Datu centrs nav juridisks arguments

Datu centrs nav juridisks arguments

The address on the brochure

There is a sentence that appears in cloud tenders with the confidence of a completed argument: the data will be stored in a European data centre. The sentence may be true. It may also be doing far more work than it can carry.

A data centre has a location. That location matters for physical security, resilience, energy, connectivity, national rules and the practical reach of a local authority. It tells a buyer something useful about where some equipment stands. It does not, by itself, tell the buyer who owns the service, who operates the equipment, where copies are made, who holds the keys, which people can administer it, which companies are allowed to subcontract parts of the work, or which legal system can compel a party to provide access.

The distinction is easy to state and surprisingly easy to lose. A postcode is visible. Control is distributed. The postcode fits neatly in a procurement spreadsheet; control arrives as a chain of contracts, identities, support accounts, management planes, encryption keys, corporate relationships, operational procedures and legal duties. The first is a fact about place. The second is a question about power.

European data protection law has been making this point in increasingly precise language. In the Schrems II judgment of 16 July 2020, the Court of Justice of the European Union examined how personal data could leave the European Economic Area while retaining a level of protection essentially equivalent to the one guaranteed inside it. The Court upheld standard contractual clauses as a possible transfer tool, but made clear that they do not operate in a vacuum. The exporter has to examine the law and practice of the destination in the circumstances of the transfer, and act when the safeguards cannot work in practice.

The judgment did not say that a border is irrelevant. It said that a border is one part of the question. The European Data Protection Board's subsequent recommendations turn that principle into a method: know the transfers, identify the legal tool, assess the law and practice that can affect it, add measures where they can work, complete the required procedure, and keep the assessment under review. A server address appears in that map. It is not the map.

This matters beyond personal data. The Data Act treats cloud and other data-processing services as infrastructure from which customers should be able to switch. It also addresses conditions under which a third-country public authority seeks access to non-personal data held in the Union. Again, the legal answer is built from actors, purposes, safeguards, evidence and remedies. A building is involved. A building is not enough.

The practical lesson for a European institution is therefore blunt. Ask where the data is. Then keep asking questions until the answer includes who can read it, who can change it, who can stop it, who can export it, who can be forced to disclose it, and what evidence will remain when the parties disagree. If the answer ends at the door of the data centre, the useful part of the investigation has only just begun.

Residency is about place

Data residency is a statement about where data is stored or processed under a defined arrangement. The definition needs a scope. Is it the primary copy, the backup, the index, the cache, the telemetry, the disaster-recovery site, or all of them? Does processing include an administrator viewing a record from another country? Does a support session count? What happens when an incident team needs to copy a diagnostic trace? A residency promise that does not say what it covers is an attractive label attached to an unfinished sentence.

Mākoņsistēmas ir veidotas, lai pārvietotu darbu. Replicēšana var uzlabot pieejamību. Otra vietne var uzturēt pakalpojumu dzīvu, ja pirmā vietne nav pieejama. Perifērijas vieta var samazināt latentumu. Drošības komanda var novirzīt žurnālu uz centrālo analīzes sistēmu. Tie ir parasti inženiertehniski lēmumi, nevis pierādījumi pārkāpumiem. Tie tomēr nozīmē, ka frāzei “glabāts Eiropā” ir jāpievieno tehnisks objekts. Kuri dati, kādā stāvoklī, uz kādu periodu, kuras darbības ietvaros?

ENISA mākoņdatošanas riska novērtējums, pirmoreiz publicēts 2009. gadā, joprojām ir noderīgs tieši tāpēc, ka tas atteicās uzskatīt ģeogrāfiju par pilnīgu kontroli. Tajā ir identificēti riski, kas saistīti ar glabāšanu vairākās jurisdikcijās, nepietiekamu informāciju par jurisdikcijām, pārvaldības zaudēšanu, apakšlīgumiem un izmaiņām pakalpojumu sniedzēja kontrolē. Dokuments ir pietiekami vecs, lai tajā būtu patika pret akronīmiem, ko mūsdienu komandas, iespējams, nedalās, tomēr organizatoriskā problēma nav zudusi. Ja klients nevar redzēt, kur dati tiek apstrādāti vai kurš ir atbildīgs par nākamo nodošanu, klients nevar pieņemt ticamu riska lēmumu.

Rezidences prasība var būt pamatota. Publiskajam arhīvam var būt nepieciešams, lai ieraksti paliktu noteiktā juridiskā teritorijā. Veselības aprūpes dienestam var būt nepieciešama apstrādes vienošanās, kas ierobežo, kur sensitīvi dati var ceļot. Pētniecības konsorcijam var būt saistības pret finansētāju vai datu koplietošanas līgumu. Šīs prasības būtu jāformulē kā darbības nosacījumi ar metodi to pārbaudei, nevis kā viens valsts nosaukums, ko ikviens ir aicināts interpretēt dāsni.

