Podatkovni center ni pravni argument

Podatkovni center ni pravni argument

Naslov na brošuri

V oblaku se v razpisih pojavlja stavek, ki zveni kot dokončan argument: podatki bodo shranjeni v evropskem podatkovnem centru. Stavek je lahko resničen. Lahko pa tudi nosi veliko več, kot zmore.

Podatkovni center ima lokacijo. Ta lokacija je pomembna za fizično varnost, odpornost, energijo, povezljivost, nacionalna pravila in praktični doseg lokalne oblasti. Kupcu pove nekaj uporabnega o tem, kje stoji nekaj opreme. Sama po sebi pa kupcu ne pove, kdo je lastnik storitve, kdo upravlja opremo, kje so narejene kopije, kdo ima ključe, kateri ljudje jo lahko upravljajo, katerim podjetjem je dovoljeno oddati dele dela v podizvajanje ali kateri pravni sistem lahko stranko prisili, da omogoči dostop.

Razliko je lahko navesti, a presenetljivo lahko jo je tudi izgubiti. Poštna številka je vidna. Nadzor je porazdeljen. Poštna številka se lepo prilega preglednici za javno naročanje; nadzor pride kot veriga pogodb, identitet, podpornih računov, nadzornih ravnin, šifrirnih ključev, poslovnih razmerij, operativnih postopkov in pravnih obveznosti. Prvo je dejstvo o kraju. Drugo je vprašanje o moči.

Evropska zakonodaja o varstvu podatkov to sporoča v vedno natančnejšem jeziku. V sodbi Schrems II z dne 16. julija 2020 je Sodišče Evropske unije preučilo, kako lahko osebni podatki zapustijo Evropski gospodarski prostor, hkrati pa ohranijo raven varstva, ki je bistveno enakovredna tisti, ki je zagotovljena v njem. Sodišče je potrdilo standardne pogodbene klavzule kot možen način prenosa, vendar je jasno povedalo, da ne delujejo v praznem prostoru. Izvoznik mora preučiti pravo in prakso namembne države v okoliščinah prenosa ter ukrepati, kadar zaščitni ukrepi v praksi ne morejo delovati.

Sodba ni rekla, da je meja nepomembna. Rekla je, da je meja le del vprašanja. Poznejša priporočila Evropskega odbora za varstvo podatkov to načelo spremenijo v metodo: poznajte prenose, določite pravno podlago, ocenite pravo in prakso, ki lahko nanjo vplivata, dodajte ukrepe, kjer lahko delujejo, dokončajte zahtevani postopek in oceno redno preverjajte. Naslov strežnika se pojavi na tem zemljevidu. Ni pa zemljevid.

To ni pomembno le za osebne podatke. Akt o podatkih obravnava oblak in druge storitve obdelave podatkov kot infrastrukturo, s katere bi morali imeti odjemalci možnost preklopiti. Prav tako ureja pogoje, pod katerimi organ javnega sektorja tretje države zahteva dostop do neosebnih podatkov, hranjenih v Uniji. Tudi tu je pravni odgovor zgrajen iz akterjev, namenov, zaščitnih ukrepov, dokazov in pravnih sredstev. Stavba je vpletena. Stavba ni dovolj.

Praktična lekcija za evropsko institucijo je zato jasna. Vprašajte, kje so podatki. Nato postavljajte vprašanja, dokler odgovor ne vključuje tega, kdo jih lahko bere, kdo jih lahko spreminja, kdo jih lahko ustavi, kdo jih lahko izvozi, kdo jih je lahko prisiljen razkriti in kateri dokazi bodo ostali, ko se stranke ne bodo strinjale. Če se odgovor konča pri vratih podatkovnega centra, se uporabni del preiskave šele začenja.

Rezidenca je povezana s krajem

Rezidenca podatkov je izjava o tem, kje so podatki shranjeni ali obdelani v okviru določenega dogovora. Opredelitev potrebuje obseg. Ali gre za primarno kopijo, varnostno kopijo, indeks, predpomnilnik, telemetrijo, mesto za obnovitev po nesreči ali vse našteto? Ali obdelava vključuje skrbnika, ki si iz druge države ogleda zapis? Ali se podporna seja šteje? Kaj se zgodi, ko mora ekipa za incidente kopirati diagnostični sled? Obljuba o rezidenci, ki ne pove, kaj zajema, je privlačna etiketa na nedokončanem stavku.

Oblakovni sistemi so zasnovani za prenašanje dela. Replikacija lahko izboljša razpoložljivost. Druga lokacija lahko ohrani storitev pri življenju, ko prva lokacija ni na voljo. Robna lokacija lahko zmanjša zakasnitev. Varnostna ekipa lahko usmeri dnevnik v centralni sistem za analizo. To so običajne inženirske odločitve, ne dokaz nepravilnosti. Vendar pomenijo, da je treba besedni zvezi »shranjeno v Evropi« dodati tehnični objekt. Kateri podatki, v kakšnem stanju, za katero obdobje, pod katero operacijo?

