Andmekeskus ei ole juriidiline argument

Andmekeskus ei ole juriidiline argument

Brošüüril olev aadress

Pilveteenuste pakkumistes esineb lause, mis kõlab nagu lõpetatud argument: andmeid hoitakse Euroopa andmekeskuses. See lause võib olla tõene. Kuid see võib ka kanda palju suuremat koormust, kui ta suudab kanda.

Andmekeskusel on asukoht. See asukoht on oluline füüsilise turvalisuse, vastupidavuse, energia, ühenduvuse, riiklike eeskirjade ja kohaliku omavalitsuse praktilise ulatuse seisukohalt. See ütleb ostjale midagi kasulikku selle kohta, kus mõni seade asub. Kuid see ei ütle iseenesest ostjale, kes teenust omab, kes seadmeid haldab, kus koopiaid tehakse, kelle käes on võtmed, millised inimesed saavad seda haldada, millistel ettevõtetel on lubatud osa tööst allhankijatena teha, või milline õigussüsteem saab kohustada osapoolt juurdepääsu võimaldama.

Seda eristust on lihtne sõnastada, kuid üllatavalt lihtne ka kaotada. Postiindeks on nähtav. Kontroll on hajutatud. Postiindeks mahub kenasti hanke tabelisse; kontroll saabub lepingute, identiteetide, tugikontode, haldustasandite, krüpteerimisvõtmete, ettevõtetevaheliste suhete, protseduuride ja õiguslike kohustuste ahelana. Esimene on fakt koha kohta. Teine on küsimus võimu kohta.

Euroopa andmekaitseseadus on seda seisukohta väljendanud üha täpsemas keeles. Euroopa Liidu Kohtu 16. juuli 2020. aasta otsuses Schrems II uuriti, kuidas võivad isikuandmed Euroopa Majanduspiirkonnast lahkuda, säilitades samal ajal kaitse taseme, mis on sisuliselt samaväärne piirkonna sees tagatud kaitsega. Kohus kinnitas standardlepingu tingimusi kui võimalikku ülekandmisvahendit, kuid tegi selgeks, et need ei toimi vaakumis. Vastutav töötleja peab uurima sihtkoha seadusi ja tavasid ülekande asjaoludel ning tegutsema, kui kaitsemeetmed praktikas ei toimi.

Otsus ei öelnud, et piir on ebaoluline. See ütles, et piir on vaid üks osa küsimusest. Euroopa Andmekaitse Nõukogu hilisemad soovitused muudavad selle põhimõtte meetodiks: tea ülekandeid, tuvasta õiguslik vahend, hinda seadusi ja tavasid, mis võivad seda mõjutada, lisa meetmeid seal, kus need saavad toimida, täida nõutav menetlus ja hoia hinnangut pidevalt ajakohasena. Serveri aadress ilmub sellel kaardil. Kuid see ei ole kaart ise.

See on oluline ka väljaspool isikuandmeid. Andmemäärus käsitleb pilv- ja muid andmetöötlusteenuseid infrastruktuurina, mille vahel peaksid kliendid saama vahetada. See käsitleb ka tingimusi, mille alusel kolmanda riigi ametiasutus taotleb juurdepääsu liidus hoitavatele mitteisikuandmetele. Jällegi on õiguslik vastus üles ehitatud tegijatest, eesmärkidest, kaitsemeetmetest, tõenditest ja õiguskaitsevahenditest. Hoone on asjasse puutuv. Kuid hoone üksi ei piisa.

Praktiline õppetund Euroopa institutsioonile on seega selge. Küsi, kus andmed asuvad. Seejärel jätka küsimuste esitamist, kuni vastus hõlmab seda, kes saab neid lugeda, kes saab neid muuta, kes saab neid peatada, kes saab neid eksportida, keda saab sundida neid avalikustama ja millised tõendid jäävad alles, kui osapooled ei jõua kokkuleppele. Kui vastus lõpeb andmekeskuse uksel, on uurimise kasulik osa alles alanud.

Asukohapõhisus on seotud kohaga

Andmete asukohapõhisus on väide selle kohta, kus andmeid hoitakse või töödeldakse kindlaksmääratud korra alusel. Määratlus vajab ulatust. Kas see on esmane koopia, varukoopia, indeks, vahemälu, telemeetria, katastroofitaaste sait või kõik need? Kas töötlemine hõlmab seda, kui administraator vaatab mõnda kirjet teisest riigist? Kas tugiseanss loeb? Mis juhtub, kui intsidentide meeskond peab kopeerima diagnostikajälje? Asukohapõhisuse lubadus, mis ei ütle, mida see hõlmab, on atraktiivne silt lõpetamata lause küljes.

