Podatkovni centar nije pravni argument

Podatkovni centar nije pravni argument

The address on the brochure

There is a sentence that appears in cloud tenders with the confidence of a completed argument: the data will be stored in a European data centre. The sentence may be true. It may also be doing far more work than it can carry.

A data centre has a location. That location matters for physical security, resilience, energy, connectivity, national rules and the practical reach of a local authority. It tells a buyer something useful about where some equipment stands. It does not, by itself, tell the buyer who owns the service, who operates the equipment, where copies are made, who holds the keys, which people can administer it, which companies are allowed to subcontract parts of the work, or which legal system can compel a party to provide access.

The distinction is easy to state and surprisingly easy to lose. A postcode is visible. Control is distributed. The postcode fits neatly in a procurement spreadsheet; control arrives as a chain of contracts, identities, support accounts, management planes, encryption keys, corporate relationships, operational procedures and legal duties. The first is a fact about place. The second is a question about power.

European data protection law has been making this point in increasingly precise language. In the Schrems II judgment of 16 July 2020, the Court of Justice of the European Union examined how personal data could leave the European Economic Area while retaining a level of protection essentially equivalent to the one guaranteed inside it. The Court upheld standard contractual clauses as a possible transfer tool, but made clear that they do not operate in a vacuum. The exporter has to examine the law and practice of the destination in the circumstances of the transfer, and act when the safeguards cannot work in practice.

The judgment did not say that a border is irrelevant. It said that a border is one part of the question. The European Data Protection Board's subsequent recommendations turn that principle into a method: know the transfers, identify the legal tool, assess the law and practice that can affect it, add measures where they can work, complete the required procedure, and keep the assessment under review. A server address appears in that map. It is not the map.

This matters beyond personal data. The Data Act treats cloud and other data-processing services as infrastructure from which customers should be able to switch. It also addresses conditions under which a third-country public authority seeks access to non-personal data held in the Union. Again, the legal answer is built from actors, purposes, safeguards, evidence and remedies. A building is involved. A building is not enough.

The practical lesson for a European institution is therefore blunt. Ask where the data is. Then keep asking questions until the answer includes who can read it, who can change it, who can stop it, who can export it, who can be forced to disclose it, and what evidence will remain when the parties disagree. If the answer ends at the door of the data centre, the useful part of the investigation has only just begun.

Residency is about place

Data residency is a statement about where data is stored or processed under a defined arrangement. The definition needs a scope. Is it the primary copy, the backup, the index, the cache, the telemetry, the disaster-recovery site, or all of them? Does processing include an administrator viewing a record from another country? Does a support session count? What happens when an incident team needs to copy a diagnostic trace? A residency promise that does not say what it covers is an attractive label attached to an unfinished sentence.

Oblakovni su sustavi osmišljeni da premještaju posao. Replikacija može poboljšati dostupnost. Druga lokacija može održati uslugu živom kada je prva lokacija nedostupna. Rubna lokacija može smanjiti latenciju. Sigurnosni tim može usmjeriti zapisnik u središnji sustav za analizu. To su uobičajeni inženjerski izbori, a ne dokaz nepravilnosti. No oni znače da sintagma „pohranjeno u Europi” treba tehnički objekt uz sebe. Koji podaci, u kojem stanju, za koje razdoblje, pod kojom operacijom?

ENISA-ina procjena rizika za oblak, prvi put objavljena 2009., i danas je korisna upravo zato što je odbila tretirati zemljopis kao potpunu kontrolu. Prepoznaje rizike pohrane u više jurisdikcija, nedostatne informacije o jurisdikcijama, gubitak upravljanja, podugovaranje i promjene u kontroli pružatelja. Dokument je dovoljno star da gaji sklonost prema akronimima koju suvremeni timovi možda ne dijele, no organizacijski problem nije nestao. Ako kupac ne može vidjeti gdje se podaci obrađuju ili tko je odgovoran za sljedeću predaju, kupac ne može donijeti pouzdanu odluku o riziku.

Rezidentnost može biti opravdan zahtjev. Javni arhiv može trebati da zapisi ostanu unutar definiranog pravnog područja. Zdravstvena služba može trebati dogovor o obradi koji ograničava kamo osjetljivi podaci mogu putovati. Istraživački konzorcij može imati obveze vezane uz financijera ili sporazum o dijeljenju podataka. Ti bi zahtjevi trebali biti zapisani kao operativni uvjeti, s metodom za njihovu provjeru, a ne kao jedno ime zemlje koje je svima dopušteno tumačiti velikodušno.