Ocena tveganj za oblak agencije ENISA, prvič objavljena leta 2009, ostaja uporabna prav zato, ker geografije ni obravnavala kot popolnega nadzora. Opredeljuje tveganja pri shranjevanju v več jurisdikcijah, nezadostnih informacijah o jurisdikcijah, izgubi upravljanja, podizvajanju in spremembah nadzora nad ponudnikom. Dokument je dovolj star, da ima naklonjenost do kratic, ki je sodobne ekipe morda ne delijo, vendar organizacijski problem ni izginil. Če stranka ne vidi, kje se podatki obdelujejo ali kdo je odgovoren za naslednjo predajo, ne more sprejeti zanesljive odločitve o tveganju.

Rezidentstvo je lahko veljavna zahteva. Javni arhiv bo morda moral hraniti zapise znotraj določenega pravnega območja. Zdravstvena služba bo morda potrebovala dogovor o obdelavi, ki omejuje, kam lahko potujejo občutljivi podatki. Raziskovalni konzorcij ima lahko obveznosti, povezane s financerjem ali sporazumom o izmenjavi podatkov. Te zahteve bi morale biti zapisane kot operativni pogoji z metodo za preverjanje, ne kot eno samo ime države, ki ga lahko vsak razlaga po svoje.

Obstaja tudi razlika med omejitvijo in jamstvom. Zahteva, da ponudnik hrani primarno shrambo v Evropski uniji, omejuje eno vrsto prenosa. Ne zagotavlja, da nobena oseba zunaj Unije ne more dostopati do zapisa, da nobeni metapodatki ne zapustijo sistema ali da nobena tuja pravna obveznost ne more doseči ponudnika. Omejitev je lahko uporabna, ne da bi bila jamstvo. Zamenjava teh dveh pojmov ustvari zgodbo o skladnosti, ki prestane ogled strežniške sobe, ob podrobnejšem pregledu nadzorne ravnine pa odpove.

Uporabno vprašanje o rezidentstvu ni preprosto »kje je?«. Temveč: »katere lokacije so možne za vsako stanje teh podatkov in kdo lahko spremeni to stanje?« Ponudnik bi moral znati odgovor razložiti na način, ki ga inženir lahko izvede in kupec preveri. Če je razlaga odvisna od nedokumentirane izjeme, podporne navade ali obljube, da se bodo podizvajalci ponudnika verjetno obnašali primerno, trditev o rezidentstvu še ni operativna.

Pet vprašanj, skritih v besedi kje

Ko ljudje vprašajo, kje so njihovi podatki, pogosto mislijo več različnih stvari hkrati. Ločevanje teh vprašanj naredi pogovor o nabavi manj teatralen in bolj uporaben.

1. Kje so biti? To je vprašanje fizičnega in logičnega shranjevanja. Zajema primarne podatke, replike, varnostne kopije, predpomnilnike, indekse in ustrezne dnevnike. Zadovoljiv odgovor poimenuje obseg in pogoje, pod katerimi se odgovor spremeni.

2. Kje poteka obdelava? Zapis je lahko shranjen v eni jurisdikciji, preoblikovan, iskan, razvrščen, šifriran ali dešifriran pa nekje drugje. Obdelava je lahko načrtovana naloga, podporno dejanje, nadzorni cevovod ali začasna kopija, narejena med obnovitvijo.

3. Kdo lahko do njega dostopa? To je vprašanje identitete in delovanja. Zajema osebje, skrbnike, pogodbenike, storitvene račune, odzivne ekipe in avtomatizirane sisteme. Človeku ni treba živeti poleg strežnika, da ima dejanski dostop do njega.

4. Kdo lahko ta dostop zahteva? To je vprašanje jurisdikcije in pravnih pooblastil. Sledi ustreznim organizacijam in ljudem, vlogam, ki jih imajo, pogodbam, ki jih podpišejo, in pravnim dolžnostim, ki jih lahko zavezujejo. Nanj ne odgovori zgolj oznaka na zemljevidu.

5. Kaj lahko stranka stori, ko se odgovor spremeni? To je vprašanje nadzora in izhoda. Ali lahko stranka omeji dostop, zamenja ključe, pridobi zanesljiv zapis, obnovi storitev, prestavi podatke in prekine razmerje, ne da bi izgubila tisto, kar je želela zaščititi?

Ta vprašanja se prepletajo, vendar niso zamenljiva. Ponudnik lahko prepričljivo odgovori na prvo, na tretje pa slabo. Pogodba lahko na papirju odgovori na peto, medtem ko tehnična ekipa izhoda nikoli ni izvedla. Lokalna podružnica lahko odgovori na vprašanje o identiteti podjetja, medtem ko je storitev odvisna od infrastrukture ali podporne organizacije matične družbe. Pravilen odziv ni izbrati najbolj pomirjujoč odgovor. Pravilen odziv je ohraniti celoten niz.

Prav zato lahko ocene suverenosti postanejo zmedene. Beseda mora pokrivati fizično lokacijo, pravno neodvisnost, operativno usposobljenost, ekonomsko lastništvo, strateško avtonomijo in zmožnost odhoda. To so sorodne težnje. Niso ena sama lastnost. Natančna institucija pove, katero lastnost potrebuje in kateri dokazi bi pokazali, da obstaja.

