Penki klausimai, kurie nulemia, kiek paslauga yra europietiška

2 modulis: Kas iš tikrųjų yra Europos debesija? · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Baigę šią pamoką galėsite pagal penkis klausimus nustatyti, kuriai teisei priklauso debesijos paslauga, ir paaiškinti, kodėl vien duomenų centras Europoje tam nepakanka.

Pagrindinės sąvokos: buveinė (registruota buveinė), galutinis savininkas, duomenų centro vieta, subtvarkytojas, nuotolinė prieiga, raktų valdymas, ES, EEE, tinkamumo sprendimas, "sovereign cloud" (suvereni debesija)

"Mūsų duomenys saugomi Europoje." Ir kas toliau?

Šiandien beveik kiekviena didelė debesijos paslauga tai teigia: Jūsų duomenys saugomi duomenų centre Frankfurte, Amsterdame ar Dubline. Tai skamba raminančiai, tačiau atsako tik į vieną iš svarbių klausimų. Modulyje 1 matėte, kad Amerikos CLOUD Act kreipia dėmesį ne į serverio vietą, o į įmonę, kuri duomenis turi savo žinioje, saugojime ar kontrolėje ("possession, custody, or control"). Taigi serveris Frankfurte, priklausantis įmonei, kurios galutinis savininkas yra amerikiečių bendrovė, vis tiek gali patekti į Amerikos nurodymo taikymo sritį.

Todėl verta žiūrėti ne į vieną požymį, o į penkis. Mūsų pavyzdinė Bakkerij De Korrel (12 darbuotojų, domenas example.com) šiuo metu naudoja amerikietišką biuro programų paketą ir nori sužinoti, kurios alternatyvos iš tikrųjų yra europietiškos. Su šiais penkiais klausimais galima atskirti rinkodarą nuo faktų.

1 klausimas: kur yra įmonės buveinė?

Buveinė tai šalis, kurioje juridiškai įregistruota Jūsų sutartį pasirašanti įmonė: registruota buveinė. Ši šalis pirmiausia nulemia, kokia teisė įmonei taikoma, kuris teismas turi jurisdikciją ir kuri priežiūros institucija stebi veiklą.

Dėl to žiūrėkite ne į svetainę, o į sutarties šalį: pavadinimą bendrųjų sąlygų apačioje, duomenų tvarkymo sutartyje ir sąskaitoje. Jei ten nurodyta "Example Cloud Ireland Ltd.", Jūsų sutarties šalis yra airiška, net jei prekės ženklas yra amerikietiškas. Tai geras pradinis taškas, bet dar ne atsakymas. Tam reikalingas 2 klausimas.

2 klausimas: kas yra galutinis savininkas?

Galutinis savininkas tai įmonė ar asmuo, esantis akcininkų grandinės viršuje. Amerikos patronuojančios bendrovės Europos dukterinė įmonė teisiškai yra Europos įmonė, tačiau sprendžiamąją galią turi patronuojanti bendrovė. Pagal CLOUD Act Amerikos teismas gali įpareigoti patronuojančią bendrovę pateikti duomenis, esančius pas dukterinę įmonę, jei patronuojanti bendrovė faktiškai turi tam "control" (kontrolę). Ar taip yra konkrečiu atveju, priklauso nuo to, kaip sutvarkyta įmonės struktūra. Teisininkai dėl to nesutaria. Būtent todėl tai yra rizika, o ne tikrumas.

Gali būti ir priešingai: šiandien europietiška įmonė rytoj gali būti perimta. Nyderlanduose 2025 ir 2026 metais tai vyko su Solvinity, bendrove, atsakinga už DigiD infrastruktūrą. Amerikos Kyndryl norėjo ją perimti; vyriausybė uždraudė šį perėmimą 2026 m. gegužę, gavusi Investicijų vertinimo biuro (Bureau Toetsing Investeringen) rekomendaciją. Todėl paslaugos teikėjo verta klausti ir šito: kas atsitiks su mano sutartimi perėmimo atveju? Ar galėsiu tuomet nemokamai nutraukti sutartį?

Kur rasti informaciją apie savininką? Įmonių registre (Nyderlanduose tai KVK, Vokietijoje Handelsregister), metinėje ataskaitoje arba puslapyje "Apie mus" ar "Impressum". Biržoje kotiruojamų bendrovių atveju tai nurodoma metinėse ataskaitose.

3 klausimas: kur saugomi duomenys ir atsarginės kopijos?