Postoji i razlika između ograničenja i jamstva. Zahtijevati od pružatelja da primarnu pohranu drži u Europskoj uniji ograničava jednu klasu premještanja. To ne jamči da nitko izvan Unije ne može pristupiti zapisu, da nikakvi metapodaci ne napuštaju sustav ili da nikakva strana pravna obveza ne može dosegnuti pružatelja. Ograničenje može biti korisno i bez toga da bude jamstvo. Miješanje ta dva pojma stvara priču o usklađenosti koja prolazi obilazak poslužiteljske sobe, a pada na pomnijem pregledu upravljačke razine.

Korisno pitanje o rezidentnosti nije jednostavno „gdje je to?”. Ono glasi: „koje su lokacije moguće za svako stanje tih podataka i tko može izazvati promjenu tog stanja?”. Pružatelj bi trebao moći objasniti odgovor na način koji inženjer može provesti, a kupac provjeriti. Ako objašnjenje ovisi o nedokumentiranoj iznimci, navici podrške ili obećanju da će se pružateljevi vlastiti podugovaratelji vjerojatno ponašati kako treba, tvrdnja o rezidentnosti još nije operativna.

Pet pitanja skrivenih u riječi gdje

Kada ljudi pitaju gdje su njihovi podaci, često misle na nekoliko različitih stvari odjednom. Razdvajanje tih pitanja čini razgovor o nabavi manje teatralnim, a korisnijim.

1. Gdje su bitovi? To je pitanje fizičke i logičke pohrane. Obuhvaća primarne podatke, replike, sigurnosne kopije, predmemorije, indekse i relevantne zapisnike. Zadovoljavajući odgovor imenuje opseg i uvjete pod kojima se odgovor mijenja.

2. Gdje se odvija obrada? Zapis može biti pohranjen u jednoj jurisdikciji, a transformiran, pretraživan, klasificiran, šifriran ili dešifriran negdje drugdje. Obrada može biti zakazani posao, radnja podrške, nadzorni kanal ili privremena kopija nastala tijekom oporavka.

3. Tko mu može pristupiti? To je pitanje identiteta i operativnosti. Obuhvaća osoblje, administratore, izvođače, servisne račune, osobe koje reagiraju na incidente i automatizirane sustave. Osoba ne mora živjeti pored poslužitelja da bi imala stvarni pristup njemu.

4. Tko može prisiliti na taj pristup? To je pitanje jurisdikcije i zakonskog ovlaštenja. Slijedi relevantne organizacije i osobe, uloge koje obnašaju, ugovore koje potpisuju i zakonske obveze koje ih mogu vezati. Na njega se ne odgovara samo oznakom na karti.

5. Što kupac može učiniti kada se odgovor promijeni? To je pitanje kontrole i izlaska. Može li kupac ograničiti pristup, rotirati ključeve, dobiti pouzdan zapis, vratiti uslugu, premjestiti podatke i prekinuti odnos bez gubitka onoga što je pokušavao zaštititi?

Ta se pitanja preklapaju, ali nisu međusobno zamjenjiva. Davatelj može uvjerljivo odgovoriti na prvo, a loše na treće. Ugovor može na papiru odgovoriti na peto, dok tehnički tim nikada nije proveo izlazak. Lokalna podružnica može odgovoriti na pitanje korporativnog identiteta, dok usluga ovisi o infrastrukturi ili organizaciji podrške matične tvrtke. Ispravan odgovor nije odabrati najutješniji odgovor. On je zadržati cijeli skup netaknutim.

To je također razlog zašto procjene suverenosti mogu postati zbunjujuće. Od riječi se traži da pokrije fizičko prebivalište, pravnu neovisnost, operativnu sposobnost, ekonomsko vlasništvo, stratešku autonomiju i mogućnost odlaska. To su povezane težnje. One nisu jedno svojstvo. Precizna institucija kaže koje svojstvo treba i koji bi dokaz pokazao da ono postoji.

Jurisdikcija slijedi ovlasti

Jurisdikcija nije mistični oblak koji okružuje zemlju. To je način opisivanja koje pravne vlasti mogu regulirati, narediti, istražiti, preispitati ili sankcionirati postupanje relevantnih aktera. U distribuiranoj usluzi akteri su jednako važni kao i mjesta. Tvrtka može biti osnovana u jednoj državi članici, upravljati objektima u drugoj, koristiti tim za podršku u trećoj i ovisiti o matičnoj tvrtki ili podizvođaču koji podliježu obvezama negdje drugdje. Kupac koji pokušava razumjeti pravni doseg mora slijediti lanac ovlasti, a ne zaustaviti se na najbližoj zgradi.

