Dátové centrum nie je právny argument

Dátové centrum nie je právny argument

Adresa na brožúre

V cloudových tendroch sa s istotou hotového argumentu objavuje veta: údaje budú uložené v európskom dátovom centre. Táto veta môže byť pravdivá. Môže však tiež vykonávať oveľa viac práce, než dokáže uniesť.

Dátové centrum má polohu. Táto poloha je dôležitá pre fyzickú bezpečnosť, odolnosť, energiu, konektivitu, vnútroštátne pravidlá a praktický dosah miestneho orgánu. Kupujúcemu hovorí niečo užitočné o tom, kde stojí určité zariadenie. Sama o sebe však kupujúcemu nepovie, kto vlastní službu, kto prevádzkuje zariadenie, kde sa vytvárajú kópie, kto drží kľúče, ktorí ľudia ju môžu spravovať, ktorým spoločnostiam je dovolené outsourcovať časti práce, ani ktorý právny systém môže prinútiť stranu, aby poskytla prístup.

Tento rozdiel sa ľahko formuluje a prekvapivo ľahko stráca. PSČ je viditeľné. Kontrola je rozptýlená. PSČ sa úhľadne zmestí do tabuľky obstarávania; kontrola prichádza ako reťazec zmlúv, identít, účtov podpory, riadiacich rovín, šifrovacích kľúčov, firemných vzťahov, operačných postupov a právnych povinností. Prvé je faktom o mieste. Druhé je otázkou moci.

Európske právo ochrany údajov tento bod formuluje čoraz presnejším jazykom. V rozsudku Schrems II zo 16. júla 2020 Súdny dvor Európskej únie skúmal, ako môžu osobné údaje opustiť Európsky hospodársky priestor pri zachovaní úrovne ochrany v podstate rovnocennej s úrovňou zaručenou v rámci neho. Súd potvrdil štandardné zmluvné doložky ako možný nástroj prenosu, ale objasnil, že nepôsobia vo vákuu. Vývozca musí preskúmať právo a prax cieľovej krajiny za okolností prenosu a konať, keď záruky nemôžu v praxi fungovať.

Rozsudok nepovedal, že hranica je irelevantná. Povedal, že hranica je jednou časťou otázky. Následné odporúčania Európskeho výboru pre ochranu údajov premieňajú tento princíp na metódu: poznať prenosy, identifikovať právny nástroj, posúdiť právo a prax, ktoré ho môžu ovplyvniť, pridať opatrenia tam, kde môžu fungovať, dokončiť požadovaný postup a priebežne prehodnocovať posúdenie. Adresa servera sa v tejto mape objavuje. Nie je mapou.

Toto presahuje rámec osobných údajov. Akt o údajoch zaobchádza s cloudovými a inými službami spracovania údajov ako s infraštruktúrou, medzi ktorou by zákazníci mali byť schopní prepínať. Rieši aj podmienky, za ktorých orgán tretej krajiny žiada o prístup k neosobným údajom uchovávaným v Únii. Aj tu je právna odpoveď postavená na aktéroch, účeloch, zárukách, dôkazoch a prostriedkoch nápravy. Budova je v tom zapojená. Budova však nestačí.

Praktické ponaučenie pre európsku inštitúciu je preto priamočiare. Pýtajte sa, kde sú údaje. Potom sa pýtajte ďalej, až kým odpoveď nezahŕňa, kto ich môže čítať, kto ich môže meniť, kto ich môže zastaviť, kto ich môže exportovať, kto môže byť prinútený ich sprístupniť a aké dôkazy zostanú, keď sa strany nezhodnú. Ak sa odpoveď končí pri dverách dátového centra, užitočná časť vyšetrovania sa len začala.

Rezidencia sa týka miesta

Rezidencia údajov je vyhlásenie o tom, kde sa údaje ukladajú alebo spracúvajú na základe vymedzenej dohody. Definícia potrebuje rozsah. Je to primárna kópia, záloha, index, vyrovnávacia pamäť, telemetria, lokalita obnovy po havárii alebo všetky z nich? Zahŕňa spracovanie aj to, keď správca zobrazí záznam z inej krajiny? Počíta sa relácia podpory? Čo sa stane, keď tím incidentu potrebuje skopírovať diagnostickú stopu? Sľub o rezidencii, ktorý nehovorí, čo pokrýva, je atraktívny štítok pripevnený k nedokončenej vete.

Cloudové systémy sú navrhnuté tak, aby presúvali prácu. Replikácia môže zlepšiť dostupnosť. Druhá lokalita môže udržať službu nažive, keď je prvá lokalita nedostupná. Okrajová lokalita môže znížiť latenciu. Bezpečnostný tím môže smerovať log do centrálneho analytického systému. Toto sú bežné technické rozhodnutia, nie dôkaz pochybenia. Znamenajú však, že fráza „uložené v Európe“ potrebuje technický objekt. Ktoré údaje, v akom stave, na aké obdobie, pri akej operácii?

Hodnotenie cloudových rizík agentúry ENISA, prvýkrát publikované v roku 2009, zostáva užitočné práve preto, že odmietalo považovať geografiu za úplnú kontrolu. Identifikuje riziká vyplývajúce z ukladania vo viacerých jurisdikciách, nedostatočných informácií o jurisdikciách, straty riadenia, subdodávok a zmien v kontrole poskytovateľa. Dokument je dosť starý na to, aby mal záľubu v skratkách, ktoré moderné tímy nemusia zdieľať, no organizačný problém nezmizol. Ak zákazník nevidí, kde sa údaje spracúvajú alebo kto je zodpovedný za ďalšie odovzdanie, nemôže urobiť spoľahlivé rozhodnutie o riziku.

