Suveranitatea datelor este principiul potrivit căruia datele digitale sunt supuse legilor țării în care sunt stocate sau prelucrate și, adesea, și legilor țării de origine a companiei care le administrează. Cu alte cuvinte, aceleași fișiere pot avea drepturi și obligații diferite în funcție de serverul pe care stau și de cine deține acel server. Pentru un utilizator obișnuit diferența pare abstractă; pentru o firmă, un spital sau o instituție publică, poate decide ce furnizor de cloud are voie să folosească.
Subiectul a devenit important pe măsură ce tot mai multe date au trecut în cloud, la furnizori care operează simultan în zeci de țări. Mai jos găsești termenii de bază, regulile europene care contează, de ce locul fizic al serverului nu este singurul criteriu și ce întrebări practice pui unui furnizor. Informațiile au caracter general; legislația se schimbă, iar pentru situații concrete este nevoie de un avocat specializat în protecția datelor sau de consultarea autorităților competente.
Termenii de bază: suveranitate, rezidență, localizare
Trei expresii apropiate sunt folosite des ca sinonime, deși înseamnă lucruri diferite. Distincția contează când citești un contract sau o ofertă de cloud.
| Termen | Ce înseamnă | Exemplu |
|---|---|---|
| Rezidența datelor | Locul geografic în care sunt stocate fizic datele, ales de client sau impus de contract | O firmă alege ca fișierele să stea doar în centre de date din UE |
| Localizarea datelor | O obligație legală ca anumite date să rămână în interiorul unei țări | O lege națională cere ca anumite registre publice să fie găzduite în țară |
| Suveranitatea datelor | Ansamblul legilor care se aplică datelor și controlul efectiv asupra lor | Datele stau în UE, dar furnizorul poate fi obligat de legea țării lui de origine să le predea |
Suveranitatea digitală, sensul mai larg
În dezbaterile europene apare și expresia suveranitate digitală: capacitatea unei țări sau a Uniunii de a decide singură asupra infrastructurii, tehnologiilor și datelor de care depinde. Ea include nu doar unde stau datele, ci și cine produce procesoarele, cine operează centrele de date, cine scrie software-ul și cât de ușor poți schimba furnizorul.
De ce contează unde stau datele
Locul în care sunt stocate datele contează pentru că stabilește ce autorități pot cere acces la ele, ce reguli de protecție se aplică și ce drepturi ai dacă ceva merge prost. Un server este un obiect fizic, într-o clădire aflată pe teritoriul unui stat, supusă legilor acelui stat. Cum arată aceste clădiri afli în Centrele de date: cum funcționează și ce resurse consumă.
Motivele concrete pentru care organizațiile urmăresc locul datelor:
- conformitatea legală: unele categorii de date au reguli speciale de transfer sau de păstrare;
- accesul autorităților: o lege străină poate permite unei agenții să ceară date fără ca titularul să afle;
- continuitatea: o criză politică, sancțiuni sau un conflict comercial pot întrerupe accesul la servicii;
- încrederea clienților: mulți clienți întreabă explicit unde le sunt stocate datele;
- latența: datele apropiate geografic de utilizatori se încarcă mai repede, aspect explicat în Latența și lățimea de bandă: ce înseamnă viteza internetului.
GDPR și transferurile de date în afara Europei
În Uniunea Europeană, regula centrală este Regulamentul general privind protecția datelor (GDPR), aplicabil direct și în România. Regulamentul nu interzice stocarea datelor personale în afara Europei, dar cere ca transferul să aibă o bază legală care asigură un nivel de protecție echivalent cu cel european.
Mecanismele de transfer prevăzute de GDPR
Capitolul V al regulamentului stabilește căile prin care datele personale pot ieși legal din Spațiul Economic European (statele UE plus Islanda, Liechtenstein și Norvegia):
- Decizia de adecvare: Comisia Europeană constată că o țară oferă un nivel de protecție adecvat, iar transferurile spre ea se fac ca în interiorul Uniunii.
- Clauzele contractuale standard: modele de contract aprobate de Comisie, semnate între cel care trimite datele și cel care le primește.
- Regulile corporatiste obligatorii: reguli interne aprobate de autorități, pentru transferurile din interiorul unui grup de firme.
- Derogările: situații limitate, de exemplu consimțământul explicit al persoanei sau executarea unui contract cu ea.
