Centrul de date nu este un argument juridic

Centrul de date nu este un argument juridic

Adresa de pe broșură

Există o frază care apare în cererile de ofertă pentru cloud cu încrederea unui argument complet: datele vor fi stocate într-un centru de date european. Fraza poate fi adevărată. Poate face, de asemenea, mult mai mult decât poate susține.

Un centru de date are o locație. Acea locație contează pentru securitatea fizică, reziliență, energie, conectivitate, reguli naționale și aria practică de acțiune a unei autorități locale. Îi spune cumpărătorului ceva util despre locul unde se află anumite echipamente. Nu îi spune, prin ea însăși, cine deține serviciul, cine operează echipamentele, unde se fac copiile, cine deține cheile, ce persoane îl pot administra, ce companii au voie să subcontracteze părți din lucrare sau ce sistem juridic poate obliga o parte să ofere acces.

Distincția este ușor de enunțat și surprinzător de ușor de pierdut din vedere. Un cod poștal este vizibil. Controlul este distribuit. Codul poștal se potrivește perfect într-o foaie de calcul pentru achiziții; controlul apare ca un lanț de contracte, identități, conturi de asistență, planuri de gestionare, chei de criptare, relații corporative, proceduri operaționale și obligații legale. Primul este un fapt despre loc. Al doilea este o întrebare despre putere.

Legislația europeană privind protecția datelor face acest punct într-un limbaj din ce în ce mai precis. În hotărârea Schrems II din 16 iulie 2020, Curtea de Justiție a Uniunii Europene a examinat modul în care datele personale pot părăsi Spațiul Economic European păstrând în același timp un nivel de protecție în esență echivalent cu cel garantat în interiorul acestuia. Curtea a confirmat clauzele contractuale standard ca un posibil instrument de transfer, dar a precizat că acestea nu funcționează într-un vid. Exportatorul trebuie să examineze legislația și practica destinației în circumstanțele transferului și să acționeze atunci când garanțiile nu pot funcționa în practică.

Hotărârea nu a spus că o graniță este irelevantă. A spus că o graniță este o parte a întrebării. Recomandările ulterioare ale Comitetului European pentru Protecția Datelor transformă acest principiu într-o metodă: cunoașteți transferurile, identificați instrumentul juridic, evaluați legislația și practica care îl pot afecta, adăugați măsuri acolo unde pot funcționa, finalizați procedura necesară și mențineți evaluarea sub revizuire. O adresă de server apare pe acea hartă. Nu este harta.

Aceasta contează dincolo de datele personale. Regulamentul privind datele tratează serviciile cloud și alte servicii de procesare a datelor ca infrastructură de la care clienții ar trebui să se poată muta. De asemenea, abordează condițiile în care o autoritate publică dintr-o țară terță caută acces la date nepersonale deținute în Uniune. Din nou, răspunsul juridic este construit din actori, scopuri, garanții, dovezi și căi de atac. O clădire este implicată. O clădire nu este suficientă.

Lecția practică pentru o instituție europeană este, prin urmare, directă. Întrebați unde sunt datele. Apoi continuați să puneți întrebări până când răspunsul include cine le poate citi, cine le poate modifica, cine le poate opri, cine le poate exporta, cine poate fi obligat să le divulge și ce dovezi vor rămâne atunci când părțile nu sunt de acord. Dacă răspunsul se oprește la ușa centrului de date, partea utilă a investigației abia a început.

Rezidența ține de loc

Rezidența datelor este o declarație despre locul unde datele sunt stocate sau procesate în cadrul unui aranjament definit. Definiția are nevoie de un domeniu de aplicare. Este vorba despre copia primară, copia de rezervă, indexul, memoria cache, telemetria, site-ul de recuperare în caz de dezastru sau toate acestea? Procesarea include un administrator care vizualizează o înregistrare dintr-o altă țară? O sesiune de asistență contează? Ce se întâmplă când o echipă de intervenție trebuie să copieze o urmă de diagnosticare? O promisiune de rezidență care nu spune ce acoperă este o etichetă atractivă atașată unei fraze neterminate.

Cloud systems are proiectate să mute munca. Replicarea poate îmbunătăți disponibilitatea. Un al doilea site poate menține un serviciu activ atunci când primul site este indisponibil. O locație edge poate reduce latența. O echipă de securitate poate direcționa un log către un sistem central de analiză. Acestea sunt alegeri inginerești obișnuite, nu dovezi de conduită greșită. Ele înseamnă totuși că expresia „stocat în Europa” are nevoie de un obiect tehnic atașat. Care date, în ce stare, pentru ce perioadă, sub ce operațiune?

