Datakeskus ei ole juridinen argumentti

Datakeskus ei ole juridinen argumentti

Esitteen osoite

Pilvitarjouksissa toistuu lause, joka esitetään ikään kuin se olisi täydellinen argumentti: tiedot tallennetaan eurooppalaiseen datakeskukseen. Lause voi olla totta. Se voi myös kantaa huomattavasti enemmän painoa kuin se kestää.

Datakeskuksella on sijainti. Sijainnilla on merkitystä fyysisen turvallisuuden, häiriönsietokyvyn, energian, yhteyksien, kansallisten sääntöjen ja paikallisviranomaisen toimivallan kannalta. Se kertoo ostajalle jotakin hyödyllistä siitä, missä osa laitteista sijaitsee. Se ei sellaisenaan kerro ostajalle, kuka omistaa palvelun, kuka käyttää laitteita, mihin kopioita tehdään, kenellä on avaimet, ketkä voivat hallinnoida järjestelmää, mille yrityksille osa työstä saa olla alihankintana tai minkä oikeusjärjestelmän määräyksellä jokin osapuoli voidaan velvoittaa myöntämään pääsy tietoihin.

Ero on helppo todeta ja yllättävän helppo kadottaa. Postinumero on näkyvä. Hallinta on hajautettua. Postinumero mahtuu siististi hankintataulukkoon; hallinta saapuu sopimusten, identiteettien, tukitilien, hallintatasojen, salausavaimien, yrityssuhteiden, toimintaprosessien ja oikeudellisten velvoitteiden ketjuna. Ensimmäinen on tosiasia paikasta. Jälkimmäinen on kysymys vallasta.

Eurooppalainen tietosuojalainsäädäntö on esittänyt tämän näkökohdan yhä täsmällisemmin. Schrems II -tuomiossa 16. heinäkuuta 2020 Euroopan unionin tuomioistuin tarkasteli, miten henkilötietoja voidaan siirtää Euroopan talousalueen ulkopuolelle siten, että suojan taso vastaa olennaisesti unionin sisällä taattua tasoa. Tuomioistuin vahvisti vakiolausekkeet mahdolliseksi siirtovälineeksi, mutta teki selväksi, etteivät ne toimi tyhjiössä. Siirtäjän on tarkasteltava kohdemaan lainsäädäntöä ja käytäntöjä siirron olosuhteissa ja toimittava, jos suojatoimet eivät käytännössä toimi.

Tuomio ei sanonut, että raja olisi merkityksetön. Se sanoi, että raja on yksi osa kysymystä. Euroopan tietosuojaneuvoston myöhemmät suositukset muuttavat tämän periaatteen menetelmäksi: kartoita siirrot, tunnista oikeudellinen väline, arvioi siihen vaikuttava lainsäädäntö ja käytännöt, lisää toimenpiteitä, jos ne voivat toimia, suorita vaadittu menettely ja pidä arviointi ajan tasalla. Palvelimen osoite näkyy tässä kartassa. Se ei ole kartta.

Tämä koskee muutakin kuin henkilötietoja. Data-asetus kohtelee pilvipalveluita ja muita datankäsittelypalveluita infrastruktuurina, josta asiakkaiden tulisi voida vaihtaa toiseen palveluun. Se käsittelee myös edellytyksiä, joilla kolmannen maan viranomainen pyrkii saamaan pääsyn unionissa säilytettäviin muihin kuin henkilötietoihin. Jälleen oikeudellinen vastaus rakentuu toimijoista, tarkoituksista, suojatoimista, näytöstä ja oikeussuojakeinoista. Rakennus on osa kokonaisuutta. Rakennus ei yksin riitä.

Käytännön opetus eurooppalaiselle toimielimelle on siksi suorasukainen. Kysy, missä tiedot ovat. Jatka sitten kysymistä, kunnes vastaus kattaa sen, kuka voi lukea tietoja, kuka voi muuttaa niitä, kuka voi pysäyttää ne, kuka voi viedä ne ulos, kuka voidaan velvoittaa luovuttamaan ne ja mitä näyttöä jää jäljelle, kun osapuolet ovat eri mieltä. Jos vastaus päättyy datakeskuksen ovelle, tutkimuksen hyödyllinen osuus on vasta alussa.

Sijainti koskee paikkaa

Tietojen sijainti on väite siitä, missä tiedot tallennetaan tai käsitellään määritellyn järjestelyn mukaisesti. Määritelmä tarvitsee soveltamisalan. Koskeeko se ensisijaista kopiota, varmuuskopiota, indeksiä, välimuistia, telemetriaa, katastrofipalautussivustoa vai kaikkia näitä? Sisältyykö käsittelyyn se, että ylläpitäjä tarkastelee tietuetta toisesta maasta? Lasketaanko tukipalveluistunto? Mitä tapahtuu, kun häiriöryhmän on kopioitava diagnostiikkajälki? Lupaus tietojen sijainnista, joka ei kerro, mitä se kattaa, on houkutteleva etiketti keskeneräisessä lauseessa.

Pilvijärjestelmät on suunniteltu siirtämään työtä. Replikointi voi parantaa saatavuutta. Toinen sijainti voi pitää palvelun toiminnassa, kun ensimmäinen sijainti ei ole käytettävissä. Reunapaikka voi vähentää viivettä. Tietoturvatiimi voi ohjata lokin keskitettyyn analyysijärjestelmään. Nämä ovat tavallisia teknisiä valintoja, eivät merkkejä väärinkäytöksestä. Ne kuitenkin tarkoittavat, että ilmaus ”säilytetty Euroopassa” tarvitsee rinnalleen teknisen kohteen. Mitkä tiedot, missä tilassa, miltä ajanjaksolta, minkä toiminnon yhteydessä?

