Suverenita dat v EU u regulatorních dokumentů: proč záleží na jurisdikci, když soubor nemůžete smazat
Suverenita dat patří k tématům, která vyvolávají víc emocí než porozumění. Někdy je prezentována jako protekcionismus převlečený do právnického jazyka, jindy jako skutečný problém správy a řízení. V kontextu každodenních aplikačních dat je tento rozdíl často akademický.
U dokumentů citlivých z hlediska compliance (faktur s povinností uchovávání po dobu 7 let, smluv podléhajících právní blokaci, regulatorních podání, která nelze změnit ani smazat) tento rozdíl akademický není. Má právní důsledky.
Tento článek předkládá konkrétní argument: když dokument nemůžete smazat, záleží na tom, kde je uložen, víc než obvykle, a „kde“ znamená jurisdikci, nejen zeměpis.
Standardní argument rezidence dat
Nejběžnějším argumentem pro infrastrukturu hostovanou v EU je soulad s GDPR: osobní údaje by neměly opustit Evropský hospodářský prostor bez odpovídajících záruk. Je to skutečný požadavek a pro aplikace zpracovávající osobní údaje je důležitý.
Není to však nejsilnější argument pro uchovávání regulatorních dokumentů v Evropě. Argument GDPR se vztahuje na data, která osobní údaje obsahovat mohou, ale nemusí. Regulatorní dokumenty osobní údaje často obsahují, to je však vůči hlavní otázce téměř vedlejší.
Silnější argument se týká toho, co se děje s dokumenty, které jste ze zákona povinni uchovávat a které ze zákona nesmíte smazat.
Právo uchovávání a problém přístupu k infrastruktuře
Požadavky na uchovávání faktur v EU činí obvykle 7 let. Nizozemské záznamy veřejného sektoru podle Archiefwet mohou vyžadovat uchovávání po dobu 20 let. Nejde o měkká doporučení. Neuchování požadovaných záznamů vystavuje organizace daňovým sankcím, ztrátě nároku na odpočet DPH a regulatorním sankcím.
Odvrácenou stranou požadavků na uchovávání je, že uchovávané dokumenty nelze během doby uchovávání smazat. Dokumenty podléhající právní blokaci nelze smazat vůbec, dokud blokace není zrušena.
Z pohledu infrastruktury to vytváří neobvyklou situaci: máte data, která jste ze zákona povinni uchovávat a která možná ze zákona nesmíte smazat, uložená na infrastruktuře kontrolované třetí stranou. Otázka zní: kdo další má k těmto datům přístup, na základě jakého právního zmocnění a co s nimi může dělat?
Otázka CLOUD Act
Clarifying Lawful Overseas Use of Data Act (CLOUD Act) je americký federální zákon přijatý v roce 2018, který americkým orgánům činným v trestním řízení umožňuje donutit americké společnosti (včetně poskytovatelů cloudu) k vydání dat uložených na jejich serverech bez ohledu na to, kde se tyto servery fyzicky nacházejí.
Praktický dopad: k datům evropské společnosti uloženým na infrastruktuře amerického hyperscaleru mohou americké orgány činné v trestním řízení v zásadě přistoupit, aniž by o tom evropskou společnost informovaly, s výhradou procesních požadavků CLOUD Act.
U většiny dat jde o teoretickou obavu. Objem běžných obchodních dat, která se skutečně stanou předmětem žádostí podle CLOUD Act, je malý a postupy pro získání takových dat nejsou triviální.
U regulatorních dokumentů je kalkulace jiná, a to ze dvou důvodů.
Zaprvé se regulatorní dokumenty často týkají obchodně nejcitlivějších aspektů podnikání: cen dodavatelů, podmínek zákazníků, hodnot smluv, regulatorních podání. Jsou to dokumenty, k nimž by konkurenti a vlády s obchodními zájmy mohli aktivně chtít získat přístup.
Zadruhé požadavky na uchovávání znamenají, že data existují po dlouhou dobu. Žádost podle CLOUD Act v 5. roce 7leté doby uchovávání se týká dat, která jsou z definice podstatná pro probíhající obchodní činnost.
CLOUD Act neznamená, že využívání infrastruktury amerického hyperscaleru je nezákonné nebo že se k datům bude běžně přistupovat. Znamená, že platí právní rámec, který tuto možnost vytváří, a poskytovatel cloudu má jen omezenou schopnost se platnému právnímu příkazu bránit. Rizikový profil je jiný než u infrastruktury výhradně v EU.
Co v praxi znamená „suverénní v EU“
Pojem „suverénní v EU“ se v marketingu používá volně a vyplatí se přesně vymezit, co vyžaduje.
Suverénní infrastruktura v EU znamená přinejmenším:
Všechna data zůstávají v Evropském hospodářském prostoru. Nejen primární region: v EHP musí zůstat také zálohy, obnova po havárii a jakákoli replikace. Přeshraniční předávání dat do jurisdikcí mimo EHP vyžaduje buď rozhodnutí o odpovídající ochraně (které lze odvolat), nebo závazné vhodné záruky.