To ne znači da svaka inozemna veza poništava europsku kontrolu. Europske usluge povezane su dizajnom. Prekogranična trgovina, istraživanje, podrška, financiranje i infrastruktura normalni su. Pitanje je zna li institucija koja veza nosi koju moć. Europski operater može odbiti običan zahtjev, ali ne imati ovlast oduprijeti se obvezujućoj uputi druge organizacije. Podizvođač može posjedovati vjerodajnicu koju glavni ugovaratelj nije uključio u vlastiti popis pristupa. Proces podrške može dopustiti daljinski pristup čak i kada ugovor o pohrani obećava lokalnu regiju.

Pravna analiza također ovisi o vrsti podataka i vrsti zahtjeva. Osobni podaci u igru uvode GDPR-ova pravila o prijenosu i okvir temeljnih prava. Nepersonalni podaci nisu pravni vakuum. Akt o podacima sadrži zaštitne mjere za određene zahtjeve tijela javne vlasti iz trećih zemalja za nepersonalne podatke pohranjene u Uniji. Zahtjev se mora razmotriti kroz uvjete iz uredbe, uključujući prirodu zahtjeva i zaštite dostupne u pravnom sustavu treće zemlje. Ta su dva režima različita, a upravo je ta razlika razlog zašto ih kupac ne bi trebao sažeti u riječ rezidentnost.

Presuda Suda EU-a u predmetu C-311/18 pruža koristan europski pravni obrazac. Sud nije pitao izgleda li ugovor dovoljno formalno. Pitao je hoće li zaštita zajamčena europskim pravom ostati bitno istovjetna u okolnostima prijenosa, uzimajući u obzir pravo i praksu koji bi mogli utjecati na podatke. Standardne ugovorne klauzule mogu obvezivati stranke koje ih potpišu. Ne obvezuju tijelo javne vlasti koje nije stranka ugovora. Ako pravno okruženje potkopava obećane zaštitne mjere, izvoznik mora reagirati.

Ta je logika šira od konkretnog spora. Ugovor je instrument privatne raspodjele. Nadležnost je polje u kojem javna vlast može djelovati. Ugovor može dobavljaču reći što je obećao kupcu. Sam po sebi ne može ukloniti javnu ovlast koja obvezuje dobavljača ili njegove ljude. Dobro upravljanje ozbiljno shvaća obje tvrdnje. Koristi ugovore za postavljanje obveza i tehničke mjere kako bi te obveze bile vidljive, priznajući da pravni doseg i dalje može promijeniti dostupne mogućnosti.

Primamljivo je pretvoriti ovo u potragu za jednom opasnom zemljom. To je manje korisno od mapiranja stvarnih tijela. Koji je subjekt voditelj obrade ili izvršitelj obrade? Koji subjekt zapošljava administratora? Koji subjekt drži ključeve za enkripciju? Koji subjekt može napraviti repliku? Koji subjekt prima zahtjev za podršku? Koje bi tijelo moglo izdati nalog? Koji bi pravni lijek kupac imao i pred kojim forumom? Karta može biti umirujuća. Može i ne mora. Bilo koji je ishod vrijedniji od naljepnice s nazivom zemlje.

Vlasništvo je naslov, ne ključ

Vlasništvo ima stvarnu pravnu i ekonomsku snagu. Može odrediti tko smije prodati imovinu, imenovati direktore, licencirati intelektualno vlasništvo, primati prihode ili donositi određene odluke. U tijelu javne vlasti može biti povezano sa zakonskom odgovornošću za zapise ili infrastrukturu. U korporativnoj grupi može objasniti tko može glasati, spajati se, financirati ili zamijeniti pružatelja usluge. Vlasništvo pripada procjeni suvereniteta.

Vlasništvo ne osigurava automatski operativnu kontrolu. Kupac može posjedovati podatke dok dobavljač upravlja bazom podataka, vodi sustav sigurnosnih kopija i kontrolira servisni račun. Javna institucija može posjedovati zgradu dok izvođač drži vjerodajnice za održavanje i jedini testirani put za obnovu opreme. Tvrtka može posjedovati izvorni kod dok treća strana kontrolira ključ za potpisivanje, build runner, registar paketa i identitet za implementaciju. Naslov je stvaran. Jednako je stvarna i ovisnost.

Razlika postaje vidljiva u glagolima. Vlasništvo je imenica u ugovoru. Kontrola je sposobnost pregleda, upravljanja, izmjene, zaustavljanja, oporavka, izvoza, brisanja i dokazivanja. Postupak nabave koji bilježi samo imenice može ostaviti važne glagole nedodijeljenima. Može imati imenovanog vlasnika platforme, a da i dalje nema imenovanu osobu koja može rotirati ključ, ukloniti privilegirani račun ili vratiti podatke iz sigurnosne kopije bez da pita organizaciju koja nije u prostoriji.