Pastāv arī atšķirība starp ierobežojumu un garantiju. Prasība, lai pakalpojumu sniedzējs glabātu primāro krātuvi Eiropas Savienībā, ierobežo vienu pārvietošanas veidu. Tā negarantē, ka neviens ārpus Savienības nevar piekļūt ierakstam, ka nekādi metadati neatstāj sistēmu vai ka ārvalstu juridiskas saistības nevar sasniegt pakalpojumu sniedzēju. Ierobežojums var būt noderīgs, nebūdams garantija. Šo divu jēdzienu sajaukšana rada atbilstības stāstu, kas iztur ekskursiju pa serveru telpu, bet neiztur rūpīgāku pārbaudi pārvaldības līmenī.

Noderīgais rezidences jautājums nav vienkārši “kur tas atrodas?” Tas ir “kuras vietas ir iespējamas katram šo datu stāvoklim, un kurš var izraisīt šī stāvokļa maiņu?” Pakalpojumu sniedzējam būtu jāspēj izskaidrot atbildi tā, lai inženieris to varētu ieviest un pircējs pārbaudīt. Ja skaidrojums ir atkarīgs no nedokumentēta izņēmuma, atbalsta ieraduma vai solījuma, ka pakalpojumu sniedzēja paša apakšlīgumu izpildītāji, visticamāk, rīkosies pareizi, rezidences apgalvojums vēl nav darbībā izmantojams.

Pieci jautājumi, kas slēpjas vārdā kur

Kad cilvēki jautā, kur atrodas viņu dati, viņi bieži vien vienlaikus domā vairākas dažādas lietas. Atdalot šos jautājumus, iepirkuma saruna kļūst mazāk teatrāla un noderīgāka.

1. Kur atrodas biti? Tas ir fiziskās un loģiskās glabāšanas jautājums. Tas ietver primāros datus, kopijas, dublējumus, kešatmiņas, indeksus un attiecīgos žurnālus. Apmierinoša atbilde nosauc darbības jomu un apstākļus, kuros atbilde mainās.

2. Kur notiek apstrāde? Ieraksts var tikt glabāts vienā jurisdikcijā un pārveidots, meklēts, klasificēts, šifrēts vai atšifrēts citur. Apstrāde var būt plānots darbs, atbalsta darbība, uzraudzības cauruļvads vai pagaidu kopija, kas izveidota atkopšanas laikā.

3. Kam ir piekļuve? Tas ir identitātes un operatīvais jautājums. Tas ietver darbiniekus, administratorus, darbuzņēmējus, pakalpojumu kontus, incidentu reaģētājus un automatizētas sistēmas. Cilvēkam nav jādzīvo blakus serverim, lai tam būtu faktiska piekļuve.

4. Kurš var piespiest piešķirt piekļuvi? Tas ir jurisdikcijas un tiesiskās pilnvaras jautājums. Tas seko attiecīgajām organizācijām un cilvēkiem, viņu ieņemtajām lomām, parakstītajiem līgumiem un juridiskajiem pienākumiem, kas tos var saistīt. Uz to nevar atbildēt tikai ar kartes atzīmi.

5. Ko klients var darīt, kad atbilde mainās? Tas ir kontroles un iziešanas jautājums. Vai klients var ierobežot piekļuvi, mainīt atslēgas, iegūt ticamu ierakstu, atjaunot pakalpojumu, pārvietot datus un izbeigt attiecības, nezaudējot to, ko centās aizsargāt?

Šie jautājumi pārklājas, taču tie nav savstarpēji aizvietojami. Pakalpojumu sniedzējs var pārliecinoši atbildēt uz pirmo un vāji uz trešo. Līgums var atbildēt uz piekto uz papīra, kamēr tehniskā komanda nekad nav veikusi iziešanu. Vietējais meitasuzņēmums var atbildēt uz korporatīvās identitātes jautājumu, kamēr pakalpojums ir atkarīgs no mātesuzņēmuma infrastruktūras vai atbalsta organizācijas. Pareizā atbilde nav izvēlēties visnomierinošāko atbildi. Tā ir saglabāt visu kopumu.

Tāpēc arī suverenitātes novērtējumi var kļūt neskaidri. Vārdam tiek lūgts aptvert fizisko atrašanās vietu, juridisko neatkarību, operatīvo kompetenci, ekonomisko īpašumtiesību, stratēģisko autonomiju un spēju aiziet. Tie ir saistīti mērķi. Tie nav viena īpašība. Precīza iestāde norāda, kura īpašība tai ir nepieciešama un kādi pierādījumi apliecinātu, ka tā pastāv.

Jurisdikcija seko pilnvarām

Jurisdikcija nav mistisks mākonis ap valsti. Tas ir veids, kā aprakstīt, kuras tiesiskās iestādes var regulēt, pavēlēt, izmeklēt, pārskatīt vai novērst attiecīgo dalībnieku rīcību. Izplatītā pakalpojumā dalībnieki ir tikpat svarīgi kā vietas. Uzņēmums var būt reģistrēts vienā dalībvalstī, darboties objektos otrā, izmantot atbalsta komandu trešajā un būt atkarīgs no mātesuzņēmuma vai apakšuzņēmēja, uz kuru attiecas pienākumi citur. Klientam, kurš cenšas izprast juridisko tvērumu, ir jāseko pilnvaru ķēdei, nevis jāapstājas pie tuvākās ēkas.

