Duomenų centras nėra teisinis argumentas

Duomenų centras nėra teisinis argumentas

The address on the brochure

There is a sentence that appears in cloud tenders with the confidence of a completed argument: the data will be stored in a European data centre. The sentence may be true. It may also be doing far more work than it can carry.

A data centre has a location. That location matters for physical security, resilience, energy, connectivity, national rules and the practical reach of a local authority. It tells a buyer something useful about where some equipment stands. It does not, by itself, tell the buyer who owns the service, who operates the equipment, where copies are made, who holds the keys, which people can administer it, which companies are allowed to subcontract parts of the work, or which legal system can compel a party to provide access.

The distinction is easy to state and surprisingly easy to lose. A postcode is visible. Control is distributed. The postcode fits neatly in a procurement spreadsheet; control arrives as a chain of contracts, identities, support accounts, management planes, encryption keys, corporate relationships, operational procedures and legal duties. The first is a fact about place. The second is a question about power.

European data protection law has been making this point in increasingly precise language. In the Schrems II judgment of 16 July 2020, the Court of Justice of the European Union examined how personal data could leave the European Economic Area while retaining a level of protection essentially equivalent to the one guaranteed inside it. The Court upheld standard contractual clauses as a possible transfer tool, but made clear that they do not operate in a vacuum. The exporter has to examine the law and practice of the destination in the circumstances of the transfer, and act when the safeguards cannot work in practice.

The judgment did not say that a border is irrelevant. It said that a border is one part of the question. The European Data Protection Board's subsequent recommendations turn that principle into a method: know the transfers, identify the legal tool, assess the law and practice that can affect it, add measures where they can work, complete the required procedure, and keep the assessment under review. A server address appears in that map. It is not the map.

This matters beyond personal data. The Data Act treats cloud and other data-processing services as infrastructure from which customers should be able to switch. It also addresses conditions under which a third-country public authority seeks access to non-personal data held in the Union. Again, the legal answer is built from actors, purposes, safeguards, evidence and remedies. A building is involved. A building is not enough.

The practical lesson for a European institution is therefore blunt. Ask where the data is. Then keep asking questions until the answer includes who can read it, who can change it, who can stop it, who can export it, who can be forced to disclose it, and what evidence will remain when the parties disagree. If the answer ends at the door of the data centre, the useful part of the investigation has only just begun.

Residency is about place

Data residency is a statement about where data is stored or processed under a defined arrangement. The definition needs a scope. Is it the primary copy, the backup, the index, the cache, the telemetry, the disaster-recovery site, or all of them? Does processing include an administrator viewing a record from another country? Does a support session count? What happens when an incident team needs to copy a diagnostic trace? A residency promise that does not say what it covers is an attractive label attached to an unfinished sentence.

Debesų sistemos sukurtos perkelti darbą. Replikacija gali pagerinti prieinamumą. Antra vieta gali išlaikyti paslaugą veikiančią, kai pirmoji vieta nepasiekiama. Kraštinė vieta gali sumažinti delsą. Saugumo komanda gali nukreipti žurnalą į centrinę analizės sistemą. Tai įprasti inžineriniai sprendimai, o ne įrodymai, kad daroma kas nors netinkama. Tačiau jie reiškia, kad prie frazės „saugoma Europoje“ reikia pridėti techninį objektą. Kokie duomenys, kokioje būsenoje, kokiam laikotarpiui, pagal kurią operaciją?

ENISA debesų rizikos vertinimas, pirmą kartą paskelbtas 2009 m., išlieka naudingas būtent todėl, kad atsisakė traktuoti geografiją kaip visišką kontrolę. Jis nustato rizikas, kylančias dėl saugojimo keliose jurisdikcijose, nepakankamos informacijos apie jurisdikcijas, valdymo praradimo, subrangos ir teikėjo kontrolės pasikeitimų. Dokumentas pakankamai senas, kad jam būtų būdingas pomėgis akronimams, kurio šiuolaikinės komandos gali nesidalyti, tačiau organizacinė problema nedingo. Jei klientas nemato, kur duomenys apdorojami arba kas atsakingas už kitą perdavimą, klientas negali priimti patikimo rizikos sprendimo.

Rezidavimas gali būti pagrįstas reikalavimas. Viešasis archyvas gali reikalauti, kad įrašai liktų apibrėžtoje teisinėje teritorijoje. Sveikatos priežiūros paslauga gali reikalauti apdorojimo susitarimo, kuris apribotų, kur gali keliauti jautrūs duomenys. Tyrimų konsorciumas gali turėti įsipareigojimų, susijusių su finansuotoju ar duomenų dalijimosi susitarimu. Tie reikalavimai turėtų būti suformuluoti kaip veiklos sąlygos, su jų tikrinimo metodu, o ne kaip vienas šalies pavadinimas, kurį kiekvienas kviečiamas interpretuoti dosniai.