ENISAn pilviriskinarviointi, joka julkaistiin ensimmäisen kerran vuonna 2009, on edelleen hyödyllinen juuri siksi, että se kieltäytyi kohtelemasta maantieteellistä sijaintia täydellisenä hallintakeinona. Se tunnistaa riskejä, jotka liittyvät tallennukseen useissa lainkäyttöalueissa, riittämättömään tietoon lainkäyttöalueista, hallinnan menettämiseen, alihankintaan ja palveluntarjoajan hallinnan muutoksiin. Asiakirja on tarpeeksi vanha ollakseen mieltynyt lyhenteisiin, joita nykytiimit eivät välttämättä jaa, mutta organisatorinen ongelma ei ole kadonnut. Jos asiakas ei näe, missä tietoja käsitellään tai kuka vastaa seuraavasta luovutuksesta, asiakas ei voi tehdä luotettavaa riskipäätöstä.

Sijaintivaatimus voi olla perusteltu. Julkinen arkisto voi tarvita, että asiakirjat pysyvät määritellyllä lainkäyttöalueella. Terveydenhuoltopalvelu voi tarvita käsittelyjärjestelyn, joka rajoittaa, mihin arkaluonteiset tiedot voivat liikkua. Tutkimuskonsortiolla voi olla velvoitteita rahoittajaa tai tiedonjakosopimusta kohtaan. Nämä vaatimukset tulisi kirjata toiminnallisiksi ehdoiksi, joille on määritelty tarkistusmenetelmä, eikä yhdeksi maannimeksi, jota kaikki voivat tulkita väljästi.

On myös ero rajoitteen ja takuun välillä. Se, että palveluntarjoajaa vaaditaan pitämään ensisijainen tallennuspaikka Euroopan unionissa, rajoittaa yhtä liikkumisen luokkaa. Se ei takaa, ettei kukaan unionin ulkopuolinen henkilö voi päästä käsiksi tietueeseen, ettei metatietoa poistu tai ettei mikään ulkomainen lakisääteinen velvoite voi ulottua palveluntarjoajaan. Rajoite voi olla hyödyllinen ilman, että se on takuu. Näiden sekoittaminen luo vaatimustenmukaisuustarinan, joka kestää palvelinhuoneen kierroksen mutta ei kestä tarkempaa katsausta hallintatasoon.

Hyödyllinen sijaintikysymys ei ole yksinkertaisesti ”missä se on?”. Se on ”mitkä sijainnit ovat mahdollisia kullekin tämän tiedon tilalle, ja kuka voi muuttaa tilaa?”. Palveluntarjoajan pitäisi pystyä selittämään vastaus tavalla, jonka insinööri voi toteuttaa ja ostaja voi varmistaa. Jos selitys perustuu dokumentoimattomaan poikkeukseen, tukikäytäntöön tai lupaukseen siitä, että palveluntarjoajan omat alihankkijat todennäköisesti toimivat asianmukaisesti, sijaintiväite ei ole vielä toiminnallinen.

Viisi kysymystä sanan "missä" sisällä

Kun ihmiset kysyvät, missä heidän datansa on, he tarkoittavat usein useita eri asioita samalla kertaa. Kysymysten erottaminen toisistaan tekee hankintakeskustelusta vähemmän teatraalista ja hyödyllisempää.

1. Missä bitit ovat? Tämä on fyysistä ja loogista tallennusta koskeva kysymys. Se kattaa ensisijaisen datan, replikat, varmuuskopiot, välimuistit, indeksit ja asiaankuuluvat lokit. Tyydyttävä vastaus nimeää laajuuden ja ne ehdot, joilla vastaus muuttuu.

2. Missä käsittely tapahtuu? Tietue voidaan tallentaa yhteen lainkäyttöalueeseen ja muuntaa, hakea, luokitella, salata tai purkaa jossakin muualla. Käsittely voi olla ajastettu työ, tukitoimenpide, valvontaputki tai palautuksen aikana tehty väliaikainen kopio.

3. Kuka voi päästä siihen käsiksi? Tämä on identiteettiä ja toimintaa koskeva kysymys. Se kattaa henkilöstön, ylläpitäjät, urakoitsijat, palvelutilit, häiriötilanteisiin vastaajat ja automatisoidut järjestelmät. Henkilön ei tarvitse asua palvelimen vieressä, jotta hänellä olisi tosiasiallinen pääsy siihen.

4. Kuka voi velvoittaa siihen pääsyyn? Tämä on lainkäyttöä ja oikeudellista toimivaltaa koskeva kysymys. Se seuraa asiaankuuluvia organisaatioita ja henkilöitä, heidän roolejaan, allekirjoittamiaan sopimuksia ja oikeudellisia velvoitteita, jotka voivat sitoa heitä. Siihen ei vastata pelkällä karttamerkillä.

5. Mitä asiakas voi tehdä, kun vastaus muuttuu? Tämä on hallintaa ja poistumista koskeva kysymys. Voiko asiakas rajoittaa pääsyä, vaihtaa avaimia, saada luotettavan tietueen, palauttaa palvelun, siirtää datan ja päättää suhteen menettämättä sitä, mitä se yritti suojata?

Nämä kysymykset ovat päällekkäisiä, mutta eivät keskenään vaihdettavissa. Palveluntarjoaja voi vastata ensimmäiseen vakuuttavasti ja kolmanteen heikosti. Sopimus voi vastata viidenteen paperilla, vaikka tekninen tiimi ei ole koskaan suorittanut poistumista. Paikallinen tytäryhtiö voi vastata yritysidentiteettiä koskevaan kysymykseen, vaikka palvelu riippuu emoyhtiön infrastruktuurista tai tukiorganisaatiosta. Oikea vastaus ei ole valita lohduttavinta vastausta. Se on pitää joukko ehyenä.

Tästä syystä myös suvereniteettiarvioinnit voivat hämmentyä. Sanan on tarkoitus kattaa fyysinen sijainti, oikeudellinen riippumattomuus, toiminnallinen osaaminen, taloudellinen omistajuus, strateginen autonomia ja kyky lähteä. Nämä ovat toisiinsa liittyviä tavoitteita. Ne eivät ole yksi ominaisuus. Tarkka instituutio kertoo, mitä ominaisuutta se tarvitsee ja millainen näyttö osoittaisi sen olemassaolon.

