Суверенитет данных

Что это значит

Суверенитет данных - это требование, чтобы данные подчинялись праву и контролю страны или ЕС, где они возникли, и чтобы иностранные органы не имели к ним доступа вне законных рамок. Речь не только о том, где данные физически хранятся, но и о том, какому праву подчиняется поставщик.

Тема стала важной с распространением облачных услуг крупных американских и азиатских поставщиков. Даже если серверы находятся в Европе, поставщик может подчиняться иностранным законам, которые позволяют тамошним органам запросить доступ к данным клиентов.

На суверенитет данных влияют несколько европейских актов: GDPR с правилами передачи персональных данных в третьи страны, NIS2 о кибербезопасности важных субъектов и Data Act, который, среди прочего, облегчает переход между облачными поставщиками.

Как это работает на практике

При выборе облачного решения компании стоит спросить, где данные хранятся и обрабатываются, кто имеет к ним доступ, включая поддержку, какому праву подчиняется поставщик и как можно уйти из его сервиса. Ответы должны быть закреплены в договоре, а не только в маркетинговых материалах.

При передаче персональных данных в США компании могут опираться на EU-US Data Privacy Framework, если получатель сертифицирован. Однако подобные механизмы уже отменялись судом в прошлом, поэтому разумно иметь и запасное решение.

Организации с чувствительными данными, например в госсекторе, здравоохранении или финансовых услугах, часто выбирают гибридное облако: самые чувствительные данные держат в собственной или европейской среде, а менее чувствительные сервисы используют у глобальных поставщиков.

На что обратить внимание

Размещение данных в европейском дата-центре само по себе не гарантирует суверенитет. Важно и то, кто контролирует ключи шифрования и может ли поставщик быть вынужден выдать данные по иностранному праву. Шифрование с ключами под контролем клиента заметно снижает риск.

Требования к суверенитету данных могут различаться по отраслям и типам данных. Перед переносом важных систем в облако стоит провести оценку рисков, а для персональных данных и оценку воздействия на защиту данных, чтобы компания могла обосновать своё решение при проверке.