Το κέντρο δεδομένων δεν αποτελεί νομικό επιχείρημα

Το κέντρο δεδομένων δεν αποτελεί νομικό επιχείρημα

Η διεύθυνση στο φυλλάδιο

Υπάρχει μια πρόταση που εμφανίζεται στους διαγωνισμούς για υπηρεσίες cloud με την αυτοπεποίθηση ενός ολοκληρωμένου επιχειρήματος: τα δεδομένα θα αποθηκεύονται σε ένα ευρωπαϊκό κέντρο δεδομένων. Η πρόταση μπορεί να είναι αληθής. Μπορεί επίσης να επιτελεί πολύ περισσότερο έργο από όσο μπορεί να αντέξει.

Ένα κέντρο δεδομένων έχει μια τοποθεσία. Αυτή η τοποθεσία έχει σημασία για τη φυσική ασφάλεια, την ανθεκτικότητα, την ενέργεια, τη συνδεσιμότητα, τους εθνικούς κανόνες και το πρακτικό πεδίο εφαρμογής μιας τοπικής αρχής. Λέει στον αγοραστή κάτι χρήσιμο για το πού βρίσκεται κάποιος εξοπλισμός. Από μόνη της, ωστόσο, δεν λέει στον αγοραστή ποιος κατέχει την υπηρεσία, ποιος διαχειρίζεται τον εξοπλισμό, πού δημιουργούνται τα αντίγραφα, ποιος κατέχει τα κλειδιά, ποια άτομα μπορούν να τον διαχειριστούν, ποιες εταιρείες επιτρέπεται να αναθέσουν μέρος της εργασίας σε υπεργολάβους ή ποιο νομικό σύστημα μπορεί να υποχρεώσει ένα μέρος να παράσχει πρόσβαση.

Η διάκριση είναι εύκολο να διατυπωθεί και εκπληκτικά εύκολο να χαθεί. Ένας ταχυδρομικός κώδικας είναι ορατός. Ο έλεγχος είναι κατανεμημένος. Ο ταχυδρομικός κώδικας χωράει τακτοποιημένα σε ένα υπολογιστικό φύλλο προμηθειών· ο έλεγχος φτάνει ως μια αλυσίδα συμβάσεων, ταυτοτήτων, λογαριασμών υποστήριξης, επιπέδων διαχείρισης, κλειδιών κρυπτογράφησης, εταιρικών σχέσεων, επιχειρησιακών διαδικασιών και νομικών υποχρεώσεων. Το πρώτο είναι ένα γεγονός για τον τόπο. Το δεύτερο είναι ένα ερώτημα για την εξουσία.

Η ευρωπαϊκή νομοθεσία για την προστασία δεδομένων διατυπώνει αυτό το σημείο με ολοένα και πιο ακριβή γλώσσα. Στην απόφαση Schrems II της 16ης Ιουλίου 2020, το Δικαστήριο της Ευρωπαϊκής Ένωσης εξέτασε πώς τα προσωπικά δεδομένα θα μπορούσαν να εγκαταλείψουν τον Ευρωπαϊκό Οικονομικό Χώρο διατηρώντας παράλληλα ένα επίπεδο προστασίας ουσιαστικά ισοδύναμο με εκείνο που εγγυάται εντός αυτού. Το Δικαστήριο υποστήριξε τις τυποποιημένες συμβατικές ρήτρες ως ένα πιθανό εργαλείο διαβίβασης, αλλά κατέστησε σαφές ότι αυτές δεν λειτουργούν εν κενώ. Ο εξαγωγέας οφείλει να εξετάσει το δίκαιο και την πρακτική του προορισμού υπό τις συνθήκες της διαβίβασης και να ενεργήσει όταν οι διασφαλίσεις δεν μπορούν να λειτουργήσουν στην πράξη.

Η απόφαση δεν είπε ότι ένα σύνορο είναι άνευ σημασίας. Είπε ότι ένα σύνορο είναι ένα μέρος του ερωτήματος. Οι επακόλουθες συστάσεις του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων μετατρέπουν αυτή την αρχή σε μέθοδο: γνωρίστε τις διαβιβάσεις, προσδιορίστε το νομικό εργαλείο, αξιολογήστε το δίκαιο και την πρακτική που μπορούν να το επηρεάσουν, προσθέστε μέτρα όπου μπορούν να λειτουργήσουν, ολοκληρώστε την απαιτούμενη διαδικασία και διατηρήστε την αξιολόγηση υπό επανεξέταση. Μια διεύθυνση διακομιστή εμφανίζεται σε αυτόν τον χάρτη. Δεν είναι ο χάρτης.

Αυτό έχει σημασία πέρα από τα προσωπικά δεδομένα. Η Πράξη για τα Δεδομένα αντιμετωπίζει τις υπηρεσίες cloud και άλλες υπηρεσίες επεξεργασίας δεδομένων ως υποδομή από την οποία οι πελάτες θα πρέπει να μπορούν να αλλάξουν πάροχο. Αντιμετωπίζει επίσης τις συνθήκες υπό τις οποίες μια δημόσια αρχή τρίτης χώρας επιδιώκει πρόσβαση σε μη προσωπικά δεδομένα που τηρούνται στην Ένωση. Και πάλι, η νομική απάντηση οικοδομείται από φορείς, σκοπούς, διασφαλίσεις, αποδεικτικά στοιχεία και ένδικα μέσα. Ένα κτίριο εμπλέκεται. Ένα κτίριο δεν αρκεί.

Το πρακτικό δίδαγμα για ένα ευρωπαϊκό ίδρυμα είναι επομένως σαφές. Ρωτήστε πού βρίσκονται τα δεδομένα. Στη συνέχεια, συνεχίστε να κάνετε ερωτήσεις έως ότου η απάντηση περιλάβει ποιος μπορεί να τα διαβάσει, ποιος μπορεί να τα αλλάξει, ποιος μπορεί να τα σταματήσει, ποιος μπορεί να τα εξάγει, ποιος μπορεί να υποχρεωθεί να τα αποκαλύψει και ποια αποδεικτικά στοιχεία θα παραμείνουν όταν τα μέρη διαφωνούν. Αν η απάντηση τελειώνει στην πόρτα του κέντρου δεδομένων, το χρήσιμο μέρος της έρευνας μόλις ξεκίνησε.

Η εγκατάσταση αφορά τον τόπο

Η εγκατάσταση δεδομένων είναι μια δήλωση σχετικά με το πού αποθηκεύονται ή υποβάλλονται σε επεξεργασία τα δεδομένα στο πλαίσιο μιας καθορισμένης συμφωνίας. Ο ορισμός χρειάζεται ένα πεδίο εφαρμογής. Αφορά το κύριο αντίγραφο, το αντίγραφο ασφαλείας, το ευρετήριο, την προσωρινή μνήμη, τα τηλεμετρικά δεδομένα, τον τόπο αποκατάστασης καταστροφών ή όλα αυτά; Η επεξεργασία περιλαμβάνει έναν διαχειριστή που βλέπει μια εγγραφή από άλλη χώρα; Μια συνεδρία υποστήριξης μετράει; Τι συμβαίνει όταν μια ομάδα διαχείρισης περιστατικών χρειάζεται να αντιγράψει ένα διαγνωστικό ίχνος; Μια υπόσχεση εγκατάστασης που δεν διευκρινίζει τι καλύπτει είναι μια ελκυστική ετικέτα προσαρτημένη σε μια ημιτελή πρόταση.

Τα συστήματα cloud είναι σχεδιασμένα για να μετακινούν την εργασία. Η αντιγραφή μπορεί να βελτιώσει τη διαθεσιμότητα. Μια δεύτερη τοποθεσία μπορεί να κρατήσει μια υπηρεσία ενεργή όταν η πρώτη δεν είναι διαθέσιμη. Μια τοποθεσία άκρου μπορεί να μειώσει την καθυστέρηση. Μια ομάδα ασφαλείας μπορεί να δρομολογήσει ένα αρχείο καταγραφής σε ένα κεντρικό σύστημα ανάλυσης. Αυτές είναι συνηθισμένες επιλογές μηχανικής, όχι ενδείξεις παραβατικής συμπεριφοράς. Σημαίνουν όμως ότι η φράση «αποθηκεύεται στην Ευρώπη» χρειάζεται ένα τεχνικό αντικείμενο προσαρτημένο σε αυτήν. Ποια δεδομένα, σε ποια κατάσταση, για ποια περίοδο, υπό ποια λειτουργία;

Η εκτίμηση κινδύνου cloud του ENISA, που δημοσιεύθηκε για πρώτη φορά το 2009, παραμένει χρήσιμη ακριβώς επειδή αρνήθηκε να αντιμετωπίσει τη γεωγραφία ως πλήρη έλεγχο. Εντοπίζει κινδύνους από την αποθήκευση σε πολλαπλές δικαιοδοσίες, την ανεπαρκή πληροφόρηση σχετικά με τις δικαιοδοσίες, την απώλεια διακυβέρνησης, την υπεργολαβία και τις αλλαγές στον έλεγχο του παρόχου. Το έγγραφο είναι αρκετά παλιό ώστε να έχει αδυναμία στα ακρωνύμια που οι σύγχρονες ομάδες μπορεί να μη συμμερίζονται, ωστόσο το οργανωτικό πρόβλημα δεν έχει εξαφανιστεί. Αν ένας πελάτης δεν μπορεί να δει πού υποβάλλονται σε επεξεργασία τα δεδομένα ή ποιος είναι υπεύθυνος για την επόμενη μεταβίβαση, ο πελάτης δεν μπορεί να λάβει αξιόπιστη απόφαση κινδύνου.