Nema nikakve vrline u zahtijevanju maksimalnog posjeda. Bolnica, sveučilište ili općina možda nemaju osoblje ni sigurnosne kapacitete za sigurno upravljanje svakim slojem. Delegiranje zadatka može biti odgovorno kada su granice jasne i kada kupac zadržava mogućnost nadzora, testiranja i oporavka. Poanta nije smjestiti svaki poslužitelj u javni podrum. Poanta je odlučiti koje su ovlasti bitne za misiju i zadržati te ovlasti dovoljno blizu da se njima može upravljati.

Ta odluka zahtijeva dokaze. „Kupac je vlasnik podataka” trebalo bi dovesti do pitanja o formatu izvoza, čuvanju ključeva, zadržavanju, brisanju, zapisnicima pristupa i ovlastima podrške. „Pružatelj je europski” trebalo bi dovesti do pitanja o korporativnoj kontroli, podizvođačima, infrastrukturi, pravnoj izloženosti i kontinuitetu. „Podaci su u Uniji” trebalo bi dovesti do pitanja o udaljenoj administraciji, replikama, lokacijama obrade i pravnim zahtjevima. Dobar odgovor može biti složen. Složenost nije mana kada je sustav složen.

Operativna kontrola je pravo na djelovanje

Operativnu kontrolu najlakše je razumjeti kroz radnju, a ne kroz pridjev. Razmotrite kupca koji treba opozvati administratora. Tko može izvršiti opoziv? Koji identitetski sustav to ovlašćuje? Je li pružatelj dužan provesti promjenu ili to kupac može učiniti izravno? Obuhvaća li radnja račune podrške, hitne račune i neaktivne vjerodajnice? Dokazuje li zapis kada je ovlast nestala? Ako radnja ovisi o službi za podršku, ta je služba dio upravljačke ravnine.

Isti se test primjenjuje na ključeve. Enkripcija može smanjiti izloženost, ali njezino upravljanje ovisi o tome tko ključeve stvara, pohranjuje, rotira, oporavlja i tko ih može koristiti. Lokalno pohranjen zapis može ostati nečitljiv strani koja ne može doći do ključa. Također može postati nedostupan kupcu kada je jedini put oporavka kod dobavljača. Čuvanje ključeva stoga nije ni slogan suverenosti ni čarobna gumica za nadležnost. To je konkretna kontrola koja se mora dodijeliti i uvježbati.

Zapisnici zaslužuju isti tretman. Nadzorna ploča može prikazati aktivnost. Dokazi zahtijevaju zapis koji kupac može zadržati, protumačiti i osporiti. Tko piše zapisnik? Može li administrator izmijeniti zapisnik? Je li izvor vremena pouzdan? Obuhvaća li pristup podrške i automatiziranu obradu? Može li kupac dobiti upotrebljiv izvoz bez dopuštenja pružatelja? Što se događa kada se račun zatvori? Zapisnik koji nestaje zajedno s uslugom koristan je za operacije, a slab za odgovornost.

Oporavak je najteži test operativne kontrole jer čini svaku ovisnost vidljivom. Pružatelj može obećati sigurnosnu kopiju, no vraćanje može zahtijevati određenu regiju, nedostupnu licenciju, inženjera koji tamo više ne radi ili tajnu pohranjenu u zasebnom sustavu. Kupac može posjedovati datoteku sigurnosne kopije, a i dalje ne moći od nje stvoriti radnu uslugu. Oporavak treba testirati kao cjelovitu radnju, s zabilježenim rezultatom i s prazninama dodijeljenim ljudima koji ih mogu zatvoriti.

Zaustavljanje usluge također je kontrola. Institucija može trebati pauzirati integraciju, izolirati skup podataka, obustaviti automatiziranu obradu ili spriječiti stvaranje nove replike. Ako zaustavljanje može izvršiti samo dobavljač, identitet dobavljača, pravne obveze, vrijeme odziva i postupak podrške postaju dio rizika institucije. To može biti prihvatljiv aranžman. No nije nevidljiv.

Poanta ovih testova nije nepovjerenje prema svakom dobavljaču. Poanta je zamijeniti povjerenje odnosom koji se može nadzirati. Dobavljač s jasnim odgovorom može objasniti koje radnje izvršava on, koje izvršava kupac, a koje zahtijevaju suradnju. Dobavljač koji se oslanja na jednu umirujuću rečenicu još nije odgovorio na operativno pitanje.