Lainkäyttö seuraa toimivaltaa

Lainkäyttö ei ole mystinen pilvi maan ympärillä. Se on tapa kuvata, millä oikeudellisilla viranomaisilla on valta säädellä, määrätä, tutkia, tarkastella tai korjata asiaankuuluvien toimijoiden toimintaa. Hajautetussa palvelussa toimijat ovat yhtä tärkeitä kuin paikat. Yritys voi olla rekisteröity yhdessä jäsenvaltiossa, ylläpitää toimintoja toisessa, käyttää tukitiimiä kolmannessa ja riippua emoyhtiöstä tai alihankkijasta, jolla on velvoitteita muualla. Asiakkaan, joka yrittää ymmärtää oikeudellista ulottuvuutta, on seurattava toimivallan ketjua, ei pysähdyttävä lähimpään rakennukseen.

Tämä ei tarkoita, että jokainen ulkomainen yhteys kumoaisi eurooppalaisen valvonnan. Eurooppalaiset palvelut ovat rakenteeltaan yhteydessä toisiinsa. Rajat ylittävä kauppa, tutkimus, tuki, rahoitus ja infrastruktuuri ovat normaaleja. Kysymys on siitä, tietääkö instituutio, mikä yhteys kantaa minkäkin vallan. Eurooppalainen toimija voi kieltäytyä tavallisesta pyynnöstä, mutta silti puuttua toimivalta vastustaa toisen organisaation sitovaa määräystä. Alihankkijalla voi olla tunnistetieto, jota päämiehen oma pääsynhallintaluettelo ei kata. Tukiprosessi voi sallia etäkäytön, vaikka tallennussopimus lupaa paikallisen alueen.

Oikeudellinen analyysi riippuu myös siitä, millaista dataa ja millaista pyyntöä on kyse. Henkilötietojen kohdalla tulevat kuvaan mukaan GDPR:n siirtosäännöt ja perusoikeuskehys. Muut kuin henkilötiedot eivät ole oikeudellinen tyhjiö. Data-asetus sisältää suojatoimia, jotka koskevat kolmansien maiden viranomaisten tiettyjä pyyntöjä unionissa olevista muista kuin henkilötiedoista. Pyyntöä on arvioitava asetuksen edellytysten mukaisesti, mukaan lukien pyynnön luonne ja kolmannen maan oikeusjärjestelmässä saatavilla olevat suojatoimet. Nämä kaksi järjestelmää ovat erilaisia, ja juuri tämä ero on syy siihen, miksi ostajan ei pitäisi tiivistää niitä sanaksi sijoittautuminen.

Unionin tuomioistuimen tuomio asiassa C-311/18 tarjoaa hyödyllisen eurooppalaisen oikeudellisen mallin. Tuomioistuin ei kysynyt, näyttikö sopimus riittävän muodolliselta. Se kysyi, pysyisikö Euroopan oikeudessa taattu suoja olennaisesti vastaavana siirron olosuhteissa, kun otetaan huomioon lainsäädäntö ja käytännöt, jotka voisivat vaikuttaa tietoihin. Vakiolausekkeet voivat sitoa sopimuksen allekirjoittaneita osapuolia. Ne eivät sido viranomaista, joka ei ole sopimuspuoli. Jos oikeudellinen ympäristö heikentää luvattuja suojatoimia, viejän on reagoitava.

Tämä logiikka on laajempi kuin yksittäinen riita. Sopimus on yksityisen allokoinnin väline. Toimivalta on kenttä, jolla julkinen valta voi toimia. Sopimus voi kertoa toimittajalle, mitä se on luvannut asiakkaalle. Se ei yksinään voi poistaa julkista valtaa, joka sitoo toimittajaa tai sen henkilöstöä. Hyvä hallintotapa ottaa molemmat väitteet vakavasti. Se käyttää sopimuksia velvollisuuksien asettamiseen ja teknisiä toimenpiteitä velvollisuuksien havaittavaksi tekemiseen, mutta tunnustaa, että oikeudellinen ulottuvuus voi silti muuttaa käytettävissä olevia vaihtoehtoja.

On houkuttelevaa muuttaa tämä metsästykseksi yhden vaarallisen maan löytämiseksi. Se on vähemmän hyödyllistä kuin todellisten toimijoiden kartoittaminen. Mikä yhteisö on rekisterinpitäjä tai käsittelijä? Mikä yhteisö työllistää ylläpitäjän? Mikä yhteisö hallussaan salausavaimet? Mikä yhteisö voi tehdä kopion? Mikä yhteisö vastaanottaa tukipyynnön? Mikä viranomainen voisi antaa määräyksen? Mikä oikeussuojakeino asiakkaalla olisi, ja missä toimielimessä? Kartta voi olla rauhoittava. Se voi myös olla olla. Kumpikin tulos on arvokkaampi kuin maatarra.

Omistajuus on titteli, ei avain

Omistajuudella on todellista oikeudellista ja taloudellista voimaa. Se voi määrätä, kuka saa myydä omaisuuserän, nimittää johtajia, lisensoida immateriaalioikeuksia, vastaanottaa tuloja tai tehdä tiettyjä päätöksiä. Julkisessa yhteisössä se voi liittyä lakisääteiseen vastuuseen asiakirjoista tai infrastruktuurista. Konsernissa se voi selittää, kuka voi äänestää, sulautua, rahoittaa tai vaihtaa palveluntarjoajan. Omistajuus kuuluu suvereniteettiarviointiin.

Omistajuus ei automaattisesti tuota operatiivista hallintaa. Asiakas voi omistaa datan, kun toimittaja käyttää tietokantaa, hallinnoi varmuuskopiojärjestelmää ja hallitsee palvelutiliä. Julkinen laitos voi omistaa rakennuksen, kun urakoitsija hallussaan ylläpitotunnukset ja ainoan testatun reitin laitteiston palauttamiseen. Yritys voi omistaa lähdekoodin, kun kolmas osapuoli hallitsee allekirjoitusavainta, build runneria, pakettirekisteriä ja käyttöönottoidentiteettiä. Titteli on todellinen. Niin on myös riippuvuus.