Duomenų centro vieta tebėra svarbi. Jei Jūsų duomenys saugomi ES, pagal BDAR tai nelaikoma perdavimu už EEE ribų, kol niekas iš išorės prie jų neturi prieigos. Pasiteiraukite apie visas vietas: pagrindinį duomenų centrą, atsarginį (rezervinį) duomenų centrą ir atsargines kopijas. Paslaugos teikėjas, kurio serveriai yra Nyderlanduose, o atsarginės kopijos Jungtinėse Amerikos Valstijose, vis tiek atlieka duomenų perdavimą.

Atkreipkite dėmesį į tris sąvokas, kurios dažnai painiojamos:

Taigi Šveicarija ir Jungtinė Karalystė nepriklauso ES, tačiau pagal BDAR tenykštę paslaugą galima naudoti be papildomų sutarties nuostatų. Sprendimas dėl Šveicarijos priimtas dar 2000 metais ir buvo patvirtintas po pakartotinio vertinimo 2024 m. sausį. Sprendimas dėl Jungtinės Karalystės buvo pratęstas 2025 m. gruodžio 19 d. iki 2031 m. gruodžio 27 d. Tinkamumo sprendimas vis dėlto gali būti peržiūrėtas arba Europos Sąjungos Teisingumo Teismo (ESTT) panaikintas: tai jau du kartus nutiko su susitarimais su JAV (modulis 1, pamoka 1.4). Jungtinėms Amerikos Valstijoms šiuo metu taikomas Data Privacy Framework, tačiau tik toms amerikiečių įmonėms, kurios prie jo prisijungė, ir su netikrumu, kurį jau matėte pamokoje 1.4.

4 klausimas: kas dar turi prieigą? Subtvarkytojai ir nuotolinė prieiga

Subtvarkytojas tai kita įmonė, kurią pasitelkia paslaugos teikėjas ir kuri tuo metu tvarko ar gali matyti Jūsų duomenis: duomenų centras, atsarginių kopijų paslauga, el. pašto pristatymo įmonė, pagalbos skyrius kitoje šalyje, DI paslauga, apibendrinanti laiškus. BDAR reikalauja, kad paslaugos teikėjas iš anksto informuotų, kokius subtvarkytojus jis naudoja, ir leistų Jums prieštarauti naujiems subtvarkytojams (BDAR 28 straipsnis, pamoka 9.2).

Ypač atkreipkite dėmesį į nuotolinę prieigą. Duomenis, saugomus Amsterdame, bet kuriuos gali peržiūrėti techninės pagalbos darbuotojas, esantis už EEE ribų, siekdamas išspręsti sutrikimą, Europos priežiūros institucijos taip pat laiko perduotais. Taigi duomenų centras Europoje su visą parą visame pasaulyje veikiančia pagalbos tarnyba yra mažiau europietiškas, nei atrodo.

Kur rasti šį sąrašą? Dažniausiai jis pridedamas prie duomenų tvarkymo sutarties arba pateikiamas atskirame puslapyje "subtvarkytojai" ar "sub-processors". Jei tokio sąrašo nėra arba jis neaiškus ("mes bendradarbiaujame su kruopščiai atrinktais partneriais"), tai įspėjamasis ženklas.

5 klausimas: kas turi raktą?

Šifravimas apsaugo nuo kitų tik tuo atveju, jei jie neturi rakto. Daugumoje debesijos paslaugų Jūsų duomenys šifruojami perdavimo metu (https) ir ramybės būsenoje (diske), tačiau raktą turi paslaugos teikėjas. Jei paslaugos teikėjas privalo pateikti duomenis, jis gali juos iššifruoti. Taikant visapusį (end-to-end) šifravimą arba šifravimą raktu, kurį valdote tik Jūs, paslaugos teikėjas to padaryti negali. Tai geriau apsaugo, bet turi savo kainą: paieška, bendras redagavimas naršyklėje ir pamiršto slaptažodžio atkūrimas tuomet dažnai neveikia arba veikia ribotai. Todėl klauskite: kurios dalys šifruojamos visapusiu būdu ir ko tuomet nebegalėsiu atlikti?

