Šta je lokacija skladištenja podataka?

Kratak odgovor: Lokacija skladištenja podataka je fizička ili geografska lokacija na kojoj se podaci organizacije čuvaju i obrađuju. Važna je jer zemlja u kojoj se podaci nalaze određuje primenjive zakone, regulatore i ovlasti državnog pristupa, zbog čega je lokacija skladištenja centralno pitanje usklađenosti s GDPR-om, izbora dobavljača i IT bezbednosnih provera.

Lokacija skladištenja podataka odnosi se na geografsko mesto na kojem su podaci fizički sačuvani, bilo u određenoj zemlji, regiji ili podatkovnom centru. Kada kompanija otpremi dokumente u cloud uslugu, podaci se nalaze na serverima negde u svetu, a to „negde” ima pravnu važnost. Ugovor sačuvan na serveru u Frankfurtu podleže pravu EU. Isti ugovor sačuvan na serveru u Virginiji podleže američkom pravu, uključujući propise poput zakona CLOUD Act, koji američkim vlastima daju pravo pristupa podacima kod američkih pružalaca usluga.

Za kompanije u regulisanim industrijama lokacija skladištenja podataka retko je opcionalna. Regulatori, revizori, klijenti i naručioci iz javnog sektora sve češće postavljaju direktno pitanje: gde se tačno nalaze naši podaci?

Lokacija skladištenja, suverenitet i lokalizacija podataka

Ova tri pojma često se koriste kao sinonimi, ali opisuju različite stvari.

Lokacija skladištenja podataka je činjenično pitanje: gde su podaci fizički sačuvani? Kompanija uvodi zahtev lokacije kada iz razloga politike ili ugovora odluči da podaci moraju biti sačuvani na određenom geografskom području, na primer unutar EU.

Suverenitet podataka je pravno pitanje: čiji zakoni uređuju podatke? Podaci podležu zakonima zemlje u kojoj se nalaze, a često i zakonima zemlje u kojoj je sedište pružaoca usluge. Zato evropska kompanija koja podatke čuva u podatkovnom centru u EU kojim upravlja pružalac sa sedištem u SAD-u i dalje ima pitanja suvereniteta. Sama lokacija ne rešava pitanje nadležnosti.

Lokalizacija podataka je najstroži oblik: zakonska obaveza da određeni podaci ostanu unutar granica zemlje i ne mogu ih napustiti. Rusija, Kina i više drugih jurisdikcija nameću zakone o lokalizaciji za određene kategorije podataka. Neke članice EU primenjuju pravila lokalizacije na zdravstvene zapise ili podatke javne uprave.

U praksi je većini malih i srednjih preduzeća najpre važna lokacija skladištenja — možemo li dokazati da podaci ostaju u EU? — zatim suverenitet — koja država može iznuditi pristup? — a lokalizacija samo ako posluju u jurisdikciji koja je zahteva.

Zašto je lokacija skladištenja važna kompanijama usmerenim na usklađenost?

Dominiraju tri razloga: propisi, revizije i poverenje klijenata.

Propisi. GDPR ograničava prenos ličnih podataka izvan Evropskog ekonomskog prostora osim kada se primenjuju određene zaštitne mere. Nakon što je presudom Schrems II 2020. poništen EU-US Privacy Shield, prenosi američkim pružaocima postali su pravno osetljivi i mnoge evropske organizacije odgovorile su zahtevom skladištenja u EU kao najjednostavnijim načinom uklanjanja rizika prenosa. Provođenje GDPR-a nije teorijsko: ukupne kazne do 2024. premašile su 4,5 milijardi eura (CMS GDPR Enforcement Tracker, 2024). Slična očekivanja lokacije pojavljuju se u HIPAA procenama rizika, ISO 27001 kontrolama odnosa s dobavljačima i zahtevima javne nabavke širom Evrope, Australije i Kanade. Njihovo praktično ispunjavanje deo je šire usklađenosti dokumenata s GDPR-om.