Ero tulee näkyväksi verbeissä. Omistajuus on substantiivi sopimuksessa. Hallinta on kyky tarkastaa, käyttää, muuttaa, pysäyttää, palauttaa, viedä, poistaa ja todistaa. Hankintaprosessi, joka kirjaa vain substantiivit, voi jättää tärkeät verbit määrittelemättä. Sillä voi olla nimetty omistaja alustalle, mutta silti ei yhtään nimettyä henkilöä, joka voi vaihtaa avaimen, poistaa etuoikeutetun tilin tai palauttaa varmuuskopiosta kysymättä organisaatiolta, joka ei ole huoneessa.

Ei ole hyve vaatia maksimaalista hallintaa. Sairaalalta, yliopistolta tai kunnalta voi puuttua henkilöstö ja tietoturvakyvykkyys kaikkien kerrosten turvalliseen ylläpitoon. Tehtävän delegoiminen voi olla vastuullista, kun rajat ovat selkeät ja asiakkaalla säilyy kyky valvoa, testata ja palauttaa. Tarkoitus ei ole sijoittaa jokaista palvelinta julkiseen kellariin. Tarkoitus on päättää, mitkä valtuudet ovat tehtävän kannalta välttämättömiä, ja pitää nämä valtuudet riittävän lähellä hallittaviksi.

Tämä päätös tarvitsee näyttöä. Lauseen ”asiakas omistaa tiedot” pitäisi johtaa kysymyksiin vientimuodosta, avainten hallussapidosta, säilytyksestä, poistosta, pääsylokeista ja tukioikeuksista. Lauseen ”palveluntarjoaja on eurooppalainen” pitäisi johtaa kysymyksiin yhtiön hallinnasta, alihankkijoista, infrastruktuurista, oikeudellisista riskeistä ja jatkuvuudesta. Lauseen ”tiedot ovat unionissa” pitäisi johtaa kysymyksiin etähallinnasta, replikoista, käsittelypaikoista ja oikeudellisista pyynnöistä. Hyvä vastaus voi olla monimutkainen. Monimutkaisuus ei ole vika, kun järjestelmä on monimutkainen.

Operatiivinen hallinta on oikeus toimia

Operatiivinen hallinta on helpointa ymmärtää teon kautta, ei adjektiivin kautta. Ajatellaan asiakasta, jonka on peruutettava ylläpitäjän oikeudet. Kuka voi suorittaa peruutuksen? Mikä identiteettijärjestelmä valtuuttaa sen? Edellyttääkö palveluntarjoaja muutoksen tekemistä, vai voiko asiakas tehdä sen suoraan? Kattaako toimenpide tukitilit, hätätilit ja käyttämättömät tunnistetiedot? Onko olemassa tallennetta, joka osoittaa, milloin oikeus katosi? Jos toimenpide riippuu tukipalvelusta, tukipalvelu on osa hallintatasoa.

Sama testi koskee avaimia. Salaus voi vähentää altistumista, mutta sen hallinta riippuu siitä, kuka luo, säilyttää, kierrättää, palauttaa ja voi käyttää avaimia. Paikallisesti tallennettu tietue voi jäädä lukukelvottomaksi osapuolelle, joka ei voi saada avainta. Se voi myös muuttua asiakkaalle saavuttamattomaksi, kun ainoa palautusreitti on toimittajan hallussa. Avainten hallussapito ei siis ole iskulause suvereniteetille eikä taikapyyhekumi lainkäyttövallalle. Se on konkreettinen hallintatoimi, joka on määritettävä ja harjoiteltava.

Lokit ansaitsevat saman kohtelun. Hallintapaneeli voi näyttää toimintaa. Näyttö edellyttää tallennetta, jonka asiakas voi säilyttää, tulkita ja haastaa. Kuka kirjoittaa lokin? Voiko ylläpitäjä muuttaa sitä? Onko aikakäytäntö luotettava? Kattaako se tukipääsyn ja automatisoidun käsittelyn? Voiko asiakas saada käyttökelpoisen viennin ilman palveluntarjoajan lupaa? Mitä tapahtuu, kun tili suljetaan? Loki, joka katoaa palvelun mukana, on hyödyllinen operaatioille ja heikko vastuuvelvollisuudelle.

Palautus on vaikein operatiivisen hallinnan testi, koska se tekee jokaisen riippuvuuden näkyväksi. Palveluntarjoaja voi luvata varmuuskopioita, mutta palautus voi edellyttää tiettyä aluetta, käytettävissä olevaa lisenssiä, insinööriä, joka ei enää työskentele siellä, tai salaisuutta, joka on tallennettu erilliseen järjestelmään. Asiakas voi omistaa varmuuskopiotiedoston ja silti vailla kykyä tehdä siitä toimiva palvelu. Palautus on testattava kokonaisena toimintona, tulos kirjattava ja puutteet osoitettava henkilöille, jotka voivat korjata ne.

Palvelun pysäyttäminen on myös hallintaa. Laitos voi joutua keskeyttämään integraation, eristämään tietoaineiston, keskeyttämään automatisoidun käsittelyn tai estämään uuden replikan luomisen. Jos vain toimittaja voi suorittaa pysäytyksen, toimittajan identiteetistä, oikeudellisista velvoitteista, vasteajasta ja tukiprosessista tulee osa laitoksen riskiä. Tämä voi olla hyväksyttävä järjestely. Se ei ole näkymätön.

Näiden testien tarkoitus ei ole epäillä jokaista toimittajaa. Tarkoitus on korvata luottamus suhteella, jota voidaan tarkastella. Toimittaja, jolla on selkeä vastaus, voi kertoa, mitkä toimet se suorittaa, mitkä asiakas suorittaa ja mitkä edellyttävät yhteistyötä. Toimittaja, joka nojaa yhteen rauhoittavaan lauseeseen, ei ole vielä vastannut operatiiviseen kysymykseen.