Evaluarea riscurilor cloud a ENISA, publicată pentru prima dată în 2009, rămâne utilă tocmai pentru că a refuzat să trateze geografia drept un control complet. Ea identifică riscuri legate de stocarea în mai multe jurisdicții, informații insuficiente despre jurisdicții, pierderea guvernanței, subcontractare și schimbări în controlul furnizorului. Documentul este suficient de vechi încât să aibă o afecțiune pentru acronime pe care echipele moderne s-ar putea să nu o împărtășească, dar problema organizațională nu a dispărut. Dacă un client nu poate vedea unde sunt procesate datele sau cine este responsabil pentru următorul transfer, clientul nu poate lua o decizie fiabilă privind riscul.

Rezidența poate fi o cerință validă. O arhivă publică poate avea nevoie ca înregistrările să rămână într-o zonă legală definită. Un serviciu de sănătate poate avea nevoie de un aranjament de procesare care limitează unde pot călători datele sensibile. Un consorțiu de cercetare poate avea obligații legate de un finanțator sau de un acord de partajare a datelor. Aceste cerințe ar trebui scrise ca și condiții operaționale, cu o metodă de verificare, mai degrabă decât ca un singur nume de țară pe care toată lumea este invitată să îl interpreteze generos.

Există, de asemenea, o diferență între o restricție și o garanție. A cere unui furnizor să păstreze un depozit primar în Uniunea Europeană restricționează o clasă de mișcare. Nu garantează că nicio persoană din afara Uniunii nu poate accesa o înregistrare, că niciun metadata nu pleacă sau că nicio obligație legală străină nu poate ajunge la un furnizor. O restricție poate fi utilă fără a fi o garanție. Confundarea celor două creează o poveste de conformitate care trece un tur al sălii de servere și eșuează la o privire mai atentă asupra planului de management.

Întrebarea utilă privind rezidența nu este pur și simplu „unde este?”. Este „ce locații sunt posibile pentru fiecare stare a acestor date și cine poate face ca acea stare să se schimbe?”. Un furnizor ar trebui să poată explica răspunsul în termeni pe care un inginer îi poate implementa și pe care un cumpărător îi poate verifica. Dacă explicația depinde de o excepție nedocumentată, de un obicei de suport sau de o promisiune că subcontractorii proprii ai furnizorului se vor comporta probabil corect, afirmația privind rezidența nu este încă operațională.

Cinci întrebări ascunse în cuvântul unde

Când oamenii întreabă unde se află datele lor, de multe ori se referă la mai multe lucruri diferite în același timp. Separarea întrebărilor face o discuție de achiziție mai puțin teatrală și mai utilă.

1. Unde sunt biții? Aceasta este întrebarea despre stocarea fizică și logică. Include datele primare, replicile, copiile de rezervă, cache-urile, indexurile și jurnalele relevante. Un răspuns satisfăcător numește domeniul de aplicare și condițiile în care răspunsul se schimbă.

2. Unde are loc procesarea? O înregistrare poate fi stocată într-o jurisdicție și transformată, căutată, clasificată, criptată sau decriptată în altă parte. Procesarea poate fi o sarcină programată, o acțiune de asistență, o conductă de monitorizare sau o copie temporară realizată în timpul recuperării.

3. Cine poate ajunge la ea? Aceasta este întrebarea despre identitate și operațiuni. Include personalul, administratorii, contractorii, conturile de serviciu, echipele de intervenție și sistemele automatizate. O persoană nu trebuie să locuiască lângă un server pentru a avea acces efectiv la el.

4. Cine poate impune acel acces? Aceasta este întrebarea despre jurisdicție și autoritate legală. Urmărește organizațiile și persoanele relevante, rolurile pe care le dețin, contractele pe care le semnează și obligațiile legale care le pot lega. Nu este răspunsă doar printr-un punct pe hartă.

5. Ce poate face clientul când răspunsul se schimbă? Aceasta este întrebarea despre control și ieșire. Poate clientul să restricționeze accesul, să rotească cheile, să obțină o înregistrare de încredere, să restabilească serviciul, să mute datele și să încheie relația fără să piardă ceea ce încerca să protejeze?

Aceste întrebări se suprapun, dar nu sunt interschimbabile. Un furnizor poate răspunde convingător la prima și prost la a treia. Un contract poate răspunde la a cincea pe hârtie, în timp ce echipa tehnică nu a rulat niciodată ieșirea. O subsidiară locală poate răspunde la întrebarea despre identitatea corporativă, în timp ce serviciul depinde de infrastructura sau organizația de asistență a companiei-mamă. Răspunsul corect nu este să alegi cel mai liniștitor răspuns. Este să păstrezi setul intact.

Acesta este și motivul pentru care evaluările de suveranitate pot deveni confuze. Cuvântul este chemat să acopere reședința fizică, independența legală, competența operațională, proprietatea economică, autonomia strategică și capacitatea de a pleca. Acestea sunt ambiții înrudite. Nu sunt o singură proprietate. O instituție precisă spune de care proprietate are nevoie și ce dovezi ar arăta că aceasta există.