Pilvesüsteemid on loodud töö liigutamiseks. Replikatsioon võib parandada kättesaadavust. Teine sait võib hoida teenuse elus, kui esimene sait pole kättesaadav. Äärepaik võib vähendada latentsust. Turvameeskond võib suunata logi kesksesse analüüsisüsteemi. Need on tavalised insenerivalikud, mitte tõendid väärkäitumisest. Küll aga tähendavad need, et fraasile „salvestatud Euroopas“ tuleb lisada tehniline objekt. Millised andmed, millises olekus, milliseks perioodiks, millise toimingu raames?

ENISA pilveriski hinnang, mis avaldati esmakordselt 2009. aastal, on endiselt kasulik just seetõttu, et see keeldus kohtlemast geograafiat täieliku kontrollimeetmena. See toob välja riskid, mis tulenevad salvestamisest mitmes jurisdiktsioonis, ebapiisavast teabest jurisdiktsioonide kohta, halduse kaotusest, allhankest ja muutustest teenusepakkuja kontrollis. Dokument on piisavalt vana, et armastada lühendeid, mida kaasaegsed meeskonnad ei pruugi jagada, kuid organisatsiooniline probleem pole kadunud. Kui klient ei näe, kus andmeid töödeldakse või kes vastutab järgmise üleandmise eest, ei saa klient teha usaldusväärset riskiotsust.

Asukohanõue võib olla õigustatud. Avalik arhiiv võib vajada, et dokumendid jääksid kindlaksmääratud õiguspiirkonda. Tervishoiuteenus võib vajada töötlemiskorraldust, mis piirab tundlike andmete liikumist. Teaduskonsortsiumil võivad olla kohustused rahastaja või andmejagamislepingu suhtes. Need nõuded tuleks kirjutada tegevustingimustena koos kontrollimeetodiga, mitte ühe riigi nimega, mida kõik on oodatud heldelt tõlgendama.

Samuti on erinevus piirangu ja garantii vahel. Nõue, et teenusepakkuja hoiaks põhisalvestust Euroopa Liidus, piirab ühte liikumisklassi. See ei garanteeri, et keegi väljaspool liitu ei pääse dokumendile ligi, et ükski metaandmed ei lahku või et ükski välismaine õiguskohustus ei ulatu teenusepakkujani. Piirang võib olla kasulik ilma garantiita. Nende kahe segiajamine loob vastavusloo, mis läbib serveriruumi ringkäigu, kuid kukub läbi haldustasandi lähemal vaatlusel.

Kasulik asukohaküsimus pole lihtsalt „kus see on?“ See on „millised asukohad on võimalikud selle andmete iga oleku jaoks ja kes saab seda olekut muuta?“ Teenusepakkuja peaks suutma vastust selgitada viisil, mida insener saab rakendada ja ostja kontrollida. Kui selgitus sõltub dokumenteerimata erandist, tugiharjumusest või lubadusest, et teenusepakkuja allhankijad käituvad tõenäoliselt hästi, pole asukohanõue veel toimiv.

Viis küsimust, mis peituvad sõnas kus

Kui inimesed küsivad, kus nende andmed asuvad, peavad nad sageli silmas mitut erinevat asja korraga. Küsimuste eristamine muudab hankevestluse vähem teatraalseks ja kasulikumaks.

1. Kus on bitid? See on füüsilise ja loogilise salvestuse küsimus. See hõlmab põhiandmeid, koopiaid, varukoopiaid, vahemälusid, indekseid ja asjakohaseid logisid. Rahuldav vastus nimetab ulatuse ja tingimused, mille korral vastus muutub.

2. Kus töötlemine toimub? Kirje võib olla salvestatud ühes jurisdiktsioonis ja teisendatud, otsitud, klassifitseeritud, krüpteeritud või dekrüpteeritud kusagil mujal. Töötlemine võib olla ajastatud töö, tugitoiming, seiretoru või ajutine koopia, mis tehakse taastamise ajal.

3. Kes pääseb sellele ligi? See on identiteedi ja operatiivküsimus. See hõlmab töötajaid, administraatoreid, töövõtjaid, teenusekontosid, intsidentidele reageerijaid ja automatiseeritud süsteeme. Inimesel ei pea olema serveri kõrval elukoht, et tal oleks sellele tegelik juurdepääs.

4. Kes saab seda juurdepääsu nõuda? See on jurisdiktsiooni ja õigusliku volituse küsimus. See järgib asjaomaseid organisatsioone ja inimesi, nende rolle, lepinguid, millele nad alla kirjutavad, ja õiguslikke kohustusi, mis võivad neid siduda. Sellele ei vasta üksnes kaardimärk.

5. Mida saab klient teha, kui vastus muutub? See on kontrolli ja lahkumise küsimus. Kas klient saab juurdepääsu piirata, võtmeid vahetada, usaldusväärset kirjet hankida, teenust taastada, andmeid teisaldada ja suhet lõpetada, kaotamata seda, mida ta üritas kaitsta?