Podizvođači pretvaraju jedan odgovor u lanac

Usluga rijetko znači da jedna organizacija radi jednu stvar na jednom mjestu. Pružatelji oblaka koriste specijaliziranu infrastrukturu, partnere za podršku, usluge nadzora, operacije sigurnosti, održavanje hardvera, mrežne operatere i druge dobavljače. Neki su vidljivi u ugovoru. Drugi se pojavljuju na popisu podizvođača, u opisu usluge, obavijesti o incidentu ili tijeku podrške. Lanac je uobičajen. Obveza razumijevanja lanca također je uobičajena.

ENISA-ina procjena rizika upozorava na poznati propust: pružatelj oblaka može podugovoriti usluge trećoj strani koja ne nudi ista jamstva, a promjena kontrole može izmijeniti uvjete pružatelja. Izvješće nije moderna specifikacija arhitekture i ne mora biti. Njegovo trajno upozorenje organizacijske je prirode. Kupac ne može tvrditi da razumije uslugu ako je procijenio samo prvu tvrtku navedenu na računu.

Preporuke EDPB-a preciznije su za osobne podatke. Prvi je korak poznavati prijenose, uključujući daljnje prijenose obrađivačima i podizvođačima. Daljinski pristup iz treće zemlje sam po sebi može predstavljati prijenos, čak i kada zapis ostaje u podatkovnom centru unutar EGP-a. Aranžman podrške stoga je dio karte prijenosa podataka, a ne fusnota kojom se možete pozabaviti nakon implementacije.

Vidljivost podizvođača nije isto što i kontrola nad podizvođačem. Popis govori kupcu tko je uključen. Kontrola se odnosi na to što svaka strana može učiniti, koje podatke može vidjeti, koji pravni alat pokriva aktivnost, kako se najavljuje promjena i koji pravni lijek postoji ako strana prestane ispunjavati uvjete. Lanac bi trebao imati granice i dokaze na svakoj predaji.

Postoji praktičan razlog za otpor prema nejasnim lancima. Kada se dogodi incident, odgovornost često putuje u suprotnom smjeru od podataka. Kupac pita pružatelja. Pružatelj pita tim platforme. Tim platforme pita specijaliziranog dobavljača. Specijalizirani dobavljač pita administratora u drugoj organizaciji. Svaka predaja može dodati kašnjenje, nesigurnost i priliku da izvorni zapis izgubi kontekst. Karta kontrole trebala bi pokazati put prije incidenta, dok ljudi koji su uključeni još imaju vremena biti precizni.

Osobni podaci: zaštita putuje sa zapisom

GDPR ne čini osobne podatke sigurnima tako što ih stavlja iza europskih vrata. Njegova pravila o prijenosu osmišljena su kako bi se očuvala visoka razina zaštite kada se podaci premještaju u treću zemlju. EDPB načelo opisuje jednostavno: bitno jednaka razina zaštite trebala bi pratiti podatke kamo god idu, tijekom i nakon prijenosa.

To ne znači da je svaki prijenos zabranjen. GDPR sadrži različite alate i uvjete za prijenos, uključujući odluke o primjerenosti i zaštitne mjere u skladu s člankom 46. Pravno je pitanje djeluje li odabrani alat u danim okolnostima. Preporuke EDPB-a upućuju izvoznike da procijene zakone i praksu relevantne za konkretni prijenos, razmotre može li uvoznik ili podaci potpasti pod problematična pravila te da dokumentiraju obrazloženje. Ako nikakva dodatna mjera ne može uspostaviti potrebnu razinu zaštite, prijenos treba izbjegavati, suspendirati ili prekinuti.

Tri su pojedinosti posebno lako previdjeti u raspravi o rezidentnosti. Prvo, daljnji prijenos je važan. Davatelj može čuvati primarni zapis u EGP-u i poslati kopiju službi za podršku ili analitiku negdje drugdje. Drugo, pristup je važan. Administrator u trećoj zemlji može moći pročitati zapis, a da se zapis fizički nikada ne premjesti na stol te osobe. Treće, odgovornost je važna. Izvoznik mora moći dokazati procjenu i revidirati je kada se promijene usluga, zakon, ljudi ili okolnosti.

Okvir stoga od kupca traži da razumije i tehnički put i pravni kontekst. Dijagram regija i strelica koristan je. Ne može zamijeniti procjenu prijenosa. To ne može ni ugovorno obećanje da će se davatelj pridržavati pravila, ako kupac nije provjerio što relevantne zaštitne mjere mogu postići u odnosu na zakone i prakse koje se mogu primjenjivati na davatelja.