Jurisdicția urmează autoritatea

Jurisdicția nu este un nor mistic care înconjoară o țară. Este un mod de a descrie care autorități legale pot reglementa, ordona, investiga, revizui sau remedia conduita actorilor relevanți. Într-un serviciu distribuit, actorii contează la fel de mult ca locurile. O companie poate fi înregistrată într-un stat membru, să opereze facilități într-un al doilea, să folosească o echipă de asistență într-un al treilea și să depindă de o companie-mamă sau un subcontractor supus unor obligații în altă parte. Un client care încearcă să înțeleagă aria legală trebuie să urmeze lanțul de autoritate, nu să se oprească la cea mai apropiată clădire.

Acest lucru nu înseamnă că fiecare conexiune străină înfrânge controlul european. Serviciile europene sunt interconectate prin design. Comerțul transfrontalier, cercetarea, asistența, finanțarea și infrastructura sunt normale. Întrebarea este dacă instituția știe care conexiune poartă care putere. Un operator european poate fi capabil să refuze o cerere obișnuită, dar să nu aibă autoritatea de a rezista unei instrucțiuni obligatorii de la o altă organizație. Un subcontractor poate deține o acreditare pe care principalul nu a inclus-o în propriul inventar de acces. Un proces de asistență poate permite accesul de la distanță chiar și atunci când contractul de stocare promite o regiune locală.

Analiza juridică depinde și de tipul de date și de tipul de solicitare. Datele cu caracter personal aduc în discuție normele GDPR privind transferurile și cadrul drepturilor fundamentale. Datele fără caracter personal nu se află într-un vid juridic. Regulamentul privind datele conține garanții pentru anumite solicitări ale autorităților publice din țări terțe privind datele fără caracter personal deținute în Uniune. O solicitare trebuie analizată prin prisma condițiilor regulamentului, inclusiv natura solicitării și protecțiile disponibile în sistemul juridic al țării terțe. Cele două regimuri sunt diferite, iar tocmai această diferență este motivul pentru care un cumpărător nu ar trebui să le comprime în cuvântul rezidență.

Hotărârea CJUE în cauza C-311/18 oferă un model juridic european util. Curtea nu a verificat dacă un contract arăta suficient de formal. A verificat dacă protecția garantată de dreptul european ar rămâne în esență echivalentă în circumstanțele transferului, ținând cont de legislația și practicile care ar putea afecta datele. Clauzele contractuale standard pot obliga părțile care le semnează. Ele nu obligă o autoritate publică care nu este parte la contract. Atunci când mediul juridic subminează garanțiile promise, exportatorul trebuie să reacționeze.

Această logică este mai largă decât disputa particulară. Un contract este un instrument de alocare privată. Jurisdicția este domeniul în care autoritatea publică poate acționa. Contractul poate spune unui furnizor ce a promis clientului. Nu poate, prin el însuși, să elimine o putere publică care obligă furnizorul sau angajații săi. O bună guvernanță ia ambele afirmații în serios. Folosește contractele pentru a stabili obligații și măsuri tehnice pentru a face aceste obligații observabile, recunoscând totodată că aria juridică poate schimba opțiunile disponibile.

Este tentant să transformăm această analiză într-o căutare a unei singure țări periculoase. Aceasta este mai puțin utilă decât cartografierea autorităților reale. Care entitate este operatorul sau persoana împuternicită? Care entitate angajează administratorul? Care entitate deține cheile de criptare? Care entitate poate realiza o copie? Care entitate primește o solicitare de asistență? Care autoritate ar putea emite un ordin? Ce remediu ar avea clientul și în ce for? Harta poate fi liniștitoare. Poate să nu fie. Oricare rezultat este mai valoros decât o etichetă cu o țară.

Proprietatea este un titlu, nu o cheie

Proprietatea are o forță juridică și economică reală. Poate determina cine poate vinde un activ, numi directori, licenția proprietate intelectuală, primi venituri sau lua anumite decizii. Într-o entitate publică, poate fi legată de responsabilitatea statutară pentru arhive sau infrastructură. Într-un grup corporativ, poate explica cine poate vota, fuziona, finanța sau înlocui un furnizor. Proprietatea își are locul într-o evaluare a suveranității.

Proprietatea nu oferă automat control operațional. Un client poate deține datele, în timp ce un furnizor operează baza de date, gestionează sistemul de backup și controlează contul de serviciu. O instituție publică poate deține o clădire, în timp ce un contractant deține acreditările de întreținere și singura rută testată pentru restaurarea echipamentului. O companie poate deține codul sursă, în timp ce o terță parte controlează cheia de semnare, mediul de compilare, registrul de pachete și identitatea de implementare. Titlul este real. La fel este și dependența.