Need küsimused kattuvad, kuid neid ei saa omavahel vahetada. Pakkuja võib esimesele küsimusele veenvalt vastata ja kolmandale halvasti. Leping võib viiendale küsimusele paberil vastata, samal ajal kui tehniline meeskond pole lahkumist kunagi läbi mänginud. Kohalik tütarettevõte võib vastata ettevõtte identiteedi küsimusele, samal ajal kui teenus sõltub emaettevõtte infrastruktuurist või tugiorganisatsioonist. Õige vastus ei ole kõige lohutavama vastuse valimine. See on kogumi terviklikuna hoidmine.

See on ka põhjus, miks suveräänsuse hinnangud võivad segaseks muutuda. Sõnal palutakse katta füüsiline asukoht, õiguslik iseseisvus, operatiivne pädevus, majanduslik omand, strateegiline autonoomia ja lahkumise võime. Need on seotud ambitsioonid. Need ei ole üks omadus. Täpne institutsioon ütleb, millist omadust ta vajab ja milline tõend näitaks, et see on olemas.

Jurisdiktsioon järgib volitust

Jurisdiktsioon ei ole müstiline pilv, mis ümbritseb riiki. See on viis kirjeldada, millised õigusasutused saavad reguleerida, korraldada, uurida, läbi vaadata või heastada asjaomaste osaliste tegevust. Hajutatud teenuses on osalised sama olulised kui kohad. Ettevõte võib olla asutatud ühes liikmesriigis, käitada rajatisi teises, kasutada tugimeeskonda kolmandas ja sõltuda emaettevõttest või alltöövõtjast, kellel on kohustused mujal. Klient, kes üritab mõista õiguslikku ulatust, peab järgima volituste ahelat, mitte peatuma lähima hoone juures.

See ei tähenda, et iga välismaine ühendus võidaks Euroopa kontrolli. Euroopa teenused on disaini poolest omavahel ühendatud. Piiriülene kaubandus, teadustöö, tugi, rahastus ja infrastruktuur on tavalised. Küsimus on selles, kas institutsioon teab, milline ühendus kannab millist võimu. Euroopa operaator võib suuta keelduda tavapärasest taotlusest, kuid puudub tal volitus vastu seista teise organisatsiooni siduvale korraldusele. Alltöövõtjal võib olla mandaat, mida peatöövõtja ei ole oma juurdepääsuvarude loendisse lisanud. Tugiprotsess võib lubada kaugjuurdepääsu isegi siis, kui salvestusleping lubab kohalikku piirkonda.

Õiguslik analüüs sõltub ka andmete liigist ja taotluse liigist. Isikuandmed toovad mängu GDPR-i ülekandereeglid ja põhiõiguste raamistiku. Mitteisikuandmed ei ole õiguslik vaakum. Andmemäärus sisaldab kaitsemeetmeid teatud kolmanda riigi avaliku sektori asutuste taotluste puhul, mis puudutavad liidus hoitavaid mitteisikuandmeid. Taotlust tuleb hinnata määruse tingimuste alusel, sealhulgas taotluse olemuse ja kolmanda riigi õigussüsteemis kättesaadavate kaitsemeetmete põhjal. Need kaks režiimi on erinevad ja just see erinevus on põhjus, miks ostja ei tohiks neid kokku suruda sõnasse residentsus.

Euroopa Kohtu otsus kohtuasjas C-311/18 pakub kasulikku Euroopa õiguslikku mustrit. Kohus ei küsinud, kas leping näeb piisavalt formaalne välja. Ta küsis, kas Euroopa õiguse tagatud kaitse jääks ülekande asjaoludes sisuliselt samaväärseks, võttes arvesse õigust ja praktikat, mis võivad andmeid mõjutada. Tüüptingimused võivad siduda lepingu allkirjastanud osapooli. Need ei seo avaliku sektori asutust, kes ei ole lepingu osapool. Kui õiguskeskkond õõnestab lubatud kaitsemeetmeid, peab eksportija reageerima.

See loogika on laiem kui konkreetne vaidlus. Leping on eraõigusliku jaotamise vahend. Jurisdiktsioon on valdkond, kus avalik võim saab tegutseda. Leping võib öelda tarnijale, mida ta on kliendile lubanud. See ei saa iseenesest kõrvaldada avalikku võimu, mis seob tarnijat või tema inimesi. Hea valitsemistava võtab mõlemat väidet tõsiselt. See kasutab lepinguid kohustuste seadmiseks ja tehnilisi meetmeid, et muuta need kohustused jälgitavaks, tunnistades samal ajal, et õiguslik ulatus võib siiski muuta kättesaadavaid valikuid.

On ahvatlev muuta see üheainsa ohtliku riigi otsimiseks. See on vähem kasulik kui tegelike asutuste kaardistamine. Milline üksus on vastutav töötleja või volitatud töötleja? Milline üksus töötab administraatorina? Milline üksus hoiab krüpteerimisvõtmeid? Milline üksus saab koopiat teha? Milline üksus saab tugitaotluse? Milline asutus saaks korralduse anda? Milline õiguskaitsevahend oleks kliendil ja millises foorumis? Kaart võib olla rahustav. Võib ka mitte olla. Kumbki tulemus on väärtuslikum kui riigikleeps.