Alihankkijat muuttavat yhden vastauksen ketjuksi

Palvelu on harvoin yhden organisaation toimintaa yhdessä paikassa. Pilvipalveluntarjoajat käyttävät erikoistunutta infrastruktuuria, tukikumppaneita, valvontapalveluita, tietoturvaoperaatioita, laitteistojen ylläpitoa, verkkoliikenteen operaattoreita ja muita toimittajia. Osa näkyy sopimuksessa. Toiset ilmenevät alikäsittelijäluettelossa, palvelukuvauksessa, häiriöilmoituksessa tai tukiprosessissa. Ketju on tavallinen. Velvollisuus ymmärtää ketju on myös tavallinen.

ENISA:n riskiarvio nostaa esiin tutun puutteen: pilvipalveluntarjoaja voi ulkoistaa palveluita kolmannelle osapuolelle, joka ei tarjoa samoja takeita, ja määräysvallan muutos voi muuttaa tarjoajan ehtoja. Raportti ei ole moderni arkkitehtuurimäärittely, eikä sen tarvitse ollakaan. Sen pysyvä varoitus on organisatorinen. Asiakas ei voi väittää ymmärtävänsä palvelua, jos se on arvioinut vain ensimmäisen laskussa mainitun yrityksen.

Euroopan tietosuojaneuvoston suositukset ovat täsmällisempiä henkilötietojen osalta. Ensimmäinen vaihe on tuntea siirrot, mukaan lukien edelleen siirrot käsittelijöille ja alikäsittelijöille. Etäkäyttö kolmannesta maasta voi itsessään olla siirto, vaikka tietue pysyisi ETA:n tietokeskuksessa. Tukijärjestely on siis osa tietojen siirtokarttaa, ei alaviite, joka voidaan hoitaa käyttöönoton jälkeen.

Alikäsittelijän näkyvyys ei ole sama asia kuin alikäsittelijän hallinta. Luettelo kertoo asiakkaalle, ketkä ovat mukana. Hallinta kysyy, mitä kukin osapuoli voi tehdä, mitä tietoja se voi nähdä, mikä oikeudellinen väline kattaa toiminnan, miten muutoksesta ilmoitetaan ja mikä oikeussuojakeino on olemassa, jos osapuoli lakkaa täyttämästä ehtoja. Ketjussa tulisi olla rajat ja todisteet jokaisessa luovutuksessa.

Epämääräisten ketjujen vastustamiseen on käytännön syy. Kun häiriö tapahtuu, vastuu kulkee usein päinvastaiseen suuntaan kuin data. Asiakas kysyy palveluntarjoajalta. Palveluntarjoaja kysyy alustatiimiltä. Alustatiimi kysyy erikoistoimittajalta. Erikoistoimittaja kysyy ylläpitäjältä toisessa organisaatiossa. Jokainen luovutus voi lisätä viivettä, epävarmuutta ja mahdollisuuden siihen, että alkuperäinen tietue menettää kontekstinsa. Hallintakartan tulisi näyttää reitti ennen häiriötä, kun mukana olevilla henkilöillä on vielä aikaa olla täsmällisiä.

Henkilötiedot: suoja kulkee tietueen mukana

GDPR ei tee henkilötiedoista turvallisia sijoittamalla ne eurooppalaisen oven taakse. Sen siirtosäännöt on suunniteltu säilyttämään korkea suojelun taso, kun tietoja siirretään kolmanteen maahan. EDPB kuvaa periaatteen yksinkertaisesti: olennaisesti vastaavan suojelun tason tulisi seurata tietoja minne tahansa ne menevät, siirron aikana ja sen jälkeen.

Se ei tarkoita, että kaikki siirrot olisivat kiellettyjä. GDPR sisältää erilaisia siirtovälineitä ja -ehtoja, mukaan lukien riittävyyspäätökset ja suojatoimet 46 artiklan mukaisesti. Oikeudellinen kysymys on, toimiiko valittu väline kyseisissä olosuhteissa. EDPB:n suositukset kehottavat viejää arvioimaan kyseiseen siirtoon liittyvää lainsäädäntöä ja käytäntöä, harkitsemaan, voiko maahantuoja tai tiedot kuulua ongelmallisten sääntöjen piiriin, ja dokumentoimaan perustelut. Jos mikään lisätoimenpide ei voi palauttaa vaadittua suojelun tasoa, siirtoa tulisi välttää, keskeyttää tai lopettaa.

Kolme yksityiskohtaa on erityisen helppo jättää huomiotta sijaintikeskustelussa. Ensinnäkin edelleen siirtäminen on merkityksellistä. Palveluntarjoaja voi säilyttää ensisijaisen tietueen ETA-alueella ja lähettää kopion tuki- tai analytiikkapalveluun muualle. Toiseksi pääsy on merkityksellistä. Kolmannessa maassa toimiva ylläpitäjä voi pystyä lukemaan tietueen, vaikka tietuetta ei koskaan fyysisesti siirrettäisi kyseisen henkilön työpöydälle. Kolmanneksi vastuuvelvollisuus on merkityksellistä. Viejän on pystyttävä osoittamaan arviointi ja tarkistamaan se, kun palvelu, lainsäädäntö, henkilöt tai olosuhteet muuttuvat.

Kehys edellyttää siksi, että asiakas ymmärtää sekä teknisen reitin että oikeudellisen kontekstin. Kaavio alueista ja nuolista on hyödyllinen. Se ei voi korvata siirron arviointia. Eikä sopimuslupaus siitä, että palveluntarjoaja noudattaa sääntöjä, riitä, jos asiakas ei ole tarkistanut, mitä asiaankuuluvat suojatoimet voivat saavuttaa palveluntarjoajaan mahdollisesti sovellettavia lakeja ja käytäntöjä vastaan.

Eurooppalainen tietosuojalainsäädäntö suhtautuu terveesti epäluuloisesti taikasanoihin. ”EU-hosting” voi kuvata hyödyllistä tosiasiaa. ”Vaatimustenmukainen” voi kuvata johtopäätöstä, joka edellyttää perusteluja. ”Suvereeni” voi kuvata poliittista tavoitetta. Yhdenkään niistä ei pitäisi antaa korvata näyttöä siitä, että tiedot ovat suojattuja, pääsy on hallittua ja päätös on puolustettavissa.