Distincția devine vizibilă în verbe. Proprietatea este un substantiv într-un contract. Controlul este capacitatea de a inspecta, opera, modifica, opri, recupera, exporta, șterge și dovedi. Un proces de achiziție care înregistrează doar substantive poate lăsa verbele importante nealocate. Poate avea un proprietar numit pentru platformă și totuși să nu aibă nicio persoană numită care să poată roti o cheie, elimina un cont privilegiat sau restaura dintr-un backup fără a solicita unei organizații care nu este în încăpere.

Nu există virtute în a cere posesia maximă. Un spital, o universitate sau o primărie poate să nu aibă personalul și capacitatea de securitate necesare pentru a opera fiecare strat în siguranță. Delegarea unei sarcini poate fi responsabilă atunci când limitele sunt explicite, iar clientul păstrează capacitatea de a supraveghea, testa și recupera. Scopul nu este să plasezi fiecare server într-un subsol public. Scopul este să decizi care puteri sunt esențiale pentru misiune și să le păstrezi suficient de aproape pentru a le guverna.

Această decizie necesită dovezi. „Clientul deține datele” ar trebui să conducă la întrebări despre formatul de export, custodierea cheilor, retenție, ștergere, jurnalele de acces și permisiunile de suport. „Furnizorul este european” ar trebui să conducă la întrebări despre controlul corporativ, subcontractori, infrastructură, expunerea legală și continuitate. „Datele sunt în Uniune” ar trebui să conducă la întrebări despre administrarea de la distanță, replici, locațiile de procesare și solicitările legale. Un răspuns bun poate fi complicat. Complicația nu este un defect atunci când sistemul este complicat.

Controlul operațional este dreptul de a acționa

Controlul operațional este cel mai ușor de înțeles printr-o acțiune, nu printr-un adjectiv. Luați în considerare un client care trebuie să revoce un administrator. Cine poate efectua revocarea? Ce sistem de identitate o autorizează? Furnizorul este obligat să execute modificarea sau clientul o poate face direct? Acțiunea acoperă conturile de suport, conturile de urgență și acreditările inactive? Există o înregistrare care dovedește când a dispărut permisiunea? Dacă o acțiune depinde de un serviciu de asistență, atunci serviciul de asistență face parte din planul de control.

Același test se aplică și cheilor. Criptarea poate reduce expunerea, dar guvernanța sa depinde de cine creează, stochează, rotește, recuperează și poate folosi cheile. O înregistrare stocată local poate rămâne ilizibilă pentru o parte care nu poate obține cheia. Poate deveni, de asemenea, inaccesibilă pentru client atunci când singura cale de recuperare depinde de un furnizor. Custodia cheilor nu este, așadar, nici un slogan pentru suveranitate, nici o radieră magică pentru jurisdicție. Este un control concret care trebuie atribuit și exersat.

Jurnalele merită același tratament. Un tablou de bord poate afișa activitate. Dovezile necesită o înregistrare pe care clientul să o poată păstra, interpreta și contesta. Cine scrie jurnalul? Poate un administrator să îl modifice? Sursa de timp este de încredere? Acoperă accesul de suport și procesarea automată? Poate clientul obține un export utilizabil fără permisiunea furnizorului? Ce se întâmplă când contul este închis? Un jurnal care dispare odată cu serviciul este util pentru operațiuni și slab pentru responsabilitate.

Recuperarea este cel mai dificil test al controlului operațional, deoarece face vizibile toate dependențele. Un furnizor poate promite backup, dar restaurarea poate necesita o anumită regiune, o licență indisponibilă, un inginer care nu mai lucrează acolo sau un secret stocat într-un sistem separat. Clientul poate deține fișierul de backup și totuși să nu aibă capacitatea de a-l transforma într-un serviciu funcțional. Recuperarea ar trebui testată ca o acțiune completă, cu rezultatul înregistrat și lacunele atribuite persoanelor care le pot închide.

Oprirea unui serviciu este, de asemenea, control. O instituție poate avea nevoie să întrerupă o integrare, să izoleze un set de date, să suspende procesarea automată sau să prevină crearea unei noi replici. Dacă doar un furnizor poate efectua oprirea, identitatea furnizorului, obligațiile sale legale, timpul de răspuns și procesul de suport devin parte din riscul instituției. Aceasta poate fi o aranjare acceptabilă. Nu este una invizibilă.

Scopul acestor teste nu este să nu ai încredere în fiecare furnizor. Este să înlocuiești încrederea cu o relație care poate fi inspectată. Un furnizor cu un răspuns clar poate explica ce acțiuni efectuează el, ce acțiuni efectuează clientul și care necesită cooperare. Un furnizor care se bazează pe o singură frază liniștitoare nu a răspuns încă la întrebarea operațională.