Tas nenozīmē, ka katrs ārvalstu savienojums iznīcina Eiropas kontroli. Eiropas pakalpojumi ir savstarpēji saistīti pēc būtības. Pārrobežu tirdzniecība, pētniecība, atbalsts, finansēšana un infrastruktūra ir normāla parādība. Jautājums ir par to, vai iestāde zina, kurš savienojums nes kādu pilnvaru. Eiropas operators var atteikt parastu pieprasījumu, bet tai var nebūt pilnvaru pretoties saistošam norādījumam no citas organizācijas. Apakšuzņēmējs var turēt akreditācijas datus, kurus galvenais uzņēmums nav iekļāvis savā piekļuves inventarizācijā. Atbalsta process var atļaut attālo piekļuvi pat tad, ja glabāšanas līgums sola vietējo reģionu.

The legal analysis also depends on the kind of data and the kind of request. Personal data brings the GDPR's transfer rules and the fundamental rights framework into view. Non-personal data is not a legal vacuum. The Data Act contains safeguards for certain requests by third-country public authorities for non-personal data held in the Union. A request must be considered through the regulation's conditions, including the nature of the request and the protections available in the third-country legal system. The two regimes are different, and that difference is exactly why a buyer should not compress them into the word residency.

The CJEU's judgment in Case C-311/18 provides a useful European legal pattern. The Court did not ask whether a contract looked formal enough. It asked whether the protection guaranteed by European law would remain essentially equivalent in the circumstances of the transfer, taking account of the law and practice that could affect the data. Standard contractual clauses can bind the parties that sign them. They do not bind a public authority that is not a party to the contract. Where the legal environment undermines the promised safeguards, the exporter has to respond.

That logic is broader than the particular dispute. A contract is an instrument of private allocation. Jurisdiction is the field in which public authority can act. The contract may tell a supplier what it has promised the customer. It cannot, by itself, remove a public power that binds the supplier or its people. Good governance takes both statements seriously. It uses contracts to set duties and technical measures to make those duties observable, while recognising that legal reach can still change the available options.

It is tempting to turn this into a hunt for a single dangerous country. That is less useful than mapping the actual authorities. Which entity is the controller or processor? Which entity employs the administrator? Which entity holds the encryption keys? Which entity can make a replica? Which entity receives a support request? Which authority could issue an order? Which remedy would the customer have, and in which forum? The map may be reassuring. It may not. Either result is more valuable than a country sticker.

Ownership is a title, not a key

Ownership has genuine legal and economic force. It can determine who may sell an asset, appoint directors, licence intellectual property, receive revenue or make certain decisions. In a public body it can be tied to statutory responsibility for records or infrastructure. In a corporate group it can explain who can vote, merge, finance or replace a provider. Ownership belongs in a sovereignty assessment.

Ownership does not automatically provide operational control. A customer can own the data while a supplier operates the database, manages the backup system and controls the service account. A public institution can own a building while a contractor holds the maintenance credentials and the only tested route to restore the equipment. A company can own source code while a third party controls the signing key, build runner, package registry and deployment identity. The title is real. So is the dependency.

The distinction becomes visible in the verbs. Ownership is a noun in a contract. Control is the ability to inspect, operate, alter, stop, recover, export, delete and prove. A procurement process that records only nouns can leave the important verbs unassigned. It may have a named owner for the platform and still have no named person who can rotate a key, remove a privileged account or restore from a backup without asking an organisation that is not in the room.

Nav nekāda nopelna prasībā pēc maksimālas kontroles. Slimnīcai, universitātei vai pašvaldībai var pietrūkt personāla un drošības spēju, lai droši pārvaldītu katru līmeni. Uzdevuma deleģēšana var būt atbildīga, ja robežas ir skaidras un klients saglabā iespēju uzraudzīt, testēt un atjaunot. Mērķis nav novietot katru serveri publiskā pagrabā. Mērķis ir izlemt, kuras pilnvaras ir būtiskas misijai, un paturēt šīs pilnvaras pietiekami tuvu, lai tās varētu pārvaldīt.

Šim lēmumam ir vajadzīgi pierādījumi. Apgalvojumam “dati pieder klientam” būtu jāraisa jautājumi par eksporta formātu, atslēgu glabāšanu, saglabāšanu, dzēšanu, piekļuves žurnāliem un atbalsta pilnvarām. Apgalvojumam “pakalpojumu sniedzējs ir Eiropas” būtu jāraisa jautājumi par uzņēmuma kontroli, apakšuzņēmējiem, infrastruktūru, juridisko iedarbību un nepārtrauktību. Apgalvojumam “dati atrodas Savienībā” būtu jāraisa jautājumi par attālo administrēšanu, kopijām, apstrādes vietām un juridiskiem pieprasījumiem. Laba atbilde var būt sarežģīta. Sarežģītība nav defekts, ja sistēma ir sarežģīta.