Rezidencia môže byť oprávnenou požiadavkou. Verejný archív môže potrebovať, aby záznamy zostali v rámci vymedzenej právnej oblasti. Zdravotnícka služba môže potrebovať dohodu o spracúvaní, ktorá obmedzuje, kam môžu citlivé údaje cestovať. Výskumné konzorcium môže mať povinnosti vyplývajúce z poskytovateľa financií alebo z dohody o zdieľaní údajov. Tieto požiadavky by mali byť napísané ako prevádzkové podmienky s metódou ich kontroly, nie ako jediný názov krajiny, ktorý si každý môže vykladať benevolentne.

Existuje tiež rozdiel medzi obmedzením a zárukou. Požadovať od poskytovateľa, aby uchovával primárne úložisko v Európskej únii, obmedzuje jednu triedu pohybu. Nezaručuje, že žiadna osoba mimo Únie nemôže získať prístup k záznamu, že žiadne metadáta neodchádzajú, ani že žiadna zahraničná právna povinnosť nemôže dosiahnuť poskytovateľa. Obmedzenie môže byť užitočné bez toho, aby bolo zárukou. Zamieňanie týchto dvoch vecí vytvára príbeh o zhode, ktorý prejde prehliadkou serverovne, ale zlyhá pri bližšom pohľade na riadiacu rovinu.

Užitočná otázka rezidencie nie je jednoducho „kde to je?“ Je to „ktoré lokality sú možné pre každý stav týchto údajov a kto môže tento stav zmeniť?“ Poskytovateľ by mal vedieť vysvetliť odpoveď spôsobom, ktorý môže inžinier implementovať a kupujúci overiť. Ak vysvetlenie závisí od nedokumentovanej výnimky, zvyku podpory alebo sľubu, že sa subdodávatelia poskytovateľa budú pravdepodobne správať správne, tvrdenie o rezidencii ešte nie je operačné.

Päť otázok ukrytých v slove kde

Keď sa ľudia pýtajú, kde sú ich údaje, často tým myslia niekoľko rôznych vecí naraz. Oddelenie týchto otázok robí rokovanie o nákupe menej divadelným a užitočnejším.

1. Kde sú bity? Toto je otázka fyzického a logického ukladania. Zahŕňa primárne údaje, repliky, zálohy, vyrovnávacie pamäte, indexy a príslušné protokoly. Uspokojivá odpoveď pomenúva rozsah a podmienky, za ktorých sa odpoveď mení.

2. Kde prebieha spracúvanie? Záznam môže byť uložený v jednej jurisdikcii a transformovaný, vyhľadávaný, klasifikovaný, šifrovaný alebo dešifrovaný niekde inde. Spracúvanie môže byť naplánovaná úloha, podporná činnosť, monitorovací kanál alebo dočasná kópia vytvorená počas obnovy.

3. Kto k nemu môže získať prístup? Toto je otázka identity a prevádzky. Zahŕňa zamestnancov, administrátorov, dodávateľov, servisné účty, pracovníkov reakcie na incidenty a automatizované systémy. Človek nemusí sedieť vedľa servera, aby k nemu mal skutočný prístup.

4. Kto môže takýto prístup vynútiť? Toto je otázka jurisdikcie a právnej autority. Sleduje príslušné organizácie a ľudí, úlohy, ktoré zastávajú, zmluvy, ktoré podpisujú, a právne povinnosti, ktoré ich môžu zaväzovať. Neodpovedá na ňu len bod na mape.

5. Čo môže zákazník urobiť, keď sa odpoveď zmení? Toto je otázka kontroly a odchodu. Môže zákazník obmedziť prístup, rotovať kľúče, získať dôveryhodný záznam, obnoviť službu, presunúť údaje a ukončiť vzťah bez toho, aby stratil to, čo sa snažil chrániť?

Tieto otázky sa prekrývajú, ale nie sú zameniteľné. Poskytovateľ môže presvedčivo odpovedať na prvú a slabo na tretiu. Zmluva môže odpovedať na piatu na papieri, zatiaľ čo technický tím nikdy nevykonal odchod. Miestna dcérska spoločnosť môže odpovedať na otázku firemnej identity, zatiaľ čo služba závisí od infraštruktúry alebo podpornej organizácie materskej spoločnosti. Správnou reakciou nie je vybrať si najupokojujúcejšiu odpoveď. Je ňou zachovať celý súbor.

To je tiež dôvod, prečo sa hodnotenia suverenity môžu zamotať. Slovo má pokrývať fyzické umiestnenie, právnu nezávislosť, prevádzkovú spôsobilosť, ekonomické vlastníctvo, strategickú autonómiu a schopnosť odísť. Sú to súvisiace ambície. Nie sú jednou vlastnosťou. Precízna inštitúcia povie, ktorú vlastnosť potrebuje a aký dôkaz by preukázal, že existuje.

Jurisdikcia nasleduje autoritu

Jurisdikcia nie je mystický oblak obklopujúci krajinu. Je to spôsob opisu toho, ktoré právne autority môžu regulovať, nariaďovať, vyšetrovať, preskúmavať alebo naprávať konanie príslušných aktérov. V distribuovanej službe záleží na aktéroch rovnako ako na miestach. Spoločnosť môže byť zapísaná v jednom členskom štáte, prevádzkovať zariadenia v druhom, využívať podporný tím v treťom a závisieť od materskej spoločnosti alebo subdodávateľa, ktorý má povinnosti inde. Zákazník, ktorý sa snaží pochopiť právny dosah, musí sledovať reťazec autority, nie zastaviť pri najbližšej budove.

