřídka představuje jednu organizaci, která dělá jednu věc na jednom místě. Poskytovatelé cloudu využívají specializovanou infrastrukturu, podpůrné partnery, monitorovací služby, bezpečnostní provoz, údržbu hardwaru, síťové operátory a další dodavatele. Někteří jsou viditelní ve smlouvě. Jiní se objeví v seznamu subzpracovatelů, v popisu služby, v oznámení o incidentu nebo v pracovním postupu podpory. Řetězec je běžný. Povinnost porozumět řetězci je také běžná.

Hodnocení rizik agentury ENISA upozorňuje na známé selhání: poskytovatel cloudu může subdodavatelsky zadat služby třetí straně, která nenabízí stejné záruky, zatímco změna kontroly může změnit podmínky poskytovatele. Zpráva není specifikací moderní architektury a ani být nemusí. Její trvalé varování je organizační. Zákazník nemůže tvrdit, že službě rozumí, pokud posoudil pouze první společnost uvedenou na faktuře.

Doporučení EDPB jsou pro osobní údaje konkrétnější. Prvním krokem je znát předání, včetně dalšího předání zpracovatelům a subzpracovatelům. Vzdálený přístup ze třetí země může sám o sobě představovat předání, i když záznam zůstává v datovém centru v EHP. Ujednání o podpoře je proto součástí mapy předávání údajů, nikoli poznámkou pod čarou, kterou lze vyřešit až po nasazení.

Viditelnost subdodavatele není totéž co kontrola nad subdodavatelem. Seznam zákazníkovi řekne, kdo je zapojen. Kontrola se ptá, co může každá strana dělat, jaká data může vidět, jaký právní nástroj činnost pokrývá, jak je změna oznamována a jaká náprava existuje, když strana přestane plnit podmínky. Řetězec by měl mít hranice a důkazy při každém předání.

Existuje praktický důvod, proč se bránit vágním řetězcům. Když dojde k incidentu, odpovědnost často putuje opačným směrem než data. Zákazník se ptá poskytovatele. Poskytovatel se ptá platformového týmu. Platformový tým se ptá specializovaného dodavatele. Specializovaný dodavatel se ptá správce v jiné organizaci. Každé předání může přidat zpoždění, nejistotu a příležitost, aby původní záznam ztratil kontext. Mapa kontroly by měla ukázat cestu před incidentem, dokud mají zúčastnění lidé ještě čas být přesní.

Osobní údaje: ochrana putuje se záznamem

The GDPR does not make personal data safe by placing it behind a European door. Its transfer rules are designed to preserve a high level of protection when data moves to a third country. The EDPB describes the principle plainly: an essentially equivalent level of protection should accompany the data wherever it goes, during and after the transfer.

That does not mean that every transfer is prohibited. The GDPR contains different transfer tools and conditions, including adequacy decisions and safeguards under Article 46. The legal question is whether the chosen tool works in the circumstances. The EDPB's recommendations tell exporters to assess the law and practice relevant to the particular transfer, consider whether the importer or the data can fall within problematic rules, and document the reasoning. If no supplementary measure can restore the required level of protection, the transfer should be avoided, suspended or terminated.

Three details are especially easy to miss in a residency conversation. First, an onward transfer matters. A provider may keep the primary record in the EEA and send a copy to a support or analytics service elsewhere. Second, access matters. An administrator in a third country may be able to read a record without the record ever being physically moved to that person's desk. Third, accountability matters. The exporter must be able to demonstrate the assessment and revisit it when the service, law, people or circumstances change.

The framework therefore asks a customer to understand both the technical path and the legal context. A diagram of regions and arrows is useful. It cannot replace the transfer assessment. Nor can a contractual promise that a provider will comply, if the customer has not checked what the relevant safeguards can achieve against the laws and practices that may apply to the provider.

European data protection law has a healthy dislike of magic words. “EU hosting” can describe a useful fact. “Compliant” can describe a conclusion that requires reasons. “Sovereign” can describe a political objective. None should be allowed to stand in for the evidence that the data is protected, the access is governed and the decision can be defended.