Revizije. Revizije ISO 27001 i ISO 9001 redovno proveravaju gde se čuvaju kontrolisani dokumenti, zapisi i lični podaci i ko im može pristupiti. Organizacija koja na pitanje „gde se nalaze naši podaci?” ne može odgovoriti konkretnom regijom i pratećom ugovornom odredbom ima propust koji će revizor označiti. Dokumentacija o lokaciji skladištenja, zajedno sa šifriranjem i kontrolama pristupa, deo je paketa dokaza koji omogućava uspešnu reviziju umesto paničnog snalaženja.

Pritisak klijenata i ugovora. B2B kupci sve češće u ugovore uključuju odredbe o lokaciji skladištenja. Proizvođač koji isporučuje nemačkoj kompaniji ili firma profesionalnih usluga koja radi za državnog klijenta često će u bezbednosnom upitniku pronaći skladištenje u EU kao obavezan zahtev. Nemogućnost ispunjavanja znači gubitak posla pre nego što razgovor o cenama uopšte počne.

Kako proceniti lokaciju skladištenja u sistemu za upravljanje dokumentima

Pri proceni DMS-a ili bilo kojeg cloud dobavljača, četiri pitanja otkrivaju suštinu iza marketinškog jezika:

Gde se nalaze glavni serveri? Tražite konkretnu regiju, a ne „globalnu infrastrukturu”. Verodostojan dobavljač navodi regiju podatkovnog centra u ugovoru ili ugovoru o obradi podataka.
Gde se čuvaju rezervne kopije i replike? Tvrdnje o lokaciji skladištenja padaju u vodu ako se rezervne kopije nalaze u drugoj jurisdikciji. Potvrdite da redundancija ostaje unutar ugovorene regije.
Ko je pravni subjekt iza usluge? Dobavljač sa sedištem izvan vaše jurisdikcije može podlegati stranim zakonima o pristupu bez obzira na lokaciju servera. Upravo zato evropske organizacije često daju prednost pružaocima sa sedištem u Evropi. Tražite i objavljenu listu podobrađivača jer podizvođač u drugoj regiji ponovo otvara isto pitanje.
Koje opcije implementacije postoje ako se zahtevi pooštre? Nekim organizacijama, posebno u zdravstvu, finansijama i lancima dobavljača javne uprave, s vremenom trebaju single-tenant ili on-premises implementacija. Dobavljač koji nudi taj put izbegava prisilnu migraciju u budućnosti.

Folderit direktno odgovara na ova pitanja: sedište mu je u Estoniji i Nemačkoj, podatke klijenata hostuje na AWS-u uz skladištenje unutar EU, čuva trostruko redundantne rezervne kopije u podatkovnim centrima međusobno udaljenim više od 100 kilometara i nudi single-tenant cloud i on-premises implementaciju organizacijama sa strožim zahtevima suvereniteta. Naš pregled bezbednosti navodi puni skup kontrola. Ova kombinacija omogućava IT rukovodiocu ili voditelju usklađenosti da tokom revizije ili bezbednosne provere u jednoj rečenici navede lokaciju podataka, jurisdikciju i geografiju rezervnih kopija.

Lokacija skladištenja kao kriterij izbora, a ne naknadno pitanje

Lokacija skladištenja jedna je od retkih osobina dobavljača koju ne možete ispraviti nakon kupovine. Timovi mogu rekonfigurisati prava pristupa i ponovo izgraditi tokove rada, ali premeštanje terabajta kontrolisanih dokumenata između jurisdikcija je migracijski projekat koji uključuje pravnu proveru.

Korišćenje lokacije skladištenja kao filtera u prvom krugu svake DMS procene, pre poređenja funkcija ili cena, štedi daleko veće troškove otkrivanja problema nadležnosti tokom revizije klijenta ili regulatorne istrage. Posebno za evropska mala i srednja preduzeća, odabir skladištenja u EU od prvog dana uklanja celu kategoriju GDPR rizika prenosa pre nego što nastane, a korisno je istovremeno pročitati šta usklađenost podataka znači za vaše poslovanje kada interno definišete zahtev.