Suwerenność danych w UE dla dokumentów compliance: dlaczego jurysdykcja ma znaczenie, gdy nie możesz usunąć pliku
Suwerenność danych to jeden z tych tematów, które budzą więcej emocji, niż wnoszą jasności. Czasem przedstawia się ją jako protekcjonizm przebrany w język prawniczy, a czasem jako rzeczywisty problem ładu korporacyjnego. W kontekście codziennych danych aplikacyjnych to rozróżnienie jest często akademickie.
W przypadku dokumentów wrażliwych z punktu widzenia zgodności (faktur z 7-letnim wymogiem przechowywania, umów objętych legal hold, dokumentów składanych organom regulacyjnym, których nie można zmienić ani usunąć) to rozróżnienie nie jest akademickie. Ma skutki prawne.
Ten artykuł przedstawia konkretną tezę: gdy nie możesz usunąć dokumentu, miejsce, w którym się znajduje, ma większe znaczenie niż zwykle, a „gdzie” oznacza jurysdykcję, a nie tylko geografię.
Standardowy argument za rezydencją danych
Najczęstszym argumentem za infrastrukturą hostowaną w UE jest zgodność z RODO: dane osobowe nie powinny opuszczać Europejskiego Obszaru Gospodarczego bez odpowiednich zabezpieczeń. To rzeczywisty wymóg, a w przypadku aplikacji przetwarzających dane osobowe jest on ważny.
Nie jest to jednak najsilniejszy argument za przechowywaniem dokumentów compliance w Europie. Argument z RODO dotyczy danych, które mogą, ale nie muszą zawierać danych osobowych. Dokumenty compliance często zawierają dane osobowe, ale to niemal kwestia drugorzędna wobec zasadniczego pytania.
Silniejszy argument dotyczy tego, co dzieje się z dokumentami, które prawo nakazuje Ci przechowywać i których prawo nie pozwala Ci usunąć.
Prawo dotyczące przechowywania a problem dostępu do infrastruktury
Unijne wymogi przechowywania faktur wynoszą zazwyczaj 7 lat. Holenderska dokumentacja sektora publicznego na podstawie Archiefwet może wymagać przechowywania przez 20 lat. To nie są miękkie wytyczne. Nieprzechowywanie wymaganej dokumentacji naraża organizacje na kary podatkowe, utratę prawa do odliczenia VAT i sankcje regulacyjne.
Drugą stroną wymogów przechowywania jest to, że przechowywanych dokumentów nie można usunąć w okresie przechowywania. Dokumentów objętych legal hold nie można usunąć w ogóle, dopóki blokada nie zostanie zniesiona.
Z perspektywy infrastruktury powstaje nietypowa sytuacja: masz dane, które prawo nakazuje Ci przechowywać, których usunięcia prawo może Ci zabraniać, a które znajdują się w infrastrukturze kontrolowanej przez stronę trzecią. Pytanie brzmi: kto jeszcze ma dostęp do tych danych, na jakiej podstawie prawnej i co może z nimi zrobić?
Kwestia CLOUD Act
Clarifying Lawful Overseas Use of Data Act (CLOUD Act) to amerykańska ustawa federalna uchwalona w 2018 roku, która pozwala amerykańskim organom ścigania zobowiązać amerykańskie firmy, w tym dostawców chmury, do wydania danych przechowywanych na ich serwerach, niezależnie od tego, gdzie te serwery fizycznie się znajdują.
Praktyczny skutek: dane europejskiej firmy przechowywane w infrastrukturze amerykańskiego hiperskalera mogą co do zasady zostać udostępnione amerykańskim organom ścigania bez powiadomienia tej europejskiej firmy, z zastrzeżeniem wymogów proceduralnych CLOUD Act.
W przypadku większości danych jest to obawa teoretyczna. Ilość rutynowych danych biznesowych, które faktycznie stają się przedmiotem żądań na podstawie CLOUD Act, jest niewielka, a procedury uzyskania takich danych nie są trywialne.
W przypadku dokumentów compliance rachunek wygląda inaczej, z dwóch powodów.
Po pierwsze, dokumenty compliance często dotyczą najbardziej wrażliwych handlowo aspektów działalności: cen dostawców, warunków dla klientów, wartości umów, zgłoszeń regulacyjnych. To dokumenty, do których konkurenci i rządy mające interesy handlowe mogą aktywnie chcieć uzyskać dostęp.
Po drugie, wymogi przechowywania oznaczają, że dane istnieją przez długi czas. Żądanie na podstawie CLOUD Act w 5. roku 7-letniego okresu przechowywania dotyczy danych, które z definicji mają istotne znaczenie dla bieżącej działalności.
CLOUD Act nie oznacza, że korzystanie z infrastruktury amerykańskiego hiperskalera jest nielegalne ani że dostęp do danych będzie rutynowo uzyskiwany. Oznacza, że obowiązują ramy prawne stwarzające taką możliwość, a dostawca chmury ma ograniczone możliwości sprzeciwienia się ważnemu nakazowi prawnemu. Profil ryzyka jest inny niż w przypadku infrastruktury wyłącznie unijnej.
Co „suwerenność UE” oznacza w praktyce
Określenie „suwerenność UE” bywa w marketingu używane luźno, dlatego warto doprecyzować, czego ona wymaga.
Suwerenna infrastruktura UE oznacza co najmniej:
Wszystkie dane pozostają w Europejskim Obszarze Gospodarczym. Nie tylko region podstawowy: kopie zapasowe, odtwarzanie po awarii i wszelka replikacja również muszą pozostać w EOG. Transgraniczne przekazywanie danych do jurysdykcji spoza EOG wymaga albo decyzji stwierdzającej odpowiedni stopień ochrony (którą można cofnąć), albo wiążących odpowiednich zabezpieczeń.
