Kas yra duomenų laikymo vieta?

Trumpai: Duomenų laikymo vieta — fizinė ar geografinė vieta, kur saugomi ir tvarkomi organizacijos duomenys. Ji svarbi vertinant taikomą teisę, priežiūrą ir valdžios institucijų prieigos galimybes. Tai vienas BDAR, tiekėjo pasirinkimo bei saugumo vertinimo aspektų, tačiau vieta viena pati nenustato visų teisinių rizikų.

Ši sąvoka nurodo šalį, regioną ar duomenų centrą, kuriame fiziškai laikomi duomenys. Kai įmonė įkelia dokumentus į debesijos paslaugą, jie saugomi konkrečiuose serveriuose, o vieta turi teisinę reikšmę. ES laikomiems duomenims gali būti taikoma ES teisė, JAV — JAV reikalavimai. Tačiau ir JAV valdomo teikėjo ES serveriams gali būti aktualūs užsienio institucijų reikalavimai, įskaitant CLOUD Act; reikia vertinti tiek vietą, tiek teikėją bei duomenų perdavimus.

Reguliuojamose srityse vietos pasirinkimas dažnai yra aiškus reikalavimas. Priežiūros institucijos, auditoriai, klientai ir viešojo sektoriaus užsakovai vis dažniau klausia: kur tiksliai yra mūsų duomenys?

Duomenų laikymo vieta, suverenitetas ir lokalizavimas

Šios sąvokos dažnai painiojamos, tačiau reiškia skirtingus dalykus.

Duomenų laikymo vieta atsako į faktinį klausimą: kur duomenys fiziškai saugomi? Organizacija gali sutartimi arba politika nustatyti, kad juos būtina laikyti konkrečioje teritorijoje, pavyzdžiui, ES.

Duomenų suverenitetas atsako į teisinį klausimą: kurios valstybės teisė taikoma duomenims? Gali būti svarbi ir saugojimo vietos, ir teikėjo įsisteigimo valstybės teisė. Todėl JAV teikėjo ES duomenų centras neišsprendžia visų jurisdikcijos klausimų.

Duomenų lokalizavimas reiškia teisinį reikalavimą tam tikrus duomenis laikyti nustatytos valstybės teritorijoje. Kai kurios jurisdikcijos taiko tokius reikalavimus konkrečioms kategorijoms; sveikatos ar valdžios duomenims taip pat gali būti taikomos specialios taisyklės. Tikslią jų apimtį reikia vertinti konkrečiai veiklai.

Praktikoje mažos ir vidutinės įmonės pirmiausia tikrina faktinę vietą, tada galimas valdžios institucijų prieigos teises, o lokalizavimo pareigas — jei jų veiklai jos taikomos.

Kodėl vieta svarbi įmonėms, kurioms rūpi atitiktis?

Pagrindinės priežastys — teisės aktai, auditai ir klientų pasitikėjimas.

Teisės aktai. BDAR riboja asmens duomenų perdavimą už EEE ribų, nebent yra tinkamas pagrindas ir apsaugos priemonės. 2020 m. „Schrems II“ sprendimu panaikintas „Privacy Shield“, o 2023 m. priimtas ES ir JAV duomenų privatumo sistemos sprendimas dėl tinkamumo taikomas tinkamiems dalyvaujantiems gavėjams. Todėl reikia vertinti dabartinį perdavimo pagrindą, o ne manyti, kad visi perdavimai JAV neteisėti ar kad ES saugojimas pašalina visą riziką. „CMS GDPR Enforcement Tracker“ 2024 m. nurodyta daugiau nei 4,5 mlrd. EUR bendra baudų suma yra istorinis rodiklis. Vietos ir prieigos klausimai taip pat gali būti svarbūs HIPAA rizikos vertinimui, ISO 27001 tiekėjų valdymo priemonėms ir viešųjų pirkimų sąlygoms Europoje, Australijoje ar Kanadoje. Tai platesnio klausimo dalis — dokumentų atitikties BDAR.