Muut kuin henkilötiedot: eri sääntely, sama kurinalaisuus

Data-asetus koskee laajempaa joukkoa datasuhteita ja sisältää sääntöjä datankäsittelypalveluille, kuten pilvi- ja reunapalveluille. Se ei korvaa GDPR:ää, eikä se muuta jokaista pilvipäätöstä tietosuojan siirtoarvioinniksi. Se tarjoaa kuitenkin toisen eurooppalaisen muistutuksen siitä, että sijainti, pääsy, vaihtaminen ja toimivalta on otettava huomioon yhdessä.

Unionissa säilytettävien muiden kuin henkilötietojen osalta komission selvitys data-asetuksesta kuvaa suojatoimia, jotka koskevat kolmannen maan viranomaisen tiettyjä pyyntöjä tai päätöksiä. Jos sovellettavaa kansainvälistä sopimusta ei ole pääsyn osalta, asetus asettaa ehtoja, joiden tarkoituksena on suojella eurooppalaisia etuja, mukaan lukien huomion kiinnittäminen kolmannen maan oikeusjärjestelmään ja pyynnön oikeasuhteisuuteen. Palveluntarjoajien odotetaan toteuttavan kohtuullisia toimenpiteitä, kuten salausta, auditointeja tai sertifiointijärjestelyjä, luvattoman pääsyn estämiseksi ja asiakkaiden tiedottamiseksi mahdollisuuksien mukaan.

Sanamuodolla on merkitystä. Data-asetus ei väitä, että unioni voisi saada ulkomaiset oikeusjärjestelmät katoamaan. Se luo kehyksen tiettyjen pääsyreittien arvioimiselle ja rajoittamiselle. Palveluntarjoajan on edelleen tiedettävä, mitä järjestelmiä se käyttää, mitä tietoja sillä on, kuka voi vastata pyyntöön ja mitä näyttöä asiakkaalle voidaan antaa. Asiakkaan on edelleen ymmärrettävä, mitkä osat tiedoista ovat henkilötietoja, mitkä eivät, ja mitkä muut oikeudelliset sääntelyt soveltuvat.

Asetuksessa valvontaa lähestytään myös vaihtamisen kautta. Asiakkaiden tulisi voida siirtyä datankäsittelypalvelujen välillä, käyttää palveluja rinnakkain ja siirtää vietävissä olevaa dataa ja digitaalisia omaisuuseriä. Palveluntarjoajien on annettava tietoa vientimuodoista, rajapinnoista, tunnetuista rajoitteista ja prosessiin tarvittavasta ajasta. Toiminnallista vastaavuutta koskevat säännöt tunnustavat käytännön totuuden: ladattava tiedosto ei välttämättä ole palvelu, joka voidaan palauttaa.

Vaihtamista kuvataan usein kilpailutoimenpiteenä, ja sellainen se on. Se on myös toiminnallisessa mielessä suvereniteettitoimenpide. Laitos, joka voi lähteä, voi helpommin kieltäytyä muutoksesta, jota se ei voi hyväksyä. Laitos, joka ei voi lähteä, voi omistaa sopimuksen ja silti olla palveluntarjoajan oletusarvojen hallinnassa. Laillinen oikeus vaihtaa on tärkeä alku. Harjoiteltu siirto, joka säilyttää datan, konfiguraation ja todisteet, on se osa, joka tekee oikeudesta käyttökelpoisen.

Sopimukset, avaimet ja vakuuttelun rajat

Sopimukset ovat edelleen keskeisiä. Ne jakavat velvollisuudet, asettavat ilmoitussäännöt, yksilöivät alakäsittelijät, määrittelevät sallitun käsittelyn, kuvaavat poiston ja säilytyksen, luovat tarkastusoikeudet ja vahvistavat avun siirtymän aikana. Data-asetuksen pilvivaihtoa koskevat säännökset vahvistavat selkeiden sopimusehtojen, vietävän datan ja tiedon poistumisen mekaniikasta. Myös ENISAn vanhempi ohjeistus suosittaa kiinnittämään huomiota siirtoihin, määräysvallan muutoksiin, viranomaisten pääsyyn, tietoturvaloukkauksiin ja vastuuseen pilvisopimuksia arvioitaessa.

Sopimus ei ole toiminnanohjaus. Lauseke, jonka mukaan asiakas voi viedä dataa, on heikompi kuin vientiajo edustavaa datajoukkoa vasten ja palautus toiseen ympäristöön. Lauseke, jonka mukaan palveluntarjoaja poistaa datan, on heikompi kuin auditoitava poistoprosessi, joka kattaa replikat, välimuistit, varmuuskopiot ja johdetut tietueet. Tarkastusoikeuden antava lauseke on heikompi kuin lokit ja todisteet, jotka asiakas voi todella saada. Paperilla on merkitystä. Paperi, joka ei koskaan kohtaa toimivaa järjestelmää, on kohteliaasti muotoiltua optimismia.

Avaimet tarjoavat samanlaisen opetuksen. Asiakkaan hallinnoima salaus voi vähentää sitä, mitä palveluntarjoaja tai luvaton osapuoli voi lukea. Se ei vastaa siihen, kuka voi velvoittaa palautusavaimen haltijaa, kuka hallinnoi laitteistotietoturvamoduulia, kuka voi muuttaa avainkäytäntöä tai mitä tapahtuu, kun asiakas menettää oman tunnistetietonsa. Oikea suunnittelu voi käyttää jaettua valtuutta, riippumatonta säilytystä, huolellisesti rajattua pääsyä ja testattua palautusta. Väärä suunnittelu voi sijoittaa ratkaisevan avaimen toiseen lainkäyttöalueeseen ja kutsua järjestelyä paikalliseksi, koska tietokanta on paikallinen.

Lailliset ja tekniset toimenpiteet tulisi suunnitella yhdessä. Jos sopimus edellyttää asiakkaan hyväksyntää tukipääsylle, palvelussa tulisi olla hyväksyntäprosessi, joka jättää jäljen. Jos asiakkaan on estettävä edelleenlähetykset, palveluntarjoajan tulisi näyttää reitti ja valvoa rajaa. Jos viranomaisen pyyntö on arvioitava, poikkeamaprosessin tulisi säilyttää pyyntö, oikeudellinen analyysi, päätös, ilmoitus ja vastaus. Laillinen lupaus tulee uskottavaksi, kun järjestelmä voi osoittaa, miten se pannaan täytäntöön.