Omand on tiitel, mitte võti

Omandil on tõeline õiguslik ja majanduslik jõud. See võib määrata, kes võib vara müüa, juhatuse liikmeid nimetada, intellektuaalomandit litsentsida, tulu saada või teatud otsuseid teha. Avalikus sektoris võib see olla seotud seadusjärgse vastutusega dokumentide või taristu eest. Ettevõtete grupis võib see selgitada, kes saab hääletada, ühineda, rahastada või teenusepakkuja välja vahetada. Omand kuulub suveräänsuse hindamisse.

Omand ei taga automaatselt operatiivset kontrolli. Klient võib omada andmeid, samal ajal kui tarnija haldab andmebaasi, juhib varukoopiasüsteemi ja kontrollib teenusekontot. Avalik asutus võib omada hoonet, samal ajal kui töövõtja hoiab hoolduse sisselogimisandmeid ja ainsat testitud teed seadmete taastamiseks. Ettevõte võib omada lähtekoodi, samal ajal kui kolmas osapool kontrollib allkirjastamisvõtit, ehitusserverit, paketiregistrit ja juurutamise identiteeti. Tiitel on tõeline. Nii on ka sõltuvus.

Erinevus muutub nähtavaks tegusõnades. Omand on nimisõna lepingus. Kontroll on võime kontrollida, käitada, muuta, peatada, taastada, eksportida, kustutada ja tõendada. Hankeprotsess, mis fikseerib ainult nimisõnu, võib jätta olulised tegusõnad määramata. Sellel võib olla platvormile määratud omanik, kuid siiski ei pruugi olla nimepidi määratud isikut, kes saab võtit vahetada, privilegeeritud konto eemaldada või varukoopiast taastada ilma organisatsioonilt küsimata, kes ei ole ruumis.

Nõudmaks maksimaalset valdust pole mingit voorust. Haigla, ülikool või omavalitsus võib puududa personalist ja turbevõimekusest, et kõiki kihte ohutult hallata. Ülesande delegeerimine võib olla vastutustundlik, kui piirid on selged ja klient säilitab võime järelevalveks, testimiseks ja taastamiseks. Asi pole selles, et paigutada iga server avalikku keldrisse. Asi on otsustada, millised volitused on missiooni jaoks hädavajalikud, ja hoida neid volitusi piisavalt lähedal, et neid juhtida.

See otsus vajab tõendeid. „Klient omab andmeid" peaks viima küsimusteni ekspordivormingu, võtmehoolduse, säilitamise, kustutamise, juurdepääsulogide ja toetuse õiguste kohta. „Teenusepakkuja on Euroopa oma" peaks viima küsimusteni ettevõtte kontrolli, alltöövõtjate, infrastruktuuri, õigusliku kokkupuute ja järjepidevuse kohta. „Andmed on liidus" peaks viima küsimusteni kaugadministreerimise, koopiate, töötlemiskohtade ja õiguslike taotluste kohta. Hea vastus võib olla keeruline. Keerulisus pole viga, kui süsteem on keeruline.

Operatiivne kontroll on õigus tegutseda

Operatiivset kontrolli on kõige lihtsam mõista tegevuse kaudu, mitte omadussõna kaudu. Mõelge kliendile, kes peab administraatori õigused tühistama. Kes saab tühistamise läbi viia? Milline identiteedisüsteem selle volitab? Kas teenusepakkuja peab muudatuse teostama või saab klient seda otse teha? Kas tegevus hõlmab tugikontosid, hädaolukorra kontosid ja uinuvaid mandaate? Kas kirje tõendab, millal õigus kadus? Kui tegevus sõltub abilaualt, on abilaud osa kontrollitasandist.

Sama test kehtib võtmete kohta. Krüpteerimine võib vähendada kokkupuudet, kuid selle haldamine sõltub sellest, kes võtmeid loob, salvestab, vahetab, taastab ja kasutada saab. Kohalikult salvestatud kirje võib jääda loetamatuks osapoolele, kes ei saa võtit kätte. See võib muutuda ka kliendile kättesaamatuks, kui ainus taastamistee on teenusepakkuja käes. Võtmehooldus pole seega ei suveräänsuse loosung ega maagiline kustutuskumm jurisdiktsiooni jaoks. See on konkreetne kontroll, mis tuleb määrata ja läbi harjutada.

Logid väärivad sama kohtlemist. Töölaud võib näidata tegevust. Tõendid nõuavad kirjet, mida klient saab säilitada, tõlgendada ja vaidlustada. Kes logi kirjutab? Kas administraator saab seda muuta? Kas ajasüsteem on usaldusväärne? Kas see hõlmab tugijuurdepääsu ja automatiseeritud töötlemist? Kas klient saab kasutatava ekspordi ilma teenusepakkuja loata? Mis juhtub konto sulgemisel? Logi, mis kaob koos teenusega, on kasulik operatiivselt, kuid nõrk vastutuse seisukohast.