Europsko pravo o zaštiti podataka ima zdravu odbojnost prema čarobnim riječima. „Hosting u EU-u" može opisati korisnu činjenicu. „Usklađenost" može opisati zaključak koji zahtijeva obrazloženje. „Suverenost" može opisati politički cilj. Niti jedno od toga ne smije zamijeniti dokaze da su podaci zaštićeni, da je pristup uređen i da se odluka može braniti.

Nepersonalni podaci: drugačiji režim, ista disciplina

Akt o podacima bavi se širim skupom odnosa s podacima i uključuje pravila za usluge obrade podataka poput usluga u oblaku i usluga na rubu mreže. On nije zamjena za GDPR i ne pretvara svaku odluku o oblaku u procjenu prijenosa za zaštitu podataka. On pruža drugi europski podsjetnik da se lokacija, pristup, promjena davatelja i ovlasti moraju razmatrati zajedno.

Za nepersonalne podatke pohranjene u Uniji, Komisijino objašnjenje Akta o podacima opisuje zaštitne mjere za određene zahtjeve ili odluke tijela javne vlasti treće zemlje. Ako nijedan primjenjivi međunarodni sporazum ne uređuje pristup, uredba postavlja uvjete namijenjene zaštiti europskih interesa, uključujući pozornost na pravni sustav treće zemlje i proporcionalnost zahtjeva. Od davatelja se očekuje da poduzmu razumne mjere, poput enkripcije, revizija ili aranžmana za certifikaciju, kako bi spriječili neovlašteni pristup i obavijestili kupce gdje god je to moguće.

Tekst je važan. Akt o podacima ne tvrdi da Unija može učiniti da strani pravni sustavi nestanu. On stvara okvir za procjenu i ograničavanje određenih načina pristupa. Davatelj i dalje mora znati koje sustave vodi, koji se podaci čuvaju, tko može odgovoriti na zahtjev i koji se dokazi mogu dati kupcu. Kupac i dalje mora razumjeti koji su dijelovi podataka osobni, koji nisu te koji se drugi pravni režimi primjenjuju.

The Act also approaches control through switching. Customers should be able to move between data-processing services, use services in parallel and port exportable data and digital assets. Providers must give information about export formats, interfaces, known limitations and the time needed for the process. The rules on functional equivalence recognise a practical truth: a file that can be downloaded is not necessarily a service that can be recovered.

Switching is often described as a competition measure, and it is one. It is also a sovereignty measure in the operational sense. An institution that can leave has more room to refuse a change it cannot accept. An institution that cannot leave may own a contract and still be governed by the provider's defaults. A legal right to switch is an important start. A rehearsed migration that preserves the data, the configuration and the evidence is the part that makes the right usable.

Contracts, keys and the limits of reassurance

Contracts remain essential. They allocate duties, set notification rules, identify subprocessors, define permitted processing, describe deletion and retention, create audit rights and establish assistance during a transition. The Data Act's cloud-switching provisions reinforce the need for clear contractual terms, exportable data and information about the mechanics of an exit. ENISA's older guidance likewise recommends paying attention to data transfers, change of control, law-enforcement access, breach notifications and liability when evaluating cloud contracts.

A contract is not a runtime control. A clause saying that the customer may export is weaker than an export run against a representative dataset and restored in a second environment. A clause saying that the provider will delete is weaker than an auditable deletion process that covers replicas, caches, backups and derived records. A clause giving an audit right is weaker than logs and evidence the customer can actually obtain. Paper matters. Paper that never meets a working system is politely framed optimism.

Keys provide a similar lesson. Customer-controlled encryption can reduce what a provider or an unauthorised party can read. It does not answer who can compel a person who holds a recovery key, who controls the hardware security module, who can change the key policy, or what happens when the customer loses its own credential. The right design may use split authority, independent custody, carefully scoped access and tested recovery. The wrong design can put the decisive key in a different jurisdiction and call the arrangement local because the database is local.

Legal and technical measures should be designed together. If a contract requires the customer to approve support access, the service should have an approval flow that leaves a record. If the customer needs to prevent onward transfers, the provider should expose the route and enforce the boundary. If a public authority request must be evaluated, the incident process should preserve the request, the legal analysis, the decision, the notification and the response. A legal promise becomes credible when a system can show how it is carried out.

The same principle applies to ownership changes. A supplier acquisition, a new parent company, a change in subcontractor or a change in the service's operating region can alter the control map without changing the customer-facing brand. Contracts should require notice and remedies. Technical inventories should be updated. A change ledger should show which powers moved. Governance that exists only at initial signature has a short half-life.

A buyer's control map

A public or private buyer does not need a magical questionnaire. It needs a map that connects claims to evidence. The following questions are a useful starting point because they ask for actions, actors and records rather than a preferred adjective.