Η διαμονή μπορεί να είναι θεμιτή απαίτηση. Ένα δημόσιο αρχείο μπορεί να χρειάζεται τα αρχεία να παραμένουν εντός μιας καθορισμένης νομικής περιοχής. Μια υπηρεσία υγείας μπορεί να χρειάζεται μια ρύθμιση επεξεργασίας που περιορίζει πού μπορούν να ταξιδέψουν τα ευαίσθητα δεδομένα. Μια ερευνητική κοινοπραξία μπορεί να έχει υποχρεώσεις που απορρέουν από έναν χρηματοδότη ή μια συμφωνία ανταλλαγής δεδομένων. Αυτές οι απαιτήσεις θα πρέπει να διατυπώνονται ως επιχειρησιακές συνθήκες, με μια μέθοδο ελέγχου τους, και όχι ως ένα μεμονωμένο όνομα χώρας που όλοι καλούνται να ερμηνεύσουν γενναιόδωρα.

Υπάρχει επίσης διαφορά μεταξύ περιορισμού και εγγύησης. Το να απαιτείται από έναν πάροχο να διατηρεί την κύρια αποθήκευση στην Ευρωπαϊκή Ένωση περιορίζει μια κατηγορία μετακίνησης. Δεν εγγυάται ότι κανένα άτομο εκτός της Ένωσης δεν μπορεί να αποκτήσει πρόσβαση σε ένα αρχείο, ότι δεν φεύγουν μεταδεδομένα ή ότι καμία ξένη νομική υποχρέωση δεν μπορεί να φτάσει σε έναν πάροχο. Ένας περιορισμός μπορεί να είναι χρήσιμος χωρίς να αποτελεί εγγύηση. Η σύγχυση των δύο δημιουργεί μια ιστορία συμμόρφωσης που περνά από μια περιήγηση στην αίθουσα διακομιστών και αποτυγχάνει σε μια προσεκτικότερη ματιά στο επίπεδο διαχείρισης.

Το χρήσιμο ερώτημα διαμονής δεν είναι απλώς «πού βρίσκεται;». Είναι «ποιες τοποθεσίες είναι δυνατές για κάθε κατάσταση αυτών των δεδομένων, και ποιος μπορεί να προκαλέσει αυτή την αλλαγή κατάστασης;». Ένας πάροχος θα πρέπει να μπορεί να εξηγήσει την απάντηση με όρους που ένας μηχανικός μπορεί να υλοποιήσει και ένας αγοραστής μπορεί να επαληθεύσει. Αν η εξήγηση εξαρτάται από μια μη τεκμηριωμένη εξαίρεση, μια συνήθεια υποστήριξης ή μια υπόσχεση ότι οι υπεργολάβοι του ίδιου του παρόχου θα συμπεριφερθούν πιθανώς σωστά, ο ισχυρισμός διαμονής δεν είναι ακόμη επιχειρησιακός.

Πέντε ερωτήσεις που κρύβονται μέσα στη λέξη πού

Όταν οι άνθρωποι ρωτούν πού βρίσκονται τα δεδομένα τους, συχνά εννοούν πολλά διαφορετικά πράγματα ταυτόχρονα. Ο διαχωρισμός των ερωτήσεων κάνει μια συζήτηση προμηθειών λιγότερο θεατρική και πιο χρήσιμη.

1. Πού είναι τα bits; Αυτή είναι η ερώτηση για τη φυσική και λογική αποθήκευση. Περιλαμβάνει τα πρωτογενή δεδομένα, τα αντίγραφα, τα αντίγραφα ασφαλείας, τις προσωρινές μνήμες, τα ευρετήρια και τα σχετικά αρχεία καταγραφής. Μια ικανοποιητική απάντηση κατονομάζει το πεδίο εφαρμογής και τις συνθήκες υπό τις οποίες αλλάζει η απάντηση.

2. Πού γίνεται η επεξεργασία; Ένα αρχείο μπορεί να αποθηκεύεται σε μία δικαιοδοσία και να μετασχηματίζεται, να αναζητείται, να ταξινομείται, να κρυπτογραφείται ή να αποκρυπτογραφείται κάπου αλλού. Η επεξεργασία μπορεί να είναι μια προγραμματισμένη εργασία, μια ενέργεια υποστήριξης, ένας αγωγός παρακολούθησης ή ένα προσωρινό αντίγραφο που δημιουργείται κατά την ανάκτηση.

3. Ποιος μπορεί να έχει πρόσβαση; Αυτή είναι η ερώτηση ταυτότητας και λειτουργίας. Περιλαμβάνει προσωπικό, διαχειριστές, εργολάβους, λογαριασμούς υπηρεσιών, ομάδες αντιμετώπισης περιστατικών και αυτοματοποιημένα συστήματα. Ένα άτομο δεν χρειάζεται να βρίσκεται δίπλα σε έναν διακομιστή για να έχει ουσιαστική πρόσβαση σε αυτόν.

4. Ποιος μπορεί να επιβάλει αυτή την πρόσβαση; Αυτή είναι η ερώτηση δικαιοδοσίας και νομικής εξουσίας. Ακολουθεί τους σχετικούς οργανισμούς και ανθρώπους, τους ρόλους που κατέχουν, τις συμβάσεις που υπογράφουν και τις νομικές υποχρεώσεις που μπορούν να τους δεσμεύουν. Δεν απαντάται μόνο με μια ένδειξη στον χάρτη.

5. Τι μπορεί να κάνει ο πελάτης όταν αλλάξει η απάντηση; Αυτή είναι η ερώτηση ελέγχου και εξόδου. Μπορεί ο πελάτης να περιορίσει την πρόσβαση, να περιστρέψει τα κλειδιά, να αποκτήσει αξιόπιστο αρχείο, να επαναφέρει την υπηρεσία, να μετακινήσει τα δεδομένα και να τερματίσει τη σχέση χωρίς να χάσει αυτό που προσπαθούσε να προστατεύσει;

Αυτές οι ερωτήσεις αλληλοκαλύπτονται, αλλά δεν είναι εναλλάξιμες. Ένας πάροχος μπορεί να απαντήσει πειστικά στην πρώτη και ανεπαρκώς στην τρίτη. Μια σύμβαση μπορεί να απαντήσει στην πέμπτη στα χαρτιά, ενώ η τεχνική ομάδα δεν έχει εκτελέσει ποτέ τη διαδικασία εξόδου. Μια τοπική θυγατρική μπορεί να απαντήσει στην ερώτηση εταιρικής ταυτότητας, ενώ η υπηρεσία εξαρτάται από την υποδομή ή τον οργανισμό υποστήριξης της μητρικής εταιρείας. Η σωστή απάντηση δεν είναι να επιλέξει κανείς την πιο καθησυχαστική απάντηση. Είναι να διατηρήσει το σύνολο άθικτο.

Αυτός είναι επίσης ο λόγος που οι αξιολογήσεις κυριαρχίας μπορεί να μπερδευτούν. Η λέξη καλείται να καλύψει τη φυσική κατοικία, τη νομική ανεξαρτησία, τη λειτουργική επάρκεια, την οικονομική ιδιοκτησία, τη στρατηγική αυτονομία και την ικανότητα αποχώρησης. Αυτές είναι συναφείς φιλοδοξίες. Δεν είναι μία ιδιότητα. Ένας ακριβής οργανισμός αναφέρει ποια ιδιότητα χρειάζεται και ποια αποδεικτικά στοιχεία θα έδειχναν ότι υπάρχει.