Taastamine on kõige raskem operatiivse kontrolli test, sest see teeb nähtavaks kõik sõltuvused. Teenusepakkuja võib lubada varukoopiat, kuid taastamine võib nõuda konkreetset piirkonda, saadaolevat litsentsi, inseneri, kes seal enam ei tööta, või salajast võtit, mis on eraldi süsteemis. Klient võib omada varukoopiafaili ja siiski puudub tal võime muuta see töötavaks teenuseks. Taastamist tuleks testida tervikliku tegevusena, tulemus kirja panna ja lüngad määrata inimestele, kes saavad need sulgeda.

Teenuse peatamine on samuti kontroll. Institutsioon võib vajada integratsiooni peatamist, andmekogumi isoleerimist, automatiseeritud töötlemise ajutist peatamist või uue koopia loomise takistamist. Kui ainult müüja saab peatuse teostada, saavad müüja identiteet, õiguslikud kohustused, reageerimisaeg ja tugiprotsess institutsiooni riski osaks. See võib olla vastuvõetav kokkulepe. See pole nähtamatu.

Nende testide mõte pole mitte iga tarnija umbusaldamine. See on usalduse asendamine suhtega, mida saab kontrollida. Tarnija, kellel on selge vastus, oskab selgitada, milliseid tegevusi ta ise teeb, milliseid klient teeb ja millised nõuavad koostööd. Tarnija, kes toetub ühele rahustavale lausele, pole veel operatiivsele küsimusele vastanud.

Alltöövõtjad muudavad ühe vastuse ahelaks

Ükski teenus pole tavaliselt nii lihtne, et üks organisatsioon teeb ühes kohas üht asja. Pilveteenuste pakkujad kasutavad spetsialiseeritud infrastruktuuri, tugipartnereid, seireteenuseid, turvaoperatsioone, riistvarahooldust, võrguoperaatoreid ja muid tarnijaid. Mõned on lepingus nähtavad. Teised ilmuvad alltöötlejate loendisse, teenusekirjeldusse, intsidenditeatesse või tugitöövoogu. Ahel on tavapärane. Ka kohustus seda ahelat mõista on tavapärane.

ENISA riskihinnang toob välja tuttava puuduse: pilveteenuse pakkuja võib tellida teenuseid allhankijalt, kes ei paku samu tagatisi, samas kui kontrolli muutus võib pakkuja tingimusi muuta. Aruanne ei ole tänapäevane arhitektuurispetsifikatsioon ega peagi seda olema. Selle püsiv hoiatus on organisatsiooniline. Klient ei saa väita, et mõistab teenust, kui ta on hinnanud ainult esimest arvel nimetatud ettevõtet.

Euroopa Andmekaitse Nõukogu soovitused on isikuandmete puhul täpsemad. Esimene samm on teada ülekandeid, sealhulgas edasiülekandeid töötlejatele ja alltöötlejatele. Kaugjuurdepääs kolmandast riigist võib iseenesest lugeda ülekandeks, isegi kui andmed jäävad EMP andmekeskusesse. Tugikorraldus on seega osa andmeülekannete kaardist, mitte joonealune märkus, millega saab tegeleda pärast kasutuselevõttu.

Alltöötlejate nähtavus ei ole sama mis alltöötlejate kontroll. Loend ütleb kliendile, kes on kaasatud. Kontroll küsib, mida iga osapool saab teha, milliseid andmeid ta näeb, milline õiguslik vahend tegevust hõlmab, kuidas muudatusest teatatakse ja milline hüvitis on olemas, kui osapool lakkab tingimusi täitmast. Ahelal peaksid olema piirid ja tõendid igal üleandmisel.

Hägusatele ahelatele vastu seismiseks on praktiline põhjus. Intsidendi korral liigub vastutus sageli andmetega vastupidises suunas. Klient küsib pakkujalt. Pakkuja küsib platvormimeeskonnalt. Platvormimeeskond küsib spetsialiseerunud tarnijalt. Spetsialiseerunud tarnija küsib administraatorilt teises organisatsioonis. Iga üleandmine võib lisada viivitust, ebakindlust ja võimaluse, et algne kirje kaotab konteksti. Kontrollikaart peaks näitama teed enne intsidenti, kui asjassepuutuvatel inimestel on veel aega olla täpne.

Isikuandmed: kaitse liigub koos kirjega

The GDPR does not make personal data safe by placing it behind a European door. Its transfer rules are designed to preserve a high level of protection when data moves to a third country. The EDPB describes the principle plainly: an essentially equivalent level of protection should accompany the data wherever it goes, during and after the transfer.