Taip pat yra skirtumas tarp apribojimo ir garantijos. Reikalavimas, kad teikėjas laikytų pirminę saugyklą Europos Sąjungoje, apriboja vieną perkėlimų klasę. Tai negarantuoja, kad joks asmuo už Sąjungos ribų negali pasiekti įrašo, kad jokia metaduomenų dalis neišeina arba kad jokia užsienio teisinė prievolė negali pasiekti teikėjo. Apribojimas gali būti naudingas nebūdamas garantija. Šių dviejų dalykų supainiojimas sukuria atitikties istoriją, kuri praeina serverių patalpos apžiūrą, bet žlunga atidžiau pažvelgus į valdymo plokštumą.

Naudingas rezidavimo klausimas nėra vien „kur tai yra?“ Tai „kurios vietos galimos kiekvienai šių duomenų būsenai, ir kas gali pakeisti tą būseną?“ Teikėjas turėtų sugebėti paaiškinti atsakymą taip, kad inžinierius galėtų įgyvendinti, o pirkėjas patikrinti. Jei paaiškinimas priklauso nuo nedokumentuotos išimties, palaikymo įpročio ar pažado, kad paties teikėjo subrangovai tikriausiai elgsis tinkamai, rezidavimo teiginys dar nėra veikiantis.

Penki klausimai, pasislėpę žodyje „kur“

Kai žmonės klausia, kur yra jų duomenys, dažnai vienu metu turi omenyje kelis skirtingus dalykus. Išskirsčius klausimus, viešųjų pirkimų pokalbis tampa mažiau teatrališkas ir naudingesnis.

1. Kur yra bitai? Tai fizinio ir loginio saugojimo klausimas. Jis apima pirminius duomenis, kopijas, atsargines kopijas, talpyklas, indeksus ir atitinkamus žurnalus. Patenkinamas atsakymas įvardija apimtį ir sąlygas, kurioms esant atsakymas keičiasi.

2. Kur vyksta apdorojimas? Įrašas gali būti saugomas vienoje jurisdikcijoje, o transformuojamas, ieškomas, klasifikuojamas, šifruojamas ar iššifruojamas kitur. Apdorojimas gali būti suplanuota užduotis, palaikymo veiksmas, stebėsenos sistema arba laikina kopija, sukuriama atkūrimo metu.

3. Kas gali jį pasiekti? Tai tapatybės ir veiklos klausimas. Jis apima darbuotojus, administratorius, rangovus, paslaugų paskyras, incidentų reagavimo komandas ir automatizuotas sistemas. Žmogui nebūtina gyventi šalia serverio, kad jis galėtų veiksmingai jį pasiekti.

4. Kas gali priverstinai reikalauti tos prieigos? Tai jurisdikcijos ir teisinės valdžios klausimas. Jis seka atitinkamas organizacijas ir žmones, jų užimamas pareigas, pasirašomas sutartis ir teisines pareigas, kurios gali juos saistyti. Į jį negalima atsakyti vien žemėlapio žyma.

5. Ką klientas gali padaryti, kai atsakymas pasikeičia? Tai kontrolės ir pasitraukimo klausimas. Ar klientas gali apriboti prieigą, keisti raktus, gauti patikimą įrašą, atkurti paslaugą, perkelti duomenis ir nutraukti santykius neprarasdamas to, ką bandė apsaugoti?

Šie klausimai persidengia, bet nėra keičiami vienas kitu. Teikėjas gali įtikinamai atsakyti į pirmąjį ir prastai į trečiąjį. Sutartis gali popieriuje atsakyti į penktąjį, o techninė komanda niekada nėra vykdžiusi pasitraukimo. Vietos dukterinė įmonė gali atsakyti į įmonės tapatybės klausimą, o paslauga gali priklausyti nuo patronuojančiosios įmonės infrastruktūros ar palaikymo organizacijos. Teisingas atsakymas nėra pasirinkti labiausiai raminantį atsakymą. Tai išlaikyti visą rinkinį.

Štai kodėl suverenumo vertinimai gali tapti painūs. Žodis turi aprėpti fizinę buvimo vietą, teisinį savarankiškumą, veiklos kompetenciją, ekonominę nuosavybę, strateginę autonomiją ir galimybę pasitraukti. Tai susiję siekiai. Jie nėra viena savybė. Tiksliai veikianti institucija nurodo, kokios savybės jai reikia ir kokie įrodymai parodytų, kad ji egzistuoja.