Jurisdikcija sledi pooblastilu

Jurisdikcija ni mističen oblak, ki obdaja državo. Je način opisovanja, kateri pravni organi lahko urejajo, odrejajo, preiskujejo, pregledujejo ali odpravljajo ravnanja ustreznih akterjev. Pri porazdeljeni storitvi so akterji enako pomembni kot kraji. Podjetje je lahko ustanovljeno v eni državi članici, obratuje v drugi, uporablja podporno ekipo v tretji in je odvisno od matične družbe ali podizvajalca z dolžnostmi drugje. Stranka, ki želi razumeti pravni doseg, mora slediti verigi pooblastil in se ne sme ustaviti pri najbližji stavbi.

To ne pomeni, da vsaka tuja povezava izniči evropski nadzor. Evropske storitve so po zasnovi medsebojno povezane. Čezmejna trgovina, raziskave, podpora, financiranje in infrastruktura so običajni. Vprašanje je, ali institucija ve, katera povezava nosi katero moč. Evropski operater lahko zavrne običajno zahtevo, vendar nima pooblastila, da bi se uprl zavezujočemu navodilu druge organizacije. Podizvajalec ima lahko poverilnico, ki je glavni izvajalec ni vključil v svoj popis dostopov. Podporni proces lahko dovoljuje oddaljeni dostop, tudi če pogodba o shranjevanju obljublja lokalno regijo.

Pravna analiza je odvisna tudi od vrste podatkov in vrste zahteve. Osebni podatki vključujejo pravila prenosa iz GDPR in okvir temeljnih pravic. Neosebni podatki niso pravna praznina. Akt o podatkih vsebuje zaščitne ukrepe za določene zahteve organov tretjih držav za neosebne podatke, ki se hranijo v Uniji. Zahtevo je treba presojati skozi pogoje uredbe, vključno z naravo zahteve in zaščito, ki je na voljo v pravnem sistemu tretje države. Oba režima sta različna in prav ta razlika je razlog, zakaj ju kupec ne bi smel stisniti v besedo rezidentstvo.

Sodba Sodišča EU v zadevi C-311/18 ponuja uporaben evropski pravni vzorec. Sodišče ni vprašalo, ali je pogodba videti dovolj formalna. Vprašalo je, ali bi zaščita, ki jo zagotavlja evropsko pravo, v okoliščinah prenosa ostala v bistvenem enakovredna, ob upoštevanju prava in prakse, ki bi lahko vplivali na podatke. Standardne pogodbene klavzule lahko zavezujejo stranke, ki jih podpišejo. Ne zavezujejo pa javnega organa, ki ni pogodbena stranka. Kadar pravno okolje spodkopava obljubljene zaščitne ukrepe, se mora izvoznik odzvati.

Ta logika je širša od posameznega spora. Pogodba je instrument zasebne razporeditve. Jurisdikcija je področje, na katerem lahko deluje javna oblast. Pogodba lahko dobavitelju pove, kaj je obljubil kupcu. Sama po sebi ne more odpraviti javne oblasti, ki zavezuje dobavitelja ali njegove ljudi. Dobro upravljanje jemlje obe trditvi resno. Uporablja pogodbe za določitev obveznosti in tehnične ukrepe, da so te obveznosti opazne, hkrati pa priznava, da lahko pravni doseg še vedno spremeni razpoložljive možnosti.

Mikavno je, da bi to spremenili v lov na eno samo nevarno državo. To je manj uporabno kot preslikava dejanskih organov. Kateri subjekt je upravljavec ali obdelovalec? Kateri subjekt zaposluje skrbnika? Kateri subjekt ima šifrirne ključe? Kateri subjekt lahko naredi kopijo? Kateri subjekt prejme zahtevo za podporo? Kateri organ bi lahko izdal odredbo? Kakšno pravno sredstvo bi imel kupec in pred katerim sodiščem? Zemljevid je lahko pomirjujoč. Lahko pa tudi ni. Vsak rezultat je vrednejši od nalepke z imenom države.

Lastništvo je naslov, ne ključ

Lastništvo ima resnično pravno in gospodarsko moč. Lahko določa, kdo sme prodati sredstvo, imenovati direktorje, licencirati intelektualno lastnino, prejemati prihodke ali sprejemati določene odločitve. V javnem organu je lahko povezano z zakonsko odgovornostjo za evidence ali infrastrukturo. V poslovni skupini lahko pojasni, kdo lahko glasuje, se združuje, financira ali zamenja ponudnika. Lastništvo sodi v oceno suverenosti.

Lastništvo samodejno ne zagotavlja operativnega nadzora. Kupec je lahko lastnik podatkov, medtem ko ponudnik upravlja podatkovno zbirko, skrbi za varnostne kopije in nadzoruje storitveni račun. Javna ustanova je lahko lastnica stavbe, medtem ko ima izvajalec poverilnice za vzdrževanje in edino preizkušeno pot za obnovitev opreme. Podjetje je lahko lastnik izvorne kode, medtem ko tretja oseba nadzoruje podpisni ključ, gradbeni strežnik, register paketov in identiteto za uvajanje. Naslov je resničen. Resnična je tudi odvisnost.

Razlika postane vidna v glagolih. Lastništvo je samostalnik v pogodbi. Nadzor je zmožnost pregledati, upravljati, spremeniti, ustaviti, obnoviti, izvoziti, izbrisati in dokazati. Postopek javnega naročanja, ki beleži le samostalnike, lahko pusti pomembne glagole nedodeljene. Platforma ima lahko imenovanega lastnika, a še vedno ni imenovane osebe, ki bi lahko zamenjala ključ, odstranila privilegiran račun ali obnovila podatke iz varnostne kopije, ne da bi morala vprašati organizacijo, ki ni v prostoru.