Subcontractorii transformă un răspuns într-un lanț

Un serviciu este rareori o singură organizație care face un singur lucru într-un singur loc. Furnizorii de cloud folosesc infrastructură specializată, parteneri de suport, servicii de monitorizare, operațiuni de securitate, mentenanță hardware, operatori de rețea și alți furnizori. Unii sunt vizibili în contract. Alții apar într-o listă de subprocesatori, într-o descriere a serviciului, într-o notificare de incident sau într-un flux de lucru de suport. Lanțul este obișnuit. Obligația de a înțelege lanțul este, de asemenea, obișnuită.

Evaluarea riscurilor ENISA semnalează o deficiență cunoscută: un furnizor de cloud poate subcontracta servicii către o terță parte care nu oferă aceleași garanții, iar o schimbare a controlului poate modifica termenii furnizorului. Raportul nu este o specificație modernă de arhitectură și nici nu trebuie să fie. Avertismentul său durabil este organizațional. Un client nu poate pretinde că înțelege un serviciu atunci când a evaluat doar prima companie menționată pe factură.

Recomandările EDPB sunt mai specifice pentru datele personale. Primul pas este să cunoașteți transferurile, inclusiv transferurile ulterioare către procesatori și subprocesatori. Accesul de la distanță dintr-o țară terță poate conta el însuși ca transfer, chiar și atunci când înregistrarea rămâne într-un centru de date din SEE. Un acord de suport face, prin urmare, parte din harta transferurilor de date, nu o notă de subsol care poate fi tratată după implementare.

Vizibilitatea subcontractorilor nu este același lucru cu controlul asupra subcontractorilor. O listă îi spune clientului cine este implicat. Controlul întreabă ce poate face fiecare parte, ce date poate vedea, ce instrument juridic acoperă activitatea, cum este notificată o schimbare și ce remediu există atunci când partea încetează să îndeplinească condițiile. Lanțul ar trebui să aibă limite și dovezi la fiecare predare.

Există un motiv practic pentru a rezista lanțurilor vagi. Când are loc un incident, responsabilitatea călătorește adesea în direcția opusă datelor. Clientul întreabă furnizorul. Furnizorul întreabă o echipă de platformă. Echipa de platformă întreabă un furnizor specializat. Furnizorul specializat întreabă un administrator dintr-o altă organizație. Fiecare predare poate adăuga întârziere, incertitudine și o oportunitate ca înregistrarea originală să piardă din context. O hartă de control ar trebui să arate ruta înainte de incident, în timp ce persoanele implicate mai au timp să fie precise.

Date personale: protecția călătorește odată cu înregistrarea

GDPR nu face datele personale sigure doar pentru că le plasează în spatele unei uși europene. Regulile sale privind transferurile sunt concepute să păstreze un nivel ridicat de protecție atunci când datele se deplasează către o țară terță. CEPD descrie principiul simplu: un nivel de protecție esențial echivalent ar trebui să însoțească datele oriunde s-ar duce, pe durata și după transfer.

Aceasta nu înseamnă că orice transfer este interzis. GDPR conține diferite instrumente și condiții de transfer, inclusiv decizii de adecvare și garanții în temeiul articolului 46. Întrebarea juridică este dacă instrumentul ales funcționează în circumstanțele date. Recomandările CEPD le spun exportatorilor să evalueze legislația și practicile relevante pentru transferul respectiv, să ia în considerare dacă importatorul sau datele pot intra sub incidența unor norme problematice și să documenteze raționamentul. Dacă nicio măsură suplimentară nu poate restabili nivelul de protecție necesar, transferul ar trebui evitat, suspendat sau încetat.

Trei detalii sunt deosebit de ușor de ratat într-o discuție despre rezidența datelor. În primul rând, un transfer ulterior contează. Un furnizor poate păstra înregistrarea principală în SEE și poate trimite o copie către un serviciu de asistență sau de analiză din altă parte. În al doilea rând, accesul contează. Un administrator dintr-o țară terță poate fi capabil să citească o înregistrare fără ca aceasta să fie mutată fizic la biroul acelei persoane. În al treilea rând, responsabilitatea contează. Exportatorul trebuie să poată demonstra evaluarea și să o reia atunci când serviciul, legislația, persoanele sau circumstanțele se schimbă.

Cadrul le cere, așadar, clienților să înțeleagă atât traseul tehnic, cât și contextul juridic. O diagramă cu regiuni și săgeți este utilă. Nu poate înlocui evaluarea transferului. Nici o promisiune contractuală că furnizorul se va conforma nu poate înlocui verificarea de către client a ceea ce pot obține garanțiile relevante în raport cu legislațiile și practicile care i se pot aplica furnizorului.

Legislația europeană privind protecția datelor are o aversiune sănătoasă față de cuvintele magice. „Găzduire în UE” poate descrie un fapt util. „Conform” poate descrie o concluzie care necesită argumente. „Suveran” poate descrie un obiectiv politic. Niciunul nu ar trebui lăsat să înlocuiască dovezile că datele sunt protejate, accesul este reglementat și decizia poate fi apărată.