Jurisdikcija seka valdžią

Jurisdikcija nėra mistiškas debesis, gaubiantis šalį. Tai būdas apibūdinti, kurios teisinės valdžios institucijos gali reguliuoti, įsakyti, tirti, peržiūrėti ar ištaisyti atitinkamų veikėjų veiksmus. Paskirstytoje paslaugoje veikėjai yra tokie pat svarbūs kaip ir vietos. Įmonė gali būti įsteigta vienoje valstybėje narėje, eksploatuoti įrenginius antroje, naudoti palaikymo komandą trečioje ir priklausyti nuo patronuojančiosios įmonės ar subrangovo, kuriam taikomos pareigos kitur. Klientas, bandantis suprasti teisinę aprėptį, turi sekti valdžios grandinę, o ne sustoti prie artimiausio pastato.

Tai nereiškia, kad kiekvienas užsienio ryšys panaikina Europos kontrolę. Europos paslaugos yra tarpusavyje susijusios pagal dizainą. Tarpvalstybinė prekyba, moksliniai tyrimai, palaikymas, finansavimas ir infrastruktūra yra įprasti. Klausimas, ar institucija žino, kuris ryšys turi kokią galią. Europos operatorius gali sugebėti atsisakyti įprasto prašymo, bet neturėti įgaliojimų atsispirti privalomam kitos organizacijos nurodymui. Subrangovas gali turėti kredencialą, kurio pagrindinė įmonė neįtraukė į savo prieigos inventorių. Palaikymo procesas gali leisti nuotolinę prieigą, net kai saugojimo sutartis žada vietinį regioną.

Teisinė analizė taip pat priklauso nuo duomenų rūšies ir prašymo pobūdžio. Asmens duomenims taikomos BDAR perdavimo taisyklės ir pagrindinių teisių sistema. Ne asmens duomenys nėra teisinis vakuumas. Duomenų aktas numato apsaugos priemones tam tikriems trečiųjų šalių valdžios institucijų prašymams dėl Sąjungoje laikomų ne asmens duomenų. Prašymas turi būti vertinamas pagal reglamento sąlygas, įskaitant prašymo pobūdį ir trečiosios šalies teisinėje sistemoje numatytas apsaugos priemones. Šie du režimai skiriasi, ir būtent dėl šio skirtumo pirkėjas neturėtų jų suvesti į žodį rezidavimas.

ESTT sprendimas byloje C-311/18 pateikia naudingą Europos teisinį pavyzdį. Teismas neklausė, ar sutartis atrodo pakankamai formaliai. Jis klausė, ar Europos teisės garantuojama apsauga išliktų iš esmės lygiavertė perdavimo aplinkybėmis, atsižvelgiant į teisės aktus ir praktiką, galinčius paveikti duomenis. Standartinės sutarties sąlygos gali įpareigoti jas pasirašiusias šalis. Jos neįpareigoja valdžios institucijos, kuri nėra sutarties šalis. Kai teisinė aplinka susilpnina žadėtas apsaugos priemones, eksportuotojas privalo reaguoti.

Ši logika yra platesnė nei konkretus ginčas. Sutartis yra privataus paskirstymo instrumentas. Jurisdikcija yra sritis, kurioje gali veikti valdžios institucija. Sutartis gali nurodyti tiekėjui, ką jis pažadėjo klientui. Ji pati savaime negali panaikinti viešosios galios, kuri įpareigoja tiekėją ar jo darbuotojus. Gera valdysena rimtai vertina abu teiginius. Sutartimis nustatomos pareigos, o techninėmis priemonėmis užtikrinama, kad šios pareigos būtų matomos, kartu pripažįstant, kad teisinė aprėptis vis tiek gali pakeisti turimas galimybes.

Vilioja paversti tai vienos pavojingos šalies paieška. Tai mažiau naudinga nei faktinių institucijų žemėlapio sudarymas. Kuris subjektas yra valdytojas ar tvarkytojas? Kuris subjektas įdarbina administratorių? Kuris subjektas laiko šifravimo raktus? Kuris subjektas gali padaryti kopiją? Kuris subjektas gauna pagalbos prašymą? Kuri institucija galėtų išduoti įsakymą? Kokią teisių gynimo priemonę turėtų klientas ir kuriame forume? Žemėlapis gali nuraminti. Gali ir ne. Bet kuris rezultatas yra vertingesnis nei šalies lipdukas.