Ni nobene vrline v tem, da zahtevamo maksimalno posest. Bolnišnica, univerza ali občina morda nimajo kadrov in varnostnih zmogljivosti, da bi varno upravljale vsako plast. Prenos naloge je lahko odgovoren, kadar so meje jasne in stranka ohrani zmožnost nadzora, testiranja in obnovitve. Bistvo ni v tem, da vsak strežnik postavimo v javno klet. Bistvo je, da se odločimo, katera pooblastila so bistvena za poslanstvo, in ta pooblastila obdržimo dovolj blizu, da jih lahko upravljamo.

Ta odločitev potrebuje dokaze. Izjava »stranka je lastnica podatkov« bi morala sprožiti vprašanja o izvoznem formatu, skrbništvu nad ključi, hrambi, izbrisu, dnevnikih dostopa in pooblastilih podpore. Izjava »ponudnik je evropski« bi morala sprožiti vprašanja o korporativnem nadzoru, podizvajalcih, infrastrukturi, pravni izpostavljenosti in kontinuiteti. Izjava »podatki so v Uniji« bi morala sprožiti vprašanja o oddaljenem upravljanju, replikah, lokacijah obdelave in pravnih zahtevkih. Dober odgovor je lahko zapleten. Zapletenost ni napaka, kadar je sistem zapleten.

Operativni nadzor je pravica do ukrepanja

Operativni nadzor je najlažje razumeti skozi dejanje in ne skozi pridevnik. Predstavljajte si stranko, ki mora preklicati skrbnika. Kdo lahko izvede preklic? Kateri identitetni sistem ga pooblasti? Ali mora ponudnik izvesti spremembo, ali jo lahko stranka naredi neposredno? Ali dejanje zajema podporne račune, nujne račune in neaktivna poverila? Ali zapis dokazuje, kdaj je dovoljenje izginilo? Če je dejanje odvisno od službe za pomoč uporabnikom, je ta služba del nadzorne ravnine.

Enak preizkus velja za ključe. Šifriranje lahko zmanjša izpostavljenost, vendar je njegovo upravljanje odvisno od tega, kdo ključe ustvarja, shranjuje, vrti, obnavlja in jih lahko uporablja. Lokalno shranjen zapis lahko ostane neberljiv za stranko, ki ne more pridobiti ključa. Prav tako lahko postane nedostopen stranki, kadar je edina pot obnovitve pri dobavitelju. Skrbništvo nad ključi zato ni niti slogan za suverenost niti čarobna radirka za jurisdikcijo. Je konkreten nadzor, ki ga je treba dodeliti in preizkusiti.

Dnevniki si zaslužijo enako obravnavo. Nadzorna plošča lahko prikazuje dejavnost. Dokazi zahtevajo zapis, ki ga stranka lahko hrani, razlaga in izpodbija. Kdo piše dnevnik? Ali ga lahko skrbnik spremeni? Ali je časovni vir zanesljiv? Ali zajema podporni dostop in avtomatizirano obdelavo? Ali lahko stranka pridobi uporaben izvoz brez dovoljenja ponudnika? Kaj se zgodi, ko je račun zaprt? Dnevnik, ki izgine skupaj s storitvijo, je uporaben za operacije, a šibek za odgovornost.

Obnovitev je najtežji preizkus operativnega nadzora, ker razkrije vsako odvisnost. Ponudnik lahko obljubi varnostno kopijo, vendar lahko obnovitev zahteva določeno regijo, nedostopno licenco, inženirja, ki tam ne dela več, ali skrivnost, shranjeno v ločenem sistemu. Stranka je lahko lastnica datoteke varnostne kopije in še vedno ne more iz nje ustvariti delujoče storitve. Obnovitev je treba preizkusiti kot celovito dejanje, rezultat zabeležiti in vrzeli dodeliti ljudem, ki jih lahko zaprejo.

Ustavitev storitve je prav tako nadzor. Institucija bo morda morala začasno ustaviti integracijo, izolirati nabor podatkov, začasno ustaviti avtomatizirano obdelavo ali preprečiti ustvarjanje nove replike. Če lahko zaustavitev izvede samo dobavitelj, postanejo identiteta dobavitelja, njegove pravne obveznosti, odzivni čas in postopek podpore del tveganja institucije. To je lahko sprejemljiv dogovor. Ni pa neviden.

Namen teh preizkusov ni nezaupanje do vsakega dobavitelja. Namen je zamenjati zaupanje z odnosom, ki ga je mogoče preveriti. Dobavitelj z jasnim odgovorom lahko pojasni, katera dejanja izvaja sam, katera izvaja stranka in katera zahtevajo sodelovanje. Dobavitelj, ki se zanaša na eno pomirjujočo poved, še ni odgovoril na operativno vprašanje.

Podizvajalci spremenijo en odgovor v verigo

Storitev le redko pomeni eno organizacijo, ki na enem mestu opravlja eno stvar. Ponudniki oblaka uporabljajo specializirano infrastrukturo, podporne partnerje, storitve spremljanja, varnostne operacije, vzdrževanje strojne opreme, omrežne operaterje in druge dobavitelje. Nekateri so razvidni iz pogodbe. Drugi se pojavijo na seznamu podprocesorjev, v opisu storitve, obvestilu o incidentu ali v delovnem toku podpore. Veriga je običajna. Obveznost razumevanja verige je prav tako običajna.