Date nepersonale: un regim diferit, aceeași disciplină

Regulamentul privind datele se ocupă de un set mai larg de relații cu datele și include norme pentru serviciile de procesare a datelor, cum ar fi serviciile cloud și edge. Nu înlocuiește GDPR și nu transformă fiecare decizie privind cloud-ul într-o evaluare a transferului de date pentru protecția datelor. Oferă însă o a doua reamintire europeană că locația, accesul, schimbarea furnizorului și autoritatea trebuie luate în considerare împreună.

Pentru datele nepersonale deținute în Uniune, explicația Comisiei privind Regulamentul privind datele descrie garanții pentru anumite cereri sau decizii ale unei autorități publice dintr-o țară terță. În cazul în care niciun acord internațional aplicabil nu reglementează accesul, regulamentul stabilește condiții menite să protejeze interesele europene, inclusiv atenția acordată sistemului juridic al țării terțe și proporționalității cererii. Furnizorii sunt așteptați să ia măsuri rezonabile, cum ar fi criptarea, auditurile sau aranjamentele de certificare, pentru a preveni accesul neautorizat și pentru a informa clienții acolo unde este posibil.

Formularea contează. Regulamentul privind datele nu pretinde că Uniunea poate face să dispară sistemele juridice străine. Creează un cadru pentru evaluarea și limitarea anumitor căi de acces. Un furnizor trebuie totuși să știe ce sisteme operează, ce date deține, cine poate răspunde unei cereri și ce dovezi pot fi oferite clientului. Un client trebuie totuși să înțeleagă ce părți ale datelor sunt personale, care nu sunt și ce alte regimuri juridice se aplică.

Actul abordează controlul și prin comutare. Clienții ar trebui să poată trece între serviciile de procesare a datelor, să folosească serviciile în paralel și să exporte datele și activele digitale portabile. Furnizorii trebuie să ofere informații despre formatele de export, interfețe, limitări cunoscute și timpul necesar pentru proces. Regulile privind echivalența funcțională recunosc un adevăr practic: un fișier care poate fi descărcat nu este neapărat un serviciu care poate fi recuperat.

Comutarea este adesea descrisă ca o măsură de concurență, și chiar este. Este, de asemenea, o măsură de suveranitate în sens operațional. O instituție care poate pleca are mai mult loc să refuze o schimbare pe care nu o poate accepta. O instituție care nu poate pleca poate deține un contract și totuși să fie guvernată de setările implicite ale furnizorului. Un drept legal de comutare este un început important. O migrare repetată care păstrează datele, configurația și dovezile este partea care face dreptul utilizabil.

Contracte, chei și limitele reasigurării

Contractele rămân esențiale. Ele alocă obligații, stabilesc reguli de notificare, identifică subprocesorii, definesc procesarea permisă, descriu ștergerea și păstrarea, creează drepturi de audit și stabilesc asistența în timpul unei tranziții. Prevederile Actului privind datele referitoare la comutarea serviciilor cloud întăresc necesitatea unor termeni contractuali clari, a datelor exportabile și a informațiilor despre mecanica unei ieșiri. Orientările mai vechi ale ENISA recomandă, de asemenea, atenție la transferurile de date, schimbarea controlului, accesul autorităților de aplicare a legii, notificările privind încălcările și răspunderea atunci când se evaluează contractele cloud.

Un contract nu este un control de runtime. O clauză care spune că clientul poate exporta este mai slabă decât un export efectuat pe un set de date reprezentativ și restaurat într-un al doilea mediu. O clauză care spune că furnizorul va șterge este mai slabă decât un proces de ștergere auditat care acoperă replicile, cache-urile, copiile de rezervă și înregistrările derivate. O clauză care oferă un drept de audit este mai slabă decât jurnalele și dovezile pe care clientul le poate obține efectiv. Documentele contează. Documentele care nu întâlnesc niciodată un sistem funcțional sunt optimism formulat politicos.

Cheile oferă o lecție similară. Criptarea controlată de client poate reduce ceea ce un furnizor sau o parte neautorizată poate citi. Nu răspunde la cine poate obliga o persoană care deține o cheie de recuperare, cine controlează modulul de securitate hardware, cine poate schimba politica cheilor sau ce se întâmplă când clientul își pierde propria acreditare. Designul corect poate folosi autoritate divizată, custodie independentă, acces atent limitat și recuperare testată. Designul greșit poate plasa cheia decisivă într-o altă jurisdicție și poate numi aranjamentul local pentru că baza de date este locală.