Η δικαιοδοσία ακολουθεί την εξουσία

Η δικαιοδοσία δεν είναι ένα μυστικιστικό σύννεφο που περιβάλλει μια χώρα. Είναι ένας τρόπος να περιγραφεί ποιες νομικές αρχές μπορούν να ρυθμίζουν, να διατάσσουν, να ερευνούν, να επανεξετάζουν ή να επανορθώνουν τη συμπεριφορά των σχετικών φορέων. Σε μια κατανεμημένη υπηρεσία, οι φορείς έχουν τόση σημασία όσο και οι τόποι. Μια εταιρεία μπορεί να είναι εγκατεστημένη σε ένα κράτος μέλος, να λειτουργεί εγκαταστάσεις σε ένα δεύτερο, να χρησιμοποιεί ομάδα υποστήριξης σε ένα τρίτο και να εξαρτάται από μια μητρική ή υπεργολάβο που υπόκειται σε υποχρεώσεις αλλού. Ένας πελάτης που προσπαθεί να κατανοήσει τη νομική εμβέλεια πρέπει να ακολουθήσει την αλυσίδα εξουσίας, όχι να σταματήσει στο πλησιέστερο κτίριο.

Αυτό δεν σημαίνει ότι κάθε ξένη σύνδεση υπονομεύει τον ευρωπαϊκό έλεγχο. Οι ευρωπαϊκές υπηρεσίες είναι διασυνδεδεμένες εκ σχεδιασμού. Το διασυνοριακό εμπόριο, η έρευνα, η υποστήριξη, η χρηματοδότηση και οι υποδομές είναι φυσιολογικά. Το ερώτημα είναι αν ο οργανισμός γνωρίζει ποια σύνδεση φέρει ποια εξουσία. Ένας ευρωπαϊκός φορέας μπορεί να μπορεί να αρνηθεί ένα συνηθισμένο αίτημα, αλλά να μην έχει την εξουσία να αντισταθεί σε μια δεσμευτική εντολή από άλλο οργανισμό. Ένας υπεργολάβος μπορεί να κατέχει ένα διαπιστευτήριο που ο κύριος ανάδοχος δεν έχει συμπεριλάβει στο δικό του μητρώο πρόσβασης. Μια διαδικασία υποστήριξης μπορεί να επιτρέπει απομακρυσμένη πρόσβαση ακόμη και όταν η σύμβαση αποθήκευσης υπόσχεται τοπική περιοχή.

Η νομική ανάλυση εξαρτάται επίσης από το είδος των δεδομένων και το είδος του αιτήματος. Τα προσωπικά δεδομένα φέρνουν στο προσκήνιο τους κανόνες διαβίβασης του GDPR και το πλαίσιο των θεμελιωδών δικαιωμάτων. Τα μη προσωπικά δεδομένα δεν βρίσκονται σε νομικό κενό. Ο κανονισμός για τα δεδομένα περιέχει διασφαλίσεις για ορισμένα αιτήματα δημόσιων αρχών τρίτων χωρών που αφορούν μη προσωπικά δεδομένα που τηρούνται στην Ένωση. Ένα αίτημα πρέπει να εξετάζεται υπό το πρίσμα των προϋποθέσεων του κανονισμού, συμπεριλαμβανομένης της φύσης του αιτήματος και των προστασιών που διατίθενται στο νομικό σύστημα της τρίτης χώρας. Τα δύο καθεστώτα διαφέρουν και αυτή η διαφορά είναι ακριβώς ο λόγος για τον οποίο ένας αγοραστής δεν θα έπρεπε να τα συμπιέζει στη λέξη κατοικία.

Η απόφαση του ΔΕΕ στην υπόθεση C-311/18 παρέχει ένα χρήσιμο ευρωπαϊκό νομικό πρότυπο. Το Δικαστήριο δεν διερώτησε αν μια σύμβαση φαινόταν αρκετά τυπική. Διερώτησε αν η προστασία που εγγυάται το ευρωπαϊκό δίκαιο θα παρέμενε ουσιαστικά ισοδύναμη στις περιστάσεις της διαβίβασης, λαμβάνοντας υπόψη το δίκαιο και την πρακτική που θα μπορούσαν να επηρεάσουν τα δεδομένα. Οι τυποποιημένες συμβατικές ρήτρες μπορούν να δεσμεύουν τα μέρη που τις υπογράφουν. Δεν δεσμεύουν μια δημόσια αρχή που δεν είναι συμβαλλόμενο μέρος της σύμβασης. Όταν το νομικό περιβάλλον υπονομεύει τις υποσχεθείσες διασφαλίσεις, ο εξαγωγέας οφείλει να ανταποκριθεί.

Αυτή η λογική είναι ευρύτερη από τη συγκεκριμένη διαφορά. Μια σύμβαση είναι ένα μέσο ιδιωτικής κατανομής. Η δικαιοδοσία είναι το πεδίο εντός του οποίου μπορεί να δράσει η δημόσια εξουσία. Η σύμβαση μπορεί να λέει σε έναν προμηθευτή τι έχει υποσχεθεί στον πελάτη. Δεν μπορεί, από μόνη της, να αφαιρέσει μια δημόσια εξουσία που δεσμεύει τον προμηθευτή ή τους ανθρώπους του. Η χρηστή διακυβέρνηση λαμβάνει σοβαρά υπόψη και τις δύο διαπιστώσεις. Χρησιμοποιεί συμβάσεις για να ορίσει υποχρεώσεις και τεχνικά μέτρα για να καταστήσει αυτές τις υποχρεώσεις παρατηρήσιμες, αναγνωρίζοντας παράλληλα ότι η νομική εμβέλεια μπορεί να αλλάξει τις διαθέσιμες επιλογές.

Είναι δελεαστικό να μετατραπεί αυτό σε αναζήτηση μιας μόνης επικίνδυνης χώρας. Αυτό είναι λιγότερο χρήσιμο από το να χαρτογραφηθούν οι πραγματικές αρχές. Ποια οντότητα είναι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία; Ποια οντότητα απασχολεί τον διαχειριστή; Ποια οντότητα κατέχει τα κλειδιά κρυπτογράφησης; Ποια οντότητα μπορεί να δημιουργήσει αντίγραφο; Ποια οντότητα λαμβάνει ένα αίτημα υποστήριξης; Ποια αρχή θα μπορούσε να εκδώσει εντολή; Ποια θεραπεία θα είχε ο πελάτης και σε ποιο φόρουμ; Ο χάρτης μπορεί να είναι καθησυχαστικός. Μπορεί και να μην είναι. Κάθε αποτέλεσμα είναι πιο πολύτιμο από ένα αυτοκόλλητο χώρας.

Η ιδιοκτησία είναι τίτλος, όχι κλειδί

Η ιδιοκτησία έχει πραγματική νομική και οικονομική ισχύ. Μπορεί να καθορίσει ποιος μπορεί να πωλήσει ένα περιουσιακό στοιχείο, να διορίσει διευθυντές, να παραχωρήσει άδεια εκμετάλλευσης διανοητικής ιδιοκτησίας, να εισπράξει έσοδα ή να λάβει ορισμένες αποφάσεις. Σε έναν δημόσιο φορέα μπορεί να συνδέεται με τη θεσμική ευθύνη για αρχεία ή υποδομές. Σε έναν εταιρικό όμιλο μπορεί να εξηγεί ποιος μπορεί να ψηφίσει, να συγχωνευθεί, να χρηματοδοτήσει ή να αντικαταστήσει έναν πάροχο. Η ιδιοκτησία ανήκει σε μια αξιολόγηση κυριαρχίας.

Η ιδιοκτησία δεν παρέχει αυτόματα επιχειρησιακό έλεγχο. Ένας πελάτης μπορεί να κατέχει τα δεδομένα ενώ ένας προμηθευτής λειτουργεί τη βάση δεδομένων, διαχειρίζεται το σύστημα αντιγράφων ασφαλείας και ελέγχει τον λογαριασμό υπηρεσίας. Ένας δημόσιος φορέας μπορεί να κατέχει ένα κτίριο ενώ ένας εργολάβος κατέχει τα διαπιστευτήρια συντήρησης και τη μόνη δοκιμασμένη οδό για την αποκατάσταση του εξοπλισμού. Μια εταιρεία μπορεί να κατέχει τον πηγαίο κώδικα ενώ ένα τρίτο μέρος ελέγχει το κλειδί υπογραφής, τον εκτελεστή κατασκευής, το μητρώο πακέτων και την ταυτότητα ανάπτυξης. Ο τίτλος είναι πραγματικός. Το ίδιο και η εξάρτηση.