Sama periaate koskee omistajuuden muutoksia. Toimittajan yrityskauppa, uusi emoyhtiö, alihankkijan vaihtuminen tai palvelun toiminta-alueen muutos voi muuttaa valvontakarttaa muuttamatta asiakkaalle näkyvää brändiä. Sopimusten tulisi edellyttää ilmoitusta ja oikeussuojakeinoja. Teknisiä inventaarioita tulisi päivittää. Muutoslokista tulisi käydä ilmi, mitkä valtuudet siirtyivät. Hallinto, joka on olemassa vain allekirjoitushetkellä, on lyhytikäistä.

Ostajan valvontakartta

Julkinen tai yksityinen ostaja ei tarvitse maagista kyselylomaketta. Se tarvitsee kartan, joka yhdistää väitteet todisteisiin. Seuraavat kysymykset ovat hyvä lähtökohta, koska ne kysyvät toimia, toimijoita ja tietueita mieluisan adjektiivin sijaan.

Taulukko on tarkoituksella arkinen. Sen on tarkoitus kestää kosketuksen hankintatiimin kanssa. Se antaa myös ostajalle tavan vertailla tarjoajia teeskentelemättä, että sertifikaatti, kansallinen lippu tai datakeskuskierros ratkaisee kaiken. Todisteet voivat olla luottamuksellisia. Vaatimus todisteiden olemassaolosta ei saa olla.

Pyydä demonstraatiota kriittisestä toiminnosta, ei vain kuvausta. Näytä, miten etuoikeutettu tili poistetaan. Näytä, miten tukisessio hyväksytään. Näytä, mitä asiakas saa pyytäessään vientiä. Näytä, miten replikaatti paikannetaan. Näytä, mitä oikeudellinen pyyntö tekee häiriötyönkululle. Näytä, miten organisaatio jatkaa toimintaansa, kun tarjoajan tili on jäädytetty. Tarkoitus ei ole lavastaa dramaattista epäonnistumista. Tarkoitus on nähdä, onko kontrolli olemassa myös kalvosarjan ulkopuolella.

Kysy sitten, kuka omistaa tuloksen. Testi ilman omistajaa on esitys. Aukko ilman päivämäärää on pysyvä ominaisuus. Kontrolli ilman kirjausta on uskomus. Kartan tulisi siksi nimetä henkilö tai elin, joka hyväksyy riskin, toimittaja, jonka on suoritettava toimenpide, ja reitti tuloksen haastamiseen. Hallinto ei ole pino kysymyksiä. Se on joukko päätöksiä, joilla on jokin paikka, minne mennä.

Ajatuskoe eurooppalaisesta arkistosta

Seuraava on merkitty hypoteettinen esimerkki, ei raportti todellisesta asiakkaasta tai tapauksesta. Kuvittele kunnallinen arkisto, joka valitsee isännöidyn palvelun digitoitujen kaavoitustietojen säilytykseen. Tarjouspyyntö edellyttää ensisijaista tallennusta Euroopan unionissa ja pyytää salausta, varmuuskopioita ja tukipalvelua. Kolme tarjoajaa täyttää sanamuodon. Yksi on paikallisesti rekisteröitynyt, mutta luottaa unionin ulkopuoliseen tukialihankkijaan. Yksi pitää tallennuksen ja tuen unionissa, mutta käyttää emoyhtiön identiteettialustaa. Yhdellä on pienempi paikallinen toiminta, selkeä avainten säilytys ja testattu vienti, mutta se tarvitsee huolellisesti rajatun palvelutason, koska se ei voi tarjota kaikkia valinnaisia ominaisuuksia.

Ensimmäinen tarjoaja voi silti olla hyväksyttävä. Toinenkin voi silti olla hyväksyttävä. Kolmas voi silti olla sopimaton tiettyyn saatavuusvaatimukseen. Ajatuskokeen tarkoitus on, että sijainti yksinään ei voi valita niiden välillä. Arkiston on kysyttävä, mikä tukipääsy on mahdollista, kuka voi tehdä kopion, mitkä oikeushenkilöt voivat vastaanottaa määräyksen, miten avaimia hallinnoidaan, mitä lokit näyttävät ja voidaanko tiedot palauttaa muualle.

Oletetaan, että arkisto päättää, että paikallinen tallennus on sen tärkein ehto. Se voi kirjoittaa tämän vaatimuksen sopimukseen. Sen tulisi myös määritellä, mitkä kohteet ehdon piiriin kuuluvat, vaatia ilmoitusta muutoksesta ja kysyä, miten rikkomus havaittaisiin. Oletetaan, että etätuki sallitaan vain dokumentoidun poikkeaman yhteydessä. Palvelu tarvitsee hyväksyntämenettelyn, määräaikaiset käyttöoikeudet ja tarkasteltavissa olevan lokin. Oletetaan, että arkiston on voitava poistua. Poistumisen toimivuus tulisi testata ennen kuin palvelusta tulee ainoa paikka, jossa kukaan osaa lukea tallenteita.

Mikään tässä hypoteettisessa esimerkissä ei edellytä, että arkisto ylläpitää datakeskusta. Se edellyttää, että arkisto ymmärtää valtuudet, jotka se siirtää toiselle. Tämä on ero vastuullisen ulkoistamisen ja sellaisen hankinnan välillä, joka siirtää riskin huoneeseen, johon ostaja ei pääse.

Mitä Eurooppa voi rehellisesti tarkoittaa suvereniteetilla

Eurooppalainen suvereniteetti digitaalisessa infrastruktuurissa tulisi kuvata termeillä, jotka kestävät hankalan kysymyksen. Se voi tarkoittaa, että eurooppalainen toimielin säilyttää päätösvallan kriittisissä päätöksissä. Se voi tarkoittaa, että keskeiset riippuvuudet ovat näkyviä, rajattuja ja palautettavissa. Se voi tarkoittaa, että oikeudellisia oikeuksia vastaa tekninen kyvykkyys. Se voi tarkoittaa, että julkinen ostaja voi vaihtaa palvelua, haastaa päätöksiä, tarkastaa toiminnan ja jatkaa toimintaa, kun palveluntarjoaja tai laki muuttaa käytettävissä olevaa reittiä.