Nuosavybė yra nuosavybės teisė, o ne raktas

Nuosavybė turi realią teisinę ir ekonominę galią. Ji gali lemti, kas gali parduoti turtą, skirti direktorių, licencijuoti intelektinę nuosavybę, gauti pajamas ar priimti tam tikrus sprendimus. Viešajame subjekte ji gali būti susieta su įstatymine atsakomybe už įrašus ar infrastruktūrą. Įmonių grupėje ji gali paaiškinti, kas gali balsuoti, jungtis, finansuoti ar pakeisti paslaugų teikėją. Nuosavybė turi būti įtraukta į suverenumo vertinimą.

Nuosavybė automatiškai nesuteikia veiklos kontrolės. Klientas gali nuosavybės teise valdyti duomenis, o tiekėjas eksploatuoti duomenų bazę, tvarkyti atsarginės kopijos sistemą ir kontroliuoti paslaugos paskyrą. Viešoji įstaiga gali nuosavybės teise valdyti pastatą, o rangovas turėti priežiūros įgaliojimus ir vienintelį išbandytą būdą įrangai atkurti. Įmonė gali nuosavybės teise valdyti šaltinio kodą, o trečioji šalis kontroliuoti pasirašymo raktą, kūrimo vykdymo sistemą, paketų registrą ir diegimo tapatybę. Nuosavybės teisė yra reali. Tokia pati reali yra ir priklausomybė.

Skirtumas išryškėja veiksmažodžiuose. Nuosavybė yra daiktavardis sutartyje. Kontrolė yra galimybė patikrinti, valdyti, keisti, sustabdyti, atkurti, eksportuoti, ištrinti ir įrodyti. Viešųjų pirkimų procesas, kuriame užfiksuojami tik daiktavardžiai, gali palikti svarbius veiksmažodžius nepaskirtus. Platforma gali turėti paskirtą savininką, tačiau vis tiek gali nebūti paskirto asmens, galinčio pakeisti raktą, pašalinti privilegijuotą paskyrą ar atkurti duomenis iš atsarginės kopijos, nepaprašius organizacijos, kurios nėra pokalbio kambaryje.

There is no virtue in demanding maximal possession. A hospital, university or municipality may lack the staff and security capability to run every layer safely. Delegating a task can be responsible when the boundaries are explicit and the customer retains the ability to supervise, test and recover. The point is not to place every server in a public basement. The point is to decide which powers are essential to the mission and to keep those powers close enough to govern.

That decision needs evidence. “The customer owns the data” should lead to questions about export format, key custody, retention, deletion, access logs and support permissions. “The provider is European” should lead to questions about corporate control, subcontractors, infrastructure, legal exposure and continuity. “The data is in the Union” should lead to questions about remote administration, replicas, processing locations and legal requests. A good answer may be complicated. Complication is not a defect when the system is complicated.

Operating control is the right to act

Operating control is easiest to understand through an action rather than an adjective. Consider a customer that needs to revoke an administrator. Who can perform the revocation? Which identity system authorises it? Is the provider required to execute the change, or can the customer do it directly? Does the action cover support accounts, emergency accounts and dormant credentials? Does a record prove when the permission disappeared? If an action depends on a helpdesk, the helpdesk is part of the control plane.

The same test applies to keys. Encryption can reduce exposure, but its governance depends on who creates, stores, rotates, recovers and can use the keys. A locally stored record may remain unreadable to a party that cannot obtain the key. It may also become inaccessible to the customer when the only recovery path sits with a supplier. Key custody is therefore neither a slogan for sovereignty nor a magic eraser for jurisdiction. It is a concrete control that must be assigned and rehearsed.

Logs deserve the same treatment. A dashboard can show activity. Evidence requires a record that the customer can retain, interpret and challenge. Who writes the log? Can an administrator alter it? Is the time source trustworthy? Does it cover support access and automated processing? Can the customer obtain a usable export without the provider's permission? What happens when the account is closed? A log that disappears with the service is useful for operations and weak for accountability.

Recovery is the hardest operating-control test because it makes every dependency visible. A provider may promise backup, yet the restore may require a particular region, an unavailable licence, an engineer who no longer works there or a secret stored in a separate system. The customer may own the backup file and still lack the ability to make it a working service. Recovery should be tested as a whole action, with the result recorded and the gaps assigned to people who can close them.

Stopping a service is also control. An institution may need to pause an integration, isolate a dataset, suspend automated processing or prevent a new replica from being created. If only a vendor can perform the stop, the vendor's identity, legal duties, response time and support process become part of the institution's risk. That may be an acceptable arrangement. It is not an invisible one.