To neznamená, že každé zahraničné prepojenie poráža európsku kontrolu. Európske služby sú zámerne vzájomne prepojené. Cezhraničný obchod, výskum, podpora, financovanie a infraštruktúra sú bežné. Otázkou je, či inštitúcia vie, ktoré prepojenie nesie ktorú právomoc. Európsky prevádzkovateľ môže odmietnuť bežnú žiadosť, ale nemusí mať právomoc odolať záväznému pokynu inej organizácie. Subdodávateľ môže držať poverenie, ktoré hlavná spoločnosť nezahrnula do vlastného inventára prístupov. Podporný proces môže umožniť vzdialený prístup, aj keď zmluva o ukladaní sľubuje lokálny región.

Právna analýza závisí aj od druhu údajov a druhu žiadosti. Osobné údaje prinášajú do hry pravidlá GDPR o prenose a rámec základných práv. Neosobné údaje nie sú právnym vákuom. Akt o údajoch obsahuje záruky pre určité žiadosti orgánov verejnej moci z tretích krajín o neosobné údaje uchovávané v Únii. Žiadosť sa musí posúdiť podľa podmienok nariadenia, vrátane povahy žiadosti a ochrán dostupných v právnom systéme tretej krajiny. Tieto dva režimy sú odlišné a práve tento rozdiel je dôvodom, prečo by ich kupujúci nemal stláčať do slova rezidencia.

Rozsudok Súdneho dvora EÚ vo veci C-311/18 poskytuje užitočný európsky právny vzor. Súd sa nepýtal, či zmluva vyzerá dostatočne formálne. Pýtal sa, či by ochrana zaručená európskym právom zostala v okolnostiach prenosu v podstate rovnocenná, s prihliadnutím na právo a prax, ktoré by mohli ovplyvniť údaje. Štandardné zmluvné doložky môžu zaväzovať strany, ktoré ich podpíšu. Nezaväzujú orgán verejnej moci, ktorý nie je zmluvnou stranou. Ak právne prostredie narúša sľúbené záruky, vývozca musí reagovať.

Táto logika je širšia ako konkrétny spor. Zmluva je nástrojom súkromného rozdelenia. Jurisdikcia je oblasťou, v ktorej môže konať verejná moc. Zmluva môže dodávateľovi povedať, čo sľúbil zákazníkovi. Sama osebe však nemôže odstrániť verejnú právomoc, ktorá zaväzuje dodávateľa alebo jeho ľudí. Dobrá správa vecí verejných berie obe tvrdenia vážne. Využíva zmluvy na stanovenie povinností a technické opatrenia na to, aby boli tieto povinnosti pozorovateľné, pričom uznáva, že právny dosah môže stále meniť dostupné možnosti.

Je lákavé premeniť to na pátranie po jedinej nebezpečnej krajine. To je menej užitočné ako zmapovanie skutočných orgánov. Ktorý subjekt je prevádzkovateľ alebo sprostredkovateľ? Ktorý subjekt zamestnáva administrátora? Ktorý subjekt drží šifrovacie kľúče? Ktorý subjekt môže vytvoriť kópiu? Ktorý subjekt prijíma žiadosť o podporu? Ktorý orgán by mohol vydať príkaz? Aký opravný prostriedok by mal zákazník a na ktorom fóre? Mapa môže byť upokojujúca. Nemusí byť. Každý výsledok je cennejší ako nálepka s krajinou.

Vlastníctvo je titul, nie kľúč

Vlastníctvo má skutočnú právnu a ekonomickú silu. Môže určiť, kto môže predať majetok, vymenovať riaditeľov, poskytnúť licenciu na duševné vlastníctvo, prijímať príjmy alebo robiť určité rozhodnutia. Vo verejnom orgáne môže byť spojené so zákonnou zodpovednosťou za záznamy alebo infraštruktúru. V podnikovej skupine môže vysvetliť, kto môže hlasovať, fúzovať, financovať alebo vymeniť poskytovateľa. Vlastníctvo patrí do hodnotenia suverenity.

Vlastníctvo automaticky neposkytuje prevádzkovú kontrolu. Zákazník môže vlastniť údaje, zatiaľ čo dodávateľ prevádzkuje databázu, spravuje záložný systém a kontroluje servisný účet. Verejná inštitúcia môže vlastniť budovu, zatiaľ čo dodávateľ drží poverenia na údržbu a jediný overený spôsob obnovy zariadenia. Spoločnosť môže vlastniť zdrojový kód, zatiaľ čo tretia strana kontroluje podpisový kľúč, zostavovací nástroj, registratúru balíkov a identitu nasadenia. Titul je skutočný. Rovnako skutočná je aj závislosť.

Rozdiel sa prejavuje v slovesách. Vlastníctvo je podstatné meno v zmluve. Kontrola je schopnosť kontrolovať, prevádzkovať, meniť, zastaviť, obnoviť, exportovať, vymazať a dokázať. Proces obstarávania, ktorý zaznamenáva iba podstatné mená, môže nechať dôležité slovesá nepriradené. Môže mať určeného vlastníka platformy a stále nemusí mať určenú osobu, ktorá môže otočiť kľúč, odstrániť privilegovaný účet alebo obnoviť dáta zo zálohy bez toho, aby sa musela pýtať organizácie, ktorá nie je v miestnosti.