Lecția deciziei Schrems II
În 2020, Curtea de Justiție a Uniunii Europene a invalidat mecanismul folosit atunci pentru transferurile de date spre Statele Unite, într-o cauză cunoscută drept Schrems II. Curtea a considerat că legile de supraveghere americane nu ofereau garanții echivalente celor europene. De atunci, organizațiile care folosesc clauze contractuale standard trebuie să evalueze și legislația țării de destinație și, la nevoie, să adauge măsuri suplimentare, cum ar fi criptarea cu chei păstrate în Europa. Ulterior, Comisia a adoptat o nouă decizie de adecvare pentru transferurile spre organizațiile americane care aderă la un cadru dedicat, însă situația juridică rămâne un subiect urmărit atent și poate evolua.
Important: Regulile de transfer se aplică datelor personale, adică oricărei informații despre o persoană identificată sau identificabilă. Datele cu adevărat anonime nu intră sub GDPR, dar anonimizarea reală este greu de obținut, după cum explică ghidul despre big data.
Legile cu efect extrateritorial: de ce nu ajunge serverul din Europa
Faptul că datele stau fizic în Europa nu garantează că sunt supuse doar legilor europene. Dacă furnizorul care le administrează este o companie dintr-o altă țară, legile acelei țări îl pot obliga să predea date aflate sub controlul lui, oriunde s-ar afla serverele.
Exemplul cel mai discutat este o lege americană din 2018, cunoscută sub numele CLOUD Act, care permite autorităților din SUA să ceară furnizorilor americani date aflate în posesia sau sub controlul lor, inclusiv cele stocate în străinătate, în condițiile prevăzute de acea lege. Situații asemănătoare pot exista și în alte state. De aici rezultă o distincție importantă:
- controlul juridic: ce legi se aplică firmei care operează serviciul;
- controlul tehnic: cine poate, practic, accesa datele în clar;
- controlul operațional: cine administrează zilnic infrastructura și din ce țară.
Criptarea ca măsură de protecție
O cale de a reduce riscul este ca datele să fie criptate cu chei pe care furnizorul nu le deține. Dacă cheile stau la client sau într-un echipament controlat de el, o cerere adresată furnizorului ar produce doar date cifrate, inutilizabile. Principiile cheilor sunt descrise în Criptografia pe scurt: criptare simetrică, asimetrică și chei, iar varianta în care doar destinatarul poate citi conținutul este explicată în Criptarea end-to-end: ce protejează și ce nu.
Cloud suveran: ce înseamnă și ce promite
Cloud suveran este o denumire folosită pentru serviciile de cloud concepute astfel încât datele, operarea și controlul juridic să rămână în interiorul unei țări sau al Uniunii Europene. Termenul nu are o definiție legală unică, de aceea merită verificat ce înseamnă concret în fiecare ofertă.
| Nivel de suveranitate | Ce garantează | Ce nu garantează neapărat |
|---|---|---|
| Rezidență în UE | Datele stau pe servere din Uniune | Că furnizorul nu poate fi obligat de o lege străină |
| Operare din UE | Personalul care administrează sistemele este în Uniune | Că firma-mamă nu este străină |
| Chei controlate de client | Furnizorul nu poate citi datele fără clientul | Că serviciul nu poate fi întrerupt |
| Firmă și operare integral europene | Se aplică doar dreptul european | Că serviciul are toate funcțiile marilor furnizori |
Contextul european și românesc
Uniunea Europeană a adoptat în ultimii ani mai multe acte care ating aceste subiecte. Regulamentul privind datele (Data Act) include reguli care obligă furnizorii de cloud să faciliteze mutarea clientului la alt furnizor și elimină treptat taxele de schimbare. Directiva NIS2 stabilește obligații de securitate cibernetică pentru organizațiile din sectoare importante, inclusiv pentru furnizorii de cloud și de centre de date; în România, autoritatea de referință pentru securitate cibernetică este Directoratul Național de Securitate Cibernetică (DNSC). Statul român are, de asemenea, în plan sau în dezvoltare o infrastructură de cloud guvernamental pentru serviciile publice.
Pentru datele personale, autoritatea de supraveghere din România este ANSPDCP, care publică ghiduri și primește plângeri. Ghidurile Comitetului European pentru Protecția Datelor privind transferurile sunt și ele o referință utilă pentru specialiști.
Ce înseamnă suveranitatea datelor pentru tine
Pentru un utilizator obișnuit, suveranitatea datelor se traduce în câteva întrebări simple despre serviciile folosite zilnic: în ce țară stau datele, cine le poate accesa și ce drepturi ai. Nu este nevoie să devii jurist, dar merită să știi unde să cauți răspunsurile.
