Pet vprašanj, ki določajo, kako evropska je neka storitev

Modul 2: Kaj evropski oblak resnično je? · Čas branja: 11 minut

Učni cilj: Po tej lekciji boste s pomočjo petih vprašanj znali ugotoviti, pod katero pravo spada oblačna storitev, in pojasniti, zakaj podatkovni center v Evropi za to ne zadošča.

Ključni pojmi: sedež (registrirani sedež), končni lastnik, lokacija podatkovnega centra, podobdelovalec, dostop na daljavo, upravljanje ključev, EU, EGP, sklep o ustreznosti, "sovereign cloud"

"Naši podatki so v Evropi." In kaj potem?

Skoraj vsaka velika oblačna storitev to danes trdi: Vaši podatki so v podatkovnem centru v Frankfurtu, Amsterdamu ali Dublinu. To zveni pomirjujoče, a odgovarja le na eno od vprašanj, ki so pomembna. V modulu 1 ste videli, da ameriški CLOUD Act ne gleda na lokacijo strežnika, temveč na podjetje, ki ima podatke v svoji posesti, hrambi ali oblasti ("possession, custody, or control"). Strežnik v Frankfurtu, ki pripada podjetju, ki je v končni fazi ameriško, lahko torej vseeno spada pod ameriško odredbo.

Zato ne gledate samo enega znaka, temveč pet. Pekarna De Korrel iz našega primera (12 zaposlenih, domena example.com) trenutno uporablja ameriški pisarniški paket in želi vedeti, kateri alternativi sta resnično evropski. S temi petimi vprašanji loči trženjske trditve od dejstev.

Vprašanje 1: kje ima podjetje sedež?

Sedež je država, kjer je podjetje, ki podpiše Vašo pogodbo, pravno registrirano: registrirani sedež. Ta država določa, katero pravo se v prvi vrsti uporablja za podjetje, katero sodišče je pristojno in kateri nadzorni organ nadzoruje poslovanje.

Pri tem ne glejte spletne strani, temveč pogodbeno stranko: ime na dnu splošnih pogojev, pogodbe o obdelavi osebnih podatkov in računa. Če tam piše "Example Cloud Ireland Ltd.", je Vaša pogodbena stranka irska, tudi če je blagovna znamka ameriška. To je dober začetek, a še ni odgovor. Za to potrebujete vprašanje 2.

Vprašanje 2: kdo je končni lastnik?

Končni lastnik je podjetje ali oseba, ki stoji na vrhu verige delničarjev. Evropska hčerinska družba ameriškega matičnega podjetja je pravno gledano evropsko podjetje, vendar ima nadzor nad njo matično podjetje. Po CLOUD Actu lahko ameriško sodišče matičnemu podjetju naloži, naj izroči podatke, ki se nahajajo pri hčerinski družbi, če ima matično podjetje nad njimi dejansko "control". Ali je to v konkretnem primeru res, je odvisno od tega, kako je podjetje organizirano. Pravniki se o tem ne strinjajo. Prav zato gre za tveganje, ne za gotovost.

Možno je tudi obratno: podjetje, ki je danes evropsko, je lahko jutri prevzeto. Na Nizozemskem se je to leta 2025 in 2026 dogajalo v zvezi s podjetjem Solvinity, ki stoji za infrastrukturo sistema DigiD. Ameriško podjetje Kyndryl ga je želelo prevzeti; vlada je prevzem maja 2026 prepovedala po nasvetu Urada za presojo naložb (Bureau Toetsing Investeringen). Ponudnika torej vprašajte tudi: kaj se zgodi z mojo pogodbo ob prevzemu? Ali lahko takrat brezplačno odpovem pogodbo?

Kje najdete lastnika? V poslovnem registru (na Nizozemskem KVK, v Nemčiji Handelsregister), v letnem poročilu ali na strani "O nas" oziroma "Impressum". Pri borznih podjetjih je to navedeno v letnih računovodskih izkazih.

Vprašanje 3: kje so podatki in varnostne kopije?