Neexistuje žiadna cnosť v požadovaní maximálneho vlastníctva. Nemocnica, univerzita alebo obec môžu postrádať personál a bezpečnostné kapacity na bezpečné prevádzkovanie každej vrstvy. Delegovanie úlohy môže byť zodpovedné, keď sú hranice jasné a zákazník si zachováva schopnosť dohliadať, testovať a obnovovať. Nejde o to umiestniť každý server do verejnej pivnice. Ide o to rozhodnúť, ktoré právomoci sú nevyhnutné pre poslanie, a udržať si ich dostatočne blízko, aby sa dali spravovať.

Toto rozhodnutie si vyžaduje dôkazy. „Zákazník vlastní dáta“ by malo viesť k otázkam o formáte exportu, správe kľúčov, uchovávaní, mazaní, prístupových protokoloch a povoleniach podpory. „Poskytovateľ je európsky“ by malo viesť k otázkam o firemnej kontrole, subdodávateľoch, infraštruktúre, právnych rizikách a kontinuite. „Dáta sú v Únii“ by malo viesť k otázkam o vzdialenej správe, replikách, miestach spracovania a právnych žiadostiach. Dobrá odpoveď môže byť zložitá. Zložitosť nie je chyba, keď je systém zložitý.

Prevádzková kontrola je právo konať

Prevádzkovú kontrolu najľahšie pochopíme cez činnosť, nie cez prídavné meno. Predstavte si zákazníka, ktorý potrebuje odvolať správcu. Kto môže vykonať odvolanie? Ktorý identifikačný systém ho autorizuje? Musí poskytovateľ vykonať zmenu, alebo to môže zákazník urobiť priamo? Vzťahuje sa táto činnosť na podporné účty, núdzové účty a neaktívne poverenia? Existuje záznam, ktorý dokazuje, kedy povolenie zmizlo? Ak činnosť závisí od helpdesku, helpdesk je súčasťou riadiacej roviny.

Rovnaký test platí pre kľúče. Šifrovanie môže znížiť riziko, ale jeho správa závisí od toho, kto kľúče vytvára, ukladá, rotuje, obnovuje a kto ich môže používať. Lokálne uložený záznam môže zostať nečitateľný pre stranu, ktorá nemôže získať kľúč. Môže sa tiež stať nedostupným pre zákazníka, keď jediná cesta obnovy vedie cez dodávateľa. Správa kľúčov preto nie je ani sloganom suverenity, ani magickou gumou na jurisdikciu. Je to konkrétna kontrola, ktorá musí byť pridelená a precvičená.

Protokoly si zaslúžia rovnaké zaobchádzanie. Dashboard môže ukazovať aktivitu. Dôkazy si vyžadujú záznam, ktorý si zákazník môže uchovať, interpretovať a spochybniť. Kto zapisuje protokol? Môže ho správca zmeniť? Je zdroj času dôveryhodný? Zahŕňa prístup podpory a automatizované spracovanie? Môže zákazník získať použiteľný export bez povolenia poskytovateľa? Čo sa stane, keď sa účet zatvorí? Protokol, ktorý zmizne spolu so službou, je užitočný pre prevádzku, ale slabý pre zodpovednosť.

Obnova je najťažším testom prevádzkovej kontroly, pretože odhaľuje každú závislosť. Poskytovateľ môže sľubovať zálohovanie, ale obnova môže vyžadovať konkrétny región, nedostupnú licenciu, inžiniera, ktorý tam už nepracuje, alebo tajomstvo uložené v samostatnom systéme. Zákazník môže vlastniť záložný súbor a napriek tomu nemusí mať schopnosť premeniť ho na fungujúcu službu. Obnova by sa mala testovať ako celá činnosť, s zaznamenaným výsledkom a medzerami pridelenými ľuďom, ktorí ich môžu uzavrieť.

Zastavenie služby je tiež kontrola. Inštitúcia môže potrebovať pozastaviť integráciu, izolovať dátovú sadu, pozastaviť automatizované spracovanie alebo zabrániť vytvoreniu novej repliky. Ak zastavenie môže vykonať iba dodávateľ, identita dodávateľa, právne povinnosti, reakčný čas a proces podpory sa stávajú súčasťou rizika inštitúcie. To môže byť prijateľné usporiadanie. Nie je to neviditeľné.

Zmyslom týchto testov nie je nedôverovať každému dodávateľovi. Je to nahradiť dôveru vzťahom, ktorý možno preskúmať. Dodávateľ s jasnou odpoveďou vie vysvetliť, ktoré činnosti vykonáva on, ktoré vykonáva zákazník a ktoré si vyžadujú spoluprácu. Dodávateľ, ktorý sa spolieha na jednu upokojujúcu vetu, ešte neodpovedal na prevádzkovú otázku.

Subdodávatelia menia jednu odpoveď na reťaz

Služba málokedy znamená, že jedna organizácia robí jednu vec na jednom mieste. Poskytovatelia cloudu využívajú špecializovanú infraštruktúru, partnerskú podporu, monitorovacie služby, bezpečnostné operácie, údržbu hardvéru, sieťových operátorov a ďalších dodávateľov. Niektorí sú viditeľní v zmluve. Iní sa objavia v zozname spracovateľov, v opise služby, v oznámení o incidente alebo v pracovnom postupe podpory. Tento reťazec je bežný. Povinnosť porozumieť mu je rovnako bežná.