Operatīvā kontrole ir tiesības rīkoties

Operatīvo kontroli visvieglāk saprast caur darbību, nevis īpašības vārdu. Iedomājieties klientu, kuram jāatceļ administrators. Kurš var veikt atcelšanu? Kura identitātes sistēma to autorizē? Vai pakalpojumu sniedzējam ir jāizpilda izmaiņas, vai klients to var izdarīt tieši? Vai darbība attiecas uz atbalsta kontiem, avārijas kontiem un neaktīviem akreditācijas datiem? Vai ieraksts pierāda, kad atļauja pazuda? Ja darbība ir atkarīga no atbalsta dienesta, atbalsta dienests ir daļa no kontroles plaknes.

Tas pats tests attiecas uz atslēgām. Šifrēšana var samazināt iedarbību, bet tās pārvaldība ir atkarīga no tā, kurš izveido, glabā, rotē, atjauno un var izmantot atslēgas. Lokāli glabāts ieraksts var palikt nesalasāms pusei, kas nevar iegūt atslēgu. Tas var kļūt nepieejams arī klientam, ja vienīgais atjaunošanas ceļš ir piegādātāja rokās. Atslēgu glabāšana tāpēc nav ne suverenitātes sauklis, ne burvju dzēšgumija jurisdikcijai. Tā ir konkrēta kontrole, kas jāpiešķir un jāpraktizē.

Žurnāli ir pelnījuši tādu pašu attieksmi. Informācijas panelis var parādīt darbību. Pierādījumiem ir nepieciešams ieraksts, ko klients var saglabāt, interpretēt un apstrīdēt. Kurš raksta žurnālu? Vai administrators to var mainīt? Vai laika avots ir uzticams? Vai tas aptver atbalsta piekļuvi un automatizētu apstrādi? Vai klients var iegūt izmantojamu eksportu bez pakalpojumu sniedzēja atļaujas? Kas notiek, kad konts tiek slēgts? Žurnāls, kas pazūd līdz ar pakalpojumu, ir noderīgs darbībai, bet vājš atbildības ziņā.

Atjaunošana ir visgrūtākais operatīvās kontroles tests, jo tā padara redzamas visas atkarības. Pakalpojumu sniedzējs var solīt dublējumu, tomēr atjaunošanai var būt nepieciešams konkrēts reģions, nepieejama licence, inženieris, kurš vairs tur nestrādā, vai noslēpums, kas glabājas atsevišķā sistēmā. Klients var piederēt dublējuma failam un joprojām nespēt to pārvērst par strādājošu pakalpojumu. Atjaunošana būtu jātestē kā viena vesela darbība, rezultātu fiksējot un nepilnības piešķirot cilvēkiem, kuri tās var novērst.

Pakalpojuma apturēšana arī ir kontrole. Iestādei var būt nepieciešams apturēt integrāciju, izolēt datu kopu, apturēt automatizētu apstrādi vai novērst jaunas kopijas izveidi. Ja apturēšanu var veikt tikai piegādātājs, piegādātāja identitāte, juridiskie pienākumi, reakcijas laiks un atbalsta process kļūst par daļu no iestādes riska. Tā var būt pieņemama vienošanās. Tā nav neredzama.

Šo testu mērķis nav neuzticēties katram piegādātājam. Tas ir aizstāt pārliecību ar attiecībām, kuras var pārbaudīt. Piegādātājs ar skaidru atbildi var izskaidrot, kuras darbības veic tas, kuras veic klients un kurām nepieciešama sadarbība. Piegādātājs, kas paļaujas uz vienu nomierinošu teikumu, vēl nav atbildējis uz operatīvo jautājumu.

Apakšuzņēmēji pārvērš vienu atbildi ķēdē

Pakalpojums reti ir viena organizācija, kas vienā vietā dara vienu lietu. Mākoņpakalpojumu sniedzēji izmanto specializētu infrastruktūru, atbalsta partnerus, monitoringa pakalpojumus, drošības operācijas, aparatūras apkopi, tīkla operatorus un citus piegādātājus. Daži ir redzami līgumā. Citi parādās apakšapstrādātāju sarakstā, pakalpojuma aprakstā, incidenta paziņojumā vai atbalsta darba plūsmā. Ķēde ir ierasta. Arī pienākums izprast ķēdi ir ierasts.

ENISA riska novērtējums norāda uz pazīstamu nepilnību: mākoņpakalpojumu sniedzējs var nodot pakalpojumus apakšlīgumā trešajai pusei, kas nepiedāvā tādas pašas garantijas, savukārt kontroles maiņa var mainīt sniedzēja noteikumus. Ziņojums nav mūsdienīgas arhitektūras specifikācija, un tam arī nevajag tādu būt. Tā paliekošais brīdinājums ir organizatorisks. Klients nevar apgalvot, ka izprot pakalpojumu, ja tas ir izvērtējis tikai pirmo uzņēmumu, kas norādīts rēķinā.