Non-personal data: a different regime, the same discipline

The Data Act deals with a wider set of data relationships and includes rules for data-processing services such as cloud and edge services. It is not a replacement for the GDPR, and it does not turn every cloud decision into a data-protection transfer assessment. It does provide a second European reminder that location, access, switching and authority have to be considered together.

For non-personal data held in the Union, the Commission's explanation of the Data Act describes safeguards for certain requests or decisions by a third-country public authority. Where no applicable international agreement governs the access, the regulation sets conditions intended to protect European interests, including attention to the third country's legal system and the proportionality of the request. Providers are expected to take reasonable measures, such as encryption, audits or certification arrangements, to prevent unauthorised access and to inform customers where possible.

The wording matters. The Data Act does not claim that the Union can make foreign legal systems disappear. It creates a framework for assessing and limiting certain access routes. A provider still has to know what systems it operates, what data is held, who can respond to a request and what evidence can be given to the customer. A customer still has to understand which parts of the data are personal, which are not, and which other legal regimes apply.

The Act also approaches control through switching. Customers should be able to move between data-processing services, use services in parallel and port exportable data and digital assets. Providers must give information about export formats, interfaces, known limitations and the time needed for the process. The rules on functional equivalence recognise a practical truth: a file that can be downloaded is not necessarily a service that can be recovered.

Switching is often described as a competition measure, and it is one. It is also a sovereignty measure in the operational sense. An institution that can leave has more room to refuse a change it cannot accept. An institution that cannot leave may own a contract and still be governed by the provider's defaults. A legal right to switch is an important start. A rehearsed migration that preserves the data, the configuration and the evidence is the part that makes the right usable.

Contracts, keys and the limits of reassurance

Contracts remain essential. They allocate duties, set notification rules, identify subprocessors, define permitted processing, describe deletion and retention, create audit rights and establish assistance during a transition. The Data Act's cloud-switching provisions reinforce the need for clear contractual terms, exportable data and information about the mechanics of an exit. ENISA's older guidance likewise recommends paying attention to data transfers, change of control, law-enforcement access, breach notifications and liability when evaluating cloud contracts.

A contract is not a runtime control. A clause saying that the customer may export is weaker than an export run against a representative dataset and restored in a second environment. A clause saying that the provider will delete is weaker than an auditable deletion process that covers replicas, caches, backups and derived records. A clause giving an audit right is weaker than logs and evidence the customer can actually obtain. Paper matters. Paper that never meets a working system is politely framed optimism.

Keys provide a similar lesson. Customer-controlled encryption can reduce what a provider or an unauthorised party can read. It does not answer who can compel a person who holds a recovery key, who controls the hardware security module, who can change the key policy, or what happens when the customer loses its own credential. The right design may use split authority, independent custody, carefully scoped access and tested recovery. The wrong design can put the decisive key in a different jurisdiction and call the arrangement local because the database is local.

Legal and technical measures should be designed together. If a contract requires the customer to approve support access, the service should have an approval flow that leaves a record. If the customer needs to prevent onward transfers, the provider should expose the route and enforce the boundary. If a public authority request must be evaluated, the incident process should preserve the request, the legal analysis, the decision, the notification and the response. A legal promise becomes credible when a system can show how it is carried out.

The same principle applies to ownership changes. A supplier acquisition, a new parent company, a change in subcontractor or a change in the service's operating region can alter the control map without changing the customer-facing brand. Contracts should require notice and remedies. Technical inventories should be updated. A change ledger should show which powers moved. Governance that exists only at initial signature has a short half-life.

A buyer's control map

A public or private buyer does not need a magical questionnaire. It needs a map that connects claims to evidence. The following questions are a useful starting point because they ask for actions, actors and records rather than a preferred adjective.

Tabulka je záměrně věcná. Má přežít kontakt s nákupním týmem. Zároveň dává kupujícímu způsob, jak porovnat poskytovatele, aniž by předstírala, že certifikát, národní vlajka nebo prohlídka datového centra vše vyřeší. Důkazy mohou být důvěrné. Požadavek na důkazy důvěrný být nemá.