Hodnotenie rizík agentúry ENISA poukazuje na známe zlyhanie: poskytovateľ cloudu môže zveriť služby tretej strane, ktorá neponúka rovnaké záruky, pričom zmena kontroly môže zmeniť podmienky poskytovateľa. Správa nie je špecifikáciou modernej architektúry a ani ňou byť nemusí. Jej trvalé varovanie sa týka organizácie. Zákazník nemôže tvrdiť, že službe rozumie, ak posúdil iba prvú spoločnosť uvedenú na faktúre.

Odporúčania výboru EDPB sú konkrétnejšie, pokiaľ ide o osobné údaje. Prvým krokom je poznať prenosy vrátane ďalších prenosov spracovateľom a subdodávateľom. Diaľkový prístup z tretej krajiny môže sám osebe predstavovať prenos, aj keď záznam zostáva v dátovom centre v EHP. Dohoda o podpore je preto súčasťou mapy prenosov údajov, nie poznámkou pod čiarou, ktorou sa možno zaoberať až po nasadení.

Viditeľnosť subdodávateľov nie je to isté ako kontrola nad nimi. Zoznam zákazníkovi povie, kto je zapojený. Kontrola sa pýta, čo môže každá strana robiť, aké údaje môže vidieť, aký právny nástroj pokrýva danú činnosť, ako sa oznamuje zmena a aký opravný prostriedok existuje, keď strana prestane spĺňať podmienky. Reťazec by mal mať hranice a dôkazy pri každom odovzdaní.

Existuje praktický dôvod brániť sa nejasným reťazcom. Keď dôjde k incidentu, zodpovednosť často putuje opačným smerom ako údaje. Zákazník sa pýta poskytovateľa. Poskytovateľ sa pýta platformového tímu. Platformový tím sa pýta špecializovaného dodávateľa. Špecializovaný dodávateľ sa pýta správcu v inej organizácii. Každé odovzdanie môže priniesť oneskorenie, neistotu a príležitosť, aby pôvodný záznam stratil kontext. Mapa kontroly by mala ukázať cestu ešte pred incidentom, kým ľudia, ktorých sa to týka, majú ešte čas byť presní.

Osobné údaje: ochrana putuje so záznamom

GDPR nechráni osobné údaje tým, že ich umiestni za európske dvere. Jeho pravidlá prenosu sú navrhnuté tak, aby sa zachovala vysoká úroveň ochrany, keď sa údaje presúvajú do tretej krajiny. EDPB opisuje tento princíp jasne: v podstate rovnocenná úroveň ochrany by mala sprevádzať údaje bez ohľadu na to, kam smerujú, počas prenosu aj po ňom.

To neznamená, že každý prenos je zakázaný. GDPR obsahuje rôzne nástroje a podmienky prenosu, vrátane rozhodnutí o primeranosti a záruk podľa článku 46. Právna otázka znie, či zvolený nástroj funguje za daných okolností. Odporúčania EDPB hovoria vývozcom, aby posúdili právo a prax relevantné pre konkrétny prenos, zvážili, či dovozca alebo údaje môžu spadať pod problematické pravidlá, a zdokumentovali svoje odôvodnenie. Ak žiadne doplnkové opatrenie nedokáže obnoviť požadovanú úroveň ochrany, prenosu sa treba vyhnúť, pozastaviť ho alebo ukončiť.

Tri detaily sa v diskusii o rezidencii dajú ľahko prehliadnuť. Po prvé, dôležitý je ďalší prenos. Poskytovateľ môže uchovávať primárny záznam v EHP a posielať kópiu podpornému alebo analytickému servisu inde. Po druhé, dôležitý je prístup. Správca v tretej krajine môže byť schopný prečítať záznam bez toho, aby sa záznam fyzicky presunul na stôl tejto osoby. Po tretie, dôležitá je zodpovednosť. Vývozca musí byť schopný preukázať posúdenie a vrátiť sa k nemu, keď sa zmení služba, právo, ľudia alebo okolnosti.

Rámec preto žiada zákazníka, aby pochopil technickú cestu aj právny kontext. Diagram regiónov a šípok je užitočný. Nemôže nahradiť posúdenie prenosu. Rovnako nemôže zmluvný sľub, že poskytovateľ bude dodržiavať pravidlá, ak zákazník nekontroloval, čo dokážu príslušné záruky dosiahnuť voči zákonom a praktikám, ktoré sa môžu na poskytovateľa vzťahovať.

Európske právo ochrany údajov má zdravý odpor voči magickým slovám. „Hosting v EÚ“ môže opisovať užitočný fakt. „V súlade s predpismi“ môže opisovať záver, ktorý si vyžaduje odôvodnenie. „Suverénny“ môže opisovať politický cieľ. Žiadne z týchto slov by nemalo zastupovať dôkazy o tom, že údaje sú chránené, prístup je riadený a rozhodnutie je obhájiteľné.

Neosobné údaje: iný režim, rovnaká disciplína

Nariadenie o údajoch sa zaoberá širším súborom vzťahov s údajmi a zahŕňa pravidlá pre služby spracovania údajov, ako sú cloudové a edge služby. Nie je náhradou za GDPR a nepremieňa každé cloudové rozhodnutie na posúdenie prenosu z hľadiska ochrany údajov. Poskytuje však druhú európsku pripomienku, že umiestnenie, prístup, zmena poskytovateľa a právomoc sa musia zvažovať spoločne.