Tablica je namjerno prozaična. Zamišljena je tako da preživi kontakt s timom za nabavu. Kupcu također daje način za usporedbu pružatelja bez pretvaranja da certifikat, nacionalna zastava ili obilazak podatkovnog centra rješavaju sve. Dokazi mogu biti povjerljivi. Zahtjev za postojanjem dokaza ne bi trebao biti.

Zatražite demonstraciju ključne radnje, a ne samo opis. Pokažite kako se uklanja privilegirani račun. Pokažite kako se odobrava sesija podrške. Pokažite što kupac dobije kada zatraži izvoz. Pokažite kako se locira replika. Pokažite što pravni zahtjev čini tijeku rada za incidente. Pokažite kako organizacija nastavlja rad kada je račun pružatelja suspendiran. Poanta nije uprizoriti dramatičan neuspjeh. Poanta je vidjeti postoji li kontrola izvan prezentacije.

Zatim pitajte tko je vlasnik rezultata. Test bez vlasnika je predstava. Nedostatak bez datuma je trajna značajka. Kontrola bez zapisa je uvjerenje. Karta bi stoga trebala imenovati osobu ili tijelo koje prihvaća rizik, dobavljača koji mora izvršiti radnju i put za osporavanje rezultata. Upravljanje nije hrpa pitanja. To je skup odluka koje imaju kamo otići.

Misao eksperiment o europskom arhivu

Sljedeće je označena hipoteza, a ne izvješće o stvarnom kupcu ili incidentu. Zamislite gradski arhiv koji odabire uslugu smještanja za digitalizirane zapise o planiranju. Natječaj zahtijeva primarno pohranjivanje u Europskoj uniji te traži enkripciju, sigurnosne kopije i službu podrške. Tri pružatelja zadovoljavaju uvjete. Jedan je lokalno osnovan, ali se oslanja na podizvođača za podršku izvan Unije. Jedan drži pohranu i podršku u Uniji, ali koristi platformu identiteta matične tvrtke. Jedan ima manju lokalnu operaciju, jasno skrbništvo nad ključevima i testiran izvoz, ali treba pažljivo definiranu razinu usluge jer ne može ponuditi svaku opcionalnu značajku.

Prvi pružatelj i dalje može biti prihvatljiv. Drugi i dalje može biti prihvatljiv. Treći i dalje može biti neprikladan za određeni zahtjev dostupnosti. Poanta misaonog eksperimenta je da samo rezidentnost ne može odlučiti između njih. Arhiv mora pitati koji je pristup podršci moguć, tko može napraviti kopiju, koje pravne osobe mogu primiti nalog, kako se upravlja ključevima, što zapisnici pokazuju i mogu li se zapisi oporaviti negdje drugdje.

Pretpostavimo da arhiv zaključi da je lokalna pohrana njegov najvažniji uvjet. Tu odredbu može unijeti u ugovor. Pritom bi trebao i definirati objekte na koje se uvjet odnosi, zahtijevati obavijest o promjeni te pitati kako bi se kršenje otkrilo. Pretpostavimo da zaključi kako je daljinska podrška dopuštena samo za dokumentirani incident. Usluga treba put odobravanja, vremenski ograničene vjerodajnice i zapis koji se može pregledati. Pretpostavimo da zaključi da arhiv mora imati mogućnost izlaska. Izlaz bi trebalo testirati prije nego usluga postane jedino mjesto na kojem itko zna čitati zapise.

Ništa u ovom hipotetskom primjeru ne zahtijeva od arhiva da upravlja podatkovnim centrom. Zahtijeva da arhiv razumije ovlasti koje delegira. To je razlika između odgovornog outsourcinga i kupnje koja rizik premješta u prostoriju u koju kupac ne može ući.

Što Europa iskreno može misliti pod suverenošću

Europsku suverenost u digitalnoj infrastrukturi trebalo bi opisati pojmovima koji mogu preživjeti neugodno pitanje. Može značiti da europska institucija zadržava vlast nad ključnim odlukama. Može značiti da su ključne ovisnosti vidljive, ograničene i obnovljive. Može značiti da su pravna prava popraćena tehničkim sposobnostima. Može značiti da javni kupac može promijeniti pružatelja, osporiti odluku, izvršiti nadzor i nastaviti s radom kada pružatelj ili zakon promijeni dostupan put.