Požádejte o předvedení klíčové činnosti, nejen o její popis. Ukažte, jak se odebere privilegovaný účet. Ukažte, jak se schvaluje podpůrná relace. Ukažte, co zákazník obdrží, když požádá o export. Ukažte, jak se lokalizuje replika. Ukažte, co udělá právní žádost s pracovním postupem při incidentu. Ukažte, jak organizace pokračuje, když je účet poskytovatele pozastaven. Nejde o to inscenovat dramatické selhání. Jde o to zjistit, zda kontrola existuje i mimo prezentační slajdy.

Pak se zeptejte, kdo je vlastníkem výsledku. Test bez vlastníka je představení. Mezera bez termínu je trvalá vlastnost. Kontrola bez záznamu je víra. Mapa by proto měla jmenovat osobu nebo orgán, který riziko přijímá, dodavatele, který musí činnost provést, a cestu, jak výsledek napadnout. Řízení není hromada otázek. Je to soubor rozhodnutí, která mají kam směřovat.

Myšlenkový experiment o evropském archivu

Následující text je označený hypotetický příklad, nikoli zpráva o skutečném zákazníkovi nebo incidentu. Představte si městský archiv, který vybírá hostovanou službu pro digitalizované územní záznamy. Zadávací dokumentace vyžaduje primární úložiště v Evropské unii a žádá o šifrování, zálohy a podpůrnou linku. Tři poskytovatelé splňují slova zadání. Jeden je místně zapsaný, ale spoléhá na subdodavatele podpory mimo Unii. Jeden drží úložiště i podporu v Unii, ale používá platformu identity mateřské společnosti. Jeden má menší místní provoz, jasnou úschovu klíčů a otestovaný export, ale potřebuje pečlivě vymezenou úroveň služeb, protože nemůže nabídnout všechny volitelné funkce.

První poskytovatel může být stále přijatelný. Druhý může být stále přijatelný. Třetí může být pro konkrétní požadavek dostupnosti stále nevhodný. Smyslem myšlenkového experimentu je, že samotná lokalita mezi nimi nemůže rozhodnout. Archiv se musí zeptat, jaký přístup k podpoře je možný, kdo může vytvořit kopii, které právnické osoby mohou obdržet příkaz, jak jsou spravovány klíče, co ukazují protokoly a zda lze záznamy obnovit jinde.

Předpokládejme, že se archiv rozhodne, že lokální úložiště je jeho nejdůležitější podmínkou. Tento požadavek může zapsat do smlouvy. Měl by také definovat objekty, na které se podmínka vztahuje, vyžadovat oznámení o změně a ptát se, jak by bylo porušení zjištěno. Předpokládejme, že se rozhodne, že vzdálená podpora je povolena pouze pro zdokumentovaný incident. Služba potřebuje schvalovací postup, časově omezené přihlašovací údaje a záznam, který lze přezkoumat. Předpokládejme, že se rozhodne, že archiv musí mít možnost odejít. Odchod by měl být otestován dříve, než se služba stane jediným místem, kde kdokoli ví, jak záznamy číst.

Nic v této hypotéze nevyžaduje, aby archiv provozoval datové centrum. Vyžaduje, aby archiv rozuměl pravomocem, které deleguje. To je rozdíl mezi odpovědným outsourcingem a nákupem, který přesouvá riziko do místnosti, do níž kupující nemůže vstoupit.

Co může Evropa poctivě myslet slovem suverenita

Evropskou suverenitu v digitální infrastruktuře je třeba popisovat pojmy, které obstojí před nepříjemnou otázkou. Může znamenat, že evropská instituce si ponechává pravomoc nad klíčovými rozhodnutími. Může znamenat, že klíčové závislosti jsou viditelné, omezené a obnovitelné. Může znamenat, že právní nároky jsou doprovázeny technickými schopnostmi. Může znamenat, že veřejný kupující může přepnout, zpochybnit, kontrolovat a pokračovat v provozu, když poskytovatel nebo zákon změní dostupnou cestu.

Nemělo by to znamenat, že služba je automaticky bezpečná, protože její marketingová adresa je evropská. Ani by to nemělo znamenat, že každé zahraniční spojení je zakázáno. Evropa závisí na přeshraničních systémech a pravidlo, které předstírá opak, bude ignorováno nebo tiše obcházeno. Vyspělý postoj je náročnější: povolit závislosti, které slouží poslání, zdokumentovat je, omezit ty, které nesou nepřijatelnou moc, a ponechat východ pro ty, které nelze učinit důvěryhodnými.