Măsurile legale și tehnice ar trebui proiectate împreună. Dacă un contract cere clientului să aprobe accesul de asistență, serviciul ar trebui să aibă un flux de aprobare care lasă o înregistrare. Dacă clientul trebuie să prevină transferurile ulterioare, furnizorul ar trebui să expună ruta și să aplice granița. Dacă o cerere a unei autorități publice trebuie evaluată, procesul de incident ar trebui să păstreze cererea, analiza juridică, decizia, notificarea și răspunsul. O promisiune legală devine credibilă când un sistem poate arăta cum este îndeplinită.

Același principiu se aplică schimbărilor de proprietate. O achiziție a furnizorului, o nouă companie-mamă, o schimbare a subcontractorului sau o schimbare a regiunii de operare a serviciului poate altera harta controlului fără a schimba brandul vizibil pentru client. Contractele ar trebui să ceară notificare și remedii. Inventarele tehnice ar trebui actualizate. Un registru al schimbărilor ar trebui să arate care puteri s-au mutat. Guvernanța care există doar la semnarea inițială are o durată de viață scurtă.

Harta de control a unui cumpărător

Un cumpărător public sau privat nu are nevoie de un chestionar magic. Are nevoie de o hartă care leagă afirmațiile de dovezi. Următoarele întrebări sunt un punct de plecare util pentru că cer acțiuni, actori și înregistrări, nu un adjectiv preferat.

Tabelul este deliberat sobru. Este menit să reziste contactului cu o echipă de achiziții. Oferă, de asemenea, cumpărătorului o modalitate de a compara furnizorii fără să pretindă că un certificat, un steag național sau un tur al centrului de date rezolvă totul. Dovezile pot fi confidențiale. Cerința de a avea dovezi nu ar trebui să fie.

Cereți o demonstrație a acțiunii critice, nu doar o descriere. Arătați cum este eliminat un cont privilegiat. Arătați cum este aprobată o sesiune de asistență. Arătați ce primește un client când solicită un export. Arătați cum este localizată o replică. Arătați ce face o cerere legală fluxului de lucru privind incidentele. Arătați cum continuă organizația când contul de furnizor este suspendat. Scopul nu este să punem în scenă un eșec dramatic. Este să vedem dacă controlul există dincolo de prezentare.

Apoi întrebați cine deține rezultatul. Un test fără proprietar este o performanță. Un decalaj fără dată este o caracteristică permanentă. Un control fără înregistrare este o credință. Harta ar trebui, așadar, să numească persoana sau organismul care acceptă riscul, furnizorul care trebuie să execute acțiunea și calea pentru contestarea rezultatului. Guvernanța nu este un morman de întrebări. Este un set de decizii cu o direcție clară.

Un experiment de gândire despre o arhivă europeană

Următorul este un scenariu ipotetic etichetat, nu un raport despre un client sau un incident real. Imaginați-vă o arhivă municipală care selectează un serviciu găzduit pentru înregistrările digitalizate de planificare. Tenderul cere stocare primară în Uniunea Europeană și solicită criptare, backup și un serviciu de asistență. Trei furnizori îndeplinesc cerințele. Unul este înregistrat local, dar se bazează pe un subcontractant de asistență din afara Uniunii. Unul păstrează stocarea și asistența în Uniune, dar folosește platforma de identitate a companiei-mamă. Unul are o operațiune locală mai mică, o custodie clară a cheilor și un export testat, dar are nevoie de un nivel de serviciu atent dimensionat, deoarece nu poate oferi fiecare funcție opțională.

Primul furnizor poate fi totuși acceptabil. Al doilea poate fi totuși acceptabil. Al treilea poate fi totuși nepotrivit pentru o anumită cerință de disponibilitate. Scopul experimentului de gândire este că rezidența singură nu poate alege între ei. Arhiva trebuie să întrebe ce acces de asistență este posibil, cine poate face o copie, ce entități legale pot primi o comandă, cum sunt guvernate cheile, ce arată jurnalele și dacă înregistrările pot fi recuperate în altă parte.

Presupunem că arhiva decide că stocarea locală este cea mai importantă condiție a sa. Poate înscrie această cerință în contract. Ar trebui, de asemenea, să definească obiectele acoperite de condiție, să ceară notificarea oricărei modificări și să stabilească modul în care ar fi detectată o încălcare. Presupunem că decide că asistența de la distanță este permisă doar pentru un incident documentat. Serviciul are nevoie de o cale de aprobare, de acreditări limitate în timp și de o evidență care poate fi verificată. Presupunem că decide că arhiva trebuie să poată pleca. Ieșirea ar trebui testată înainte ca serviciul să devină singurul loc în care cineva știe să citească înregistrările.

Nimic din acest scenariu ipotetic nu obligă arhiva să opereze un centru de date. O obligă să înțeleagă puterile pe care le deleagă. Aceasta este diferența dintre externalizarea responsabilă și o achiziție care mută riscul într-o încăpere în care cumpărătorul nu poate intra.