That does not mean that every transfer is prohibited. The GDPR contains different transfer tools and conditions, including adequacy decisions and safeguards under Article 46. The legal question is whether the chosen tool works in the circumstances. The EDPB's recommendations tell exporters to assess the law and practice relevant to the particular transfer, consider whether the importer or the data can fall within problematic rules, and document the reasoning. If no supplementary measure can restore the required level of protection, the transfer should be avoided, suspended or terminated.

Three details are especially easy to miss in a residency conversation. First, an onward transfer matters. A provider may keep the primary record in the EEA and send a copy to a support or analytics service elsewhere. Second, access matters. An administrator in a third country may be able to read a record without the record ever being physically moved to that person's desk. Third, accountability matters. The exporter must be able to demonstrate the assessment and revisit it when the service, law, people or circumstances change.

The framework therefore asks a customer to understand both the technical path and the legal context. A diagram of regions and arrows is useful. It cannot replace the transfer assessment. Nor can a contractual promise that a provider will comply, if the customer has not checked what the relevant safeguards can achieve against the laws and practices that may apply to the provider.

European data protection law has a healthy dislike of magic words. “EU hosting” can describe a useful fact. “Compliant” can describe a conclusion that requires reasons. “Sovereign” can describe a political objective. None should be allowed to stand in for the evidence that the data is protected, the access is governed and the decision can be defended.

Non-personal data: a different regime, the same discipline

The Data Act deals with a wider set of data relationships and includes rules for data-processing services such as cloud and edge services. It is not a replacement for the GDPR, and it does not turn every cloud decision into a data-protection transfer assessment. It does provide a second European reminder that location, access, switching and authority have to be considered together.

For non-personal data held in the Union, the Commission's explanation of the Data Act describes safeguards for certain requests or decisions by a third-country public authority. Where no applicable international agreement governs the access, the regulation sets conditions intended to protect European interests, including attention to the third country's legal system and the proportionality of the request. Providers are expected to take reasonable measures, such as encryption, audits or certification arrangements, to prevent unauthorised access and to inform customers where possible.

The wording matters. The Data Act does not claim that the Union can make foreign legal systems disappear. It creates a framework for assessing and limiting certain access routes. A provider still has to know what systems it operates, what data is held, who can respond to a request and what evidence can be given to the customer. A customer still has to understand which parts of the data are personal, which are not, and which other legal regimes apply.

The Act also approaches control through switching. Customers should be able to move between data-processing services, use services in parallel and port exportable data and digital assets. Providers must give information about export formats, interfaces, known limitations and the time needed for the process. The rules on functional equivalence recognise a practical truth: a file that can be downloaded is not necessarily a service that can be recovered.

Switching is often described as a competition measure, and it is one. It is also a sovereignty measure in the operational sense. An institution that can leave has more room to refuse a change it cannot accept. An institution that cannot leave may own a contract and still be governed by the provider's defaults. A legal right to switch is an important start. A rehearsed migration that preserves the data, the configuration and the evidence is the part that makes the right usable.

Contracts, keys and the limits of reassurance

Contracts remain essential. They allocate duties, set notification rules, identify subprocessors, define permitted processing, describe deletion and retention, create audit rights and establish assistance during a transition. The Data Act's cloud-switching provisions reinforce the need for clear contractual terms, exportable data and information about the mechanics of an exit. ENISA's older guidance likewise recommends paying attention to data transfers, change of control, law-enforcement access, breach notifications and liability when evaluating cloud contracts.

A contract is not a runtime control. A clause saying that the customer may export is weaker than an export run against a representative dataset and restored in a second environment. A clause saying that the provider will delete is weaker than an auditable deletion process that covers replicas, caches, backups and derived records. A clause giving an audit right is weaker than logs and evidence the customer can actually obtain. Paper matters. Paper that never meets a working system is politely framed optimism.

Keys provide a similar lesson. Customer-controlled encryption can reduce what a provider or an unauthorised party can read. It does not answer who can compel a person who holds a recovery key, who controls the hardware security module, who can change the key policy, or what happens when the customer loses its own credential. The right design may use split authority, independent custody, carefully scoped access and tested recovery. The wrong design can put the decisive key in a different jurisdiction and call the arrangement local because the database is local.

Legal and technical measures should be designed together. If a contract requires the customer to approve support access, the service should have an approval flow that leaves a record. If the customer needs to prevent onward transfers, the provider should expose the route and enforce the boundary. If a public authority request must be evaluated, the incident process should preserve the request, the legal analysis, the decision, the notification and the response. A legal promise becomes credible when a system can show how it is carried out.

The same principle applies to ownership changes. A supplier acquisition, a new parent company, a change in subcontractor or a change in the service's operating region can alter the control map without changing the customer-facing brand. Contracts should require notice and remedies. Technical inventories should be updated. A change ledger should show which powers moved. Governance that exists only at initial signature has a short half-life.

A buyer's control map

A public or private buyer does not need a magical questionnaire. It needs a map that connects claims to evidence. The following questions are a useful starting point because they ask for actions, actors and records rather than a preferred adjective.