Η διάκριση γίνεται ορατή στα ρήματα. Η ιδιοκτησία είναι ουσιαστικό σε μια σύμβαση. Ο έλεγχος είναι η ικανότητα να επιθεωρεί, να λειτουργεί, να τροποποιεί, να σταματά, να ανακτά, να εξάγει, να διαγράφει και να αποδεικνύει. Μια διαδικασία προμηθειών που καταγράφει μόνο ουσιαστικά μπορεί να αφήσει τα σημαντικά ρήματα αναποφάσιστα. Μπορεί να έχει έναν κατονομαζόμενο ιδιοκτήτη για την πλατφόρμα και παρόλα αυτά να μην έχει κανένα κατονομαζόμενο άτομο που να μπορεί να περιστρέψει ένα κλειδί, να αφαιρέσει έναν προνομιούχο λογαριασμό ή να επαναφέρει από αντίγραφο ασφαλείας χωρίς να ζητήσει από έναν οργανισμό που δεν βρίσκεται στο δωμάτιο.

Δεν υπάρχει καμία αρετή στο να απαιτεί κανείς τη μέγιστη δυνατή κυριότητα. Ένα νοσοκομείο, ένα πανεπιστήμιο ή ένας δήμος μπορεί να μην έχει το προσωπικό και την ικανότητα ασφάλειας για να λειτουργήσει κάθε επίπεδο με ασφάλεια. Η ανάθεση μιας εργασίας μπορεί να είναι υπεύθυνη επιλογή όταν τα όρια είναι σαφή και ο πελάτης διατηρεί τη δυνατότητα να εποπτεύει, να δοκιμάζει και να επαναφέρει. Το ζητούμενο δεν είναι να τοποθετηθεί κάθε διακομιστής σε ένα δημόσιο υπόγειο. Το ζητούμενο είναι να αποφασιστεί ποιες δυνατότητες είναι απαραίτητες για την αποστολή και να διατηρηθούν αυτές οι δυνατότητες αρκετά κοντά ώστε να μπορούν να ελέγχονται.

Αυτή η απόφαση χρειάζεται αποδεικτικά στοιχεία. Η φράση «ο πελάτης κατέχει τα δεδομένα» θα πρέπει να οδηγεί σε ερωτήσεις σχετικά με τη μορφή εξαγωγής, τη φύλαξη των κλειδιών, τη διατήρηση, τη διαγραφή, τα αρχεία καταγραφής πρόσβασης και τα δικαιώματα υποστήριξης. Η φράση «ο πάροχος είναι ευρωπαϊκός» θα πρέπει να οδηγεί σε ερωτήσεις σχετικά με τον εταιρικό έλεγχο, τους υπεργολάβους, τις υποδομές, τη νομική έκθεση και τη συνέχεια. Η φράση «τα δεδομένα βρίσκονται στην Ένωση» θα πρέπει να οδηγεί σε ερωτήσεις σχετικά με την απομακρυσμένη διαχείριση, τα αντίγραφα, τις τοποθεσίες επεξεργασίας και τα νομικά αιτήματα. Μια καλή απάντηση μπορεί να είναι περίπλοκη. Η περιπλοκότητα δεν αποτελεί ελάττωμα όταν το ίδιο το σύστημα είναι περίπλοκο.

Ο επιχειρησιακός έλεγχος είναι το δικαίωμα να ενεργείς

Ο επιχειρησιακός έλεγχος γίνεται πιο εύκολα κατανοητός μέσα από μια ενέργεια παρά μέσα από ένα επίθετο. Σκεφτείτε έναν πελάτη που χρειάζεται να ανακαλέσει τα δικαιώματα ενός διαχειριστή. Ποιος μπορεί να πραγματοποιήσει την ανάκληση; Ποιο σύστημα ταυτοποίησης την εξουσιοδοτεί; Απαιτείται από τον πάροχο να εκτελέσει την αλλαγή ή μπορεί ο πελάτης να την κάνει άμεσα; Καλύπτει η ενέργεια τους λογαριασμούς υποστήριξης, τους λογαριασμούς έκτακτης ανάγκης και τα αδρανή διαπιστευτήρια; Υπάρχει κάποιο αρχείο που αποδεικνύει πότε εξαφανίστηκε το δικαίωμα πρόσβασης; Αν μια ενέργεια εξαρτάται από ένα γραφείο βοήθειας, τότε το γραφείο βοήθειας αποτελεί μέρος του επιπέδου ελέγχου.

Το ίδιο τεστ ισχύει και για τα κλειδιά. Η κρυπτογράφηση μπορεί να μειώσει την έκθεση, αλλά η διακυβέρνησή της εξαρτάται από το ποιος δημιουργεί, αποθηκεύει, περιστρέφει, ανακτά και μπορεί να χρησιμοποιήσει τα κλειδιά. Ένα τοπικά αποθηκευμένο αρχείο μπορεί να παραμείνει μη αναγνώσιμο για ένα μέρος που δεν μπορεί να αποκτήσει το κλειδί. Μπορεί επίσης να καταστεί μη προσβάσιμο στον πελάτη όταν η μόνη οδός ανάκτησης βρίσκεται στα χέρια ενός προμηθευτή. Η φύλαξη των κλειδιών δεν είναι επομένως ούτε σύνθημα κυριαρχίας ούτε μαγική γόμα για τη δικαιοδοσία. Είναι ένας συγκεκριμένος έλεγχος που πρέπει να ανατεθεί και να δοκιμαστεί.

Τα αρχεία καταγραφής αξίζουν την ίδια μεταχείριση. Ένας πίνακας ελέγχου μπορεί να δείχνει δραστηριότητα. Τα αποδεικτικά στοιχεία απαιτούν ένα αρχείο που ο πελάτης μπορεί να διατηρήσει, να ερμηνεύσει και να αμφισβητήσει. Ποιος γράφει το αρχείο καταγραφής; Μπορεί ένας διαχειριστής να το τροποποιήσει; Είναι αξιόπιστη η πηγή χρόνου; Καλύπτει την πρόσβαση υποστήριξης και την αυτοματοποιημένη επεξεργασία; Μπορεί ο πελάτης να αποκτήσει μια χρησιμοποιήσιμη εξαγωγή χωρίς την άδεια του παρόχου; Τι συμβαίνει όταν κλείνει ο λογαριασμός; Ένα αρχείο καταγραφής που εξαφανίζεται μαζί με την υπηρεσία είναι χρήσιμο για τις λειτουργίες και αδύναμο για τη λογοδοσία.

Η ανάκτηση είναι το πιο δύσκολο τεστ επιχειρησιακού ελέγχου, επειδή καθιστά ορατή κάθε εξάρτηση. Ένας πάροχος μπορεί να υποσχεθεί αντίγραφα ασφαλείας, αλλά η επαναφορά μπορεί να απαιτεί μια συγκεκριμένη περιοχή, μια μη διαθέσιμη άδεια χρήσης, έναν μηχανικό που δεν εργάζεται πλέον εκεί ή ένα μυστικό που είναι αποθηκευμένο σε ένα ξεχωριστό σύστημα. Ο πελάτης μπορεί να κατέχει το αρχείο αντιγράφου ασφαλείας και παρόλα αυτά να μην έχει τη δυνατότητα να το μετατρέψει σε μια λειτουργική υπηρεσία. Η ανάκτηση θα πρέπει να δοκιμάζεται ως μια ολοκληρωμένη ενέργεια, με το αποτέλεσμα να καταγράφεται και τα κενά να ανατίθενται σε ανθρώπους που μπορούν να τα καλύψουν.

Η διακοπή μιας υπηρεσίας είναι επίσης έλεγχος. Ένας οργανισμός μπορεί να χρειαστεί να θέσει σε παύση μια ενοποίηση, να απομονώσει ένα σύνολο δεδομένων, να αναστείλει την αυτοματοποιημένη επεξεργασία ή να αποτρέψει τη δημιουργία ενός νέου αντιγράφου. Αν μόνο ένας προμηθευτής μπορεί να πραγματοποιήσει τη διακοπή, τότε η ταυτότητα του προμηθευτή, οι νομικές του υποχρεώσεις, ο χρόνος απόκρισης και η διαδικασία υποστήριξης γίνονται μέρος του κινδύνου του οργανισμού. Αυτό μπορεί να είναι μια αποδεκτή ρύθμιση. Δεν είναι όμως μια αόρατη ρύθμιση.

Ο σκοπός αυτών των τεστ δεν είναι να δυσπιστούμε απέναντι σε κάθε προμηθευτή. Είναι να αντικαταστήσουμε την εμπιστοσύνη με μια σχέση που μπορεί να επιθεωρηθεί. Ένας προμηθευτής με σαφή απάντηση μπορεί να εξηγήσει ποιες ενέργειες εκτελεί ο ίδιος, ποιες εκτελεί ο πελάτης και ποιες απαιτούν συνεργασία. Ένας προμηθευτής που βασίζεται σε μια μόνο καθησυχαστική πρόταση δεν έχει ακόμη απαντήσει στο επιχειρησιακό ερώτημα.