Ce poate însemna onest „suveran” în Europa

Suveranitatea europeană în infrastructura digitală ar trebui descrisă în termeni care pot rezista unei întrebări incomode. Poate însemna că o instituție europeană își păstrează autoritatea asupra deciziilor critice. Poate însemna că dependențele-cheie sunt vizibile, limitate și recuperabile. Poate însemna că drepturile legale sunt susținute de capacitate tehnică. Poate însemna că un cumpărător public poate schimba, contesta, inspecta și continua operarea atunci când un furnizor sau o lege modifică calea disponibilă.

Nu ar trebui să însemne că un serviciu este automat sigur pentru că adresa sa de marketing este europeană. Nici nu ar trebui să însemne că orice conexiune străină este interzisă. Europa depinde de sisteme transfrontaliere, iar o regulă care pretinde contrariul va fi ignorată sau ocolită discret. Poziția matură este mai exigentă: permiteți dependențele care servesc misiunea, documentați-le, reduceți-le pe cele care poartă o putere inacceptabilă și păstrați o ieșire pentru cele care nu pot fi făcute demne de încredere.

Această poziție oferă și furnizorilor europeni un test mai echitabil. Un furnizor local nu ar trebui să facă un spectacol patriotic pentru a fi luat în serios. Ar trebui să poată arăta ce operează, ce deleagă, cine are acces, ce lege se poate aplica, cum sunt protejate datele și cum poate pleca un client. Un furnizor global ar trebui să răspundă la aceleași întrebări. Standardul este dovada controlului, nu teatrul originii.

Cuvântul „suveranitate” devine util atunci când schimbă comportamentul de cumpărare. Un minister poate folosi achizițiile pentru a recompensa o cale de ieșire testată. Un spital poate cere aranjamente-cheie care corespund obligațiilor sale clinice. O universitate poate face vizibilă proveniența datelor de cercetare. Un regulator poate cere starea unui sistem la momentul unei decizii. Un furnizor își poate proiecta serviciul astfel încât autoritatea clientului să nu fie un paragraf decorativ. Acestea sunt acțiuni instituționale, nu un concurs de lozinci.

O scurtă notă din partea noastră

La Dweve, analiza noastră publică The Sovereignty Illusion: where control really sits, publicată pe 29 iunie 2026, folosește o disciplină similară. Separă proprietatea, tehnologia, capitalul, infrastructura și expunerea legală, în loc să permită unei etichete europene să le reprezinte pe toate cinci. Acest articol este mai restrâns. Urmărește afirmația despre centrul de date până la straturile operaționale și legale pe care un cumpărător trebuie să le guverneze.

Așa preferăm să ne descriem și propria activitate. Un sistem ar trebui să își facă limitele lizibile: ce este local, ce este delegat, ce este înregistrat, ce poate fi contestat și ce poate fi schimbat. Afirmația utilă este cea pe care un cititor o poate verifica. Restul este decor, iar Europa are deja din belșug infrastructură decorativă.

Argumentul juridic începe după adresă

Locația unui centru de date merită cunoscută. Poate afecta accesul fizic, reziliența, conectivitatea, regulile locale aplicabile și proiectarea unui serviciu. Poate fi prima întrebare corectă. Este un răspuns final slab.

Răspunsul final trebuie să lege locul de autoritate. Trebuie să numească operatorul, identitățile, cheile, subcontractorii, instrumentele juridice, cererile posibile, probele și ieșirea. Pentru datele personale, nivelul european de protecție trebuie să rămână în esență echivalent atunci când datele sunt transferate, iar exportatorii trebuie să evalueze circumstanțele, nu să repete o afirmație despre locație. Pentru datele nepersonale, Data Act adaugă reguli privind accesul străin și schimbarea furnizorului de cloud, ceea ce face din nou controlul și portabilitatea ceva concret.

Nu există un singur număr european care să transforme un serviciu complicat într-unul suveran. Există o succesiune de întrebări, teste și înregistrări. Această succesiune este mai lentă decât tipărirea „găzduit în UE” pe o broșură. Este și partea care rămâne utilă după ce broșura a devenit depășită.

Când un cumpărător întreabă unde sunt datele, răspundeți precis la locație. Apoi întrebați cine le poate citi, cine poate acționa asupra lor, cine poate fi obligat, cine poate dovedi ce s-a întâmplat și cine poate pleca. Un centru de date european poate face parte dintr-o aranjare demnă de încredere. Nu poate fi singur argumentul juridic.

Surse

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Comitetul European pentru Protecția Datelor, versiunea finală din 18 iunie 2021. Pagina legată include PDF-ul oficial.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Curtea de Justiție a Uniunii Europene, hotărârea din 16 iulie 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Parlamentul European și Consiliul, 13 decembrie 2023, EUR-Lex.
• Data Act explained, Comisia Europeană, publicat în 2025 și accesat la 5 august 2026.
• Cloud Computing Risk Assessment și raportul oficial PDF, Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29 iunie 2026.