EDPB ieteikumi ir konkrētāki attiecībā uz personas datiem. Pirmais solis ir apzināt pārsūtīšanas, tostarp turpmākās pārsūtīšanas apstrādātājiem un apakšapstrādātājiem. Attālināta piekļuve no trešās valsts pati par sevi var tikt uzskatīta par pārsūtīšanu, pat ja ieraksts paliek EEZ datu centrā. Tādēļ atbalsta līgums ir daļa no datu pārsūtīšanas kartes, nevis zemsvītras piezīme, ar ko var nodarboties pēc ieviešanas.

Apakšuzņēmēju redzamība nav tas pats, kas apakšuzņēmēju kontrole. Saraksts klientam pasaka, kas ir iesaistīts. Kontrole jautā, ko katra puse var darīt, kādus datus tā var redzēt, kāds juridiskais instruments aptver darbību, kā tiek paziņots par izmaiņām un kāds tiesiskās aizsardzības līdzeklis pastāv, ja puse pārstāj izpildīt nosacījumus. Ķēdei katrā nodošanas punktā jābūt robežām un pierādījumiem.

Ir praktisks iemesls pretoties neskaidrām ķēdēm. Kad notiek incidents, atbildība bieži virzās pretējā virzienā datiem. Klients jautā sniedzējam. Sniedzējs jautā platformas komandai. Platformas komanda jautā specializētajam piegādātājam. Specializētais piegādātājs jautā administratoram citā organizācijā. Katra nodošana var radīt kavēšanos, nenoteiktību un iespēju, ka sākotnējais ieraksts zaudē kontekstu. Kontroles kartei būtu jāparāda maršruts pirms incidenta, kamēr iesaistītajiem cilvēkiem vēl ir laiks būt precīziem.

Personas dati: aizsardzība ceļo līdzi ierakstam

VDAR nepadara personas datus drošus, novietojot tos aiz Eiropas durvīm. Tās pārsūtīšanas noteikumi ir izstrādāti, lai saglabātu augstu aizsardzības līmeni, kad dati tiek nosūtīti uz trešo valsti. EDPB principu apraksta vienkārši: būtībā līdzvērtīgs aizsardzības līmenis datiem būtu jāpavada visur, kur tie nonāk, gan pārsūtīšanas laikā, gan pēc tās.

Tas nenozīmē, ka katra pārsūtīšana ir aizliegta. VDAR paredz dažādus pārsūtīšanas instrumentus un nosacījumus, tostarp atbilstības lēmumus un aizsardzības pasākumus saskaņā ar 46. pantu. Juridiskais jautājums ir, vai izvēlētais instruments konkrētajos apstākļos darbojas. EDPB ieteikumi liek eksportētājiem izvērtēt konkrētajai pārsūtīšanai būtiskos tiesību aktus un praksi, apsvērt, vai importētājs vai dati var nonākt problemātisku noteikumu ietekmē, un dokumentēt pamatojumu. Ja neviens papildu pasākums nespēj atjaunot nepieciešamo aizsardzības līmeni, pārsūtīšana būtu jāizvairās, jāaptur vai jāizbeidz.

Trīs detaļas sarunā par datu atrašanās vietu ir īpaši viegli palaist garām. Pirmkārt, svarīga ir tālāka pārsūtīšana. Pakalpojumu sniedzējs var glabāt primāro ierakstu EEZ un nosūtīt tā kopiju atbalsta vai analītikas dienestam citur. Otrkārt, svarīga ir piekļuve. Administrators trešā valstī var spēt izlasīt ierakstu, pat ja ieraksts fiziski nekad netiek pārvietots uz šīs personas galdu. Treškārt, svarīga ir atbildība. Eksportētājam jāspēj pierādīt izvērtējumu un tas jāpārskata, kad mainās pakalpojums, tiesību akti, cilvēki vai apstākļi.

Tāpēc regulējums prasa, lai klients izprastu gan tehnisko ceļu, gan juridisko kontekstu. Reģionu un bultu diagramma ir noderīga. Tā nevar aizstāt pārsūtīšanas izvērtējumu. To nevar aizstāt arī līgumisks solījums, ka pakalpojumu sniedzējs ievēros prasības, ja klients nav pārbaudījis, ko attiecīgie aizsardzības pasākumi spēj panākt pret tiesību aktiem un praksi, kas var attiekties uz pakalpojumu sniedzēju.

Eiropas datu aizsardzības tiesības pamatoti neuzticas burvju vārdiem. “ES mitināšana” var aprakstīt noderīgu faktu. “Atbilstīgs” var aprakstīt secinājumu, kam nepieciešams pamatojums. “Suverēns” var aprakstīt politisku mērķi. Nevienam no tiem nevajadzētu ļaut aizstāt pierādījumus, ka dati ir aizsargāti, piekļuve ir reglamentēta un lēmumu var pamatot.

Ne personas dati: cits režīms, tā pati disciplīna

Datu akts attiecas uz plašāku datu attiecību loku un ietver noteikumus datu apstrādes pakalpojumiem, piemēram, mākoņdatošanas un malas skaitļošanas pakalpojumiem. Tas neaizstāj VDAR un nepārvērš katru mākoņdatošanas lēmumu par datu aizsardzības pārsūtīšanas izvērtējumu. Tas tomēr sniedz otru Eiropas atgādinājumu, ka atrašanās vieta, piekļuve, pakalpojumu maiņa un pilnvaras ir jāizvērtē kopā.