Operator infrastruktury nie podlega pozaunijnym przepisom o dostępie do danych w odniesieniu do danych, o które chodzi. Oznacza to, że operator nie jest amerykańską firmą ani spółką zależną, która podlegałaby obowiązkom wynikającym z CLOUD Act w odniesieniu do danych, które u niej przechowujesz. Firmy z siedzibą w UE, nieposiadające amerykańskiej struktury korporacyjnej, nie podlegają CLOUD Act.
Kontrola dostępu fizycznego podlega jurysdykcji UE. Działalność centrów danych podlega prawu UE, a nie prawu jurysdykcji, w której zarejestrowany jest hiperskaler.
Nie ma zależności od infrastruktury pochodzenia amerykańskiego, którą można by wykorzystać do uzyskania dostępu do danych. Korzystanie z europejskiego centrum danych jako podstawowego magazynu przy jednoczesnym kierowaniu całego ruchu przez amerykański CDN albo poleganie na amerykańskiej infrastrukturze zarządzania kluczami wprowadza zależności jurysdykcyjne tylnymi drzwiami.
Prawdziwa suwerenność nie dotyczy flagi na budynku. Dotyczy ram prawnych określających, kto i w jakich okolicznościach może uzyskać dostęp do danych.
Dlaczego ma to szczególne znaczenie dla dokumentów, których nie możesz usunąć
Wróćmy do pierwotnej obserwacji: dokumenty compliance podlegają wymogom przechowywania. Nie można ich usunąć w okresie przechowywania.
Połączmy to teraz z kwestią suwerennej infrastruktury. Dokument przechowywany w infrastrukturze spoza UE, w pozaunijnych ramach prawnych, którego nie możesz usunąć przez 7 lat, to dokument, którego profilu dostępu nie możesz w pełni kontrolować przez 7 lat.
W przypadku faktury ze standardowymi wymogami przechowywania może to być akceptowalne ryzyko. W przypadku umowy z wrażliwą strukturą cenową, dokumentu złożonego organowi regulacyjnemu lub dokumentów objętych legal hold w toczącym się sporze profil ryzyka jest inny.
Brak możliwości usunięcia dokumentu oznacza też, że nie możesz ograniczyć ekspozycji przez usunięcie danych. Przy chmurowym magazynie obiektów działającym z blokadą obiektów w trybie COMPLIANCE jesteś z założenia zobowiązany do istnienia dokumentu przez cały okres przechowywania. Wybór jurysdykcji nie jest więc łatwo odwracalny po nałożeniu blokady.
Opcja on-premises
Dla organizacji, dla których suwerenność danych jest twardym wymogiem (nie preferencją, lecz obowiązkiem prawnym lub umownym), wdrożenie on-premises jest najpełniejszym rozwiązaniem.
Wdrożenie on-premises umieszcza dane w całości we własnej infrastrukturze organizacji, pod jej własnymi zabezpieczeniami, bez zależności od zewnętrznych dostawców chmury. Pytanie jurysdykcyjne brzmi wtedy: jakie prawo ma zastosowanie do własnej infrastruktury organizacji? Dla organizacji z UE działających w UE odpowiedzią jest prawo UE.
Wdrożenie on-premises wiąże się z kosztami operacyjnymi: organizacja odpowiada za dostępność, kopie zapasowe, odtwarzanie po awarii i planowanie pojemności. Jednak dla podmiotów regulowanych, dla których rezydencja danych jest wymogiem zgodności, koszty te są zazwyczaj już zaakceptowane jako część bazowej architektury bezpieczeństwa.
BYOS (bring your own storage, czyli własny magazyn zgodny z S3) to opcja pośrednia. Warstwa aplikacji pozostaje usługą, ale dane przechowuje własny bucket organizacji, działający w ramach jej własnego konta chmurowego, w wybranej przez nią jurysdykcji. Dostawca aplikacji nie przechowuje dokumentów; przetwarza je i zapisuje w buckecie organizacji.
Praktyczne pytanie dla zespołów ds. zgodności
Pytanie dla zespołów ds. zgodności oceniających infrastrukturę dokumentową nie brzmi, czy suwerenność UE jest miłym dodatkiem. Brzmi ono: czy wymogi prawne i ryzyka związane z przechowywanymi dokumentami (obowiązki przechowywania, procedury legal hold, wrażliwość regulacyjna) jej wymagają.
W przypadku rutynowych dokumentów ze standardowym 7-letnim okresem przechowywania ryzyko wynikające z zależności od amerykańskiego hiperskalera może być akceptowalne. Wiele organizacji decyduje się na ten kompromis i rzadko powoduje to problemy.
W przypadku dokumentów objętych legal hold, długimi okresami przechowywania, wysoką wrażliwością handlową lub wyraźnymi wymogami rezydencji danych w ramach regulacyjnych branż regulowanych warto poważnie zadać to pytanie, zanim decyzja o infrastrukturze zostanie przesądzona.
Gdy blokada obiektów zostanie nałożona, a zegar okresu przechowywania zacznie tykać, do kwestii jurysdykcji trudniej jest wrócić.
SealDoc działa na infrastrukturze w UE, w europejskich centrach danych z certyfikatem ISO 27001, bez zależności od amerykańskiego hiperskalera. W planie Enterprise BYOS pozwala organizacjom korzystać z własnego magazynu zgodnego z S3 i samodzielnie decydować, gdzie przechowywane są ich dokumenty i pod jaką jurysdykcją.