Lokacija podatkovnega centra ostaja pomembna. Če so Vaši podatki v EU, ne gre za prenos izven EGP v smislu GDPR, dokler do njih ne more dostopati nihče od zunaj. Povprašajte o vseh lokacijah: primarnem podatkovnem centru, rezervnem podatkovnem centru in varnostnih kopijah. Ponudnik s strežniki na Nizozemskem in varnostnimi kopijami v Združenih državah ima vsekakor prenos podatkov.

Bodite pozorni na tri pojme, ki se pogosto zamenjujejo:

Švica in Združeno kraljestvo torej nista EU, vendar lahko storitev tam po GDPR uporabljate brez dodatnih pogodbenih določil. Sklep za Švico izvira iz leta 2000 in je bil januarja 2024 potrjen ob ponovni presoji. Sklep za Združeno kraljestvo je bil 19. decembra 2025 podaljšan do 27. decembra 2031. Sklep o ustreznosti pa je lahko spremenjen ali razveljavljen s strani Sodišča Evropske unije: to se je dvakrat zgodilo z dogovori z ZDA (modul 1, lekcija 1.4). Za Združene države zdaj velja Data Privacy Framework, vendar le za ameriška podjetja, ki so se temu pridružila, in z negotovostjo, ki ste jo spoznali v lekciji 1.4.

Vprašanje 4: kdo ima še dostop? Podobdelovalci in dostop na daljavo

Podobdelovalec je drugo podjetje, ki ga ponudnik vključi in ki pri tem obdeluje ali lahko vidi Vaše podatke: podatkovni center, storitev varnostnega kopiranja, podjetje za dostavo e-pošte, podporni oddelek v drugi državi, UI storitev, ki povzema e-pošto. GDPR zahteva, da Vas ponudnik vnaprej obvesti, katere podobdelovalce uporablja, in Vam omogoči ugovor zoper nove (člen 28 GDPR, lekcija 9.2).

Še posebej bodite pozorni na dostop na daljavo. Podatki, ki so shranjeni v Amsterdamu, a jih lahko za odpravo napake pregleda podporni sodelavec v državi zunaj EGP, po mnenju evropskih nadzornih organov prav tako veljajo za prenesene. Podatkovni center v Evropi s podporno službo, ki ves čas po svetu spremlja dogajanje 24 ur na dan, je torej manj evropski, kot se zdi.

Kje najdete ta seznam? Običajno kot prilogo k pogodbi o obdelavi osebnih podatkov ali na ločeni strani "podobdelovalci" oziroma "sub-processors". Če tega seznama ni ali je nejasen ("sodelujemo s skrbno izbranimi partnerji"), je to opozorilni znak.

Vprašanje 5: kdo ima ključ?

Šifriranje pomaga proti drugim le, če ti nimajo ključa. Pri večini oblačnih storitev so Vaši podatki šifrirani med prenosom (https) in v mirovanju (na disku), vendar ima ključ ponudnik. Če mora ponudnik izročiti podatke, jih lahko dešifrira. Pri šifriranju od konca do konca (end-to-end) ali šifriranju s ključem, ki ga upravljate samo Vi, tega ponudnik ne more storiti. To bolje varuje, vendar ima svojo ceno: iskanje, skupno urejanje v brskalniku in obnovitev pozabljenega gesla pogosto ne delujejo ali delujejo omejeno. Vprašajte torej: kateri deli so šifrirani od konca do konca in česa potem ne morem več storiti?