- Citește secțiunea despre transferuri din politica de confidențialitate; acolo trebuie să scrie dacă datele ajung în afara SEE și pe ce bază.
- Folosește drepturile GDPR: dreptul de acces, de rectificare, de ștergere și de portabilitate a datelor.
- Preferă criptarea end-to-end pentru mesaje și fișiere sensibile, ca locul serverului să conteze mai puțin.
- Verifică setările de regiune, acolo unde serviciul le oferă.
Toate aceste obiceiuri completează regulile de bază din ghidul de securitate online.
Ce verifici dacă alegi un furnizor pentru o firmă
Pentru o firmă, suveranitatea datelor se transformă într-o listă de verificare înainte de semnarea contractului cu un furnizor de cloud. Răspunsurile trebuie să apară în scris, în contract și în anexele lui, nu doar în materialele de prezentare.
- În ce regiuni sunt stocate datele și dacă poți bloca stocarea în afara UE.
- Unde se află suportul tehnic și administratorii care pot accesa sistemele.
- Ce subcontractori (sub-împuterniciți) folosește furnizorul și în ce țări.
- Ce mecanism de transfer se aplică dacă datele ies totuși din SEE.
- Cine gestionează cheile de criptare și dacă există opțiunea de chei proprii.
- Cum răspunde furnizorul la cererile autorităților străine și dacă te informează.
- Cum îți recuperezi datele la încetarea contractului, în ce format și în cât timp.
Sfat: Clasifică-ți datele înainte de a alege furnizorul. Nu toate datele au aceeași sensibilitate: un site de prezentare poate sta oriunde, dar dosarele angajaților sau datele medicale ale clienților cer reguli mult mai stricte.
Atenție: Acest articol explică noțiuni generale și nu reprezintă consultanță juridică. Legislația și interpretarea ei se pot schimba; pentru cazul tău concret, consultă un avocat specializat sau responsabilul cu protecția datelor din organizație.
Pentru a înțelege diferențele dintre tipurile de servicii pe care le vei evalua, vezi IaaS, PaaS și SaaS: diferențele explicate simplu, iar pentru imaginea generală, ghidul complet despre cloud computing.
Ideile principale despre suveranitatea datelor
Suveranitatea datelor înseamnă că datele nu sunt doar informații tehnice, ci obiecte juridice: legile țării în care stau și ale țării furnizorului se aplică asupra lor. În Europa, GDPR permite transferurile în afara SEE doar pe baze legale clare, iar legile străine cu efect extrateritorial fac ca locul serverului să nu fie singurul criteriu. Controlul cheilor de criptare și al operării contează la fel de mult ca adresa centrului de date.
De reținut:
- rezidența este locul datelor, localizarea este o obligație legală, suveranitatea este controlul juridic și practic;
- GDPR cere o bază legală pentru transferurile în afara SEE;
- un server în Europa operat de o firmă străină poate intra sub legi străine;
- criptarea cu chei proprii reduce riscul de acces neautorizat;
- clauzele despre regiuni, subcontractori și chei trebuie să fie în contract.
Întrebări frecvente
Este ilegal să stochez date personale în afara Uniunii Europene?
Nu, dacă transferul are o bază legală prevăzută de GDPR, de exemplu o decizie de adecvare sau clauze contractuale standard însoțite de evaluarea riscurilor. Fără o astfel de bază, transferul nu este permis.
Ce diferență este între rezidența și suveranitatea datelor?
Rezidența arată doar unde sunt stocate fizic datele. Suveranitatea privește ansamblul legilor aplicabile și cine are controlul efectiv asupra lor, inclusiv prin intermediul companiei care operează serviciul.
Dacă datele mele stau într-un centru de date din România, sunt protejate doar de legea română?
Nu neapărat. Pe lângă legea română și cea europeană, poate conta și legislația țării în care își are sediul firma care operează serviciul, mai ales dacă aceasta poate fi obligată să predea date aflate sub controlul ei.
Ce înseamnă cloud suveran?
Este o denumire comercială pentru servicii cloud la care datele, operarea și controlul juridic rămân într-o anumită țară sau în UE. Nu există o definiție legală unică, așa că trebuie verificat ce garantează concret fiecare ofertă.
Unde mă pot plânge dacă datele mele au fost transferate ilegal?
În România, plângerile privind prelucrarea datelor personale se adresează Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), după ce, de preferat, ai cerut lămuriri chiar operatorului de date.