Pre neosobné údaje uchovávané v Únii Komisia vo vysvetlení nariadenia o údajoch opisuje záruky pre určité žiadosti alebo rozhodnutia orgánu verejnej moci tretej krajiny. Ak prístup neupravuje žiadna platná medzinárodná dohoda, nariadenie stanovuje podmienky zamerané na ochranu európskych záujmov, vrátane pozornosti venovanej právnemu systému tretej krajiny a proporcionalite žiadosti. Poskytovatelia majú prijať primerané opatrenia, ako je šifrovanie, audity alebo certifikačné mechanizmy, aby zabránili neoprávnenému prístupu a informovali zákazníkov, kde je to možné.

Na formuláciách záleží. Nariadenie o údajoch netvrdí, že Únia dokáže spôsobiť zánik cudzích právnych systémov. Vytvára rámec na posudzovanie a obmedzovanie určitých ciest prístupu. Poskytovateľ stále musí vedieť, aké systémy prevádzkuje, aké údaje uchováva, kto môže reagovať na žiadosť a aké dôkazy možno poskytnúť zákazníkovi. Zákazník stále musí pochopiť, ktoré časti údajov sú osobné, ktoré nie sú, a ktoré ďalšie právne režimy sa uplatňujú.

Zákon pristupuje ku kontrole aj prostredníctvom prepínania. Zákazníci by mali mať možnosť prechádzať medzi službami spracovania údajov, používať služby paralelne a prenášať exportovateľné údaje a digitálne aktíva. Poskytovatelia musia poskytnúť informácie o formátoch exportu, rozhraniach, známych obmedzeniach a čase potrebnom na proces. Pravidlá týkajúce sa funkčnej rovnocennosti uznávajú praktickú pravdu: súbor, ktorý sa dá stiahnuť, nemusí byť nevyhnutne služba, ktorú možno obnoviť.

Prepínanie sa často opisuje ako opatrenie na podporu hospodárskej súťaže, a aj ním je. Je však aj opatrením suverenity v operačnom zmysle. Inštitúcia, ktorá môže odísť, má väčší priestor odmietnuť zmenu, ktorú nemôže akceptovať. Inštitúcia, ktorá odísť nemôže, môže vlastniť zmluvu a napriek tomu byť riadená predvolenými nastaveniami poskytovateľa. Právny nárok na prepnutie je dôležitým začiatkom. Nacvičená migrácia, ktorá zachová údaje, konfiguráciu a dôkazy, je časťou, ktorá robí tento nárok použiteľným.

Zmluvy, kľúče a hranice upokojenia

Zmluvy zostávajú nevyhnutné. Prideľujú povinnosti, stanovujú pravidlá oznamovania, identifikujú spracovateľov, definujú povolené spracovanie, opisujú výmaz a uchovávanie, vytvárajú práva na audit a zabezpečujú pomoc počas prechodu. Ustanovenia zákona o údajoch týkajúce sa prepínania cloudových služieb posilňujú potrebu jasných zmluvných podmienok, exportovateľných údajov a informácií o mechanike odchodu. Staršie usmernenia ENISA takisto odporúčajú venovať pozornosť prenosom údajov, zmene kontroly, prístupu orgánov presadzovania práva, oznámeniam o narušení a zodpovednosti pri hodnotení cloudových zmlúv.

Zmluva nie je kontrolou v reálnom čase. Klauzula, podľa ktorej zákazník môže exportovať, je slabšia ako export vykonaný na reprezentatívnom súbore údajov a obnovený v druhom prostredí. Klauzula, podľa ktorej poskytovateľ vymaže údaje, je slabšia ako auditovateľný proces výmazu, ktorý zahŕňa repliky, vyrovnávacie pamäte, zálohy a odvodené záznamy. Klauzula udeľujúca právo na audit je slabšia ako protokoly a dôkazy, ktoré zákazník skutočne môže získať. Papier má význam. Papier, ktorý sa nikdy nestretne s fungujúcim systémom, je zdvorilo formulovaný optimizmus.

Kľúče poskytujú podobné ponaučenie. Šifrovanie riadené zákazníkom môže znížiť to, čo môže poskytovateľ alebo neoprávnená strana prečítať. Neodpovedá však na otázku, kto môže prinútiť osobu, ktorá drží záchranný kľúč, kto kontroluje hardvérový bezpečnostný modul, kto môže zmeniť politiku kľúčov alebo čo sa stane, keď zákazník stratí svoje vlastné poverenie. Správny návrh môže využívať rozdelenú právomoc, nezávislé úschovu, starostlivo vymedzený prístup a testovanú obnovu. Nesprávny návrh môže umiestniť rozhodujúci kľúč do inej jurisdikcie a označiť toto usporiadanie za lokálne, pretože databáza je lokálna.

Právne a technické opatrenia by sa mali navrhovať spoločne. Ak zmluva vyžaduje, aby zákazník schvaľoval prístup podpory, služba by mala mať proces schvaľovania, ktorý zanechá záznam. Ak zákazník potrebuje zabrániť ďalším prenosom, poskytovateľ by mal sprístupniť trasu a presadzovať hranicu. Ak sa musí vyhodnotiť žiadosť orgánu verejnej moci, proces riešenia incidentov by mal zachovať žiadosť, právnu analýzu, rozhodnutie, oznámenie a odpoveď. Právny sľub sa stáva dôveryhodným, keď systém môže ukázať, ako sa plní.