Ne bi trebalo značiti da je usluga automatski sigurna jer joj je marketinška adresa europska. Niti bi trebalo značiti da je svaka inozemna veza zabranjena. Europa ovisi o prekograničnim sustavima, a pravilo koje tvrdi suprotno bit će ignorirano ili tiho zaobiđeno. Zrelo stajalište zahtjevnije je: dopustiti ovisnosti koje služe misiji, dokumentirati ih, smanjiti one koje nose neprihvatljivu moć i zadržati izlaz za one koje se ne može učiniti pouzdanima.

To stajalište također daje europskim pružateljima pošteniji test. Lokalni pružatelj ne bi trebao morati izvesti ceremoniju sa zastavom da bi ga se shvatilo ozbiljno. Trebao bi moći pokazati čime upravlja, što delegira, tko mu može pristupiti, koji se zakon može primijeniti, kako su podaci zaštićeni i kako kupac može otići. Globalni pružatelj trebao bi se suočiti s istim pitanjima. Mjerilo su dokazi o kontroli, a ne podrijetlo kao predstava.

Riječ suverenost postaje korisna kada mijenja ponašanje pri kupnji. Ministarstvo može javnom nabavom nagraditi testiran izlazni put. Bolnica može zahtijevati ključne aranžmane koji odgovaraju njezinim kliničkim dužnostima. Sveučilište može učiniti podrijetlo istraživačkih podataka vidljivim. Regulator može tražiti stanje sustava u trenutku odluke. Dobavljač može osmisliti svoju uslugu tako da ovlast kupca nije samo ukrasni odlomak. To su institucionalne radnje, a ne natjecanje u sloganima.

Kratka napomena s naše strane

U Dweveu naša javna analiza The Sovereignty Illusion: where control really sits, objavljena 29. lipnja 2026., koristi sličnu disciplinu. Razdvaja vlasništvo, tehnologiju, kapital, infrastrukturu i pravnu izloženost umjesto da dopusti europskoj oznaci da predstavlja svih pet. Ovaj je članak uži. Slijedi tvrdnju o podatkovnom centru u operativne i pravne slojeve kojima kupac mora upravljati.

Tako također volimo opisivati vlastiti rad. Sustav bi trebao učiniti svoje granice čitljivima: što je lokalno, što je delegirano, što je zabilježeno, što se može osporiti i što se može promijeniti. Korisna je tvrdnja ona koju čitatelj može provjeriti. Ostalo je ukras, a Europa već ima dovoljno ukrasne infrastrukture.

Pravni argument počinje nakon adrese

Lokacija podatkovnog centra vrijedna je znanja. Može utjecati na fizički pristup, otpornost, povezivost, primjenjiva lokalna pravila i dizajn usluge. Može biti pravo prvo pitanje. Loš je konačni odgovor.

Konačan odgovor mora povezati mjesto s ovlašću. Mora imenovati operatera, identitete, ključeve, podizvođače, pravne alate, moguće zahtjeve, dokaze i izlaz. Za osobne podatke, europska razina zaštite mora ostati bitno jednaka kada se podaci prenose, a izvoznici moraju procijeniti okolnosti umjesto da ponavljaju tvrdnju o lokaciji. Za neosobne podatke, Akt o podacima dodaje pravila o stranom pristupu i promjeni pružatelja usluga u oblaku, što ponovno čini kontrolu i prenosivost konkretnima.

Ne postoji jedinstveni europski broj koji može pretvoriti složenu uslugu u suverenu. Postoji niz pitanja, testova i zapisa. Taj je niz sporiji od ispisa „EU hosted” na brošuri. Također je dio koji ostaje koristan nakon što brošura zastari.

Kada kupac pita gdje su podaci, odgovorite na lokaciju precizno. Zatim pitajte tko ih može čitati, tko može djelovati na njih, tko može biti prisiljen, tko može dokazati što se dogodilo i tko može otići. Europski podatkovni centar može biti dio pouzdanog aranžmana. Ne može sam po sebi biti pravni argument.

Izvori

• Preporuke 01/2020 o mjerama koje dopunjuju alate za prijenos radi osiguravanja usklađenosti s razinom zaštite osobnih podataka u EU-u, Europski odbor za zaštitu podataka, konačna verzija 18. lipnja 2021. Poveznica uključuje službeni PDF.
• Predmet C-311/18, Data Protection Commissioner protiv Facebook Ireland i Schrems II, Sud Europske unije, presuda 16. srpnja 2020., EUR-Lex.
• Uredba (EU) 2023/2854, Akt o podacima, Europski parlament i Vijeće, 13. prosinca 2023., EUR-Lex.
• Akt o podacima objašnjen, Europska komisija, objavljeno 2025. i pristupljeno 5. kolovoza 2026.
• Procjena rizika računalstva u oblaku i službeni PDF izvješća, Agencija Europske unije za kibersigurnost (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29. lipnja 2026.