Suverenita dát

Čo to znamená

Suverenita dát je požiadavka, aby dáta podliehali právu a kontrole krajiny alebo EÚ, v ktorej vznikli, a aby k nim zahraničné orgány nemali prístup mimo zákonného rámca. Ide nielen o to, kde sú dáta fyzicky uložené, ale aj o to, ktoré právo sa na poskytovateľa vzťahuje.

Téma nadobudla význam s rozšírením cloudových služieb od veľkých amerických a ázijských poskytovateľov. Aj keď sú servery v Európe, poskytovateľ môže podliehať zahraničným zákonom, ktoré umožňujú tamojším úradom vyžiadať si prístup k dátam zákazníkov.

Suverenitu dát ovplyvňuje viacero európskych predpisov: GDPR s pravidlami pre prenos osobných údajov do tretích krajín, NIS2 pre kybernetickú bezpečnosť dôležitých subjektov a Data Act, ktorý okrem iného uľahčuje prechod medzi poskytovateľmi cloudu.

Ako to funguje v praxi

Pri výbere cloudového riešenia by sa firma mala pýtať, kde sú dáta uložené a spracúvané, kto má k nim prístup vrátane podpory, ktorému právu poskytovateľ podlieha a ako sa dá z jeho služby odísť. Odpovede by mali byť zachytené v zmluve, nie len v marketingových materiáloch.

Pri prenose osobných údajov do USA sa firmy môžu oprieť o EU-US Data Privacy Framework, ak je príjemca certifikovaný. Ide však o rámec, ktorý už v minulosti v podobných podobách padol pred súdom, preto je rozumné mať pripravené aj náhradné riešenie.

Organizácie s citlivými dátami, napríklad vo verejnom sektore, zdravotníctve či finančných službách, často volia hybridný cloud: najcitlivejšie údaje držia vo vlastnom alebo európskom prostredí a menej citlivé služby využívajú u globálnych poskytovateľov.

Na čo si dať pozor

Umiestnenie dát v európskom dátovom centre samo osebe nezaručuje suverenitu. Rozhodujúce je aj to, kto kontroluje šifrovacie kľúče a či poskytovateľ môže byť donútený vydať dáta podľa zahraničného práva. Šifrovanie s kľúčmi pod kontrolou zákazníka riziko výrazne znižuje.

Požiadavky na suverenitu dát sa môžu líšiť podľa odvetvia a typu údajov. Pred migráciou dôležitých systémov do cloudu sa oplatí urobiť posúdenie rizík a pri osobných údajoch aj posúdenie vplyvu na ochranu údajov, aby firma vedela obhájiť svoje rozhodnutie pri kontrole.