Auditai. ISO 27001 ir ISO 9001 audituose pagal taikymo sritį vertinama, kur laikomi kontroliuojami dokumentai, įrašai bei asmens duomenys ir kas juos pasiekia. Konkreti vieta ir sutartinis pagrindas padeda atsakyti į šiuos klausimus. Vietos dokumentai kartu su šifravimu ir prieigos kontrole sudaro dalį įrodymų, padedančių geriau pasirengti auditui.

Klientų ir sutarčių reikalavimai. Verslo klientai vis dažniau įtraukia vietos sąlygas į sutartis. Tiekėjas, dirbantis su Vokietijos įmone ar valstybės klientu, gali saugumo klausimyne rasti privalomą ES laikymo reikalavimą. Jo neatitikimas gali sutrukdyti sandoriui dar prieš aptariant kainą.

Kaip vertinti vietą renkantis dokumentų valdymo sistemą?

Vertindami dokumentų sistemą ar debesijos teikėją, užduokite keturis konkrečius klausimus:

1. Kur yra pagrindiniai serveriai? Prašykite konkretaus regiono, o ne atsakymo „pasaulinė infrastruktūra“. Vieta turėtų būti aiškiai nurodyta sutartyje arba duomenų tvarkymo sąlygose.
2. Kur laikomos atsarginės ir kitos kopijos? Duomenų vietos įsipareigojimus reikia tikrinti ir dėl atsarginių kopijų kitose jurisdikcijose. Patvirtinkite, ar duomenų dubliavimas atitinka sutartą regioną ir leidžiamus perdavimus.
3. Koks juridinis asmuo teikia paslaugą? Už jūsų jurisdikcijos ribų įsikūrusiam teikėjui gali būti taikomi užsienio prieigos įstatymai, nepaisant serverio vietos. Todėl kai kurios Europos organizacijos renkasi Europoje įsisteigusį teikėją. Taip pat paprašykite paskelbto duomenų subtvarkytojų sąrašo, nes kito regiono subrangovas gali turėti reikšmės prieigai ir perdavimams.
4. Kokie diegimo būdai prieinami sugriežtėjus reikalavimams? Sveikatos, finansų ar valdžios tiekimo grandinėse gali prireikti atskiros aplinkos arba vietinio diegimo. Galimybė pasirinkti tokį kelią gali padėti išvengti visiškai naujos sistemos migracijos.

„Folderit“ yra Estijos ir Vokietijos įmonė, naudojanti AWS infrastruktūrą su ES duomenų laikymo galimybe, geografiškai atskirtomis trimis atsarginėmis kopijomis ir siūlanti atskirą debesijos aplinką bei vietinį diegimą. Konkrečias pagrindinių duomenų, kopijų ir teikėjų vietas bei atsakomybes patvirtinkite savo paslaugos sutartyje. Mūsų saugumo apžvalgoje pateikiamos apsaugos priemonės. Ši informacija padeda IT ir atitikties komandoms pagrįsti vietą, jurisdikciją bei atsarginių kopijų tvarką, tačiau nepakeičia konkretaus diegimo vertinimo.

Duomenų vieta — pasirinkimo kriterijus nuo pradžių

Vietą po pirkimo pakeisti gali būti sudėtinga. Teises ir darbo eigas galima perkonfigūruoti, tačiau terabaitų kontroliuojamų dokumentų perkėlimas tarp jurisdikcijų yra atskiras migracijos ir teisinio vertinimo projektas.

Laikydami vietą vienu pirmųjų atrankos kriterijų, prieš funkcijas ir kainą, galite sumažinti riziką vėliau aptikti netinkamą jurisdikciją. ES laikymas gali supaprastinti kai kuriuos perdavimo klausimus, bet nepašalina visų užsienio prieigos ar duomenų tvarkymo rizikų. Nustatydami vidaus reikalavimus, taip pat perskaitykite, ką duomenų atitiktis reiškia jūsų verslui.