Pieci jautājumi, kas nosaka, cik Eiropeisks ir pakalpojums

2. modulis: Kas patiesībā ir Eiropas mākonis? · Lasīšanas laiks: 11 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet ar piecu jautājumu palīdzību noteikt, kuras valsts tiesību aktiem pakļauts mākoņpakalpojums, un paskaidrot, kāpēc datu centrs Eiropā tam vien nav pietiekams.

Pamatjēdzieni: juridiskā adrese (statūtos noteiktā juridiskā adrese), galīgais īpašnieks, datu centra atrašanās vieta, apakšapstrādātājs, piekļuve no attāluma, atslēgu pārvaldība, ES, EEZ, pietiekamības lēmums, "sovereign cloud"

"Mūsu dati atrodas Eiropā." Un tad?

Gandrīz katrs lielais mākoņpakalpojums mūsdienās to apgalvo: Jūsu dati atrodas datu centrā Frankfurtē, Amsterdamā vai Dublinā. Tas izklausās nomierinoši, taču tas atbild tikai uz vienu no jautājumiem, kam ir nozīme. 1. modulī Jūs uzzinājāt, ka Amerikas Savienoto Valstu CLOUD Act neskatās uz servera atrašanās vietu, bet gan uz uzņēmumu, kura īpašumā, glabāšanā vai kontrolē atrodas dati ("possession, custody, or control"). Tādēļ serveris Frankfurtē, kas pieder uzņēmumam, kura galīgais īpašnieks ir Amerikas uzņēmums, tomēr var tikt pakļauts Amerikas rīkojumam.

Tāpēc Jums jāskatās nevis uz vienu pazīmi, bet uz piecām. Mūsu piemēra Grauds (Bakkerij De Korrel) ar 12 darbiniekiem un domēnu example.com šobrīd izmanto Amerikas biroja programmatūras paketi un vēlas uzzināt, kuras alternatīvas ir patiesi Eiropeiskas. Ar šiem pieciem jautājumiem tā var atdalīt mārketingu no faktiem.

1. jautājums: kur atrodas uzņēmuma juridiskā adrese?

Juridiskā adrese ir valsts, kurā uzņēmums, kas slēdz Jūsu līgumu, ir juridiski reģistrēts: statūtos noteiktā juridiskā adrese. Šī valsts nosaka, kuri tiesību akti primāri attiecas uz uzņēmumu, kurai tiesai ir jurisdikcija un kura uzraudzības iestāde to pārrauga.

Tāpēc neskatieties uz mājaslapu, bet gan uz līgumslēdzēju pusi: nosaukumu vispārīgo noteikumu apakšā, datu apstrādes līgumā un rēķinā. Ja tur rakstīts "Example Cloud Ireland Ltd.", tad Jūsu līgumslēdzēja puse ir Īrijas uzņēmums, pat ja zīmols ir Amerikas. Tas ir labs sākums, bet vēl nav atbilde. Tam nepieciešams 2. jautājums.

2. jautājums: kas ir galīgais īpašnieks?

Galīgais īpašnieks ir uzņēmums vai persona, kas atrodas akcionāru ķēdes augšgalā. Amerikas mātesuzņēmuma Eiropas meitasuzņēmums juridiski ir Eiropas uzņēmums, taču mātesuzņēmumam ir kontrole. Saskaņā ar CLOUD Act Amerikas tiesa var likt mātesuzņēmumam iesniegt datus, kas atrodas meitasuzņēmumā, ja mātesuzņēmumam pār tiem faktiski ir "control". Vai konkrētā gadījumā tas tā ir, atkarīgs no uzņēmuma struktūras. Juristu viedokļi par to atšķiras. Tieši tāpēc tas ir risks, nevis drošība.

Tas var notikt arī otrādi: uzņēmums, kas šobrīd ir Eiropas uzņēmums, rīt var tikt pārņemts. Nīderlandē tas notika 2025. un 2026. gadā saistībā ar Solvinity, uzņēmumu, kas nodrošina DigiD infrastruktūru. Amerikas uzņēmums Kyndryl vēlējās to pārņemt; valdība pārņemšanu aizliedza 2026. gada maijā pēc Bureau Toetsing Investeringen ieteikuma. Tāpēc pakalpojumu sniedzējam vaicājiet arī: kas notiek ar manu līgumu pārņemšanas gadījumā? Vai es tādā gadījumā varu bez maksas lauzt līgumu?

Kur atrast īpašnieku? Komercreģistrā (Nīderlandē KVK, Vācijā Handelsregister), gada pārskatā vai lapā "Par mums" vai "Impressum". Biržā kotētiem uzņēmumiem tas norādīts gada pārskatos.

3. jautājums: kur atrodas dati un rezerves kopijas?