Ocena tveganja agencije ENISA izpostavlja znano pomanjkljivost: ponudnik oblaka lahko storitve odds v podizvajanje tretji osebi, ki ne ponuja enakih jamstev, sprememba nadzora pa lahko spremeni pogoje ponudnika. Poročilo ni specifikacija sodobne arhitekture in tudi ni treba, da bi bila. Njeno trajno sporočilo je organizacijske narave. Stranka ne more trditi, da razume storitev, če je ocenila le prvo podjetje, navedeno na računu.

Priporočila odbora EDPB so za osebne podatke natančnejša. Prvi korak je poznavanje prenosov, vključno z nadaljnjimi prenosi procesorjem in podprocesorjem. Oddaljeni dostop iz tretje države lahko sam po sebi šteje kot prenos, tudi če zapis ostane v podatkovnem centru v EGP. Dogovor o podpori je zato del zemljevida prenosov podatkov in ne opomba pod črto, s katero se lahko ukvarjamo po uvedbi.

Vidnost podizvajalcev ni enaka nadzoru nad podizvajalci. Seznam stranki pove, kdo je vključen. Nadzor pa sprašuje, kaj lahko posamezna stranka stori, katere podatke lahko vidi, katero pravno sredstvo pokriva dejavnost, kako je sprememba sporočena in kakšno nadomestilo obstaja, ko stranka preneha izpolnjevati pogoje. Veriga mora imeti meje in dokaze na vsaki predaji.

Obstaja praktičen razlog za odpor do nejasnih verig. Ko pride do incidenta, odgovornost pogosto potuje v nasprotni smeri od podatkov. Stranka vpraša ponudnika. Ponudnik vpraša ekipo platforme. Ekipa platforme vpraša specializiranega dobavitelja. Specializirani dobavitelj vpraša skrbnika v drugi organizaciji. Vsaka predaja lahko doda zamudo, negotovost in priložnost, da prvotni zapis izgubi kontekst. Zemljevid nadzora mora pokazati pot pred incidentom, ko imajo vpleteni še čas za natančnost.

Osebni podatki: zaščita potuje skupaj z zapisom

GDPR ne zagotavlja varnosti osebnih podatkov tako, da bi jih postavil za evropska vrata. Njegova pravila o prenosu so zasnovana tako, da ohranjajo visoko raven zaščite, ko se podatki premaknejo v tretjo državo. EDPB načelo opisuje preprosto: bistveno enakovredna raven zaščite naj podatke spremlja, kamor koli gredo, med prenosom in po njem.

To ne pomeni, da je vsak prenos prepovedan. GDPR vsebuje različna orodja in pogoje za prenos, vključno s sklepi o ustreznosti in zaščitnimi ukrepi iz člena 46. Pravno vprašanje je, ali izbrano orodje deluje v danih okoliščinah. Priporočila EDPB izvoznikom naročajo, naj ocenijo zakonodajo in prakso, pomembno za posamezni prenos, pretehtajo, ali lahko uvoznik ali podatki spadajo pod sporna pravila, in dokumentirajo svojo obrazložitev. Če noben dodatni ukrep ne more obnoviti zahtevane ravni zaščite, se je treba prenosu izogniti, ga prekiniti ali ustaviti.

Pri pogovoru o rezidenčnosti so še posebej spregledane tri podrobnosti. Prvič, pomemben je nadaljnji prenos. Ponudnik lahko glavni zapis hrani v EGP in kopijo pošlje službi za podporo ali analitiko drugam. Drugič, pomemben je dostop. Skrbnik v tretji državi lahko prebere zapis, ne da bi se ta fizično premaknil na njegovo mizo. Tretjič, pomembna je odgovornost. Izvoznik mora biti sposoben dokazati oceno in jo ponovno preveriti, ko se spremenijo storitev, zakonodaja, ljudje ali okoliščine.

Okvir zato od stranke zahteva, da razume tako tehnično pot kot pravni kontekst. Diagram regij in puščic je uporaben. Ne more nadomestiti ocene prenosa. Prav tako ne more pogodbena obljuba, da bo ponudnik ravnal v skladu s predpisi, če stranka ni preverila, kaj lahko ustrezni zaščitni ukrepi dosežejo glede na zakonodajo in prakse, ki lahko veljajo za ponudnika.

Evropsko pravo varstva podatkov ima zdravo nenaklonjenost čarobnim besedam. »Gostovanje v EU« lahko opiše uporabno dejstvo. »Skladno s predpisi« lahko opiše zaključek, ki zahteva obrazložitev. »Suvereno« lahko opiše politični cilj. Nobena od teh besed ne sme nadomestiti dokazov, da so podatki zaščiteni, da je dostop urejen in da je odločitev mogoče zagovarjati.

Neposlovni podatki: drugačen režim, enaka disciplina

Akt o podatkih ureja širši nabor podatkovnih razmerij in vključuje pravila za storitve obdelave podatkov, kot so oblačne in robne storitve. Ni nadomestilo za GDPR in vsake odločitve o oblaku ne spremeni v oceno prenosa za varstvo podatkov. Je pa drugi evropski opomin, da je treba lokacijo, dostop, zamenjavo ponudnika in pooblastila obravnavati skupaj.