Attiecībā uz ne personas datiem, kas glabājas Savienībā, Komisijas Datu akta skaidrojums apraksta aizsardzības pasākumus pret noteiktiem trešās valsts publiskās iestādes pieprasījumiem vai lēmumiem. Ja nav piemērojama starptautiska nolīguma, kas reglamentētu piekļuvi, regulā ir noteikti nosacījumi, kuru mērķis ir aizsargāt Eiropas intereses, tostarp uzmanība trešās valsts tiesību sistēmai un pieprasījuma samērīgumam. Pakalpojumu sniedzējiem ir jāveic saprātīgi pasākumi, piemēram, šifrēšana, auditi vai sertifikācijas kārtība, lai novērstu nesankcionētu piekļuvi, un, ja iespējams, jāinformē klienti.

Formulējumam ir nozīme. Datu akts neapgalvo, ka Savienība var likt pazust ārvalstu tiesību sistēmām. Tas rada sistēmu noteiktu piekļuves ceļu izvērtēšanai un ierobežošanai. Pakalpojumu sniedzējam joprojām ir jāzina, kādas sistēmas tas pārvalda, kādi dati tiek glabāti, kurš var atbildēt uz pieprasījumu un kādus pierādījumus var sniegt klientam. Klientam joprojām ir jāsaprot, kuras datu daļas ir personas dati, kuras nav, un kuri citi tiesību režīmi ir piemērojami.

The Act also approaches control through switching. Customers should be able to move between data-processing services, use services in parallel and port exportable data and digital assets. Providers must give information about export formats, interfaces, known limitations and the time needed for the process. The rules on functional equivalence recognise a practical truth: a file that can be downloaded is not necessarily a service that can be recovered.

Switching is often described as a competition measure, and it is one. It is also a sovereignty measure in the operational sense. An institution that can leave has more room to refuse a change it cannot accept. An institution that cannot leave may own a contract and still be governed by the provider's defaults. A legal right to switch is an important start. A rehearsed migration that preserves the data, the configuration and the evidence is the part that makes the right usable.

Contracts, keys and the limits of reassurance

Contracts remain essential. They allocate duties, set notification rules, identify subprocessors, define permitted processing, describe deletion and retention, create audit rights and establish assistance during a transition. The Data Act's cloud-switching provisions reinforce the need for clear contractual terms, exportable data and information about the mechanics of an exit. ENISA's older guidance likewise recommends paying attention to data transfers, change of control, law-enforcement access, breach notifications and liability when evaluating cloud contracts.

A contract is not a runtime control. A clause saying that the customer may export is weaker than an export run against a representative dataset and restored in a second environment. A clause saying that the provider will delete is weaker than an auditable deletion process that covers replicas, caches, backups and derived records. A clause giving an audit right is weaker than logs and evidence the customer can actually obtain. Paper matters. Paper that never meets a working system is politely framed optimism.

Keys provide a similar lesson. Customer-controlled encryption can reduce what a provider or an unauthorised party can read. It does not answer who can compel a person who holds a recovery key, who controls the hardware security module, who can change the key policy, or what happens when the customer loses its own credential. The right design may use split authority, independent custody, carefully scoped access and tested recovery. The wrong design can put the decisive key in a different jurisdiction and call the arrangement local because the database is local.

Legal and technical measures should be designed together. If a contract requires the customer to approve support access, the service should have an approval flow that leaves a record. If the customer needs to prevent onward transfers, the provider should expose the route and enforce the boundary. If a public authority request must be evaluated, the incident process should preserve the request, the legal analysis, the decision, the notification and the response. A legal promise becomes credible when a system can show how it is carried out.

The same principle applies to ownership changes. A supplier acquisition, a new parent company, a change in subcontractor or a change in the service's operating region can alter the control map without changing the customer-facing brand. Contracts should require notice and remedies. Technical inventories should be updated. A change ledger should show which powers moved. Governance that exists only at initial signature has a short half-life.

A buyer's control map

A public or private buyer does not need a magical questionnaire. It needs a map that connects claims to evidence. The following questions are a useful starting point because they ask for actions, actors and records rather than a preferred adjective.

Tabulā apzināti izmantota vienkārša valoda. Tai jāiztur saskarsme ar iepirkuma komandu. Tā arī dod pircējam iespēju salīdzināt piegādātājus, neizliekoties, ka sertifikāts, valsts karogs vai datu centra apskate atrisina visu. Pierādījumi var būt konfidenciāli. Prasībai pēc pierādījumiem nevajadzētu būt konfidenciālai.

