Дан[i] у Европи и дигитални суверенитет: шта компаније треба да размотре

Локација података: први корак, али није једини

У светлу све веће осетљивости према заштити података, одабир провајдера који архељише податке у Европи делује као природна и скоро аутоматска одлука. Ипак, присуство података у европским границама не гарантује у потпуности дигитални суверенитет.

Локација је само један аспект, који укључује и:

• юрисдикцију којом управља провајдер;
• право и контролу над техничком инфраструктуром;
• седиште компаније која пружа услугу;
• услове и начине даљинског приступа, укључујући могуће приступе из ванеуропских земаља;
• присуство и улогу спољних партнера или добављача;
• обавезе које произлазе из прописа ван ЕУ, као што је амерички CLOUD акт.

Јурисдикција и контрола: права кључ дигиталног суверенитета

Концепт дигиталног суверенитета подразумева да организација може да врши стварни и потпуни контролу над својим подацима, не само географски, већ и правно. На пример, ако европски провајдер користи инфраструктуре или услуге трећих страна ван ЕУ, подаци могу бити предмет захтева страних власти.

Веза између локације, јурисдикције и дигиталног суверенитета треба пажљиво анализирати, оцењујући законе којима је провајдер подложан, укључујући и међународне споразуме као што је амерички CLOUD акт који дозвољава приступ изван територије.

Имена власништва инфраструктуре и седиште провајдера

Такође је важно разумети ко у стварности поседује и управља дата центрима где су подаци смештени. Често, европски провајдер може се ослањати на colocation инфраструктуре или закуп ресурса од ваневропских оператора, што може имати импликације по безбедност и приватност.

Основа, седиште провајдера (и његова оперативна база), мора бити у Европи, како би се гарантовао GDPR и избегле потешкоће у случају спорова или кршења података.

Приступи, спољни добављачи и ризици у сагласности

Ко пружа услугу е-мејла или хостинга може имати приступ од страних службеника или трећих лица. Неопходно је знати:

• ко има приступ системима са подацима;
• каве су безбедносне политике и праћење приступа;
• комплетну листу спољних добављача који учествују, како би се провјерило да и они поштују GDPR и одговарајуће протоколе суверенитета;
• начине којима се ругује са могућим интернационалним преносима података, уз поштовање GDPR захтева.

Шта компаније, ДПО и ИТ одговорни треба да питају

Пре него што приступе одабиру провајдера, важно је поставити адекватна питања како би се избегли непредвиђени ризици. Најважнија од њих су:

• Где су физички смештени подаци? И у којој земљи тачно?
• Која јурисдикција важи за провајдера и његову инфраструктуру?
• Ко поседује дата центре и хардверску инфраструктуру? Јесу ли укључени трећи лица, и које гаранције се дају?
• Како се управља даљинским приступом подацима? Јесу ли приступи изван ЕУ или од стране спољних особа?
• Које прописе изван ЕУ могу утицати на управљање подацима (нпр. CLOUD акт)?
• Да ли је провајдер у стању да гарантује потпуну усклађеност са GDPR и да пружи подршку у случају надзора или захтева корисника?
• Која је политика за кршење података и обавештавање у случају инцидента?

Посебан случај професионалне електронске поште

Управљање пословном е-адресом је један од критичних аспеката у којем суверенитет дигиталног простора добија на значају. Пошта садржи осетљиве податке, стратешку кореспонденцију и поверљиве информације.

Ту је одлука о поузданом европском провајдеру од изузетне важности. Решење MailProfessionale.com, на пример, фокусира се на европске инфраструктуре, транспарентно управљање, усклађеност са GDPR и конкретан приступ суверенитету, осигуравајући да подаци заиста остану под европском контролом и избегну закопане ризике везане за юрисдикцију или прописе изван Европе.

Границе GDPR-а и међународни преноси података: правни оквир

GDPR прописује строге услове за пренос података изван Европског економског простора, што захтева прецизно процењивање ризика и коришћење гаранција као што су стандардне уговорне клаузуле или еквивалентни механизми. Ипак, чак и ако провајдер тврди да остаје у Европи, важно је проверити да ли су у питању индиректни преноси или притисак законом попут CLOUD акта.

Изазови CLOUD акта

Амерички CLOUD акт дозвољава да америчке власти траже податке од страних провајдера, ако имају значајно присуство у САД или сарадњу са америчким компанијама. Ово ствара потенцијални сукоб са европском заштитом приватности и отвара питање суверенитета ако се не посматрају само границе физичке, већ и легалне.

Практични закључци: како превазићи само локализацију

Довољно је рећи „податци су у Европи“. Пословне компаније треба да провере：

• јудикативни и технички аспект провајдера;
• реално власништво и контрола над објектима;
• политике заштите, безбедности и приступа;
• искорењеност или транспарентност утицаја вантериторијалних сила;
• потпуну усклађеност са GDPR и подршку за управљање податакама.

Само тако можете пружити конкретан и поуздан одговор на питање које постављају многе компаније: како обезбедити безбедност и приватност података у заиста сувереном Европском окружењу.