Rovnaký princíp sa vzťahuje na zmeny vlastníctva. Akvizícia dodávateľa, nová materská spoločnosť, zmena subdodávateľa alebo zmena prevádzkového regiónu služby môžu zmeniť mapu kontroly bez toho, aby sa zmenila značka viditeľná pre zákazníka. Zmluvy by mali vyžadovať oznámenie a nápravné opatrenia. Technické inventáre by sa mali aktualizovať. Register zmien by mal ukazovať, ktoré právomoci sa presunuli. Riadenie, ktoré existuje iba pri prvotnom podpise, má krátku životnosť.

Mapa kontroly kupujúceho

Verejný alebo súkromný kupujúci nepotrebuje magický dotazník. Potrebuje mapu, ktorá spája tvrdenia s dôkazmi. Nasledujúce otázky sú užitočným východiskovým bodom, pretože sa pýtajú na činnosti, aktérov a záznamy, a nie na preferované prídavné meno.

Tabuľka je zámerne vecná. Má prežiť kontakt s nákupným tímom. Zároveň dáva kupujúcemu spôsob, ako porovnať poskytovateľov bez toho, aby sa tváril, že certifikát, štátna vlajka alebo prehliadka dátového centra vyrieši všetko. Dôkazy môžu byť dôverné. Požiadavka na dôkazy byť dôverná nemusí.

Vyžiadajte si demonštráciu kritickej činnosti, nielen jej opis. Ukážte, ako sa odoberie privilegovaný účet. Ukážte, ako sa schvaľuje podporná relácia. Ukážte, čo zákazník dostane, keď požiada o export. Ukážte, ako sa lokalizuje replika. Ukážte, čo právna žiadosť urobí s pracovným postupom pri incidente. Ukážte, ako organizácia pokračuje, keď je účet poskytovateľa pozastavený. Nejde o to zinscenovať dramatické zlyhanie. Ide o to zistiť, či kontrola existuje aj mimo prezentácie.

Potom sa opýtajte, kto vlastní výsledok. Test bez vlastníka je predstavenie. Medzera bez termínu je trvalá funkcia. Kontrola bez záznamu je presvedčenie. Mapa by preto mala uviesť osobu alebo orgán, ktorý prijíma riziko, dodávateľa, ktorý musí vykonať činnosť, a cestu na napadnutie výsledku. Riadenie nie je hromada otázok. Je to súbor rozhodnutí, ktoré majú kam smerovať.

Myslenkový experiment o európskom archíve

Nasledujúci text je označený ako hypotetický, nie ako správa o skutočnom zákazníkovi alebo incidente. Predstavte si mestský archív, ktorý vyberá hostovanú službu pre digitalizované plánovacie záznamy. Verejné obstarávanie vyžaduje primárne úložisko v Európskej únii a žiada šifrovanie, zálohy a podpornú linku. Traja poskytovatelia spĺňajú tieto požiadavky. Jeden je lokálne registrovaný, ale spolieha sa na subdodávateľa podpory mimo Únie. Jeden má úložisko aj podporu v Únii, ale používa platformu identity materskej spoločnosti. Jeden má menšiu lokálnu prevádzku, jasnú správu kľúčov a otestovaný export, ale potrebuje starostlivo vymedzenú úroveň služieb, pretože nemôže ponúknuť každú voliteľnú funkciu.

Prvý poskytovateľ môže byť stále prijateľný. Druhý môže byť stále prijateľný. Tretí môže byť stále nevhodný pre konkrétnu požiadavku na dostupnosť. Zmyslom myšlienkového experimentu je, že samotná lokalita nedokáže rozhodnúť medzi nimi. Archív sa musí opýtať, aký prístup k podpore je možný, kto môže vytvoriť kópiu, ktoré právnické osoby môžu dostať príkaz, ako sú spravované kľúče, čo ukazujú protokoly a či možno záznamy obnoviť inde.

Predpokladajme, že archív rozhodne, že lokálne úložisko je jeho najdôležitejšou podmienkou. Túto požiadavku môže zapísať do zmluvy. Mal by tiež definovať objekty, na ktoré sa podmienka vzťahuje, vyžadovať oznámenie o zmene a opýtať sa, ako by sa porušenie zistilo. Predpokladajme, že rozhodne, že vzdialená podpora je povolená len pre zdokumentovaný incident. Služba potrebuje schvaľovací postup, časovo obmedzené poverenia a záznam, ktorý možno preskúmať. Predpokladajme, že archív rozhodne, že musí mať možnosť odísť. Odchod by sa mal otestovať skôr, než sa služba stane jediným miestom, kde ktokoľvek vie, ako čítať záznamy.

Nič v tomto hypotetickom príklade nevyžaduje, aby archív prevádzkoval dátové centrum. Vyžaduje, aby archív rozumel právomociam, ktoré deleguje. To je rozdiel medzi zodpovedným outsourcingom a nákupom, ktorý presúva riziko do miestnosti, do ktorej kupujúci nemôže vstúpiť.

Čo môže Európa úprimne myslieť pod pojmom suverenita

Európska suverenita v digitálnej infraštruktúre by sa mala opisovať spôsobom, ktorý prežije nepríjemnú otázku. Môže znamenať, že európska inštitúcia si zachováva právomoc nad kritickými rozhodnutiami. Môže znamenať, že kľúčové závislosti sú viditeľné, obmedzené a obnoviteľné. Môže znamenať, že právne práva sú podporené technickými schopnosťami. Môže znamenať, že verejný kupujúci môže prepnúť, napadnúť, skontrolovať a pokračovať v prevádzke, keď poskytovateľ alebo zákon zmení dostupnú cestu.