Provozovatel infrastruktury nepodléhá u příslušných dat zákonům o přístupu k datům mimo EU. To znamená, že provozovatel není americkou společností ani dceřinou společností, která by u dat, jež u něj ukládáte, podléhala povinnostem podle CLOUD Act. Společnosti se sídlem v EU bez americké korporátní struktury CLOUD Act nepodléhají.
Fyzické kontroly přístupu podléhají jurisdikci EU. Provoz datového centra se řídí právem EU, nikoli právem jurisdikce, v níž je hyperscaler registrován.
Neexistuje žádná závislost na infrastruktuře amerického původu, kterou by bylo možné k přístupu k datům využít. Používat evropské datové centrum pro primární úložiště a přitom směrovat veškerý provoz přes CDN amerického původu, nebo spoléhat na infrastrukturu pro správu klíčů amerického původu, znovu zavádí jurisdikční závislosti zadními vrátky.
Skutečná suverenita není o vlajce na budově. Je o právním rámci, který určuje, kdo může k datům přistupovat a za jakých okolností.
Proč na tom záleží právě u dokumentů, které nemůžete smazat
Vraťme se k výchozímu postřehu: na regulatorní dokumenty se vztahují požadavky na uchovávání. Během doby uchovávání je nelze smazat.
Spojte to nyní s otázkou suverénní infrastruktury. Dokument uložený na infrastruktuře mimo EU v rámci právního rámce mimo EU, který nemůžete 7 let smazat, je dokument, jehož profil přístupu nemůžete 7 let plně kontrolovat.
U faktury se standardními požadavky na uchovávání to může být přijatelné riziko. U smlouvy s citlivou cenovou strukturou, regulatorního podání nebo dokumentů podléhajících právní blokaci v probíhajícím sporu je rizikový profil jiný.
Nemožnost dokument smazat zároveň znamená, že expozici nemůžete zmírnit odstraněním dat. U cloudového objektového úložiště s funkcí object lock v režimu COMPLIANCE jste už ze samotné konstrukce zavázáni k existenci dokumentu po celou dobu uchovávání. Volbu jurisdikce proto po uplatnění zámku nelze snadno vrátit.
Možnost on-premises
Pro organizace, u nichž je suverenita dat tvrdým požadavkem (nikoli preferencí, ale zákonnou nebo smluvní povinností), je nasazení on-premises nejúplnějším řešením.
Nasazení on-premises umisťuje data zcela do vlastní infrastruktury organizace, pod její vlastní bezpečnostní kontroly, bez závislosti na externích poskytovatelích cloudu. Jurisdikční otázka pak zní: jaké zákony se vztahují na vlastní infrastrukturu organizace? Pro organizace z EU působící v EU je odpovědí právo EU.
Nasazení on-premises s sebou nese provozní náklady: organizace odpovídá za dostupnost, zálohování, obnovu po havárii a plánování kapacit. U regulovaných subjektů, pro něž je rezidence dat požadavkem compliance, jsou však tyto náklady obvykle již přijaty jako součást základní bezpečnostní architektury.
BYOS (připojení vlastního úložiště kompatibilního s S3) je střední možností. Aplikační vrstva zůstává službou, ale data drží vlastní bucket úložiště organizace, provozovaný v rámci jejího vlastního cloudového účtu pod jurisdikcí, kterou si organizace zvolila. Poskytovatel aplikace dokumenty nedrží; zpracovává je a zapisuje je do bucketu organizace.
Praktická otázka pro týmy compliance
Otázka pro týmy compliance, které posuzují dokumentovou infrastrukturu, nezní, zda je suverenita v EU příjemným bonusem. Zní, zda ji vyžadují právní a rizikové požadavky ukládaných dokumentů: povinnosti uchovávání, postupy právní blokace, regulatorní citlivost.
U běžných dokumentů se standardní dobou uchovávání 7 let může být riziko závislosti na americkém hyperscaleru přijatelné. Mnoho organizací tento kompromis volí a jen zřídka způsobuje problémy.
U dokumentů podléhajících právní blokaci, dlouhým dobám uchovávání, vysoké obchodní citlivosti nebo výslovným požadavkům na rezidenci dat v regulatorních rámcích jednotlivých odvětví stojí za to si tuto otázku vážně položit dřív, než se rozhodnutí o infrastruktuře zafixuje.
Jakmile je uplatněn object lock a doba uchovávání běží, otázka jurisdikce se otevírá znovu jen obtížně.
SealDoc běží na infrastruktuře EU v evropských datových centrech certifikovaných podle ISO 27001, bez závislosti na americkém hyperscaleru. V plánu Enterprise umožňuje BYOS organizacím připojit vlastní úložiště kompatibilní s S3 a samy rozhodnout, kde jsou jejich dokumenty uloženy a pod jakou jurisdikcí.