Tabel on teadlikult proosaline. See on mõeldud vastu pidama hankemeeskonnaga suhtlemisel. See annab ka ostjale võimaluse teenusepakkujaid võrrelda, ilma et teeseldaks, et sertifikaat, riigilipp või andmekeskuse külastus lahendab kõik. Tõendid võivad olla konfidentsiaalsed. Nõue tõendite olemasoluks ei tohiks seda olla.

Nõudke kriitilise toimingu demonstreerimist, mitte ainult kirjeldust. Näidake, kuidas privilegeeritud konto eemaldatakse. Näidake, kuidas tugiseanss kinnitatakse. Näidake, mida klient saab, kui ta taotleb eksporti. Näidake, kuidas koopia asukoht leitakse. Näidake, mida õiguslik taotlus teeb intsidentide töövooga. Näidake, kuidas organisatsioon jätkab, kui teenusepakkuja konto peatatakse. Mõte ei ole lavastada dramaatilist ebaõnnestumist. Mõte on näha, kas kontroll eksisteerib ka väljaspool slaidiesitlust.

Seejärel küsige, kes tulemuse omanik on. Test ilma omanikuta on etendus. Lünk ilma kuupäevata on püsiv funktsioon. Kontroll ilma kirjeta on uskumus. Kaart peaks seetõttu nimetama isiku või asutuse, kes riski aktsepteerib, tarnija, kes peab toimingu tegema, ja tee tulemuse vaidlustamiseks. Valitsemine ei ole hunnik küsimusi. See on kogum otsuseid, millel on kuhugi minna.

Mõtteeksperiment Euroopa arhiivi kohta

Järgnev on tähistatud hüpoteetiline juhtum, mitte aruanne tegelikust kliendist või intsidendist. Kujutage ette munitsipaalarhiivi, mis valib digiteeritud planeerimisdokumentide jaoks majutatud teenust. Hanke tingimused nõuavad esmast salvestust Euroopa Liidus ning nõuavad krüpteerimist, varukoopiaid ja tugiteenust. Kolm teenusepakkujat vastavad sõnadele. Üks on kohalikult registreeritud, kuid tugineb tugialltöövõtjale väljaspool liitu. Üks hoiab salvestust ja tuge liidus, kuid kasutab emaettevõtte identiteediplatvormi. Ühel on väiksem kohalik tegevus, selge võtmehoidmine ja testitud eksport, kuid ta vajab hoolikalt piiritletud teenusetaseme kokkulepet, sest ta ei suuda pakkuda kõiki valikulisi funktsioone.

Esimene teenusepakkuja võib siiski olla vastuvõetav. Teine võib samuti olla vastuvõetav. Kolmas võib konkreetse kättesaadavuse nõude jaoks siiski sobimatu olla. Mõtteeksperimendi mõte on see, et asukohapõhine nõue üksi ei suuda nende vahel valida. Arhiiv peab küsima, milline tugijuurdepääs on võimalik, kes saab koopia teha, millised juriidilised isikud võivad korralduse saada, kuidas võtmeid hallatakse, mida logid näitavad ja kas dokumente saab mujal taastada.

Oletame, et arhiiv otsustab, et kohalik salvestus on selle kõige olulisem tingimus. Ta saab selle nõude lepingusse kirjutada. Samuti peaks ta määratlema objektid, mida tingimus hõlmab, nõudma muudatusest teatamist ja küsima, kuidas rikkumist tuvastatakse. Oletame, et ta otsustab, et kaugtugi on lubatud ainult dokumenteeritud juhtumi korral. Teenus vajab kinnitamise teed, ajaliselt piiratud mandaati ja ülevaadatavat arvestust. Oletame, et ta otsustab, et arhiivil peab olema võimalus lahkuda. Väljumist tuleks testida enne, kui teenusest saab ainus koht, kus keegi veel oskab andmeid lugeda.

Miski selles hüpoteetilises olukorras ei nõua, et arhiiv haldaks andmekeskust. See nõuab, et arhiiv mõistaks volitusi, mida ta delegeerib. See on erinevus vastutustundliku allhanke ja ostu vahel, mis nihutab riski ruumi, kuhu ostja ei pääse.

Mida Euroopa saab ausalt mõelda sõnaga suveräänne

Euroopa suveräänsust digitaristus tuleks kirjeldada selliste terminitega, mis peavad vastu ebamugavale küsimusele. See võib tähendada, et Euroopa institutsioon säilitab volitused kriitiliste otsuste üle. See võib tähendada, et peamised sõltuvused on nähtavad, piiratud ja taastatavad. See võib tähendada, et õiguslikele õigustele vastab tehniline suutlikkus. See võib tähendada, et avalik ostja saab teenust vahetada, vaidlustada, kontrollida ja sellega edasi töötada, kui teenusepakkuja või seadus muudab kättesaadavat teed.