Tento postoj také dává evropským poskytovatelům spravedlivější zkoušku. Místní poskytovatel by nemusel předvádět vlajkový ceremoniál, aby byl brán vážně. Měl by být schopen ukázat, co provozuje, co deleguje, kdo k tomu má přístup, jaký zákon se může uplatnit, jak jsou data chráněna a jak může zákazník odejít. Globální poskytovatel by měl čelit stejným otázkám. Standardem jsou důkazy o kontrole, nikoli divadlo původu.

Slovo suverenita se stává užitečným, když mění nákupní chování. Ministerstvo může využít zadávání veřejných zakázek k odměnění otestované cesty odchodu. Nemocnice může vyžadovat klíčová ujednání, která odpovídají jejím klinickým povinnostem. Univerzita může zviditelnit původ výzkumných dat. Regulátor se může ptát na stav systému v době rozhodnutí. Dodavatel může navrhnout svou službu tak, aby pravomoc zákazníka nebyla jen ozdobným odstavcem. To jsou institucionální kroky, nikoli soutěž ve sloganech.

Malá poznámka od nás

Ve společnosti Dweve naše veřejná analýza The Sovereignty Illusion: where control really sits, zveřejněná 29. června 2026, používá podobnou disciplínu. Odděluje vlastnictví, technologie, kapitál, infrastrukturu a právní expozici, místo aby evropská nálepka zastupovala všech pět. Tento článek je užší. Sleduje tvrzení o datovém centru do provozních a právních vrstev, které musí kupující řídit.

Takto také raději popisujeme vlastní práci. Systém by měl čitelně ukazovat své hranice: co je lokální, co je delegované, co je zaznamenáno, co lze zpochybnit a co lze změnit. Užitečné tvrzení je to, které si čtenář může ověřit. Zbytek je dekorace a Evropa už má dekorativní infrastruktury dost.

Právní argument začíná až po adrese

Poloha datového centra stojí za to znát. Může ovlivnit fyzický přístup, odolnost, konektivitu, platné místní předpisy a návrh služby. Může být správnou první otázkou. Je to špatná konečná odpověď.

Konečná odpověď musí propojit místo s odpovědností. Musí jmenovat provozovatele, identity, klíče, subdodavatele, právní nástroje, možné žádosti, důkazy a možnost odchodu. U osobních údajů musí evropská úroveň ochrany zůstat při předání dat v podstatě rovnocenná a vývozci musí posoudit okolnosti, nikoli opakovat tvrzení o umístění. U neosobních údajů přidává akt o datech pravidla týkající se zahraničního přístupu a přechodu mezi cloudovými službami, což opět činí kontrolu a přenositelnost konkrétními.

Neexistuje jediné evropské číslo, které by dokázalo změnit složitou službu na suverénní. Existuje sled otázek, testů a záznamů. Tento sled je pomalejší než vytištění „hostováno v EU“ na brožuru. Je to také ta část, která zůstává užitečná poté, co brožura zastará.

Když se kupující zeptá, kde data jsou, odpovězte přesně na umístění. Pak se zeptejte, kdo je může číst, kdo s nimi může nakládat, kdo může být donucen, kdo může prokázat, co se stalo, a kdo může odejít. Evropské datové centrum může být součástí důvěryhodného uspořádání. Samo o sobě nemůže být právním argumentem.

Zdroje

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Evropský sbor pro ochranu osobních údajů, konečná verze 18. června 2021. Odkazovaná stránka obsahuje oficiální PDF.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Soudní dvůr Evropské unie, rozsudek ze dne 16. července 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Evropský parlament a Rada, 13. prosince 2023, EUR-Lex.
• Data Act explained, Evropská komise, zveřejněno 2025 a zpřístupněno 5. srpna 2026.
• Cloud Computing Risk Assessment a oficiální zpráva PDF, Agentura Evropské unie pro kybernetickou bezpečnost (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29. června 2026.