The point of these tests is not to distrust every supplier. It is to replace confidence with a relationship that can be inspected. A supplier with a clear answer can explain which actions it performs, which the customer performs, and which require cooperation. A supplier that relies on a single reassuring sentence has not yet answered the operational question.

Subcontractors turn one answer into a chain

Paslauga retai būna viena organizacija, daranti vieną dalyką vienoje vietoje. Debesijos teikėjai naudojasi specializuota infrastruktūra, palaikymo partneriais, stebėsenos paslaugomis, saugumo operacijomis, techninės įrangos priežiūra, tinklo operatoriais ir kitais tiekėjais. Kai kurie matomi sutartyje. Kiti atsiranda subtiekėjų sąraše, paslaugos apraše, incidento pranešime ar palaikymo darbo eigoje. Grandinė yra įprasta. Pareiga suprasti grandinę taip pat įprasta.

ENISA rizikos vertinimas įvardija pažįstamą trūkumą: debesijos teikėjas gali perduoti paslaugas trečiajai šaliai, kuri nesuteikia tų pačių garantijų, o kontrolės pasikeitimas gali pakeisti teikėjo sąlygas. Ataskaita nėra šiuolaikinės architektūros specifikacija, ir jai tokia būti nereikia. Jos ilgalaikis įspėjimas yra organizacinis. Klientas negali teigti suprantantis paslaugą, jei įvertino tik pirmąją sąskaitoje nurodytą įmonę.

EDPB rekomendacijos yra konkretesnės asmens duomenų atveju. Pirmas žingsnis yra žinoti perdavimus, įskaitant tolesnius perdavimus tvarkytojams ir subtiekėjams. Nuotolinė prieiga iš trečiosios šalies pati savaime gali būti laikoma perdavimu, net jei įrašas lieka EEE duomenų centre. Todėl palaikymo susitarimas yra duomenų perdavimo žemėlapio dalis, o ne išnaša, kurią galima sutvarkyti po diegimo.

Subtiekėjo matomumas nėra tas pats, kas subtiekėjo kontrolė. Sąrašas klientui pasako, kas dalyvauja. Kontrolė klausia, ką kiekviena šalis gali daryti, kokius duomenis gali matyti, kokia teisinė priemonė apima veiklą, kaip pranešama apie pasikeitimą ir kokia teisių gynimo priemonė egzistuoja, kai šalis nustoja atitikti sąlygas. Grandinė turėtų turėti ribas ir įrodymus kiekviename perdavimo taške.

Yra praktinė priežastis vengti neaiškių grandinių. Įvykus incidentui, atsakomybė dažnai keliauja priešinga duomenims kryptimi. Klientas klausia teikėjo. Teikėjas klausia platformos komandos. Platformos komanda klausia specializuoto tiekėjo. Specializuotas tiekėjas klausia administratoriaus kitoje organizacijoje. Kiekvienas perdavimas gali pridėti vėlavimo, neaiškumo ir galimybės prarasti pradinio įrašo kontekstą. Kontrolės žemėlapis turėtų parodyti kelią prieš incidentą, kol dalyvaujantys žmonės dar turi laiko būti tikslūs.

Asmens duomenys: apsauga keliauja kartu su įrašu

The GDPR does not make personal data safe by placing it behind a European door. Its transfer rules are designed to preserve a high level of protection when data moves to a third country. The EDPB describes the principle plainly: an essentially equivalent level of protection should accompany the data wherever it goes, during and after the transfer.

That does not mean that every transfer is prohibited. The GDPR contains different transfer tools and conditions, including adequacy decisions and safeguards under Article 46. The legal question is whether the chosen tool works in the circumstances. The EDPB's recommendations tell exporters to assess the law and practice relevant to the particular transfer, consider whether the importer or the data can fall within problematic rules, and document the reasoning. If no supplementary measure can restore the required level of protection, the transfer should be avoided, suspended or terminated.

Three details are especially easy to miss in a residency conversation. First, an onward transfer matters. A provider may keep the primary record in the EEA and send a copy to a support or analytics service elsewhere. Second, access matters. An administrator in a third country may be able to read a record without the record ever being physically moved to that person's desk. Third, accountability matters. The exporter must be able to demonstrate the assessment and revisit it when the service, law, people or circumstances change.

The framework therefore asks a customer to understand both the technical path and the legal context. A diagram of regions and arrows is useful. It cannot replace the transfer assessment. Nor can a contractual promise that a provider will comply, if the customer has not checked what the relevant safeguards can achieve against the laws and practices that may apply to the provider.

European data protection law has a healthy dislike of magic words. “EU hosting” can describe a useful fact. “Compliant” can describe a conclusion that requires reasons. “Sovereign” can describe a political objective. None should be allowed to stand in for the evidence that the data is protected, the access is governed and the decision can be defended.