See ei tohiks tähendada, et teenus on automaatselt ohutu, sest selle turundusaadress on Euroopas. Samuti ei tohiks see tähendada, et iga välismaine ühendus on keelatud. Euroopa sõltub piiriülestest süsteemidest ja reeglit, mis teeskleb vastupidist, eiratakse või sellest hiilitakse vaikselt mööda. Küps seisukoht on nõudlikum: luba sõltuvused, mis teenivad missiooni, dokumenteeri need, vähenda neid, mis kannavad vastuvõetamatut võimu, ja hoia väljapääs nende jaoks, mida ei saa usaldusväärseks muuta.

See seisukoht annab ka Euroopa teenusepakkujatele õiglasema testi. Kohalik teenusepakkuja ei peaks pidama liputseremooniat, et teda tõsiselt võetaks. Ta peaks suutma näidata, mida ta haldab, mida ta delegeerib, kellel on juurdepääs, milline seadus võib kohalduda, kuidas andmeid kaitstakse ja kuidas klient saab lahkuda. Ülemaailmne teenusepakkuja peaks silmitsi seisma samade küsimustega. Standard on kontrollitõend, mitte päritoluteater.

Sõna suveräänsus muutub kasulikuks siis, kui see muudab ostukäitumist. Ministeerium saab hankes premeerida testitud väljumisteed. Haigla saab nõuda põhikorraldusi, mis vastavad tema kliinilistele kohustustele. Ülikool saab muuta teadusandmete päritolu nähtavaks. Regulaator saab küsida süsteemi seisundit otsuse tegemise ajal. Teenusepakkuja saab kujundada oma teenuse nii, et kliendi volitus ei oleks dekoratiivne lõik. Need on institutsionaalsed teod, mitte loosungite võistlus.

Väike märkus meilt

Dweve avalik analüüs The Sovereignty Illusion: where control really sits, mis avaldati 29. juunil 2026, kasutab sarnast distsipliini. See eraldab omandi, tehnoloogia, kapitali, taristu ja õigusliku riski, selle asemel et lasta Euroopa sildil esindada kõiki viit. See artikkel on kitsam. See jälgib andmekeskuse väidet tegevus- ja õiguskihtideni, mida ostja peab haldama.

Nii eelistame kirjeldada ka oma tööd. Süsteem peaks muutma oma piirid loetavaks: mis on kohalik, mis on delegeeritud, mis on salvestatud, mida saab vaidlustada ja mida saab muuta. Kasulik väide on see, mida lugeja saab kontrollida. Ülejäänu on kaunistus ja Euroopal on juba küllalt dekoratiivset taristut.

Õiguslik argument algab pärast aadressi

Andmekeskuse asukoht on teadmise väärt. See võib mõjutada füüsilist juurdepääsu, vastupidavust, ühenduvust, kohaldatavaid kohalikke reegleid ja teenuse kujundust. See võib olla õige esimene küsimus. See on kehv lõplik vastus.

Lõplik vastus peab ühendama asukoha autoriteediga. Selles tuleb nimetada operaator, identiteedid, võtmed, allhankijad, õiguslikud vahendid, võimalikud taotlused, tõendid ja väljumine. Isikuandmete puhul peab Euroopa kaitse tase jääma andmete ülekandmisel sisuliselt samaväärseks ning eksportijad peavad hindama asjaolusid, mitte kordama asukohaväidet. Mitteisikuliste andmete puhul lisab andmemäärus reegleid välisriigi juurdepääsu ja pilveteenuse vahetamise kohta, mis muudavad kontrolli ja teisaldatavuse taas konkreetseks.

Puudub ühtne Euroopa number, mis muudaks keeruka teenuse suveräänseks. On olemas küsimuste, testide ja andmete jada. See jada on aeglasem kui „EL-is majutatud" trükkimine brošüürile. See on ka osa, mis jääb kasulikuks ka pärast seda, kui brošüür on aegunud.

Kui ostja küsib, kus andmed asuvad, vastake asukohale täpselt. Seejärel küsige, kes saab neid lugeda, kes saab nende alusel tegutseda, keda saab sundida, kes suudab tõendada, mis juhtus, ja kes saab lahkuda. Euroopa andmekeskus võib olla osa usaldusväärsest korraldusest. See ei saa olla ainus õiguslik argument.

Allikad

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Euroopa Andmekaitse Nõukogu, lõplik versioon 18. juuni 2021. Lingitud leht sisaldab ametlikku PDF-i.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Euroopa Liidu Kohus, otsus 16. juuli 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Euroopa Parlament ja nõukogu, 13. detsember 2023, EUR-Lex.
• Data Act explained, Euroopa Komisjon, avaldatud 2025 ja vaadatud 5. augustil 2026.
• Cloud Computing Risk Assessment ja ametlik aruande PDF, Euroopa Liidu Küberturvalisuse Agentuur (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29. juuni 2026.