Chmura suwerenna – dlaczego lokalizacja danych ma znaczenie

Czym jest chmura suwerenna?

Termin chmura suwerenna (ang. sovereign cloud) odnosi się do usług chmurowych zaprojektowanych tak, aby dane pozostawały pod kontrolą konkretnej jurysdykcji – kraju lub regionu – i podlegały wyłącznie jego prawodawstwu. W praktyce oznacza to, że infrastruktura fizyczna (serwery, centra danych) oraz procesy operacyjne są zlokalizowane na określonym terytorium, a dostęp do danych przez podmioty spoza tego terytorium jest ściśle ograniczony lub niemożliwy.

Chmura suwerenna różni się od zwykłej chmury publicznej w kilku kluczowych aspektach:

• Lokalizacja danych: dane są przechowywane wyłącznie w określonych fizycznych lokalizacjach, na przykład wyłącznie w UE.
• Kontrola dostępu: operatorzy spoza danej jurysdykcji – w tym pracownicy firmy macierzystej za granicą – nie mają dostępu do danych klientów.
• Zgodność z prawem: usługa jest projektowana z myślą o spełnieniu lokalnych regulacji, takich jak RODO, NIS2 czy wymagania sektorowe.
• Niezależność operacyjna: zarządzanie powierzone lokalnemu podmiotowi eliminuje ryzyko ekstraterytorialnego stosowania prawa obcego państwa wobec Twoich danych.

Nie każda usługa reklamowana jako europejska chmura jest prawdziwą chmurą suwerenną. Kluczowe pytanie brzmi: kto ma dostęp do danych i jakie prawo obowiązuje w spornych sytuacjach? Odpowiedź na to pytanie powinna poprzedzać każdą decyzję zakupową dotyczącą usług chmurowych.

Dlaczego lokalizacja danych ma znaczenie dla Twojej firmy

Wiele firm zakłada, że skoro korzystają z usług dostawcy posiadającego europejskie centrum danych, ich dane są bezpieczne z punktu widzenia prawa. To niepełny obraz. Nawet jeśli dane fizycznie leżą w Irlandii, firma nimi zarządzająca może mieć siedzibę w USA – a to otwiera możliwość zastosowania US CLOUD Act z 2018 roku. Ten przepis daje amerykańskim organom ścigania prawo dostępu do danych przechowywanych przez amerykańskie spółki, niezależnie od kraju, w którym dane fizycznie się znajdują.

Dla polskich MŚP kluczowe regulacje wpływające na wybór lokalizacji danych to:

• RODO: wymaga, aby dane osobowe obywateli UE były przetwarzane zgodnie z unijnym prawem; transfer danych do krajów trzecich (spoza EOG) jest dopuszczalny tylko na ściśle określonych warunkach.
• NIS2: dla firm z sektorów kluczowych i ważnych nakłada obowiązki dotyczące bezpieczeństwa łańcucha dostaw IT – w tym weryfikacji dostawców usług chmurowych.
• Regulacje sektorowe: branże finansowa, medyczna i prawna mają dodatkowe wymagania co do lokalizacji i sposobu zabezpieczenia danych, często określane przez KNF, NFZ lub izby zawodowe.

Poza aspektami prawnymi istnieje wymiar praktyczny: w przypadku naruszenia danych dochodzenie roszczeń jest znacznie łatwiejsze, gdy dostawca podlega prawu UE i ma faktyczną siedzibę na terenie Unii Europejskiej.

Microsoft EU Data Boundary – co to zmienia dla użytkowników Microsoft 365

Zdecydowana większość polskich MŚP korzysta z usług Microsoftu – Microsoft 365, Teams, Azure. Od 2023 roku Microsoft realizuje inicjatywę EU Data Boundary, która gwarantuje, że dane klientów z Europejskiego Obszaru Gospodarczego są przechowywane i przetwarzane wyłącznie w granicach EOG.

W praktyce oznacza to, że dane z poniższych usług trafiają na europejskie serwery i tam pozostają:

• zawartość Exchange Online (e-maile, kalendarze, kontakty),
• pliki SharePoint Online i OneDrive for Business,
• nagrania i rozmowy Microsoft Teams,
• dane Microsoft Entra ID (tożsamości i konta użytkowników).

Microsoft zobowiązał się również do ograniczenia możliwości dostępu przez własnych pracowników spoza EOG. Jednak istnieją ważne zastrzeżenia: niektóre dane diagnostyczne i dane używane do trenowania modeli AI mogą nadal przepływać poza EOG, jeśli administrator nie wyłączy odpowiednich opcji w centrum administracyjnym Microsoft 365. Dlatego osoby zarządzające środowiskiem Microsoft 365 powinny regularnie weryfikować konfigurację prywatności i upewnić się, że ustawienia są zgodne z polityką firmy i wymaganiami RODO.