Οι υπεργολάβοι μετατρέπουν μια απάντηση σε αλυσίδα

Μια υπηρεσία σπάνια είναι ένας οργανισμός που κάνει ένα πράγμα σε ένα μέρος. Οι πάροχοι cloud χρησιμοποιούν εξειδικευμένες υποδομές, συνεργάτες υποστήριξης, υπηρεσίες παρακολούθησης, λειτουργίες ασφάλειας, συντήρηση υλικού, παρόχους δικτύου και άλλους προμηθευτές. Κάποιοι είναι ορατοί στη σύμβαση. Άλλοι εμφανίζονται σε μια λίστα υποεπεξεργαστών, σε μια περιγραφή υπηρεσίας, σε μια ειδοποίηση περιστατικού ή σε μια ροή εργασίας υποστήριξης. Η αλυσίδα είναι συνηθισμένη. Η υποχρέωση να κατανοεί κανείς την αλυσίδα είναι επίσης συνηθισμένη.

Η εκτίμηση κινδύνου του ENISA επισημαίνει μια γνωστή αποτυχία: ένας πάροχος cloud μπορεί να αναθέσει υπηρεσίες σε τρίτο μέρος που δεν προσφέρει τις ίδιες εγγυήσεις, ενώ μια αλλαγή ελέγχου μπορεί να μεταβάλει τους όρους του παρόχου. Η έκθεση δεν είναι μια σύγχρονη προδιαγραφή αρχιτεκτονικής, ούτε χρειάζεται να είναι. Η διαχρονική της προειδοποίηση είναι οργανωτική. Ένας πελάτης δεν μπορεί να ισχυρίζεται ότι κατανοεί μια υπηρεσία όταν έχει αξιολογήσει μόνο την πρώτη εταιρεία που αναφέρεται στο τιμολόγιο.

Οι συστάσεις του ΕΣΠΔ είναι πιο συγκεκριμένες για τα προσωπικά δεδομένα. Το πρώτο βήμα είναι να γνωρίζει κανείς τις διαβιβάσεις, συμπεριλαμβανομένων των περαιτέρω διαβιβάσεων σε επεξεργαστές και υποεπεξεργαστές. Η απομακρυσμένη πρόσβαση από τρίτη χώρα μπορεί από μόνη της να θεωρηθεί διαβίβαση, ακόμη και όταν το αρχείο παραμένει σε κέντρο δεδομένων εντός ΕΟΧ. Μια ρύθμιση υποστήριξης αποτελεί επομένως μέρος του χάρτη διαβιβάσεων δεδομένων, όχι μια υποσημείωση που μπορεί να αντιμετωπιστεί μετά την ανάπτυξη.

Η ορατότητα του υπεργολάβου δεν είναι το ίδιο με τον έλεγχο του υπεργολάβου. Μια λίστα λέει στον πελάτη ποιος εμπλέκεται. Ο έλεγχος εξετάζει τι μπορεί να κάνει κάθε μέρος, ποια δεδομένα μπορεί να δει, ποιο νομικό εργαλείο καλύπτει τη δραστηριότητα, πώς κοινοποιείται μια αλλαγή και ποια θεραπεία υπάρχει όταν το μέρος παύει να πληροί τις προϋποθέσεις. Η αλυσίδα θα πρέπει να έχει όρια και αποδεικτικά στοιχεία σε κάθε μεταβίβαση.

Υπάρχει ένας πρακτικός λόγος να αντιστέκεται κανείς στις ασαφείς αλυσίδες. Όταν συμβαίνει ένα περιστατικό, η ευθύνη συχνά ταξιδεύει προς την αντίθετη κατεύθυνση από τα δεδομένα. Ο πελάτης ρωτά τον πάροχο. Ο πάροχος ρωτά μια ομάδα πλατφόρμας. Η ομάδα πλατφόρμας ρωτά έναν εξειδικευμένο προμηθευτή. Ο εξειδικευμένος προμηθευτής ρωτά έναν διαχειριστή σε άλλο οργανισμό. Κάθε μεταβίβαση μπορεί να προσθέσει καθυστέρηση, αβεβαιότητα και μια ευκαιρία για το αρχικό αρχείο να χάσει το πλαίσιό του. Ένας χάρτης ελέγχου θα πρέπει να δείχνει τη διαδρομή πριν από το περιστατικό, ενώ οι εμπλεκόμενοι έχουν ακόμη χρόνο να είναι ακριβείς.

Προσωπικά δεδομένα: η προστασία ταξιδεύει μαζί με το αρχείο

Ο GDPR δεν καθιστά τα προσωπικά δεδομένα ασφαλή απλώς τοποθετώντας τα πίσω από μια ευρωπαϊκή πόρτα. Οι κανόνες του για τις διαβιβάσεις έχουν σχεδιαστεί για να διατηρούν υψηλό επίπεδο προστασίας όταν τα δεδομένα μετακινούνται σε τρίτη χώρα. Το ΕΣΠΔ περιγράφει την αρχή με απλό τρόπο: ένα ουσιαστικά ισοδύναμο επίπεδο προστασίας θα πρέπει να συνοδεύει τα δεδομένα όπου κι αν πηγαίνουν, κατά τη διάρκεια και μετά τη διαβίβαση.

Αυτό δεν σημαίνει ότι κάθε διαβίβαση απαγορεύεται. Ο GDPR περιέχει διαφορετικά εργαλεία και προϋποθέσεις διαβίβασης, συμπεριλαμβανομένων των αποφάσεων επάρκειας και των εγγυήσεων βάσει του άρθρου 46. Το νομικό ζήτημα είναι αν το επιλεγμένο εργαλείο λειτουργεί υπό τις συγκεκριμένες συνθήκες. Οι συστάσεις του ΕΣΠΔ καλούν τους εξαγωγείς να αξιολογούν το δίκαιο και την πρακτική που αφορούν τη συγκεκριμένη διαβίβαση, να εξετάζουν αν ο εισαγωγέας ή τα δεδομένα μπορούν να εμπίπτουν σε προβληματικούς κανόνες και να τεκμηριώνουν τη συλλογιστική τους. Αν κανένα συμπληρωματικό μέτρο δεν μπορεί να αποκαταστήσει το απαιτούμενο επίπεδο προστασίας, η διαβίβαση θα πρέπει να αποφεύγεται, να αναστέλλεται ή να τερματίζεται.

Τρεις λεπτομέρειες ξεφεύγουν ιδιαίτερα εύκολα σε μια συζήτηση περί τόπου φιλοξενίας. Πρώτον, η περαιτέρω διαβίβαση έχει σημασία. Ένας πάροχος μπορεί να διατηρεί το κύριο αρχείο στον ΕΟΧ και να στέλνει ένα αντίγραφο σε μια υπηρεσία υποστήριξης ή ανάλυσης αλλού. Δεύτερον, η πρόσβαση έχει σημασία. Ένας διαχειριστής σε τρίτη χώρα μπορεί να μπορεί να διαβάσει ένα αρχείο χωρίς αυτό να μετακινηθεί ποτέ φυσικά στο γραφείο του. Τρίτον, η λογοδοσία έχει σημασία. Ο εξαγωγέας πρέπει να μπορεί να αποδεικνύει την αξιολόγηση και να την επανεξετάζει όταν αλλάζουν η υπηρεσία, ο νόμος, τα πρόσωπα ή οι συνθήκες.

Το πλαίσιο αυτό καλεί λοιπόν τον πελάτη να κατανοήσει τόσο τη τεχνική διαδρομή όσο και το νομικό πλαίσιο. Ένα διάγραμμα με περιοχές και βέλη είναι χρήσιμο. Δεν μπορεί να υποκαταστήσει την αξιολόγηση διαβίβασης. Ούτε μπορεί να το κάνει μια συμβατική υπόσχεση ότι ο πάροχος θα συμμορφωθεί, αν ο πελάτης δεν έχει ελέγξει τι μπορούν να επιτύχουν οι σχετικές εγγυήσεις έναντι των νόμων και των πρακτικών που ενδέχεται να ισχύουν για τον πάροχο.

Το ευρωπαϊκό δίκαιο προστασίας δεδομένων αντιμετωπίζει με υγιή καχυποψία τις μαγικές λέξεις. Η φράση «φιλοξενία στην ΕΕ» μπορεί να περιγράφει ένα χρήσιμο γεγονός. Η λέξη «συμμορφούμενο» μπορεί να περιγράφει ένα συμπέρασμα που απαιτεί αιτιολόγηση. Η λέξη «κυρίαρχο» μπορεί να περιγράφει έναν πολιτικό στόχο. Καμία από αυτές δεν θα πρέπει να επιτρέπεται να υποκαθιστά τα αποδεικτικά στοιχεία ότι τα δεδομένα προστατεύονται, η πρόσβαση διέπεται από κανόνες και η απόφαση μπορεί να υπερασπιστεί.