Za neposlovne podatke, hranjene v Uniji, Komisijina pojasnila k Aktu o podatkih opisujejo zaščitne ukrepe za določene zahteve ali odločitve javnega organa tretje države. Kjer dostopa ne ureja noben veljaven mednarodni sporazum, uredba določa pogoje za zaščito evropskih interesov, vključno s pozornostjo na pravni sistem tretje države in sorazmernost zahteve. Od ponudnikov se pričakuje, da sprejmejo razumne ukrepe, kot so šifriranje, revizije ali ureditve certificiranja, da preprečijo nepooblaščen dostop in po možnosti obvestijo stranke.

Besedilo je pomembno. Akt o podatkih ne trdi, da lahko Unija povzroči izginotje tujih pravnih sistemov. Ustvarja okvir za ocenjevanje in omejevanje določenih poti dostopa. Ponudnik mora še vedno vedeti, katere sisteme upravlja, kateri podatki so shranjeni, kdo se lahko odzove na zahtevo in katere dokaze lahko posreduje stranki. Stranka mora še vedno razumeti, kateri deli podatkov so osebni, kateri niso in kateri drugi pravni režimi veljajo.

Zakon obravnava nadzor tudi skozi prehajanje. Stranke bi morale imeti možnost prehajanja med storitvami obdelave podatkov, uporabe storitev vzporedno ter prenosa izvozljivih podatkov in digitalnih sredstev. Ponudniki morajo zagotoviti informacije o formatih izvoza, vmesnikih, znanih omejitvah in času, potrebnem za postopek. Pravila o funkcionalni enakovrednosti priznavajo praktično resnico: datoteka, ki jo je mogoče prenesti, ni nujno storitev, ki jo je mogoče obnoviti.

Prehajanje se pogosto opisuje kot ukrep za konkurenco, in to tudi je. Je pa tudi ukrep suverenosti v operativnem smislu. Institucija, ki lahko odide, ima več prostora, da zavrne spremembo, ki je ne more sprejeti. Institucija, ki ne more oditi, je lahko lastnica pogodbe, a jo še vedno obvladujejo privzete nastavitve ponudnika. Zakonska pravica do prehajanja je pomemben začetek. Vadena selitev, ki ohrani podatke, konfiguracijo in dokaze, je tisti del, ki pravico naredi uporabno.

Pogodbe, ključi in meje pomiritve

Pogodbe ostajajo bistvene. Razporejajo dolžnosti, določajo pravila obveščanja, opredeljujejo podprocesorje, določajo dovoljeno obdelavo, opisujejo izbris in hrambo, ustvarjajo pravice do revizije ter vzpostavljajo pomoč med prehodom. Določbe Akta o podatkih o prehajanju v oblaku krepijo potrebo po jasnih pogodbenih določilih, izvozljivih podatkih in informacijah o mehaniki izhoda. Starejše smernice agencije ENISA prav tako priporočajo pozornost pri prenosih podatkov, spremembi nadzora, dostopu organov pregona, obvestilih o kršitvah in odgovornosti pri ocenjevanju pogodb o oblaku.

Pogodba ni nadzor v realnem času. Klavzula, ki pravi, da lahko stranka izvaža, je šibkejša od izvoza, izvedenega na reprezentativnem naboru podatkov in obnovljenega v drugem okolju. Klavzula, ki pravi, da bo ponudnik izbrisal, je šibkejša od preverljivega postopka izbrisa, ki zajema kopije, predpomnilnike, varnostne kopije in izvedene zapise. Klavzula, ki daje pravico do revizije, je šibkejša od dnevnikov in dokazov, ki jih stranka dejansko lahko pridobi. Papir je pomemben. Papir, ki nikoli ne sreča delujočega sistema, je vljudno uokvirjen optimizem.

Ključi ponujajo podobno lekcijo. Šifriranje pod nadzorom stranke lahko zmanjša, kaj lahko prebere ponudnik ali nepooblaščena stranka. Ne odgovarja pa na vprašanje, kdo lahko prisili osebo, ki ima obnovitveni ključ, kdo nadzoruje strojni varnostni modul, kdo lahko spremeni politiko ključev ali kaj se zgodi, ko stranka izgubi lastno poverilnico. Pravilna zasnova lahko uporabi deljeno avtoriteto, neodvisno hrambo, skrbno opredeljen dostop in preizkušeno obnovitev. Napačna zasnova lahko postavi odločilni ključ v drugo jurisdikcijo in ureditev imenuje lokalna, ker je podatkovna zbirka lokalna.

Pravni in tehnični ukrepi bi morali biti oblikovani skupaj. Če pogodba zahteva, da stranka odobri dostop podpore, bi morala storitev imeti postopek odobritve, ki pusti zapis. Če mora stranka preprečiti nadaljnje prenose, bi moral ponudnik razkriti pot in uveljaviti mejo. Če je treba oceniti zahtevo javnega organa, bi moral postopek za incidente ohraniti zahtevo, pravno analizo, odločitev, obvestilo in odziv. Pravna obljuba postane verodostojna, ko sistem lahko pokaže, kako se izvaja.