"Sovereign cloud" ameriških podjetij

Veliki ameriški ponudniki se odzivajo na povpraševanje po suverenosti. Nekaj primerov, da prepoznate te izraze:

• Microsoft EU Data Boundary: Microsoft je februarja 2025 sporočil, da se podatki strank storitev Microsoft 365, Dynamics 365, Power Platform in večine storitev Azure shranjujejo in obdelujejo znotraj EU in držav EGP, vključno s podatki za podporo. Microsoft sam navaja, da se v omejenih primerih podatki še vedno obdelujejo zunaj EU, na primer za namene varnosti. Microsoft ostaja ameriško podjetje. Junija 2025 je pravni direktor Microsoftove francoske podružnice pod prisego pred francoskim senatom izjavil, da ne more zagotoviti, da podatki nikoli ne bodo brez dovoljenja izročeni ameriškim organom.
• AWS European Sovereign Cloud: splošno dostopen od 15. januarja 2026, s prvo regijo v Brandenburgu (Nemčija). Upravlja ga nemška družba z osebjem v EU in je tehnično ločen od preostalega dela AWS. Končno matično podjetje je Amazon. Analitiki opozarjajo, da je tveganje po CLOUD Actu zato lahko manjše, ni pa dokazljivo odpravljeno.
• Modeli sodelovanja: v Franciji in Nemčiji obstajajo evropska podjetja, ki poganjajo ameriško oblačno tehnologijo na podlagi licence, tako da ima nadzor evropsko podjetje. Ali to deluje, je odvisno od dogovorov o posodobitvah, upravljanju in dostopu.

Takšne storitve so lahko za nekatere organizacije razumen vmesni korak. Vendar jim zastavite ista pet vprašanj. Odgovor na vprašanje 2 (lastnik) pri teh storitvah ostaja drugačen kot pri podjetju, ki je v celoti evropsko.

V praksi: tako je videti pri ponudniku

Vzemimo za primer WebOkéjev Nextcloud. Sedež in lastnik: nizozemska d.o.o. Podatkovni center: po navodilih dva nizozemska podatkovna centra podjetja NorthC. Programska oprema: Nextcloud, ki ga izdeluje nemško podjetje Nextcloud GmbH, odprtokodno. Ključ za šifriranje shrambe hrani ponudnik; šifriranje od konca do konca lahko sami vklopite po posameznih mapah. Pri drugih evropskih ponudnikih, kot so drugi ponudniki Nextcloud, mailbox.org, Infomaniak ali IONOS, iste odgovore na pet vprašanj poiščite na istih mestih: pogodba, poslovni register, pogodba o obdelavi osebnih podatkov in seznam podobdelovalcev.

Povzetek

• Podatkovni center v Evropi odgovarja le na eno od petih vprašanj.
• Pet vprašanj: sedež, končni lastnik, lokacija podatkov in varnostnih kopij, podobdelovalci in dostop na daljavo ter kdo ima ključ.
• Evropska hčerinska družba ameriškega podjetja lahko kljub temu spada pod CLOUD Act.
• Švica in Združeno kraljestvo nista EU, imata pa sklep o ustreznosti; EGP je EU plus Norveška, Islandija in Lihtenštajn.
• Storitve "sovereign cloud" ameriških podjetij zmanjšujejo tveganja, vendar ne spremenijo odgovora na vprašanje o lastništvu.

Kviz

Naloga

Naloga A2.1: Kdo prejema in pošilja pošto za Vašo domeno? Vnesite svojo lastno domeno. Program poišče zapise MX in v celoti razčleni Vaš zapis SPF. Vi vnesete, katere organizacije prejemajo Vašo pošto in katere smejo pošiljati pošto v Vašem imenu. Tako v nekaj minutah vidite, katere strani so že vključene v Vašo e-pošto.

Naloga E2.1: Pet vprašanj za Vaše lastne storitve. Izberite dve storitvi, ki ju trenutno uporabljate (na primer Vašo e-pošto in shrambo datotek), ter eno morebitno evropsko zamenjavo. Za vse tri poiščite odgovore na pet vprašanj, skupaj z virom.

Za nadaljnje branje

Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik za Nextcloud 1.1: Kaj je Nextcloud in kaj je WebOké Nextcloud?
• Priročnik za Nextcloud 3.1: Kako WebOké zaščiti Vaš Nextcloud?
• Priročnik za Nextcloud 15.13: Pogosta vprašanja o varnosti in zasebnosti
• Evropska komisija, pregled sklepov o ustreznosti: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (podatki "regardless of whether" so v ZDA ali zunaj njih)