Nemalo by to znamenať, že služba je automaticky bezpečná, pretože jej marketingová adresa je európska. Ani by to nemalo znamenať, že každé zahraničné prepojenie je zakázané. Európa závisí od cezhraničných systémov a pravidlo, ktoré tvrdí opak, bude ignorované alebo potichu obchádzané. Vyspelý postoj je náročnejší: povoliť závislosti, ktoré slúžia poslaniu, zdokumentovať ich, znížiť tie, ktoré nesú neprijateľnú moc, a ponechať východ pre tie, ktoré nemožno urobiť dôveryhodnými.

Tento postoj dáva aj európskym poskytovateľom spravodlivejší test. Miestny poskytovateľ by nemusel predvádzať slávnostný ceremoniál, aby ho brali vážne. Mal by byť schopný ukázať, čo prevádzkuje, čo deleguje, kto k tomu má prístup, aký zákon sa môže uplatniť, ako sú údaje chránené a ako môže zákazník odísť. Globálny poskytovateľ by mal čeliť rovnakým otázkam. Štandardom sú dôkazy o kontrole, nie divadlo pôvodu.

Slovo suverenita sa stáva užitočným, keď mení nákupné správanie. Ministerstvo môže využiť verejné obstarávanie na odmenenie testovanej cesty odchodu. Nemocnica môže vyžadovať kľúčové opatrenia, ktoré zodpovedajú jej klinickým povinnostiam. Univerzita môže zviditeľniť pôvod výskumných údajov. Regulátor sa môže pýtať na stav systému v čase rozhodnutia. Dodávateľ môže navrhnúť svoju službu tak, aby právomoc zákazníka nebola len ozdobným odsekom. Toto sú inštitucionálne kroky, nie súťaž v sloganoch.

Malá poznámka od nás

V spoločnosti Dweve naša verejná analýza The Sovereignty Illusion: where control really sits, publikovaná 29. júna 2026, používa podobnú disciplínu. Oddeľuje vlastníctvo, technológie, kapitál, infraštruktúru a právnu expozíciu namiesto toho, aby európsky štítok zastupoval všetkých päť. Tento článok je užší. Sleduje tvrdenie o dátovom centre do prevádzkových a právnych vrstiev, ktoré musí kupujúci riadiť.

Takto tiež radšej opisujeme našu vlastnú prácu. Systém by mal robiť svoje hranice čitateľnými: čo je lokálne, čo je delegované, čo je zaznamenané, čo možno napadnúť a čo možno zmeniť. Užitočné tvrdenie je také, ktoré môže čitateľ preskúmať. Zvyšok je dekorácia a Európa už má dostatok dekoratívnej infraštruktúry.

Právny argument sa začína až po adrese

Poloha dátového centra stojí za to, aby sme ju poznali. Môže ovplyvniť fyzický prístup, odolnosť, konektivitu, platné miestne pravidlá a dizajn služby. Môže byť správnou prvou otázkou. Je to slabá konečná odpoveď.

Konečná odpoveď musí spojiť miesto s autoritou. Musí uviesť prevádzkovateľa, identity, kľúče, subdodávateľov, právne nástroje, možné žiadosti, dôkazy a odchod. Pri osobných údajoch musí úroveň ochrany na európskej úrovni zostať v podstate rovnocenná, keď sa údaje prenášajú, a vývozcovia musia posúdiť okolnosti, nie opakovať tvrdenie o umiestnení. Pri neosobných údajoch nariadenie o údajoch (Data Act) pridáva pravidlá o zahraničnom prístupe a prechode medzi cloudovými službami, čo opäť konkretizuje kontrolu a prenositeľnosť.

Neexistuje jediné európske číslo, ktoré by dokázalo premeniť komplikovanú službu na zvrchovanú. Existuje postupnosť otázok, testov a záznamov. Táto postupnosť je pomalšia ako vytlačenie „hostované v EÚ“ na brožúru. Je to však aj časť, ktorá zostáva užitočná aj potom, čo brožúra zastará.

Keď sa kupujúci pýta, kde sú údaje, odpovedzte presne na umiestnenie. Potom sa opýtajte, kto ich môže čítať, kto s nimi môže pracovať, kto môže byť prinútený, kto môže dokázať, čo sa stalo, a kto môže odísť. Európske dátové centrum môže byť súčasťou dôveryhodného usporiadania. Samo osebe však nemôže byť právnym argumentom.

Zdroje

• Odporúčania 01/2020 o opatreniach, ktoré dopĺňajú nástroje prenosu na zabezpečenie súladu s úrovňou ochrany osobných údajov v EÚ, Európsky výbor pre ochranu údajov, konečná verzia z 18. júna 2021. Prepojená stránka obsahuje oficiálne PDF.
• Vec C-311/18, Data Protection Commissioner v Facebook Ireland a Schrems II, Súdny dvor Európskej únie, rozsudok zo 16. júla 2020, EUR-Lex.
• Nariadenie (EÚ) 2023/2854, nariadenie o údajoch (Data Act), Európsky parlament a Rada, 13. decembra 2023, EUR-Lex.
• Vysvetlenie nariadenia o údajoch (Data Act explained), Európska komisia, publikované v roku 2025 a prístupné 5. augusta 2026.
• Posúdenie rizík cloud computingu (Cloud Computing Risk Assessment) a oficiálne PDF správy, Agentúra Európskej únie pre kybernetickú bezpečnosť (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29. júna 2026.