Enako načelo velja za spremembe lastništva. Prevzem dobavitelja, nova matična družba, sprememba podizvajalca ali sprememba regije delovanja storitve lahko spremenijo zemljevid nadzora, ne da bi se spremenila blagovna znamka, ki jo vidi stranka. Pogodbe bi morale zahtevati obvestilo in pravna sredstva. Tehnične evidence bi bilo treba posodobiti. Evidenca sprememb bi morala pokazati, katere pristojnosti so se premaknile. Upravljanje, ki obstaja le ob prvotnem podpisu, ima kratko življenjsko dobo.

Zemljevid nadzora kupca

Javni ali zasebni kupec ne potrebuje čarobnega vprašalnika. Potrebuje zemljevid, ki povezuje trditve z dokazi. Naslednja vprašanja so koristno izhodišče, ker sprašujejo po dejanjih, akterjih in zapisih, ne po želenem pridevniku.

Tabela je namerno preprosta. Zasnovana je tako, da preživi stik z nabavno ekipo. Kupcu omogoča tudi primerjavo ponudnikov, ne da bi se pretvarjala, da certifikat, državna zastava ali ogled podatkovnega centra reši vse. Dokazila so lahko zaupna. Zahteva po dokazilih ne bi smela biti.

Zahtevajte prikaz kritičnega dejanja, ne le opisa. Pokažite, kako se odstrani privilegiran račun. Pokažite, kako se odobri seja podpore. Pokažite, kaj stranka prejme, ko zahteva izvoz. Pokažite, kako se poišče replika. Pokažite, kaj pravna zahteva naredi z delovnim tokom incidenta. Pokažite, kako organizacija nadaljuje, ko je račun ponudnika začasno ukinjen. Bistvo ni pripraviti dramatičen neuspeh. Bistvo je videti, ali nadzor obstaja tudi zunaj predstavitve.

Nato vprašajte, kdo je lastnik rezultata. Test brez lastnika je predstava. Vrzel brez datuma je stalna funkcija. Nadzor brez zapisa je prepričanje. Zemljevid bi moral zato imenovati osebo ali organ, ki sprejme tveganje, dobavitelja, ki mora izvesti dejanje, in pot za izpodbijanje rezultata. Upravljanje ni kup vprašanj. Je niz odločitev z nekam, kamor lahko gredo.

Miselni poskus o evropskem arhivu

V nadaljevanju je označena hipotetična situacija, ne poročilo o dejanski stranki ali incidentu. Predstavljajte si občinski arhiv, ki izbira gostovano storitev za digitalizirane prostorske evidence. Razpis zahteva primarno shranjevanje v Evropski uniji ter predpisuje šifriranje, varnostne kopije in službo za podporo. Trije ponudniki izpolnjujejo pogoje. Eden je lokalno ustanovljen, vendar se zanaša na podizvajalca za podporo zunaj Unije. Eden ima shranjevanje in podporo v Uniji, vendar uporablja platformo identitete matične družbe. Eden ima manjše lokalno poslovanje, jasno skrbništvo nad ključi in preizkušen izvoz, vendar potrebuje skrbno opredeljeno raven storitve, ker ne more ponuditi vsake izbirne funkcije.

Prvi ponudnik je lahko še vedno sprejemljiv. Drugi je lahko še vedno sprejemljiv. Tretji je lahko še vedno neprimeren za določeno zahtevo glede razpoložljivosti. Bistvo miselnega poskusa je, da sama lokacija ne more odločiti med njimi. Arhiv mora vprašati, kakšen dostop do podpore je mogoč, kdo lahko naredi kopijo, katere pravne osebe lahko prejmejo odredbo, kako se upravljajo ključi, kaj kažejo dnevniki in ali je mogoče evidence obnoviti drugje.

Recimo, da arhiv presodi, da je lokalna hramba njegov najpomembnejši pogoj. To zahtevo lahko zapiše v pogodbo. Prav tako bi moral opredeliti predmete, ki jih pogoj zajema, zahtevati obvestilo o spremembi in vprašati, kako bi se kršitev zaznala. Recimo, da presodi, da je oddaljena podpora dovoljena le za dokumentiran incident. Storitev potrebuje pot odobritve, začasna poverila in zapis, ki ga je mogoče pregledati. Recimo, da presodi, da mora arhiv imeti možnost oditi. Izstop bi bilo treba preizkusiti, preden storitev postane edino mesto, kjer kdor koli še zna brati zapise.

Nič v tem hipotetičnem primeru ne zahteva, da arhiv upravlja podatkovni center. Zahteva, da arhiv razume pooblastila, ki jih prenaša. To je razlika med odgovornim zunanjim izvajanjem in nakupom, ki tveganje prestavi v prostor, v katerega kupec ne more vstopiti.

Kaj lahko Evropa pošteno misli s suverenostjo

Evropsko suverenost v digitalni infrastrukturi bi bilo treba opisati z izrazi, ki preživijo neprijetno vprašanje. Lahko pomeni, da evropska institucija ohrani pristojnost nad ključnimi odločitvami. Lahko pomeni, da so ključne odvisnosti vidne, omejene in obnovljive. Lahko pomeni, da pravne pravice spremlja tehnična zmožnost. Lahko pomeni, da lahko javni kupec zamenja, izpodbija, pregleduje in nadaljuje delovanje, ko ponudnik ali zakon spremeni razpoložljivo pot.