Sen ei tulisi tarkoittaa, että palvelu on automaattisesti turvallinen, koska sen markkinointiosoite on eurooppalainen. Sen ei tulisi myöskään tarkoittaa, että kaikki ulkomaiset yhteydet ovat kiellettyjä. Eurooppa on riippuvainen rajat ylittävistä järjestelmistä, ja sääntö, joka väittää muuta, jätetään huomiotta tai sitä kierretään hiljaa. Kypsä kanta on vaativampi: salli riippuvuudet, jotka palvelevat tehtävää, dokumentoi ne, vähennä niitä, joihin liittyy kohtuutonta valtaa, ja pidä poistumistie niille, joita ei voida tehdä luotettaviksi.

Tämä kanta antaa myös eurooppalaisille palveluntarjoajille reilumman testin. Paikallisen palveluntarjoajan ei pitäisi joutua suorittamaan lippuseremoniaa tullakseen otetuksi vakavasti. Sen tulisi pystyä osoittamaan, mitä se operoi, mitä se siirtää muille, kenellä on pääsy, mitä lakia voidaan soveltaa, miten dataa suojataan ja miten asiakas voi poistua. Globaalin palveluntarjoajan tulisi kohdata samat kysymykset. Standardi on kontrollin todisteet, ei alkuperänäytelmä.

Sana suvereniteetti muuttuu hyödylliseksi, kun se muuttaa ostokäyttäytymistä. Ministeriö voi käyttää hankintaa palkitakseen testatun poistumistien. Sairaala voi vaatia keskeisiä järjestelyjä, jotka vastaavat sen kliinisiä velvollisuuksia. Yliopisto voi tehdä tutkimusdatan alkuperän näkyväksi. Sääntelyviranomainen voi pyytää järjestelmän tilaa päätöksen tekohetkellä. Toimittaja voi suunnitella palvelunsa niin, että asiakkaan valta ei ole vain koristeellinen kappale. Nämä ovat institutionaalisia toimia, eivät iskulausekilpailu.

Pieni huomautus meiltä

Julkisessa analyysissämme Dweve-konsernissa, The Sovereignty Illusion: where control really sits, joka julkaistiin 29. kesäkuuta 2026, noudatetaan samanlaista kurinalaisuutta. Se erottaa omistajuuden, teknologian, pääoman, infrastruktuurin ja oikeudellisen altistumisen toisistaan sen sijaan, että eurooppalainen leima edustaisi kaikkia viittä. Tämä artikkeli on rajatumpi. Se seuraa datakeskusväitteen operatiivisiin ja oikeudellisiin kerroksiin, joita ostajan on hallittava.

Näin haluamme myös kuvata omaa työtämme. Järjestelmän tulisi tehdä rajansa luettaviksi: mikä on paikallista, mikä on siirretty, mikä on tallennettu, mitä voidaan haastaa ja mitä voidaan muuttaa. Hyödyllinen väite on sellainen, jonka lukija voi tarkastaa. Loput on koristelua, ja Euroopassa on jo ennestään runsaasti koristeellista infrastruktuuria.

Oikeudellinen argumentti alkaa vasta osoitteen jälkeen

Datakeskuksen sijainti on tietämisen arvoinen. Se voi vaikuttaa fyysiseen pääsyyn, häiriönsietokykyyn, yhteyksiin, sovellettaviin paikallisiin sääntöihin ja palvelun suunnitteluun. Se voi olla oikea ensimmäinen kysymys. Se on huono lopullinen vastaus.

Lopullisen vastauksen on yhdistettävä paikka ja toimivalta. Siinä on nimettävä toimija, identiteetit, avaimet, alihankkijat, oikeudelliset välineet, mahdolliset pyynnöt, todisteet ja poistumistie. Henkilötietojen osalta eurooppalaisen suojelun tason on pysyttävä olennaisesti vastaavana, kun tietoja siirretään, ja viejien on arvioitava olosuhteet sen sijaan, että he toistaisivat väitteen sijainnista. Muiden kuin henkilötietojen osalta datasäädös lisää sääntöjä ulkomaisesta pääsystä ja pilvipalvelun vaihtamisesta, mikä jälleen tekee hallinnasta ja siirrettävyydestä konkreettisia.

Ei ole olemassa yhtä ainoaa eurooppalaista numeroa, joka voisi muuttaa monimutkaisen palvelun suvereeniksi. On olemassa sarja kysymyksiä, testejä ja asiakirjoja. Sarja on hitaampi kuin "EU:ssa isännöity" -tekstin painaminen esitteeseen. Se on myös osa, joka pysyy hyödyllisenä sen jälkeen, kun esite on vanhentunut.

Kun ostaja kysyy, missä tiedot ovat, vastaa sijaintiin tarkasti. Kysy sitten, kuka voi lukea ne, kuka voi toimia niiden perusteella, kuka voidaan velvoittaa, kuka voi todistaa, mitä tapahtui, ja kuka voi poistua. Eurooppalainen datakeskus voi olla osa luotettavaa järjestelyä. Se ei voi yksinään olla oikeudellinen peruste.

Lähteet

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Euroopan tietosuojaneuvosto, lopullinen versio 18. kesäkuuta 2021. Linkitetty sivu sisältää virallisen PDF-tiedoston.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Euroopan unionin tuomioistuin, tuomio 16. heinäkuuta 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Euroopan parlamentti ja neuvosto, 13. joulukuuta 2023, EUR-Lex.
• Data Act explained, Euroopan komissio, julkaistu 2025 ja luettu 5. elokuuta 2026.
• Cloud Computing Risk Assessment ja virallinen raportti PDF-muodossa, Euroopan unionin kyberturvallisuusvirasto (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29. kesäkuuta 2026.