Non-personal data: a different regime, the same discipline

The Data Act deals with a wider set of data relationships and includes rules for data-processing services such as cloud and edge services. It is not a replacement for the GDPR, and it does not turn every cloud decision into a data-protection transfer assessment. It does provide a second European reminder that location, access, switching and authority have to be considered together.

For non-personal data held in the Union, the Commission's explanation of the Data Act describes safeguards for certain requests or decisions by a third-country public authority. Where no applicable international agreement governs the access, the regulation sets conditions intended to protect European interests, including attention to the third country's legal system and the proportionality of the request. Providers are expected to take reasonable measures, such as encryption, audits or certification arrangements, to prevent unauthorised access and to inform customers where possible.

The wording matters. The Data Act does not claim that the Union can make foreign legal systems disappear. It creates a framework for assessing and limiting certain access routes. A provider still has to know what systems it operates, what data is held, who can respond to a request and what evidence can be given to the customer. A customer still has to understand which parts of the data are personal, which are not, and which other legal regimes apply.

The Act also approaches control through switching. Customers should be able to move between data-processing services, use services in parallel and port exportable data and digital assets. Providers must give information about export formats, interfaces, known limitations and the time needed for the process. The rules on functional equivalence recognise a practical truth: a file that can be downloaded is not necessarily a service that can be recovered.

Switching is often described as a competition measure, and it is one. It is also a sovereignty measure in the operational sense. An institution that can leave has more room to refuse a change it cannot accept. An institution that cannot leave may own a contract and still be governed by the provider's defaults. A legal right to switch is an important start. A rehearsed migration that preserves the data, the configuration and the evidence is the part that makes the right usable.

Contracts, keys and the limits of reassurance

Contracts remain essential. They allocate duties, set notification rules, identify subprocessors, define permitted processing, describe deletion and retention, create audit rights and establish assistance during a transition. The Data Act's cloud-switching provisions reinforce the need for clear contractual terms, exportable data and information about the mechanics of an exit. ENISA's older guidance likewise recommends paying attention to data transfers, change of control, law-enforcement access, breach notifications and liability when evaluating cloud contracts.

A contract is not a runtime control. A clause saying that the customer may export is weaker than an export run against a representative dataset and restored in a second environment. A clause saying that the provider will delete is weaker than an auditable deletion process that covers replicas, caches, backups and derived records. A clause giving an audit right is weaker than logs and evidence the customer can actually obtain. Paper matters. Paper that never meets a working system is politely framed optimism.

Keys provide a similar lesson. Customer-controlled encryption can reduce what a provider or an unauthorised party can read. It does not answer who can compel a person who holds a recovery key, who controls the hardware security module, who can change the key policy, or what happens when the customer loses its own credential. The right design may use split authority, independent custody, carefully scoped access and tested recovery. The wrong design can put the decisive key in a different jurisdiction and call the arrangement local because the database is local.

Legal and technical measures should be designed together. If a contract requires the customer to approve support access, the service should have an approval flow that leaves a record. If the customer needs to prevent onward transfers, the provider should expose the route and enforce the boundary. If a public authority request must be evaluated, the incident process should preserve the request, the legal analysis, the decision, the notification and the response. A legal promise becomes credible when a system can show how it is carried out.

The same principle applies to ownership changes. A supplier acquisition, a new parent company, a change in subcontractor or a change in the service's operating region can alter the control map without changing the customer-facing brand. Contracts should require notice and remedies. Technical inventories should be updated. A change ledger should show which powers moved. Governance that exists only at initial signature has a short half-life.

A buyer's control map

A public or private buyer does not need a magical questionnaire. It needs a map that connects claims to evidence. The following questions are a useful starting point because they ask for actions, actors and records rather than a preferred adjective.

Lentelė sąmoningai kasdieniška. Ji skirta išlikti susidūrus su pirkimų komanda. Ji taip pat suteikia pirkėjui būdą palyginti teikėjus neapsimetant, kad sertifikatas, valstybės vėliava ar duomenų centro ekskursija viską išsprendžia. Įrodymai gali būti konfidencialūs. Reikalavimas turėti įrodymų neturėtų būti.

Prašykite kritinio veiksmo demonstracijos, o ne tik aprašymo. Parodykite, kaip pašalinama privilegijuota paskyra. Parodykite, kaip tvirtinama palaikymo sesija. Parodykite, ką klientas gauna, kai prašo eksporto. Parodykite, kaip randama replika. Parodykite, ką teisinis prašymas padaro incidentų darbo eigai. Parodykite, kaip organizacija tęsia veiklą, kai teikėjo paskyra sustabdoma. Esmė ne surežisuoti dramatišką gedimą. Esmė pamatyti, ar kontrolė egzistuoja už skaidrių rinkinio ribų.