Pieprasiet kritiskās darbības demonstrāciju, ne tikai aprakstu. Parādiet, kā tiek noņemts priviliģētais konts. Parādiet, kā tiek apstiprināta atbalsta sesija. Parādiet, ko klients saņem, pieprasot eksportu. Parādiet, kā tiek atrasta replika. Parādiet, ko tiesiskais pieprasījums nozīmē incidenta darbplūsmai. Parādiet, kā organizācija turpina darbu, kad piegādātāja konts ir apturēts. Mērķis nav sarīkot dramatisku neveiksmi. Mērķis ir redzēt, vai kontrole pastāv ārpus prezentācijas slaidiem.

Pēc tam jautājiet, kam pieder rezultāts. Tests bez īpašnieka ir izrāde. Robeža bez datuma ir pastāvīga iezīme. Kontrole bez ieraksta ir ticējums. Tāpēc kartē jānosauc persona vai institūcija, kas uzņemas risku, piegādātājs, kuram jāveic darbība, un ceļš, kā apstrīdēt rezultātu. Pārvaldība nav jautājumu kaudze. Tā ir lēmumu kopums, kam ir kur nonākt.

Domu eksperiments par Eiropas arhīvu

Sekojošais ir iezīmēta hipotēze, nevis ziņojums par reālu klientu vai incidentu. Iedomājieties pašvaldības arhīvu, kas izvēlas mitinātu pakalpojumu digitalizētiem plānošanas ierakstiem. Konkurss prasa primāro glabāšanu Eiropas Savienībā un pieprasa šifrēšanu, dublējumus un atbalsta dienestu. Trīs piegādātāji atbilst vārdiem. Viens ir vietēji reģistrēts, bet paļaujas uz atbalsta apakšuzņēmēju ārpus Savienības. Viens glabā datus un atbalstu Savienībā, bet izmanto mātesuzņēmuma identitātes platformu. Vienam ir mazāka vietējā darbība, skaidra atslēgu glabāšana un pārbaudīts eksports, bet tam nepieciešams rūpīgi noteikts pakalpojuma līmenis, jo tas nevar piedāvāt visas izvēles funkcijas.

Pirmais piegādātājs joprojām var būt pieņemams. Otrais joprojām var būt pieņemams. Trešais joprojām var būt nepiemērots konkrētai pieejamības prasībai. Domu eksperimenta mērķis ir parādīt, ka atrašanās vieta vien nevar izšķirt starp tiem. Arhīvam jājautā, kāda atbalsta piekļuve ir iespējama, kurš var izveidot kopiju, kuras juridiskās personas var saņemt rīkojumu, kā tiek pārvaldītas atslēgas, ko rāda žurnāli un vai ierakstus var atgūt citur.

Pieņemsim, ka arhīvs nolemj, ka lokālā glabāšana ir tā vissvarīgākais nosacījums. Šo prasību tas var ierakstīt līgumā. Tam būtu arī jādefinē objekti, uz kuriem nosacījums attiecas, jāpieprasa paziņojums par izmaiņām un jājautā, kā tiktu konstatēts pārkāpums. Pieņemsim, ka tas nolemj, ka attālinātais atbalsts ir atļauts tikai dokumentēta incidenta gadījumā. Pakalpojumam ir nepieciešams apstiprināšanas ceļš, uz laiku ierobežoti akreditācijas dati un pārskatāms ieraksts. Pieņemsim, ka arhīvs nolemj, ka tam jābūt iespējai aiziet. Iziešana būtu jāpārbauda, pirms pakalpojums kļūst par vienīgo vietu, kur kāds vēl prot lasīt ierakstus.

Nekas šajā hipotētiskajā scenārijā neprasa, lai arhīvs pārvaldītu datu centru. Tas prasa, lai arhīvs saprastu pilnvaras, ko tas deleģē. Tā ir atšķirība starp atbildīgu ārpakalpojumu izmantošanu un pirkumu, kas risku pārceļ telpā, kurā pircējs nevar iekļūt.

Ko Eiropa godīgi var domāt ar suverenitāti

Eiropas suverenitāte digitālajā infrastruktūrā būtu jāapraksta tā, lai tā izturētu neērtu jautājumu. Tā var nozīmēt, ka Eiropas iestāde saglabā varu pār kritiskiem lēmumiem. Tā var nozīmēt, ka galvenās atkarības ir redzamas, ierobežotas un atjaunojamas. Tā var nozīmēt, ka juridiskās tiesības atbilst tehniskajām iespējām. Tā var nozīmēt, ka publisks pircējs var mainīt pakalpojumu, apstrīdēt, pārbaudīt un turpināt darbību, ja pakalpojumu sniedzējs vai likums maina pieejamo ceļu.

Tā nedrīkst nozīmēt, ka pakalpojums ir automātiski drošs tāpēc, ka tā mārketinga adrese ir Eiropā. Tā arī nedrīkst nozīmēt, ka katrs ārvalstu savienojums ir aizliegts. Eiropa ir atkarīga no pārrobežu sistēmām, un noteikums, kas izliekas pretējā gadījumā, tiks ignorēts vai klusi apieta. Nobriedušāka nostāja ir prasīgāka: atļaut atkarības, kas kalpo misijai, dokumentēt tās, samazināt tās, kas nes nepieņemamu varu, un saglabāt izeju tām, kuras nevar padarīt uzticamas.