Μη προσωπικά δεδομένα: διαφορετικό καθεστώς, ίδια πειθαρχία

Η Πράξη για τα Δεδομένα αφορά ένα ευρύτερο σύνολο σχέσεων δεδομένων και περιλαμβάνει κανόνες για υπηρεσίες επεξεργασίας δεδομένων, όπως οι υπηρεσίες υπολογιστικού νέφους και οι υπηρεσίες υπολογιστικής άκρης. Δεν αντικαθιστά τον GDPR και δεν μετατρέπει κάθε απόφαση για το νέφος σε αξιολόγηση διαβίβασης για την προστασία δεδομένων. Παρέχει ωστόσο μια δεύτερη ευρωπαϊκή υπενθύμιση ότι ο τόπος, η πρόσβαση, η μεταφορά και η εξουσία πρέπει να εξετάζονται από κοινού.

Για μη προσωπικά δεδομένα που τηρούνται στην Ένωση, η εξήγηση της Επιτροπής για την Πράξη για τα Δεδομένα περιγράφει εγγυήσεις για ορισμένα αιτήματα ή αποφάσεις δημόσιας αρχής τρίτης χώρας. Όταν δεν υπάρχει εφαρμοστέα διεθνής συμφωνία που να διέπει την πρόσβαση, ο κανονισμός θέτει προϋποθέσεις που αποσκοπούν στην προστασία των ευρωπαϊκών συμφερόντων, συμπεριλαμβανομένης της προσοχής στο νομικό σύστημα της τρίτης χώρας και στην αναλογικότητα του αιτήματος. Οι πάροχοι αναμένεται να λαμβάνουν εύλογα μέτρα, όπως κρυπτογράφηση, έλεγχοι ή ρυθμίσεις πιστοποίησης, για την αποτροπή μη εξουσιοδοτημένης πρόσβασης και για την ενημέρωση των πελατών όπου είναι δυνατόν.

Η διατύπωση έχει σημασία. Η Πράξη για τα Δεδομένα δεν ισχυρίζεται ότι η Ένωση μπορεί να εξαφανίσει τα ξένα νομικά συστήματα. Δημιουργεί ένα πλαίσιο για την αξιολόγηση και τον περιορισμό ορισμένων οδών πρόσβασης. Ένας πάροχος πρέπει ακόμα να γνωρίζει ποια συστήματα λειτουργεί, ποια δεδομένα τηρούνται, ποιος μπορεί να ανταποκριθεί σε ένα αίτημα και ποια αποδεικτικά στοιχεία μπορούν να δοθούν στον πελάτη. Ένας πελάτης πρέπει ακόμα να κατανοεί ποια μέρη των δεδομένων είναι προσωπικά, ποια δεν είναι και ποια άλλα νομικά καθεστώτα ισχύουν.

Ο νόμος προσεγγίζει τον έλεγχο και μέσω της εναλλαγής. Οι πελάτες θα πρέπει να μπορούν να μετακινούνται μεταξύ υπηρεσιών επεξεργασίας δεδομένων, να χρησιμοποιούν υπηρεσίες παράλληλα και να μεταφέρουν εξαγώγιμα δεδομένα και ψηφιακά στοιχεία ενεργητικού. Οι πάροχοι οφείλουν να παρέχουν πληροφορίες σχετικά με τις μορφές εξαγωγής, τις διεπαφές, τους γνωστούς περιορισμούς και τον χρόνο που απαιτείται για τη διαδικασία. Οι κανόνες περί λειτουργικής ισοδυναμίας αναγνωρίζουν μια πρακτική αλήθεια: ένα αρχείο που μπορεί να ληφθεί δεν είναι κατ' ανάγκην μια υπηρεσία που μπορεί να ανακτηθεί.

Η εναλλαγή περιγράφεται συχνά ως μέτρο ανταγωνισμού, και πράγματι είναι. Είναι, όμως, και μέτρο κυριαρχίας με επιχειρησιακή έννοια. Ένας οργανισμός που μπορεί να αποχωρήσει έχει μεγαλύτερη ευχέρεια να αρνηθεί μια αλλαγή που δεν μπορεί να αποδεχθεί. Ένας οργανισμός που δεν μπορεί να αποχωρήσει μπορεί να κατέχει μια σύμβαση και παρόλα αυτά να διέπεται από τις προεπιλογές του παρόχου. Ένα νόμιμο δικαίωμα εναλλαγής αποτελεί σημαντική αφετηρία. Μια δοκιμασμένη μετεγκατάσταση που διατηρεί τα δεδομένα, τη διαμόρφωση και τα αποδεικτικά στοιχεία είναι εκείνο το στοιχείο που καθιστά το δικαίωμα αξιοποιήσιμο.

Συμβάσεις, κλειδιά και τα όρια της διαβεβαίωσης

Οι συμβάσεις παραμένουν απαραίτητες. Κατανέμουν τις υποχρεώσεις, θεσπίζουν κανόνες κοινοποίησης, προσδιορίζουν τους υπεργολάβους επεξεργασίας, ορίζουν την επιτρεπόμενη επεξεργασία, περιγράφουν τη διαγραφή και τη διατήρηση, δημιουργούν δικαιώματα ελέγχου και προβλέπουν συνδρομή κατά τη μετάβαση. Οι διατάξεις του νόμου για τα δεδομένα σχετικά με την εναλλαγή υπηρεσιών νέφους ενισχύουν την ανάγκη για σαφείς συμβατικούς όρους, εξαγώγιμα δεδομένα και πληροφορίες σχετικά με τον μηχανισμό μιας εξόδου. Οι παλαιότερες κατευθυντήριες οδηγίες του ENISA συνιστούν επίσης να δίνεται προσοχή στις μεταφορές δεδομένων, στην αλλαγή ελέγχου, στην πρόσβαση από αρχές επιβολής του νόμου, στις κοινοποιήσεις παραβίασης και στην ευθύνη κατά την αξιολόγηση συμβάσεων νέφους.

Μια σύμβαση δεν αποτελεί έλεγχο κατά τον χρόνο εκτέλεσης. Μια ρήτρα που αναφέρει ότι ο πελάτης μπορεί να εξάγει είναι ασθενέστερη από μια δοκιμή εξαγωγής σε αντιπροσωπευτικό σύνολο δεδομένων με επαναφορά σε δεύτερο περιβάλλον. Μια ρήτρα που αναφέρει ότι ο πάροχος θα διαγράψει είναι ασθενέστερη από μια διαδικασία διαγραφής που υπόκειται σε έλεγχο και καλύπτει αντίγραφα, προσωρινές μνήμες, εφεδρικά αντίγραφα και παράγωγες εγγραφές. Μια ρήτρα που παρέχει δικαίωμα ελέγχου είναι ασθενέστερη από αρχεία καταγραφής και αποδεικτικά στοιχεία που ο πελάτης μπορεί πράγματι να αποκτήσει. Το χαρτί έχει σημασία. Το χαρτί που δεν συναντά ποτέ ένα λειτουργικό σύστημα είναι ευγενικά διατυπωμένη αισιοδοξία.

Τα κλειδιά προσφέρουν παρόμοιο δίδαγμα. Η κρυπτογράφηση που ελέγχει ο πελάτης μπορεί να περιορίσει όσα μπορεί να διαβάσει ένας πάροχος ή ένα μη εξουσιοδοτημένο μέρος. Δεν απαντά, ωστόσο, στο ποιος μπορεί να υποχρεώσει ένα πρόσωπο που κατέχει ένα κλειδί ανάκτησης, ποιος ελέγχει τη μονάδα ασφαλούς υλικού, ποιος μπορεί να αλλάξει την πολιτική κλειδιών ή τι συμβαίνει όταν ο πελάτης χάσει το δικό του διαπιστευτήριο. Ο σωστός σχεδιασμός μπορεί να χρησιμοποιεί διαχωρισμένη εξουσία, ανεξάρτητη φύλαξη, προσεκτικά οριοθετημένη πρόσβαση και δοκιμασμένη ανάκτηση. Ο λανθασμένος σχεδιασμός μπορεί να τοποθετήσει το καθοριστικό κλειδί σε διαφορετική δικαιοδοσία και να χαρακτηρίσει τη ρύθμιση τοπική επειδή η βάση δεδομένων είναι τοπική.

