Kas ir datu rezidence?

Īsā atbilde: Datu rezidence ir fiziskā vai ģeogrāfiskā atrašanās vieta, kur organizācijas dati tiek glabāti un apstrādāti. Tā ir svarīga, jo valsts, kurā dati atrodas, nosaka piemērojamos likumus, regulatorus un valsts iestāžu piekļuves pilnvaras. Tāpēc rezidence ir būtisks jautājums GDPR atbilstībā, piegādātāju izvēlē un IT drošības izvērtēšanā.

Datu rezidence apzīmē ģeogrāfisko vietu, kur dati tiek fiziski glabāti — konkrētā valstī, reģionā vai datu centrā. Kad uzņēmums augšupielādē dokumentus mākoņpakalpojumā, dati atrodas serveros kaut kur pasaulē, un šai vietai ir juridiska nozīme. Frankfurtē glabāts līgums ir pakļauts ES tiesībām. Tas pats līgums Virdžīnijas serverī ir pakļauts ASV tiesībām, tostarp tādiem tiesību aktiem kā CLOUD Act, kas piešķir ASV iestādēm piekļuves tiesības pie Amerikas pakalpojumu sniedzējiem glabātiem datiem.

Regulētās nozarēs datu rezidence reti ir izvēles jautājums. Regulatori, auditori, klienti un publiskā sektora pasūtītāji arvien biežāk uzdod tiešu jautājumu: kur tieši atrodas mūsu dati?

Datu rezidence, datu suverenitāte un datu lokalizācija

Šos trīs terminus bieži lieto kā sinonīmus, taču tie apraksta atšķirīgas lietas.

Datu rezidence ir faktisks jautājums: kur dati tiek fiziski glabāti? Uzņēmums nosaka rezidences prasību, ja politikas vai līguma dēļ nolemj, ka dati jāglabā konkrētā ģeogrāfiskā teritorijā, piemēram, ES.

Datu suverenitāte ir juridisks jautājums: kuras valsts likumi regulē datus? Uz datiem attiecas to atrašanās valsts likumi un bieži arī tās valsts likumi, kur atrodas pakalpojuma sniedzēja galvenā mītne. Tāpēc Eiropas uzņēmumam, kas glabā datus ES datu centrā, kuru pārvalda ASV bāzēts pakalpojuma sniedzējs, joprojām rodas suverenitātes jautājumi. Rezidence viena pati jurisdikciju nenosaka.

Datu lokalizācija ir stingrākā forma: juridiska prasība, ka noteiktiem datiem jāpaliek valsts robežās un tie nedrīkst tās atstāt. Krievija, Ķīna un vairākas citas jurisdikcijas nosaka lokalizācijas likumus konkrētām datu kategorijām. Dažas ES dalībvalstis piemēro lokalizācijas noteikumus veselības ierakstiem vai valsts datiem.

Praksē vairumam MVU vispirms svarīga ir rezidence — vai varam pierādīt, ka dati paliek ES? Pēc tam suverenitāte — kura valdība var piespiest nodrošināt piekļuvi? Lokalizācija kļūst svarīga tikai tad, ja uzņēmums darbojas jurisdikcijā, kur tā ir obligāta.

Kāpēc datu rezidence ir svarīga uzņēmumiem, kuriem būtiska atbilstība?

Galvenie trīs iemesli ir regulējums, auditi un klientu uzticība.

Regulējums. GDPR ierobežo personas datu nosūtīšanu ārpus Eiropas Ekonomikas zonas, ja nav piemērojami konkrēti aizsardzības pasākumi. Pēc tam, kad Schrems II spriedums 2020. gadā atzina ES un ASV privātuma vairogu par spēkā neesošu, nosūtīšana ASV pakalpojumu sniedzējiem kļuva juridiski nedroša, un daudzas Eiropas organizācijas pieprasīja ES datu rezidenci kā vienkāršāko veidu nosūtīšanas riska novēršanai. GDPR piemērošana nav teorētiska: līdz 2024. gadam kopējie sodi pārsniedza 4,5 miljardus eiro (CMS GDPR Enforcement Tracker, 2024). Līdzīgas rezidences prasības parādās HIPAA riska novērtējumos, ISO 27001 kontroles pasākumos attiecībā uz piegādātājiem un publiskā iepirkuma prasībās Eiropā, Austrālijā un Kanādā. To praktiska ievērošana ir daļa no plašākas dokumentu atbilstības GDPR.

