Daten Europoje ir skaitmeninė suverenitetas: ką turi įvertinti įmonė

Fizinė duomenų lokalizacija: pirmas žingsnis, bet ne vienintelis

Didėjant dėmesio duomenų apsaugai, natūralu pasirinkti tiekėją, laikantį duomenis Europoje. Tačiau tik duomenų vietos europiniuose duomenų centruose perteklius ir ne visada garantuoja pilną skaitmeninę suverenitetą.

Lokalizacija yra tik vienas klausimo aspektas, įtraukiantis ir:

• teisės jurisdikciją, pagal kurią veikia paslaugų teikėjas;
• faktinę infrastruktūros nuosavybę ir kontrolę;
• įmonės juridinę ir administracinę būstinę;
• nuotolinio prieigos sąlygas, įskaitant iš trečiųjų šalių, esančių už ES ribų;
• subrangovų ar partnerių paskirtį;
• įsipareigojimus pagal ne europines teisės aktus, pvz., JAV CLOUD Act.

Jurisdikcija ir kontrolė: tikroji skaitmeninio suvereniteto raktas

Skaitmeninio suvereniteto sąvoka reiškia, kad organizacija gali veiksmingai ir visapusiškai valdyti savo duomenis ne tik geografiniu, bet ir teisiniu aspektu. Pavyzdžiui, jei europietiškas paslaugų teikėjas naudoja trečiųjų šalių infrastruktūrą už ES ribų, duomenys gali būti paveikti išorinės jurisdikcijos, kuri gali kelti grėsmę privatumo ir saugumo standartams.

Ryšys tarp lokalizacijos, jurisdikcijos ir skaitmeninio suvereniteto turėtų būti atidžiai analizuojamas, įvertinant teisines aplinkybes, įskaitant tarptautinius susitarimus kaip JAV CLOUD Act, leidžiantį išorinį priėjimą.

Infrastruktūros nuosavybė ir paslaugų teikėjo būstinė

Mažiau akcento reikalauja žinoti, kas valdo ir prižiūri duomenų centrus, nes dažnai europietiškas paslaugų teikėjas gali naudotis užsienio infrastruktūra, kas gali turėti saugumo ir privatumo pasekmių.

Taip pat, teikėjo buveinė (ir operacijų centras) turi būti Europoje, siekiant garantuoti GDPR atitikimą ir išvengti teisinių problemų ar duomenų pažeidimų.

Prieigos, subrangovų ir atitikties rizikos

Paslaugos teikėjas gali turėti prieigos galimybes savo ir trečiųjų šalių darbuotojams. Svarbu žinoti:

• kas turi prieigą prie duomenų sistemų,
• kokią saugumo politiką ir žurnalų registravimą taiko,
• subrangovų sąrašą, kad įsitikintų jų atitikimu GDPR ir skaitmeninio suvereniteto standartams,
• kaip valdomi tarptautiniai duomenų pervedimai, užtikrinant atitiktį GDPR.

Ką turi užduoti įmonės, DPO ir IT vadovai

Renkantis paslaugų teikėją, svarbu užduoti teisingus klausimus, kad išvengtumėte netikėtų rizikų. Pavyzdžiui:

• Kur yra fizinė duomenų vieta? Ir kokioje šalyje?
• Kur taikoma jurisdikcija?
• Kokia yra infrastruktūros nuosavybė ir valdymas? Ar yra trečiųjų šalių, ir ką jos garantuoja?
• Kaip valdomas nuotolinis duomenų prieigos valdymas? Ar yra prieigos iš trečiųjų šalių ar ne ES šalių?
• Kokie išoriniai teisės aktai gali turėti įtakos duomenų valdymui (pvz., CLOUD Act)?
• Ar paslaugų teikėjas gali užtikrinti visišką GDPR laikymąsi ir paramą audito ar pareiškimų atžvilgiu?
• Kokia duomenų pažeidimų valdymo ir pranešimo politika?

Profesionalių el. pašto paslaugų atvejis

Įmonės el. pašto valdymas yra itin svarbus sritis, kur skaitmeninis suverenitetas įgauna didelę reikšmę. El. laiškai apima jautrius duomenis, strateginę korrespondenciją ir konfidencialią informaciją.

Todėl patikimo europietiško paslaugų teikėjo pasirinkimas gali padėti išlaikyti duomenų kontrolę. Pavyzdžiui, MailProfessionale.com siūlo infrastruktūrą Europoje, skaidrią GDPR atitikimą ir tvirtą skaitmeninio suvereniteto požiūrį, užtikrinant, kad duomenys išliktų tikrąja europine kontrole ir nebūtų paslėptų pavojų dėl jurisdikcijos ar teisės aktų.

GDPR ir tarptautiniai duomenų perdavimai: teisinė sistema

GDPR taiko griežtas taisykles duomenų pervedimams už Europos Ekonominės Erdvės ribų, reikalaujant tinkamų priemonių, kaip standartoje sutarties sąlygos ar kiti mechanizmai. Tačiau, jei paslaugų teikėjas teigia, kad duomenys lieka Europoje, būtina įsitikinti, kad nėra netiesioginių pervedimų ar spaudimo pagal teisės aktus, pavyzdžiui, CLOUD Act.

JAV CLOUD Act iššūkiai

JAV CLOUD Act leidžia JAV institucijoms reikalauti duomenų iš užsienio tiekėjų, jei jie turi reikšmingą buvimą JAV arba glaudžius ryšius su amerikiečių įmonėmis. Tai gali būti konfliktas su Europa privatumu ir skaitmeninio suvereniteto samprata, nes svarbu žiūrėti ne tik į fizinius, tačiau ir teisės aspektus.

Praktinės išvados: kaip pereiti nuo paprastos lokalizacijos

Neužtenka sakyti „duomenys yra Europoje“. Įmonė turi atidžiai patikrinti:

• teisines ir technines paslaugų teikėjo ypatybes;
• faktinę infrastruktūros nuosavybę ir kontrolę;
• duomenų apsaugos, saugumo ir prieigos politiką;
• nepageidaujamą išorinės įtakos nebuvimą arba skaidrią jos valdymą;
• pilną GDPR atitiktį ir specialų paramą duomenų valdymui.

Tik tada galima suteikti konkretų ir patikimą atsakymą į dažnai užduodamą klausimą: kaip užtikrinti duomenų saugumą ir privatumo apsaugą europiniame, tikrai suvereniteto kontekste.