Τα νομικά και τεχνικά μέτρα θα πρέπει να σχεδιάζονται από κοινού. Εάν μια σύμβαση απαιτεί από τον πελάτη να εγκρίνει την πρόσβαση υποστήριξης, η υπηρεσία θα πρέπει να διαθέτει μια ροή έγκρισης που αφήνει ίχνος. Εάν ο πελάτης πρέπει να αποτρέψει τις περαιτέρω διαβιβάσεις, ο πάροχος θα πρέπει να αποκαλύπτει τη διαδρομή και να επιβάλλει το όριο. Εάν πρέπει να αξιολογηθεί ένα αίτημα δημόσιας αρχής, η διαδικασία διαχείρισης περιστατικών θα πρέπει να διατηρεί το αίτημα, τη νομική ανάλυση, την απόφαση, την κοινοποίηση και την απάντηση. Μια νομική δέσμευση καθίσταται αξιόπιστη όταν ένα σύστημα μπορεί να αποδείξει πώς υλοποιείται.

Η ίδια αρχή ισχύει και για τις αλλαγές ιδιοκτησίας. Η εξαγορά ενός προμηθευτή, μια νέα μητρική εταιρεία, μια αλλαγή υπεργολάβου ή μια αλλαγή στην περιοχή λειτουργίας της υπηρεσίας μπορεί να μεταβάλει τον χάρτη ελέγχου χωρίς να αλλάξει η επωνυμία που βλέπει ο πελάτης. Οι συμβάσεις θα πρέπει να προβλέπουν κοινοποίηση και ένδικα μέσα. Τα τεχνικά απογραφικά στοιχεία θα πρέπει να επικαιροποιούνται. Ένα μητρώο αλλαγών θα πρέπει να δείχνει ποιες εξουσίες μετακινήθηκαν. Η διακυβέρνηση που υπάρχει μόνο κατά την αρχική υπογραφή έχει μικρό χρόνο ημιζωής.

Ο χάρτης ελέγχου του αγοραστή

Ένας δημόσιος ή ιδιωτικός αγοραστής δεν χρειάζεται ένα μαγικό ερωτηματολόγιο. Χρειάζεται έναν χάρτη που συνδέει τους ισχυρισμούς με τα αποδεικτικά στοιχεία. Οι ακόλουθες ερωτήσεις αποτελούν χρήσιμο σημείο εκκίνησης, επειδή ζητούν ενέργειες, φορείς και αρχεία και όχι ένα κολακευτικό επίθετο.

Ο πίνακας είναι σκόπιμα πεζός. Έχει σχεδιαστεί για να αντέξει την επαφή με μια ομάδα προμηθειών. Δίνει επίσης στον αγοραστή έναν τρόπο να συγκρίνει παρόχους χωρίς να προσποιείται ότι ένα πιστοποιητικό, μια εθνική σημαία ή μια ξενάγηση σε κέντρο δεδομένων τα επιλύει όλα. Τα αποδεικτικά στοιχεία μπορεί να είναι εμπιστευτικά. Η απαίτηση να υπάρχουν αποδεικτικά στοιχεία δεν θα έπρεπε να είναι.

Ζητήστε επίδειξη της κρίσιμης ενέργειας, όχι μόνο περιγραφή. Δείξτε πώς αφαιρείται ένας λογαριασμός με προνόμια. Δείξτε πώς εγκρίνεται μια συνεδρία υποστήριξης. Δείξτε τι λαμβάνει ένας πελάτης όταν ζητά εξαγωγή. Δείξτε πώς εντοπίζεται ένα αντίγραφο. Δείξτε τι κάνει ένα νομικό αίτημα στη ροή εργασιών ενός περιστατικού. Δείξτε πώς συνεχίζει ο οργανισμός όταν ο λογαριασμός του παρόχου αναστέλλεται. Το ζητούμενο δεν είναι να στηθεί μια θεαματική αποτυχία. Είναι να διαπιστωθεί αν ο έλεγχος υπάρχει πέρα από τις διαφάνειες.

Στη συνέχεια, ρωτήστε ποιος είναι ιδιοκτήτης του αποτελέσματος. Μια δοκιμή χωρίς ιδιοκτήτη είναι επίδειξη. Ένα κενό χωρίς ημερομηνία είναι μόνιμο χαρακτηριστικό. Ένας έλεγχος χωρίς αρχείο είναι πεποίθηση. Ο χάρτης θα πρέπει επομένως να κατονομάζει το άτομο ή το όργανο που αποδέχεται τον κίνδυνο, τον προμηθευτή που πρέπει να εκτελέσει την ενέργεια και τη διαδρομή για την αμφισβήτηση του αποτελέσματος. Η διακυβέρνηση δεν είναι μια στοίβα ερωτήσεων. Είναι ένα σύνολο αποφάσεων με κάπου να καταλήξουν.

Ένα πείραμα σκέψης για ένα ευρωπαϊκό αρχείο

Ακολουθεί ένα χαρακτηρισμένο υποθετικό σενάριο, όχι αναφορά πραγματικού πελάτη ή περιστατικού. Φανταστείτε ένα δημοτικό αρχείο να επιλέγει μια φιλοξενούμενη υπηρεσία για ψηφιοποιημένα πολεοδομικά αρχεία. Ο διαγωνισμός απαιτεί κύρια αποθήκευση εντός της Ευρωπαϊκής Ένωσης και ζητά κρυπτογράφηση, αντίγραφα ασφαλείας και γραφείο υποστήριξης. Τρεις πάροχοι πληρούν τα κριτήρια. Ο ένας είναι τοπικά εγγεγραμμένος αλλά βασίζεται σε υπεργολάβο υποστήριξης εκτός Ένωσης. Ο δεύτερος διατηρεί την αποθήκευση και την υποστήριξη εντός της Ένωσης αλλά χρησιμοποιεί την πλατφόρμα ταυτότητας της μητρικής εταιρείας. Ο τρίτος έχει μικρότερη τοπική λειτουργία, σαφή φύλαξη κλειδιών και δοκιμασμένη εξαγωγή, αλλά χρειάζεται προσεκτικά οριοθετημένο επίπεδο υπηρεσίας επειδή δεν μπορεί να προσφέρει κάθε προαιρετική δυνατότητα.

Ο πρώτος πάροχος μπορεί να είναι ακόμα αποδεκτός. Ο δεύτερος μπορεί να είναι ακόμα αποδεκτός. Ο τρίτος μπορεί να είναι ακόμα ακατάλληλος για μια συγκεκριμένη απαίτηση διαθεσιμότητας. Το ζητούμενο του πειράματος σκέψης είναι ότι η εγκατάσταση από μόνη της δεν μπορεί να επιλέξει μεταξύ τους. Το αρχείο πρέπει να ρωτήσει ποια πρόσβαση υποστήριξης είναι δυνατή, ποιος μπορεί να δημιουργήσει αντίγραφο, ποιες νομικές οντότητες μπορούν να λάβουν εντολή, πώς διαχειρίζονται τα κλειδιά, τι δείχνουν τα αρχεία καταγραφής και αν τα αρχεία μπορούν να ανακτηθούν αλλού.

Ας υποθέσουμε ότι το αρχείο αποφασίζει ότι η τοπική αποθήκευση είναι η σημαντικότερη προϋπόθεσή του. Μπορεί να καταγράψει αυτή την απαίτηση στη σύμβαση. Θα πρέπει επίσης να ορίσει τα αντικείμενα που καλύπτονται από την προϋπόθεση, να απαιτεί ειδοποίηση για οποιαδήποτε αλλαγή και να ζητά να προσδιοριστεί πώς θα εντοπιζόταν μια παραβίαση. Ας υποθέσουμε ότι αποφασίζει ότι η εξ αποστάσεως υποστήριξη επιτρέπεται μόνο για ένα τεκμηριωμένο συμβάν. Η υπηρεσία χρειάζεται μια διαδικασία έγκρισης, διαπιστευτήρια με περιορισμένη διάρκεια και ένα αρχείο καταγραφής που μπορεί να ελεγχθεί. Ας υποθέσουμε ότι αποφασίζει ότι το αρχείο πρέπει να μπορεί να αποχωρήσει. Η έξοδος θα πρέπει να δοκιμάζεται προτού η υπηρεσία γίνει το μόνο μέρος όπου κάποιος ξέρει πώς να διαβάσει τα αρχεία.

Τίποτα σε αυτό το υποθετικό σενάριο δεν απαιτεί από το αρχείο να λειτουργεί κέντρο δεδομένων. Απαιτεί από το αρχείο να κατανοεί τις εξουσίες που εκχωρεί. Αυτή είναι η διαφορά ανάμεσα στην υπεύθυνη ανάθεση και σε μια αγορά που μεταφέρει τον κίνδυνο σε έναν χώρο στον οποίο ο αγοραστής δεν μπορεί να εισέλθει.