"Sovereign cloud" iš amerikiečių įmonių

Didieji amerikiečių paslaugų teikėjai reaguoja į suvereniteto paklausą. Keletas pavyzdžių, kad atpažintumėte terminus:

• Microsoft EU Data Boundary: 2025 m. vasarį Microsoft pranešė, kad Microsoft 365, Dynamics 365, Power Platform ir daugumos Azure paslaugų kliento duomenys saugomi ir tvarkomi ES bei EEE šalyse, įskaitant palaikymo duomenis. Microsoft pati nurodo, kad ribotais atvejais duomenys vis dar tvarkomi už ES ribų, pavyzdžiui, saugumo tikslais. Microsoft tebėra amerikiečių įmonė. 2025 m. birželį Microsoft Prancūzijos teisės direktorius Prancūzijos Senate po priesaika pareiškė negalintis garantuoti, kad duomenys niekada nebus perduoti Amerikos valdžios institucijoms be sutikimo.
• AWS European Sovereign Cloud: visuotinai prieinama nuo 2026 m. sausio 15 d., su pirmuoju regionu Brandenburge (Vokietija). Ją valdo Vokietijos bendrovė su ES darbuotojais, ir ji technologiškai atskirta nuo likusio AWS. Galutinė patronuojanti bendrovė yra Amazon. Analitikai pažymi, kad dėl to CLOUD Act rizika gali būti mažesnė, bet ne įrodomai pašalinta.
• Bendradarbiavimo modeliai: Prancūzijoje ir Vokietijoje yra Europos įmonių, kurios pagal licenciją naudoja amerikietišką debesijos technologiją taip, kad kontrolę išlaikytų Europos bendrovė. Ar tai veikia, priklauso nuo susitarimų dėl atnaujinimų, administravimo ir prieigos.

Tokios paslaugos kai kurioms organizacijoms gali būti tinkamas tarpinis žingsnis. Tačiau joms taip pat verta užduoti tuos pačius penkis klausimus. Atsakymas į 2 klausimą (savininkas) tokioms paslaugoms vis tiek skiriasi nuo visiškai europietiškos įmonės atsakymo.

Praktikoje: kaip tai atrodo pas paslaugos teikėją

Paimkime WebOké Nextcloud kaip pavyzdį. Buveinė ir savininkas: Nyderlandų UAB (bv). Duomenų centras: pagal instrukciją du Nyderlandų duomenų centrai, priklausantys NorthC. Programinė įranga: Nextcloud, sukurta Vokietijos bendrovės Nextcloud GmbH, atvirojo kodo. Saugojimo šifravimo raktas priklauso paslaugos teikėjui; visapusį (end-to-end) šifravimą galite patys įjungti kiekvienam aplankui atskirai. Pas kitus Europos paslaugų teikėjus, pavyzdžiui, kitus Nextcloud teikėjus, mailbox.org, Infomaniak ar IONOS, tų pačių penkių atsakymų ieškokite tose pačiose vietose: sutartyje, įmonių registre, duomenų tvarkymo sutartyje ir subtvarkytojų sąraše.

Santrauka

• Duomenų centras Europoje atsako tik į vieną iš penkių klausimų.
• Penki klausimai: buveinė, galutinis savininkas, duomenų ir atsarginių kopijų vieta, subtvarkytojai ir nuotolinė prieiga, ir kas turi raktą.
• Amerikos įmonės Europos dukterinė įmonė galimai vis tiek patenka į CLOUD Act taikymo sritį.
• Šveicarija ir Jungtinė Karalystė nepriklauso ES, tačiau turi tinkamumo sprendimą; EEE tai ES plius Norvegija, Islandija ir Lichtenšteinas.
• Amerikiečių įmonių "sovereign cloud" paslaugos sumažina riziką, bet nepakeičia atsakymo į klausimą apie savininką.

Testas

Užduotis

Užduotis A2.1: Kas priima ir siunčia paštą Jūsų domenui? Įveskite savo domeną. Programa suranda MX įrašus ir pilnai išskleidžia Jūsų SPF įrašą. Jūs nurodote, kurios organizacijos gauna Jūsų paštą ir kurios turi teisę siųsti laiškus Jūsų vardu. Taip per keletą minučių pamatysite, kurios šalys jau dalyvauja Jūsų el. pašto veikloje.

Užduotis E2.1: Penki klausimai Jūsų pačių paslaugoms. Pasirinkite dvi dabar naudojamas paslaugas (pavyzdžiui, savo el. paštą ir failų saugyklą) bei vieną galimą europietišką pakaitalą. Visoms trims suraskite atsakymus į penkis klausimus, nurodydami šaltinį.

Skaitykite daugiau

Šiuose straipsniuose aprašyti žingsniai galioja WebOké paslaugoms; pas kitus paslaugų teikėjus veikia panašiai.

• Nextcloud vadovas 1.1: Kas yra Nextcloud ir kas yra WebOké Nextcloud?
• Nextcloud vadovas 3.1: Kaip WebOké apsaugo Jūsų Nextcloud?
• Nextcloud vadovas 15.13: Dažniausiai užduodami klausimai apie saugumą ir privatumą
• Europos Komisija, tinkamumo sprendimų apžvalga: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (duomenys "regardless of whether" jie yra JAV ar už jos ribų)