Kaj je lokacija hrambe podatkov?

Kratek odgovor: Rezidentnost podatkov pomeni fizično ali geografsko lokacijo, kjer se podatki organizacije hranijo in obdelujejo. Država hrambe določa zakone, regulatorje in pooblastila državnega dostopa, zato je rezidentnost ključna pri GDPR, izbiri ponudnika in IT-varnostnih pregledih.

Rezidentnost se nanaša na geografski kraj fizične hrambe, v določeni državi, regiji ali podatkovnem centru. Ko podjetje dokumente naloži v oblačno storitev, so ti na strežnikih nekje na svetu in ta kraj ima pravno težo. Pogodba v Frankfurtu spada pod pravo EU, ista v Virginiji pa pod pravo ZDA, vključno s CLOUD Act, ki ameriškim oblastem daje pravice dostopa do podatkov ameriških ponudnikov.

V reguliranih panogah je rezidentnost redko neobvezna. Regulatorji, revizorji, stranke in javni sektor vse pogosteje vprašajo: kje natančno so naši podatki?

Rezidentnost, suverenost in lokalizacija podatkov

Izrazi se pogosto uporabljajo zamenljivo, vendar opisujejo različno.

Rezidentnost podatkov je dejansko vprašanje: kje so podatki fizično shranjeni? Podjetje iz političnih ali pogodbenih razlogov določi zahtevano geografsko območje, na primer EU.

Suverenost podatkov je pravno vprašanje: čigavo pravo velja? Velja zakonodaja države hrambe, pogosto pa tudi države sedeža ponudnika. Zato ima evropsko podjetje v evropskem centru ameriškega ponudnika še vedno vprašanja suverenosti. Sama lokacija ne razreši pristojnosti.

Lokalizacija podatkov je najstrožja oblika: zakon določi, da morajo podatki ostati znotraj meja. Rusija, Kitajska in druge jurisdikcije to zahtevajo za posamezne kategorije. Nekatere članice EU imajo lokalizacijo zdravstvenih ali državnih podatkov.

V praksi mala in srednja podjetja najprej zanima rezidentnost — ali dokažemo hrambo v EU —, nato suverenost — katera vlada lahko zahteva dostop —, lokalizacija pa le ob poslovanju pod takšno obveznostjo.

Zakaj je rezidentnost pomembna za podjetja, usmerjena v skladnost?

Prevladujejo trije razlogi: predpisi, revizije in zaupanje strank.

Predpisi. GDPR omejuje prenose osebnih podatkov zunaj EGP brez posebnih zaščitnih ukrepov. Po razveljavitvi EU-US Privacy Shield v sodbi Schrems II leta 2020 so prenosi ameriškim ponudnikom postali pravno negotovi. Številne evropske organizacije so zahtevale rezidentnost EU kot najpreprostejšo odpravo tveganja prenosa. Uveljavljanje GDPR ni teorija: skupne globe so do leta 2024 presegle 4,5 milijarde evrov — CMS GDPR Enforcement Tracker, 2024. Podobna pričakovanja obstajajo v ocenah HIPAA, ISO 27001 za odnose s ponudniki ter javnih naročilih Evrope, Avstralije in Kanade. Praktično izpolnjevanje je del širše skladnosti dokumentov z GDPR.

Revizije. ISO 27001 in ISO 9001 redno preverjata lokacijo obvladovanih dokumentov, zapisov in osebnih podatkov ter dostop. Organizacija brez konkretne regije in podporne pogodbene določbe ima vrzel, ki jo revizor izpostavi. Dokumentacija rezidentnosti skupaj s šifriranjem in nadzorom dostopa tvori dokazila za uspešno revizijo namesto panične priprave.

Pritisk strank in pogodb. B2B-kupci vse pogosteje vključujejo lokacijske klavzule. Dobavitelj nemškemu podjetju ali svetovalec javnega naročnika pogosto najde rezidentnost EU kot nepogajljivo zahtevo vprašalnika. Neizpolnitev pomeni izgubljen posel še pred ceno.

Kako oceniti rezidentnost v DMS

Pri DMS ali katerem koli oblaku štiri vprašanja presežejo trženjske trditve:

1. Kje so glavni strežniki? Zahtevajte konkretno regijo, ne »globalne infrastrukture«. Verodostojen ponudnik jo navede v pogodbi ali dogovoru o obdelavi.
2. Kje so varnostne kopije in replike? Trditve o rezidentnosti padejo, če so varnostne kopije v drugi jurisdikciji. Preverite, da redundanca ostane v dogovorjeni regiji.
3. Katera pravna oseba zagotavlja storitev? Ponudnik zunaj vaše jurisdikcije je lahko podrejen tujim zakonom dostopa ne glede na strežnik. Zato evropske organizacije pogosto izberejo evropski sedež. Zahtevajte tudi javni seznam podobdelovalcev, saj podizvajalec drugje ponovno odpre isto vprašanje.
4. Katere možnosti uvedbe obstajajo ob strožjih zahtevah? Organizacije, zlasti v zdravstvu, financah in javnih dobavnih verigah, lahko potrebujejo namensko enonajemniško ali lokalno namestitev. Ponudnik s takšno potjo prepreči poznejšo prisilno selitev.

Folderit odgovarja neposredno: sedež v Estoniji in Nemčiji, podatki na AWS z rezidentnostjo EU, trojne kopije v centrih več kot 100 kilometrov narazen ter namenski oblak in lokalna uvedba za strožjo suverenost. Naš varnostni pregled opisuje celoten nadzor. IT-vodja ali skrbnik skladnosti lahko med revizijo z enim stavkom pojasni lokacijo, pristojnost in geografijo kopij.

Rezidentnost kot merilo izbire, ne poznejša misel

To je ena redkih lastnosti ponudnika, ki je po nakupu ne popravite. Pravice in poteke lahko preuredite, selitev terabajtov obvladovanih dokumentov med jurisdikcijami pa je projekt s pravnim pregledom.

Če rezidentnost uporabite kot prvi filter pred funkcijami in cenami, prihranite precej višji strošek poznega odkritja med revizijo stranke ali regulatorja. Evropskim MSP rezidentnost EU od prvega dne odstrani celotno kategorijo prenosnih tveganj GDPR, še preden nastane. Ob notranji določitvi zahteve preberite tudi, kaj skladnost podatkov pomeni za vaše podjetje.