Europejskie alternatywy: GAIA-X i lokalni dostawcy chmurowi

Odpowiedzią Europy na dominację amerykańskich gigantów chmurowych jest inicjatywa GAIA-X – projekt federacyjnej europejskiej infrastruktury chmurowej, zainicjowany przez Niemcy i Francję w 2020 roku. Jego celem jest stworzenie standardów interoperacyjności, transparentności i wymagań bezpieczeństwa dla usług chmurowych działających na terenie UE. Certyfikacja GAIA-X ma pomóc firmom odróżnić prawdziwie europejskie usługi od tych jedynie marketingowo tak nazywanych.

Poza inicjatywą GAIA-X na rynku funkcjonuje szereg europejskich dostawców chmurowych godnych uwagi dla polskich MŚP:

• OVHcloud – jeden z największych europejskich dostawców (Francja) z centrami danych w Polsce; oferuje usługi IaaS, PaaS i zarządzaną chmurę prywatną.
• Hetzner – ekonomiczny dostawca z infrastrukturą w Niemczech i Finlandii; popularny wybór dla serwerów VPS i dedykowanych.
• T-Systems Sovereign Cloud – wersja Microsoft Azure operowana przez T-Systems w Niemczech, zaprojektowana dla firm wymagających najwyższego poziomu suwerenności danych przy zachowaniu ekosystemu Microsoft.
• Nextcloud – open-source'owa platforma do przechowywania plików i współpracy, którą można hostować u polskiego dostawcy lub na własnym serwerze.

Wybór europejskiego dostawcy nie zawsze oznacza gorszą funkcjonalność. Dla wielu firm jest to nie tylko kwestia zgodności z prawem, ale też strategiczna decyzja o niezależności technologicznej i odporności na zmiany w polityce globalnych dostawców.

Jak sprawdzić, gdzie Twoja firma przechowuje dane – 5 kroków

Zanim podejmiesz decyzję o zmianie strategii chmurowej, warto wiedzieć, jak wygląda sytuacja dziś. Oto 5 praktycznych kroków, które możesz podjąć samodzielnie:

1. Zinwentaryzuj usługi chmurowe: sprawdź, z jakich platform korzysta Twoja firma – Microsoft 365, Google Workspace, Dropbox, Salesforce, Zoom i inne. Pamiętaj o Shadow IT, czyli aplikacjach uruchomionych przez pracowników bez wiedzy działu IT.
2. Przeczytaj umowy DPA: każdy poważny dostawca chmurowy oferuje Data Processing Agreement (umowę powierzenia przetwarzania danych). Znajdziesz w niej informacje o lokalizacji przetwarzania i warunkach transferu danych do krajów trzecich.
3. Sprawdź panel administracyjny: Microsoft 365 i Google Workspace mają sekcje, gdzie można zobaczyć, w jakich regionach są przechowywane dane Twojej organizacji.
4. Zapytaj dostawców wprost: przy niszowych aplikacjach SaaS po prostu zapytaj, gdzie są serwery. Brak odpowiedzi lub wymijające sformułowania to poważny sygnał ostrzegawczy.
5. Zaktualizuj rejestr czynności przetwarzania (RCP): jako administrator danych masz obowiązek prowadzić RCP, który powinien wskazywać dostawców i lokalizacje przetwarzania danych osobowych klientów i pracowników.

Wynik takiej analizy może zaskoczyć – wiele firm odkrywa, że ich dane lub dane klientów są przetwarzane w miejscach, o których nie miały żadnej wiedzy.

Co powinna zrobić Twoja firma – praktyczne wskazówki

Chmura suwerenna nie musi oznaczać rewolucji w infrastrukturze IT Twojej firmy. Dla większości MŚP wystarczy kilka ukierunkowanych działań, które znacząco poprawią sytuację:

• Oceń ryzyko sektorowe: branże medyczna, prawna i finansowa mają wyższe wymagania regulacyjne – warto skonsultować się z doradcą IT lub prawnym specjalizującym się w RODO przed podjęciem decyzji o infrastrukturze chmurowej.
• Weryfikuj nowych dostawców SaaS: przed wdrożeniem każdej nowej aplikacji chmurowej sprawdź jej politykę lokalizacji danych – dodaj to jako stały element wewnętrznej procedury zakupowej.
• Aktualizuj umowy powierzenia danych: upewnij się, że masz podpisane aktualne DPA ze wszystkimi dostawcami przetwarzającymi dane osobowe Twoich klientów lub pracowników.
• Rozważ chmurę hybrydową: dla najbardziej wrażliwych danych możesz utrzymać lokalny serwer lub serwer u polskiego dostawcy, a mniej wrażliwe zasoby pozostawić w chmurze publicznej.
• Monitoruj zmiany w regulacjach: prawo UE w obszarze danych dynamicznie się zmienia – AI Act, EU Data Act i przyszłe akty sektorowe będą wpływać na wymagania dotyczące lokalizacji i przetwarzania danych.

Jeśli nie wiesz, od czego zacząć, audyt IT przeprowadzony przez specjalistów NovaSys pozwoli zidentyfikować luki w zgodności i wskazać priorytetowe działania dopasowane do specyfiki Twojej firmy i branży, w której działasz.