Що таке місце зберігання даних?

Коротка відповідь: Резидентність даних — це фізичне або географічне місце, де дані організації зберігаються й опрацьовуються. Вона важлива, оскільки країна розміщення визначає застосовні закони, регуляторів і повноваження державного доступу. Тому це центральне питання дотримання GDPR, вибору постачальника й перевірок ІТ-безпеки.

Резидентність даних означає географічне місце їх фізичного зберігання: певну країну, регіон або центр обробки даних. Коли бізнес завантажує документи в хмарний сервіс, дані перебувають на серверах у певній точці світу, і ця точка має юридичне значення. Договір на сервері у Франкфурті підпадає під право ЄС. Той самий договір у Вірджинії — під право США, зокрема CLOUD Act, що надає владі США права доступу до даних американських постачальників.

Для бізнесу в регульованих галузях резидентність рідко є необов’язковою. Регулятори, аудитори, покупці й клієнти державного сектору дедалі частіше прямо запитують: де саме наші дані?

Резидентність, суверенітет і локалізація даних

Ці три терміни часто використовують як взаємозамінні, але вони описують різні речі.

Резидентність даних — фактичне питання: де дані фізично зберігаються? Компанія встановлює вимогу резидентності, коли з політичних чи договірних причин вирішує зберігати дані в певному регіоні, наприклад у ЄС.

Суверенітет даних — юридичне питання: чиї закони регулюють дані? Вони підпадають під право країни розміщення, а часто й країни штаб-квартири постачальника. Тому європейський бізнес із даними в центрі ЄС, яким керує американська компанія, все ще має питання суверенітету. Саме лише розміщення не визначає всю юрисдикцію.

Локалізація даних — найсуворіша форма: законодавча вимога, щоб певні дані залишалися в межах країни й не покидали її. Росія, Китай та інші юрисдикції встановлюють локалізацію окремих категорій. Деякі країни ЄС застосовують такі правила до медичних записів або державних даних.

На практиці малий і середній бізнес спочатку турбується про резидентність — чи можемо довести перебування даних у ЄС, потім про суверенітет — яка держава може вимагати доступ, а про локалізацію — лише за роботи в юрисдикції, де вона обов’язкова.

Чому резидентність важлива для бізнесу, орієнтованого на дотримання вимог?

Домінують три причини: регулювання, аудит і довіра клієнтів.

Регулювання. GDPR обмежує передавання персональних даних за межі Європейської економічної зони без спеціальних гарантій. Після того як рішення Schrems II скасувало EU-US Privacy Shield у 2020 році, передавання постачальникам США стало юридично вразливим. Багато європейських організацій відповіло вимогою розміщення даних у ЄС як найпростішим усуненням ризику передачі. Застосування GDPR не теоретичне: до 2024 року сукупні штрафи перевищили 4,5 мільярда євро — CMS GDPR Enforcement Tracker, 2024. Подібні очікування резидентності з’являються в оцінках ризику HIPAA, ISO 27001 щодо відносин із постачальниками та вимогах державних закупівель Європи, Австралії й Канади. Їх практичне виконання є частиною ширшого дотримання GDPR у роботі з документами.

Аудити. Аудити ISO 27001 та ISO 9001 регулярно перевіряють місце зберігання контрольованих документів, записів і персональних даних та доступ до них. Якщо організація не відповість на питання про розміщення даних конкретним регіоном і пунктом договору, аудитор зафіксує прогалину. Документація резидентності разом із шифруванням і контролем доступу формує доказовий пакет, завдяки якому аудит проходять, а не готуються до нього поспіхом.

Тиск клієнтів і договорів. B2B-покупці дедалі частіше включають резидентність у договори. Виробник, що постачає німецькому підприємству, або професійна фірма з державним клієнтом часто бачать розміщення в ЄС як обов’язкову умову анкети безпеки. Незадоволення цієї умови означає втрату угоди ще до розмови про ціну.

Як оцінити резидентність у системі керування документами

Під час оцінювання DMS або будь-якого хмарного постачальника чотири питання допомагають вийти за межі маркетингу:

1. Де основні сервери? Просіть конкретний регіон, а не «глобальну інфраструктуру». Надійний постачальник називає його в договорі чи угоді про обробку даних.
2. Де резервні копії й репліки? Твердження про резидентність руйнуються, якщо резервні копії перебувають в іншій юрисдикції. Підтвердьте, що резервування залишається в погодженому регіоні.
3. Яка юридична особа стоїть за сервісом? Постачальник зі штаб-квартирою поза вашою юрисдикцією може підпадати під іноземні закони доступу незалежно від серверів. Саме тому європейські організації часто обирають європейські компанії. Просіть також опублікований перелік субобробників, адже субпідрядник в іншому регіоні знову відкриває те саме питання.
4. Які варіанти розгортання є на випадок суворіших вимог? Деяким організаціям, особливо в охороні здоров’я, фінансах і державних ланцюгах постачання, згодом потрібна окрема хмарна інсталяція або розгортання на власних серверах. Постачальник із таким шляхом дозволяє уникнути вимушеного перенесення пізніше.

Folderit відповідає прямо: штаб-квартири в Естонії й Німеччині, клієнтські дані на AWS із резидентністю в ЄС, потрійне резервування в центрах на відстані понад 100 кілометрів та окрема хмара й власні сервери для організацій із суворішими вимогами суверенітету. Наш огляд безпеки описує повний набір заходів. Це поєднання дозволяє ІТ-керівнику або відповідальному за вимоги одним реченням назвати розташування, юрисдикцію й географію резервних копій під час аудиту чи перевірки безпеки.

Резидентність як критерій вибору, а не пізня думка

Резидентність — одна з небагатьох властивостей постачальника, яку не виправити після купівлі. Права можна переналаштувати, процеси перебудувати, але перенесення терабайтів контрольованих документів між юрисдикціями — окремий міграційний проєкт із юридичною перевіркою.

Використання резидентності як першого фільтра оцінювання DMS до порівняння функцій і цін заощаджує значно більші витрати на виявлення юрисдикційної проблеми під час клієнтського аудиту чи регуляторного запиту. Для європейського малого й середнього бізнесу вибір ЄС від початку усуває цілу категорію ризиків передачі GDPR ще до їх виникнення. Формуючи внутрішню вимогу, варто також прочитати, що дотримання вимог до даних означає для бізнесу.