Tada paklauskite, kam priklauso rezultatas. Testas be savininko yra pasirodymas. Spraga be datos yra nuolatinė ypatybė. Kontrolė be įrašo yra tikėjimas. Žemėlapyje todėl turėtų būti įvardytas asmuo ar institucija, kuri prisiima riziką, tiekėjas, kuris turi atlikti veiksmą, ir kelias ginčyti rezultatą. Valdysena nėra krūva klausimų. Tai sprendimų rinkinys, turintis kur keliauti.

Minties eksperimentas apie Europos archyvą

Toliau pateiktas pažymėtas hipotetinis scenarijus, o ne tikro kliento ar incidento ataskaita. Įsivaizduokite savivaldybės archyvą, renkantį talpinamąją paslaugą suskaitmenintiems planavimo įrašams. Konkurso sąlygos reikalauja pirminio saugojimo Europos Sąjungoje ir prašo šifravimo, atsarginių kopijų ir palaikymo tarnybos. Trys teikėjai atitinka žodžius. Vienas yra įsteigtas vietoje, bet pasikliauja palaikymo subrangovu už Sąjungos ribų. Vienas laiko saugyklą ir palaikymą Sąjungoje, bet naudoja patronuojančios įmonės tapatybės platformą. Vienas turi mažesnę vietos veiklą, aiškią raktų laikymo tvarką ir išbandytą eksportą, bet jam reikia kruopščiai apibrėžto paslaugų lygio, nes negali pasiūlyti kiekvienos pasirenkamosios funkcijos.

Pirmasis teikėjas vis tiek gali būti priimtinas. Antrasis vis tiek gali būti priimtinas. Trečiasis vis tiek gali būti netinkamas konkrečiam prieinamumo reikalavimui. Minties eksperimento esmė ta, kad vien buvimo vieta negali padėti pasirinkti tarp jų. Archyvas turi paklausti, kokia palaikymo prieiga galima, kas gali padaryti kopiją, kurie juridiniai subjektai gali gauti įsakymą, kaip valdomi raktai, ką rodo žurnalai ir ar įrašus galima atkurti kitur.

Suppose the archive decides that local storage is its most important condition. It can write that requirement into the contract. It should also define the objects covered by the condition, require notice of a change, and ask how a breach would be detected. Suppose it decides that remote support is allowed only for a documented incident. The service needs an approval path, time-limited credentials and a record that can be reviewed. Suppose it decides that the archive must be able to leave. The exit should be tested before the service becomes the only place anyone knows how to read the records.

Nothing in this hypothetical requires the archive to operate a data centre. It requires the archive to understand the powers it delegates. That is the difference between responsible outsourcing and a purchase that moves the risk into a room the buyer cannot enter.

Ką Europa gali sąžiningai vadinti suverenitetu

Europos suverenitetas skaitmeninėje infrastruktūroje turėtų būti apibūdinamas taip, kad atlaikytų nepatogų klausimą. Jis gali reikšti, kad Europos institucija išlaiko sprendimų priėmimo galią kritiniais klausimais. Jis gali reikšti, kad pagrindinės priklausomybės yra matomos, apribotos ir atkuriamos. Jis gali reikšti, kad teisinės teisės atitinka technines galimybes. Jis gali reikšti, kad viešasis pirkėjas gali keisti paslaugų teikėją, ginčyti sprendimus, tikrinti sistemą ir tęsti veiklą, kai paslaugų teikėjas ar įstatymai pakeičia turimą kelią.

Tai neturėtų reikšti, kad paslauga yra automatiškai saugi vien todėl, kad jos rinkodaros adresas yra Europoje. Tai taip pat neturėtų reikšti, kad bet koks užsienio ryšys yra draudžiamas. Europa priklauso nuo tarpvalstybinių sistemų, o taisyklė, kuri apsimeta kitaip, bus ignoruojama arba tyliai apeinama. Brandi pozicija yra reiklesnė: leisti priklausomybes, kurios tarnauja misijai, jas dokumentuoti, mažinti tas, kurios suteikia nepriimtiną galią, ir išlaikyti išėjimo kelią toms, kurių negalima padaryti patikimomis.