Τι μπορεί να σημαίνει ειλικρινά η λέξη κυριαρχία στην Ευρώπη

Η ευρωπαϊκή κυριαρχία στις ψηφιακές υποδομές θα πρέπει να περιγράφεται με όρους που αντέχουν σε μια δύσκολη ερώτηση. Μπορεί να σημαίνει ότι ένας ευρωπαϊκός θεσμός διατηρεί την εξουσία επί κρίσιμων αποφάσεων. Μπορεί να σημαίνει ότι οι βασικές εξαρτήσεις είναι ορατές, περιορισμένες και ανακτήσιμες. Μπορεί να σημαίνει ότι τα νομικά δικαιώματα συνοδεύονται από τεχνική ικανότητα. Μπορεί να σημαίνει ότι ένας δημόσιος αγοραστής μπορεί να αλλάξει πάροχο, να αμφισβητήσει, να επιθεωρήσει και να συνεχίσει τη λειτουργία όταν ένας πάροχος ή ένας νόμος αλλάζει τη διαθέσιμη πορεία.

Δεν θα πρέπει να σημαίνει ότι μια υπηρεσία είναι αυτόματα ασφαλής επειδή η διαφημιστική της έδρα είναι ευρωπαϊκή. Ούτε θα πρέπει να σημαίνει ότι κάθε ξένη σύνδεση απαγορεύεται. Η Ευρώπη εξαρτάται από διασυνοριακά συστήματα, και ένας κανόνας που προσποιείται το αντίθετο θα αγνοηθεί ή θα παρακαμφθεί σιωπηλά. Η ώριμη θέση είναι πιο απαιτητική: να επιτρέπονται οι εξαρτήσεις που εξυπηρετούν την αποστολή, να τεκμηριώνονται, να μειώνονται εκείνες που φέρουν απαράδεκτη ισχύ και να διατηρείται μια έξοδος για εκείνες που δεν μπορούν να καταστούν αξιόπιστες.

Αυτή η θέση δίνει επίσης στους ευρωπαίους παρόχους μια δικαιότερη δοκιμασία. Ένας τοπικός πάροχος δεν θα πρέπει να χρειάζεται να κάνει επίδειξη σημαίας για να τον παίρνουν στα σοβαρά. Θα πρέπει να μπορεί να δείξει τι λειτουργεί, τι εκχωρεί, ποιος έχει πρόσβαση, ποιος νόμος μπορεί να ισχύει, πώς προστατεύονται τα δεδομένα και πώς μπορεί να αποχωρήσει ένας πελάτης. Ένας παγκόσμιος πάροχος θα πρέπει να αντιμετωπίσει τις ίδιες ερωτήσεις. Το κριτήριο είναι τα αποδεικτικά στοιχεία ελέγχου, όχι το θέατρο προέλευσης.

Η λέξη κυριαρχία γίνεται χρήσιμη όταν αλλάζει τη συμπεριφορά των αγορών. Ένα υπουργείο μπορεί να χρησιμοποιήσει τις προμήθειες για να επιβραβεύσει μια δοκιμασμένη διαδρομή εξόδου. Ένα νοσοκομείο μπορεί να απαιτήσει βασικές ρυθμίσεις που αντιστοιχούν στα κλινικά του καθήκοντα. Ένα πανεπιστήμιο μπορεί να καταστήσει ορατή την προέλευση των ερευνητικών δεδομένων. Μια ρυθμιστική αρχή μπορεί να ζητήσει την κατάσταση ενός συστήματος τη στιγμή μιας απόφασης. Ένας προμηθευτής μπορεί να σχεδιάσει την υπηρεσία του έτσι ώστε η εξουσία του πελάτη να μην είναι μια διακοσμητική παράγραφος. Αυτές είναι θεσμικές ενέργειες, όχι διαγωνισμός συνθημάτων.

Ένα σύντομο σημείωμα από εμάς

Στη Dweve, η δημόσια ανάλυσή μας The Sovereignty Illusion: where control really sits, που δημοσιεύθηκε στις 29 Ιουνίου 2026, ακολουθεί παρόμοια μεθοδολογία. Διαχωρίζει την ιδιοκτησία, την τεχνολογία, το κεφάλαιο, την υποδομή και τη νομική έκθεση αντί να επιτρέπει σε μια ευρωπαϊκή ετικέτα να αντιπροσωπεύει και τα πέντε. Αυτό το άρθρο είναι πιο περιορισμένο. Ακολουθεί τον ισχυρισμό περί κέντρου δεδομένων στα επιχειρησιακά και νομικά επίπεδα που πρέπει να διαχειριστεί ένας αγοραστής.

Έτσι προτιμούμε να περιγράφουμε και τη δική μας δουλειά. Ένα σύστημα θα πρέπει να καθιστά τα όριά του ευανάγνωστα: τι είναι τοπικό, τι εκχωρείται, τι καταγράφεται, τι μπορεί να αμφισβητηθεί και τι μπορεί να αλλάξει. Ο χρήσιμος ισχυρισμός είναι αυτός που μπορεί να επιθεωρήσει ο αναγνώστης. Τα υπόλοιπα είναι διακόσμηση, και η Ευρώπη έχει ήδη άφθονη διακοσμητική υποδομή.

Το νομικό επιχείρημα αρχίζει μετά τη διεύθυνση

Η τοποθεσία ενός κέντρου δεδομένων αξίζει να είναι γνωστή. Μπορεί να επηρεάσει τη φυσική πρόσβαση, την ανθεκτικότητα, τη συνδεσιμότητα, τους ισχύοντες τοπικούς κανόνες και τον σχεδιασμό μιας υπηρεσίας. Μπορεί να είναι η σωστή πρώτη ερώτηση. Είναι όμως φτωχή τελική απάντηση.

Η τελική απάντηση πρέπει να συνδέει τον τόπο με την εξουσία. Πρέπει να κατονομάζει τον φορέα εκμετάλλευσης, τις ταυτότητες, τα κλειδιά, τους υπεργολάβους, τα νομικά εργαλεία, τα πιθανά αιτήματα, τα αποδεικτικά στοιχεία και την έξοδο. Για τα προσωπικά δεδομένα, το επίπεδο προστασίας σε ευρωπαϊκό επίπεδο πρέπει να παραμένει ουσιαστικά ισοδύναμο κατά τη διαβίβαση, και οι εξαγωγείς οφείλουν να αξιολογούν τις περιστάσεις και όχι να επαναλαμβάνουν έναν ισχυρισμό περί τοποθεσίας. Για τα μη προσωπικά δεδομένα, ο Νόμος για τα Δεδομένα προσθέτει κανόνες σχετικά με την πρόσβαση από ξένες χώρες και την αλλαγή παρόχου νέφους, που και πάλι καθιστούν τον έλεγχο και τη φορητότητα συγκεκριμένα.

Δεν υπάρχει ένας ενιαίος ευρωπαϊκός αριθμός που να μετατρέπει μια περίπλοκη υπηρεσία σε κυρίαρχη. Υπάρχει μια ακολουθία ερωτήσεων, ελέγχων και αρχείων. Η ακολουθία είναι πιο αργή από το να τυπώσεις «φιλοξενούμενο στην ΕΕ» σε ένα φυλλάδιο. Είναι επίσης το μέρος που παραμένει χρήσιμο αφού το φυλλάδιο έχει πάψει να ισχύει.

Όταν ένας αγοραστής ρωτά πού βρίσκονται τα δεδομένα, απαντήστε με ακρίβεια για την τοποθεσία. Στη συνέχεια ρωτήστε ποιος μπορεί να τα διαβάσει, ποιος μπορεί να ενεργήσει βάσει αυτών, ποιος μπορεί να εξαναγκαστεί, ποιος μπορεί να αποδείξει τι συνέβη και ποιος μπορεί να αποχωρήσει. Ένα ευρωπαϊκό κέντρο δεδομένων μπορεί να αποτελεί μέρος μιας αξιόπιστης ρύθμισης. Δεν μπορεί να αποτελεί από μόνο του το νομικό επιχείρημα.

Πηγές

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, τελική έκδοση 18 Ιουνίου 2021. Η συνδεδεμένη σελίδα περιλαμβάνει το επίσημο PDF.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Δικαστήριο της Ευρωπαϊκής Ένωσης, απόφαση 16 Ιουλίου 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Ευρωπαϊκό Κοινοβούλιο και Συμβούλιο, 13 Δεκεμβρίου 2023, EUR-Lex.
• Data Act explained, Ευρωπαϊκή Επιτροπή, δημοσιεύθηκε το 2025 και προσπελάστηκε στις 5 Αυγούστου 2026.
• Cloud Computing Risk Assessment και το επίσημο PDF της έκθεσης, Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29 Ιουνίου 2026.