Ne bi smelo pomeniti, da je storitev samodejno varna, ker je njen tržni naslov evropski. Prav tako ne bi smelo pomeniti, da je vsaka tuja povezava prepovedana. Evropa je odvisna od čezmejnih sistemov in pravilo, ki trdi drugače, bo prezrto ali tiho zaobideno. Zrelo stališče je zahtevnejše: dovolite odvisnosti, ki služijo poslanstvu, jih dokumentirajte, zmanjšajte tiste, ki nosijo nesprejemljivo moč, in ohranite izhod za tiste, ki jih ni mogoče narediti zaupanja vredne.

To stališče daje evropskim ponudnikom tudi poštenejši preizkus. Lokalnemu ponudniku ne bi bilo treba izvesti slovesnosti z zastavo, da bi ga jemali resno. Moral bi biti sposoben pokazati, kaj upravlja, kaj prenaša, kdo ima dostop, kateri zakon lahko velja, kako so podatki zaščiteni in kako lahko stranka odide. Globalni ponudnik bi se moral soočiti z enakimi vprašanji. Merilo so dokazi o nadzoru, ne gledališče izvora.

Beseda suverenost postane uporabna, ko spremeni nakupovalno vedenje. Ministrstvo lahko z javnim naročilom nagradi preizkušeno izstopno pot. Bolnišnica lahko zahteva ključne ureditve, ki ustrezajo njenim kliničnim dolžnostim. Univerza lahko poskrbi, da je izvor raziskovalnih podatkov viden. Regulator lahko zahteva stanje sistema v času odločitve. Ponudnik lahko oblikuje svojo storitev tako, da pooblastilo stranke ni zgolj okrasni odstavek. To so institucionalna dejanja, ne tekmovanje v sloganih.

Kratka opomba z naše strani

Pri Dweve naša javna analiza The Sovereignty Illusion: where control really sits, objavljena 29. junija 2026, uporablja podobno disciplino. Ločuje lastništvo, tehnologijo, kapital, infrastrukturo in pravno izpostavljenost, namesto da bi evropska oznaka veljala za vseh pet. Ta članek je ožji. Sledi trditvi o podatkovnem centru v operativne in pravne plasti, ki jih mora kupec upravljati.

Tako tudi sami radi opisujemo svoje delo. Sistem bi moral narediti svoje meje čitljive: kaj je lokalno, kaj je preneseno, kaj je zabeleženo, kaj je mogoče izpodbijati in kaj je mogoče spremeniti. Uporabna trditev je tista, ki jo lahko bralec preveri. Ostalo je okras in Evropa ima že dovolj okrasne infrastrukture.

Pravni argument se začne po naslovu

Lokacija podatkovnega centra je vredna vedenja. Lahko vpliva na fizični dostop, odpornost, povezljivost, veljavna lokalna pravila in zasnovo storitve. Lahko je pravo prvo vprašanje. Je pa slab končni odgovor.

Končni odgovor mora povezati kraj z oblastjo. Navesti mora upravljavca, identitete, ključe, podizvajalce, pravna orodja, možne zahteve, dokaze in izhod. Za osebne podatke mora raven zaščite na evropski ravni ostati v bistvenem obsegu enakovredna, ko se podatki prenesejo, izvozniki pa morajo oceniti okoliščine in ne zgolj ponavljati trditev o lokaciji. Za neosebne podatke uredba o podatkih dodaja pravila o tujem dostopu in zamenjavi oblaka, kar nadzor in prenosljivost znova udejanja.

Ni ene same evropske številke, ki bi zapleteno storitev spremenila v suvereno. Obstaja zaporedje vprašanj, preizkusov in evidenc. To zaporedje je počasnejše od tiskanja »gostovano v EU« na brošuro. Je pa tudi del, ki ostane uporaben, ko brošura že zastara.

Ko kupec vpraša, kje so podatki, odgovorite natančno glede lokacije. Nato se vprašajte, kdo jih lahko bere, kdo lahko ukrepa na njihovi podlagi, koga je mogoče prisiliti, kdo lahko dokaže, kaj se je zgodilo, in kdo lahko odide. Evropski podatkovni center je lahko del zaupanja vredne ureditve. Sam po sebi pa ne more biti pravni argument.

Viri

• Priporočila 01/2020 o ukrepih, ki dopolnjujejo orodja za prenos za zagotavljanje skladnosti z ravnjo zaščite osebnih podatkov v EU, Evropski odbor za varstvo podatkov, končna različica 18. junij 2021. Povezana stran vključuje uradni PDF.
• Zadeva C-311/18, Data Protection Commissioner proti Facebook Ireland in Schrems II, Sodišče Evropske unije, sodba 16. julij 2020, EUR-Lex.
• Uredba (EU) 2023/2854, akt o podatkih, Evropski parlament in Svet, 13. december 2023, EUR-Lex.
• Akt o podatkih pojasnjen, Evropska komisija, objavljeno 2025 in dostopano 5. avgusta 2026.
• Ocena tveganj za računalništvo v oblaku in uradni PDF poročila, Agencija Evropske unije za kibernetsko varnost (ENISA), 2009.
• Iluzija suverenosti: kje dejansko sedi nadzor, Dweve, 29. junij 2026.