Ši pozicija taip pat suteikia Europos paslaugų teikėjams teisingesnį išbandymą. Vietinis paslaugų teikėjas neturėtų atlikti vėliavos ceremonijos, kad į jį būtų žiūrima rimtai. Jis turėtų galėti parodyti, ką valdo, ką perduoda, kas gali pasiekti duomenis, kokia teisė gali būti taikoma, kaip duomenys yra apsaugoti ir kaip klientas gali išeiti. Pasaulinis paslaugų teikėjas turėtų sulaukti tų pačių klausimų. Standartas yra kontrolės įrodymai, o ne kilmės teatras.

Žodis suverenitetas tampa naudingas, kai jis keičia pirkimo elgseną. Ministerija gali naudoti viešuosius pirkimus, kad apdovanotų išbandytą išėjimo kelią. Ligoninė gali reikalauti pagrindinių susitarimų, atitinkančių jos klinikines pareigas. Universitetas gali padaryti mokslinių duomenų kilmę matomą. Reguliatorius gali paprašyti sistemos būsenos sprendimo priėmimo metu. Tiekėjas gali suprojektuoti savo paslaugą taip, kad kliento įgaliojimai nebūtų dekoratyvinė pastraipa. Tai instituciniai veiksmai, o ne šūkių konkursas.

Trumpa pastaba iš mūsų

„Dweve“ mūsų viešoje analizėje The Sovereignty Illusion: where control really sits, paskelbtoje 2026 m. birželio 29 d., taikoma panaši disciplina. Ji atskiria nuosavybę, technologijas, kapitalą, infrastruktūrą ir teisinę riziką, užuot leidusi Europos etiketei atstovauti visiems penkiems aspektams. Šis straipsnis yra siauresnis. Jis seka duomenų centro teiginį į veiklos ir teisinius sluoksnius, kuriuos pirkėjas turi valdyti.

Taip mes taip pat norime apibūdinti savo darbą. Sistema turėtų padaryti savo ribas aiškias: kas yra vietinė, kas perduota, kas įrašyta, ką galima ginčyti ir ką galima pakeisti. Naudingas teiginys yra tas, kurį skaitytojas gali patikrinti. Visa kita yra dekoracija, o Europa jau turi daug dekoratyvinės infrastruktūros.

Teisinis argumentas prasideda po adreso

Duomenų centro vieta verta žinoti. Ji gali paveikti fizinę prieigą, atsparumą, ryšį, taikomas vietos taisykles ir paslaugos dizainą. Tai gali būti teisingas pirmasis klausimas. Tai prastas galutinis atsakymas.

Galutinis atsakymas turi susieti vietą su valdžia. Jame turi būti įvardytas operatorius, tapatybės, raktai, subrangovai, teisinės priemonės, galimi prašymai, įrodymai ir išėjimo galimybė. Kalbant apie asmens duomenis, Europos apsaugos lygis turi išlikti iš esmės lygiavertis, kai duomenys perduodami, o eksportuotojai turi įvertinti aplinkybes, o ne kartoti teiginį apie vietą. Kalbant apie ne asmens duomenis, Duomenų aktas nustato taisykles dėl užsienio šalių prieigos ir debesijos paslaugų keitimo, o tai vėlgi daro kontrolę ir perkeliamumą konkrečiais.

Nėra vieno Europos skaičiaus, kuris sudėtingą paslaugą paverstų suverenia. Yra klausimų, testų ir įrašų seka. Ši seka yra lėtesnė nei „ES talpinama“ įrašymas brošiūroje. Tačiau būtent ši dalis lieka naudinga, kai brošiūra jau pasensta.

Kai pirkėjas klausia, kur yra duomenys, tiksliai atsakykite apie vietą. Tada paklauskite, kas gali juos skaityti, kas gali jais remtis, kas gali būti priverstas juos atskleisti, kas gali įrodyti, kas įvyko, ir kas gali išeiti. Europos duomenų centras gali būti patikimo susitarimo dalis. Tačiau jis pats savaime negali būti teisinis argumentas.

Šaltiniai

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Europos duomenų apsaugos valdyba, galutinė versija 2021 m. birželio 18 d. Susietame puslapyje yra oficialus PDF.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Europos Sąjungos Teisingumo Teismas, sprendimas 2020 m. liepos 16 d., EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Europos Parlamentas ir Taryba, 2023 m. gruodžio 13 d., EUR-Lex.
• Data Act explained, Europos Komisija, paskelbta 2025 m., žiūrėta 2026 m. rugpjūčio 5 d.
• Cloud Computing Risk Assessment ir oficiali ataskaita PDF, Europos Sąjungos kibernetinio saugumo agentūra (ENISA), 2009 m.
• The Sovereignty Illusion: where control really sits, Dweve, 2026 m. birželio 29 d.