Datu centra atrašanās vieta joprojām ir svarīga. Ja Jūsu dati atrodas ES, tad VDAR izpratnē nav nodošanas ārpus EEZ, kamēr neviens no ārpuses tiem nevar piekļūt. Jautājiet par visām vietām: galveno datu centru, rezerves datu centru un dublējumkopijām. Pakalpojumu sniedzējam ar serveriem Nīderlandē un dublējumkopijām Amerikas Savienotajās Valstīs patiešām notiek datu nodošana.

Pievērsiet uzmanību trim jēdzieniem, kurus bieži sajauc:

Tātad Šveice un Apvienotā Karaliste nav ES, taču pakalpojumu šajās valstīs saskaņā ar VDAR drīkstat izmantot bez papildu līguma nosacījumiem. Lēmums par Šveici datēts ar 2000. gadu un 2024. gada janvārī pēc atkārtotas izvērtēšanas ticis apstiprināts. Lēmums par Apvienoto Karalisti 2025. gada 19. decembrī ticis pagarināts līdz 2031. gada 27. decembrim. Pietiekamības lēmumu tomēr var pārskatīt vai Eiropas Savienības Tiesa to var atcelt: tas divreiz noticis ar vienošanos ar ASV (1. modulis, 1.4. nodarbība). Attiecībā uz Amerikas Savienotajām Valstīm šobrīd ir spēkā Data Privacy Framework, taču tikai tiem Amerikas uzņēmumiem, kas tam ir pievienojušies, un ar to nenoteiktību, ko Jūs redzējāt 1.4. nodarbībā.

4. jautājums: kas vēl var piekļūt? Apakšapstrādātāji un piekļuve no attāluma

Apakšapstrādātājs ir cits uzņēmums, ko pakalpojumu sniedzējs piesaista un kas pie tam apstrādā vai var redzēt Jūsu datus: datu centrs, dublēšanas pakalpojums, e-pasta piegādes uzņēmums, atbalsta nodaļa citā valstī, MI pakalpojums, kas apkopo e-pasta vēstules. VDAR pieprasa, lai pakalpojumu sniedzējs Jūs iepriekš informētu, kurus apakšapstrādātājus tas izmanto, un dotu iespēju iebilst pret jauniem (VDAR 28. pants, 9.2. nodarbība).

Īpaši pievērsiet uzmanību piekļuvei no attāluma. Dati, kas atrodas Amsterdamā, bet kuriem atbalsta darbinieks valstī ārpus EEZ var piekļūt, lai novērstu darbības traucējumu, saskaņā ar Eiropas uzraudzības iestāžu nostāju arī tiek uzskatīti par nodotiem. Tātad datu centrs Eiropā ar atbalsta dienestu, kas visā pasaulē visu diennakti var piekļūt datiem, ir mazāk Eiropeisks, nekā varētu šķist.

Kur atrast šo sarakstu? Parasti kā pielikumu datu apstrādes līgumam vai atsevišķā lapā "apakšapstrādātāji" vai "sub-processors". Ja šāda saraksta nav vai tas ir neskaidrs ("mēs sadarbojamies ar rūpīgi izvēlētiem partneriem"), tas ir brīdinājuma signāls.

5. jautājums: kam ir atslēga?

Šifrēšana pasargā no citiem tikai tad, ja viņiem nav atslēgas. Lielākajā daļā mākoņpakalpojumu Jūsu dati ir šifrēti pārraides laikā (https) un miera stāvoklī (diskā), taču atslēga ir pakalpojumu sniedzēja rīcībā. Ja pakalpojumu sniedzējam jāiesniedz dati, tas tos var atšifrēt. Ar pilnīgu šifrēšanu (end-to-end) jeb šifrēšanu ar atslēgu, ko pārvaldāt tikai Jūs, pakalpojumu sniedzējs to nevar izdarīt. Tas sniedz labāku aizsardzību, taču tam ir sava cena: meklēšana, kopīga rediģēšana pārlūkprogrammā un aizmirstas paroles atjaunošana bieži vien nedarbojas vai darbojas ierobežoti. Tātad jautājiet: kuras sastāvdaļas ir šifrētas ar pilnīgu šifrēšanu, un ko tādā gadījumā vairs nevarēšu izdarīt?