Šī nostāja dod arī Eiropas pakalpojumu sniedzējiem taisnīgāku pārbaudi. Vietējam pakalpojumu sniedzējam nevajadzētu rīkot karoga ceremoniju, lai to uztvertu nopietni. Tam vajadzētu spēt parādīt, ko tas pārvalda, ko tas deleģē, kam ir piekļuve, kāds likums var tikt piemērots, kā dati tiek aizsargāti un kā klients var aiziet. Globālajam pakalpojumu sniedzējam būtu jāsaskaras ar tiem pašiem jautājumiem. Standarts ir kontroles pierādījumi, nevis izcelsmes teātris.

Vārds suverenitāte kļūst noderīgs, kad tas maina iepirkuma uzvedību. Ministrija var izmantot iepirkumu, lai atalgotu pārbaudītu izejas ceļu. Slimnīca var pieprasīt galvenos pasākumus, kas atbilst tās klīniskajiem pienākumiem. Universitāte var padarīt redzamu pētniecības datu izcelsmi. Regulators var pieprasīt sistēmas stāvokli lēmuma pieņemšanas brīdī. Pakalpojumu sniedzējs var veidot savu pakalpojumu tā, lai klienta pilnvaras nebūtu tikai dekoratīva rindkopa. Tās ir institucionālas darbības, nevis saukļu konkurss.

Maza piezīme no mums

Uzņēmumā Dweve mūsu publiskā analīze The Sovereignty Illusion: where control really sits, kas publicēta 2026. gada 29. jūnijā, izmanto līdzīgu disciplīnu. Tā nošķir īpašumtiesības, tehnoloģiju, kapitālu, infrastruktūru un juridisko atbildību, nevis ļauj Eiropas marķējumam apzīmēt visus piecus. Šis raksts ir šaurāks. Tas seko datu centra apgalvojumam operacionālajos un juridiskajos slāņos, kas pircējam ir jāpārvalda.

Tā mēs arī vēlamies aprakstīt savu darbu. Sistēmai būtu jāpadara tās robežas salasāmas: kas ir lokāls, kas ir deleģēts, kas tiek ierakstīts, ko var apstrīdēt un ko var mainīt. Noderīgs apgalvojums ir tas, ko lasītājs var pārbaudīt. Pārējais ir dekorācija, un Eiropai jau ir daudz dekoratīvas infrastruktūras.

Juridiskais arguments sākas pēc adreses

Datu centra atrašanās vieta ir vērts zināt. Tā var ietekmēt fizisko piekļuvi, noturību, savienojamību, piemērojamos vietējos noteikumus un pakalpojuma dizainu. Tas var būt pareizais pirmais jautājums. Tas ir vāja galīgā atbilde.

Galīgajai atbildei ir jāsaista vieta ar autoritāti. Tajā ir jānosauc operators, identitātes, atslēgas, apakšuzņēmēji, juridiskie instrumenti, iespējamie pieprasījumi, pierādījumi un izeja. Attiecībā uz personas datiem aizsardzības līmenim Eiropas Savienībā ir jāsaglabā būtiska līdzvērtība arī pēc datu nosūtīšanas, un eksportētājiem ir jāizvērtē apstākļi, nevis jāatkārto apgalvojums par atrašanās vietu. Attiecībā uz nepersonas datiem Datu akts pievieno noteikumus par ārvalstu piekļuvi un mākoņdatošanas pakalpojumu maiņu, kas atkal padara kontroli un pārnesamību konkrētu.

Nav viena Eiropas skaitļa, kas sarežģītu pakalpojumu varētu pārvērst par suverēnu. Ir jautājumu, pārbaužu un ierakstu secība. Šī secība ir lēnāka nekā brošūrā ierakstīts apgalvojums “vietējā ES mitināšana”. Tā ir arī daļa, kas saglabā savu lietderību arī pēc tam, kad brošūra ir novecojusi.

Kad pircējs jautā, kur atrodas dati, atbildiet precīzi par atrašanās vietu. Pēc tam jautājiet, kas var tos lasīt, kas var ar tiem rīkoties, kam var piespiest tos izpaust, kas var pierādīt, kas noticis, un kas var aiziet. Eiropas datu centrs var būt daļa no uzticamas vienošanās. Tas pats par sevi nevar būt juridiskais arguments.

Avoti

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Eiropas Datu aizsardzības kolēģija, galīgā redakcija 2021. gada 18. jūnijā. Saistītajā lapā ir oficiālais PDF.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Eiropas Savienības Tiesa, spriedums 2020. gada 16. jūlijā, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Eiropas Parlaments un Padome, 2023. gada 13. decembris, EUR-Lex.
• Data Act explained, Eiropas Komisija, publicēts 2025. gadā un skatīts 2026. gada 5. augustā.
• Cloud Computing Risk Assessment un oficiālais ziņojuma PDF, Eiropas Savienības Kiberdrošības aģentūra (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 2026. gada 29. jūnijs.