Auditi. ISO 27001 un ISO 9001 auditos regulāri pārbauda, kur glabājas kontrolētie dokumenti, ieraksti un personas dati un kurš tiem var piekļūt. Ja organizācija nevar uz jautājumu “kur atrodas mūsu dati?” atbildēt ar konkrētu reģionu un to pamatojošu līguma punktu, pastāv nepilnība, uz kuru auditors norādīs. Rezidences dokumentācija kopā ar šifrēšanu un piekļuves kontroli veido daļu no pierādījumu kopuma, kas ļauj sekmīgi iziet auditu, nevis steidzīgi meklēt risinājumus.

Klientu un līgumu prasības. B2B pircēji arvien biežāk līgumos iekļauj rezidences noteikumus. Ražotājs, kas piegādā Vācijas lieluzņēmumam, vai profesionālo pakalpojumu uzņēmums, kas apkalpo valsts klientu, drošības anketā bieži atradīs ES rezidenci kā neapspriežamu prasību. Nespēja to izpildīt nozīmē zaudēt darījumu, pirms vispār sākusies saruna par cenu.

Kā izvērtēt datu rezidenci dokumentu pārvaldības sistēmā

Izvērtējot DMS vai jebkuru mākoņpakalpojuma sniedzēju, četri jautājumi palīdz saskatīt būtisko aiz mārketinga formulējumiem:

1. Kur atrodas galvenie serveri? Jautājiet konkrētu reģionu, nevis “globālu infrastruktūru”. Uzticams piegādātājs nosauc datu centra reģionu līgumā vai datu apstrādes līgumā.
2. Kur glabājas rezerves kopijas un replikas? Apgalvojumi par datu rezidenci zaudē pamatu, ja rezerves kopijas atrodas citā jurisdikcijā. Pārliecinieties, ka dublētie dati paliek solītajā reģionā.
3. Kura juridiskā persona nodrošina pakalpojumu? Piegādātājs, kura galvenā mītne atrodas ārpus jūsu jurisdikcijas, var būt pakļauts ārvalstu piekļuves likumiem neatkarīgi no serveru atrašanās vietas. Tieši tāpēc Eiropas organizācijas bieži dod priekšroku Eiropā bāzētiem pakalpojumu sniedzējiem. Lūdziet arī publicētu apakšapstrādātāju sarakstu, jo apakšuzņēmējs citā reģionā rada to pašu jautājumu no jauna.
4. Kādas izvietošanas iespējas pastāv, ja prasības kļūst stingrākas? Dažām organizācijām, īpaši veselības aprūpē, finansēs un valsts piegādes ķēdēs, ar laiku nepieciešams mākonis vienam klientam vai lokāla uzstādīšana. Piegādātājs, kas piedāvā šādu ceļu, ļauj izvairīties no piespiedu migrācijas vēlāk.

Folderit uz šiem jautājumiem atbild tieši: tā galvenās mītnes atrodas Igaunijā un Vācijā, klientu dati tiek mitināti AWS ar ES datu rezidenci, trīskārši dublētas rezerves kopijas glabājas datu centros vairāk nekā 100 kilometru attālumā, un organizācijām ar stingrākām suverenitātes prasībām tiek piedāvāts mākonis vienam klientam un lokāla uzstādīšana. Mūsu drošības pārskatā aprakstīts pilns kontroles pasākumu kopums. Šī kombinācija ļauj IT vadītājam vai atbilstības speciālistam auditā vai drošības izvērtēšanā vienā teikumā norādīt datu atrašanās vietu, jurisdikciju un rezerves kopiju ģeogrāfiju.

Datu rezidence kā izvēles kritērijs, nevis vēlāka doma

Rezidence ir viena no retajām piegādātāja īpašībām, ko nevar novērst pēc iegādes. Komandas var pārkonfigurēt piekļuves tiesības un pārveidot darba plūsmas, taču terabaitu kontrolētu dokumentu pārvietošana starp jurisdikcijām ir migrācijas projekts, kam nepieciešama juridiska izvērtēšana.

Izmantojot rezidenci kā sākotnējo filtru jebkurā DMS izvērtēšanā pirms funkciju vai cenu salīdzināšanas, var izvairīties no daudz lielākām izmaksām, atklājot jurisdikcijas problēmu klienta audita vai regulatora izmeklēšanas laikā. Īpaši Eiropas MVU ES rezidences izvēle no pirmās dienas novērš veselu GDPR datu nosūtīšanas risku kategoriju, pirms tā rodas. Nosakot prasību iekšēji, ir vērts lasīt arī par to, ko datu atbilstība nozīmē jūsu uzņēmumam.