Amerikas uzņēmumu "sovereign cloud" pakalpojumi

Lielie Amerikas pakalpojumu sniedzēji reaģē uz pieprasījumu pēc suverenitātes. Daži piemēri, lai Jūs atpazītu šos terminus:

• Microsoft EU Data Boundary: Microsoft 2025. gada februārī paziņoja, ka Microsoft 365, Dynamics 365, Power Platform un lielākās daļas Azure pakalpojumu klientu dati tiek glabāti un apstrādāti ES un EEZ valstīs, tostarp atbalsta dati. Microsoft pats norāda, ka ierobežotos gadījumos dati joprojām tiek apstrādāti ārpus ES, piemēram, drošības nolūkos. Microsoft paliek Amerikas uzņēmums. 2025. gada jūnijā Microsoft Francijas juridiskais direktors zem zvēresta Francijas Senātā paziņoja, ka nevar garantēt, ka dati nekad netiks nodoti Amerikas iestādēm bez atļaujas.
• AWS European Sovereign Cloud: vispārēji pieejams kopš 2026. gada 15. janvāra, ar pirmo reģionu Brandenburgā (Vācija). To pārvalda Vācijas sabiedrība ar personālu ES, un tas ir tehniski nodalīts no pārējā AWS. Galīgais mātesuzņēmums ir Amazon. Analītiķi norāda, ka tādēļ CLOUD Act risks var būt mazāks, taču nav pierādāmi novērsts.
• Sadarbības modeļi: Francijā un Vācijā ir Eiropas uzņēmumi, kas pēc licences izmanto Amerikas mākoņtehnoloģijas tā, lai kontrole paliktu Eiropas uzņēmuma rokās. Vai tas darbojas, atkarīgs no vienošanās par atjauninājumiem, pārvaldību un piekļuvi.

Šādi pakalpojumi dažām organizācijām var būt saprātīgs starpposma solis. Taču uzdodiet tiem tos pašus piecus jautājumus. Atbilde uz 2. jautājumu (īpašnieks) šiem pakalpojumiem paliek atšķirīga no uzņēmuma, kas ir pilnībā Eiropeisks.

Praksē: šādi tas izskatās pie pakalpojumu sniedzēja

Ņemsim WebOké Nextcloud kā piemēru. Juridiskā adrese un īpašnieks: Nīderlandes bv. Datu centrs: saskaņā ar rokasgrāmatu divi NorthC Nīderlandes datu centri. Programmatūra: Nextcloud, ko izstrādājis Vācijas uzņēmums Nextcloud GmbH, atvērtā pirmkoda programmatūra. Krātuves šifrēšanas atslēga atrodas pakalpojumu sniedzēja rīcībā; pilnīgu šifrēšanu (end-to-end) Jūs varat pats ieslēgt katrai mapei atsevišķi. Pie citiem Eiropas pakalpojumu sniedzējiem, piemēram, citiem Nextcloud pakalpojumu sniedzējiem, mailbox.org, Infomaniak vai IONOS, meklējiet tās pašas piecas atbildes tajās pašās vietās: līgumā, komercreģistrā, datu apstrādes līgumā un apakšapstrādātāju sarakstā.

Kopsavilkums

• Datu centrs Eiropā atbild tikai uz vienu no pieciem jautājumiem.
• Pieci jautājumi: juridiskā adrese, galīgais īpašnieks, datu un dublējumkopiju atrašanās vieta, apakšapstrādātāji un piekļuve no attāluma, kā arī kam ir atslēga.
• Amerikas uzņēmuma Eiropas meitasuzņēmums, iespējams, tomēr ir pakļauts CLOUD Act.
• Šveice un Apvienotā Karaliste nav ES, taču tām ir pietiekamības lēmums; EEZ ir ES plus Norvēģija, Islande un Lihtenšteina.
• Amerikas uzņēmumu "sovereign cloud" pakalpojumi samazina riskus, taču nemaina atbildi uz jautājumu par īpašnieku.

Tests

Uzdevums

A2.1 uzdevums: Kas saņem un sūta e-pastu Jūsu domēna vārdā? Ievadiet savu domēnu. Programma meklēs MX ierakstus un pilnībā atšifrēs Jūsu SPF ierakstu. Jūs ierakstāt, kuras organizācijas saņem Jūsu e-pastu un kuras drīkst sūtīt e-pastu Jūsu vārdā. Tā dažu minūšu laikā redzēsiet, kuras puses jau ir iesaistītas Jūsu e-pastā.

E2.1 uzdevums: Pieci jautājumi par Jūsu pašu pakalpojumiem. Izvēlieties divus pakalpojumus, ko šobrīd izmantojat (piemēram, savu e-pastu un failu krātuvi), un vienu iespējamo Eiropas aizstājēju. Visiem trim atradiet atbildes uz pieciem jautājumiem, norādot arī avotu.

Lasiet tālāk

Šajos rakstos aprakstītās darbības attiecas uz WebOké pakalpojumiem; pie citiem pakalpojumu sniedzējiem process ir līdzīgs.

• Nextcloud rokasgrāmata 1.1: Kas ir Nextcloud un kas ir WebOké Nextcloud?
• Nextcloud rokasgrāmata 3.1: Kā WebOké aizsargā Jūsu Nextcloud?
• Nextcloud rokasgrāmata 15.13: Biežāk uzdotie jautājumi par drošību un privātumu
• Eiropas Komisija, pietiekamības lēmumu pārskats: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (dati "regardless of whether" tie atrodas ASV vai ārpus tās)