Суверенітет даних

Що це означає

Суверенітет даних - це вимога, щоб дані підлягали праву і контролю країни чи ЄС, де вони виникли, і щоб іноземні органи не мали до них доступу поза законними рамками. Ідеться не лише про те, де дані фізично зберігаються, а й про те, якому праву підлягає постачальник.

Тема стала важливою з поширенням хмарних послуг великих американських та азійських постачальників. Навіть якщо сервери розташовані в Європі, постачальник може підлягати іноземним законам, які дають змогу тамтешнім органам запросити доступ до даних клієнтів.

На суверенітет даних впливають кілька європейських актів: GDPR з правилами передачі персональних даних до третіх країн, NIS2 щодо кібербезпеки важливих суб'єктів і Data Act, який, серед іншого, полегшує перехід між хмарними постачальниками.

Як це працює на практиці

Обираючи хмарне рішення, компанії варто запитати, де дані зберігаються й обробляються, хто має до них доступ, зокрема підтримка, якому праву підлягає постачальник і як можна піти з його сервісу. Відповіді мають бути закріплені в договорі, а не лише в маркетингових матеріалах.

Передаючи персональні дані до США, компанії можуть спиратися на EU-US Data Privacy Framework, якщо одержувач сертифікований. Однак подібні механізми вже скасовувалися судом у минулому, тому розумно мати і запасне рішення.

Організації з чутливими даними, наприклад у держсекторі, охороні здоров'я чи фінансових послугах, часто обирають гібридну хмару: найчутливіші дані тримають у власному чи європейському середовищі, а менш чутливі сервіси використовують у глобальних постачальників.

На що звернути увагу

Розміщення даних у європейському дата-центрі саме по собі не гарантує суверенітету. Важливо й те, хто контролює ключі шифрування і чи може постачальника бути змушено видати дані за іноземним правом. Шифрування з ключами під контролем клієнта помітно знижує ризик.

Вимоги до суверенітету даних можуть різнитися за галузями і типами даних. Перед перенесенням важливих систем у хмару варто провести оцінку ризиків, а для персональних даних і оцінку впливу на захист даних, щоб компанія могла обґрунтувати своє рішення під час перевірки.