Suwerenność danych i CLOUD Act: dlaczego UE się liczy
Czym jest CLOUD Act i co oznacza dla twojej poczty?
CLOUD Act (Clarifying Lawful Overseas Use of Data Act) to amerykańska ustawa z 2018 roku. W skrócie: może zobowiązać dostawców podlegających prawu USA do przekazania danych amerykańskim organom, niezależnie od tego, czy dane są przechowywane w USA, czy poza nimi.
W przypadku poczty sedno jest takie: fizyczna lokalizacja serwerów nie przesądza sprawy. Jeśli twój dostawca podlega prawu USA, te przepisy mogą teoretycznie odegrać rolę, nawet jeśli dane znajdują się w europejskim centrum danych. Właśnie dlatego „gdzie są moje dane” i „jakiemu prawu podlega mój dostawca” to dwa różne pytania.
Dlaczego to ma znaczenie
Dla osób, które pracują z poufnymi danymi, to nie jest teoria. Lekarz, adwokat czy księgowy często ma obowiązek zachowania tajemnicy i należytej staranności. Jeśli zagraniczny rząd mógłby teoretycznie zażądać dostępu do danych, którymi zarządzasz, kłóci się to z obietnicą, jaką składasz klientom lub pacjentom.
Suwerenność danych to idea, zgodnie z którą twoje dane podlegają prawu jurysdykcji, którą wybierasz, a nie prawu kraju, z którym nie masz nic wspólnego. Dla organizacji europejskich oznacza to RODO, z jego gwarancjami. Gdy tylko w grę może wchodzić inna jurysdykcja, tracisz część tej pewności.
Jest też strona praktyczna. Klienci i organy nadzorcze coraz częściej pytają, gdzie są twoje dane i jakiemu prawu podlegają. „U europejskiego dostawcy, zgodnie z RODO” to odpowiedź, która budzi zaufanie. „Właściwie nie wiem” nią nie jest.
Jak to działa
Wyobraź sobie sejf, który stoi w Rotterdamie, ale należy do firmy z Nowego Jorku. Sejf fizycznie znajduje się w Holandii, ale jego właściciel podlega amerykańskim przepisom. Jeśli amerykański organ zażąda od właściciela zawartości, w grę wchodzi prawo USA, mimo lokalizacji sejfu. Mniej więcej tak to działa z danymi u dostawcy podlegającego prawu USA.
Odwrotna sytuacja daje spokój. Jeśli twoja poczta jest u dostawcy, który w całości podlega prawu europejskiemu, z serwerami w Europie, właściwymi ramami jest RODO. Zagraniczne rządy nie mają wtedy prostej drogi przez dostawcę; dostęp odbywa się w europejskich ramach prawnych i przez współpracę między państwami. Dzięki temu cały obraz jest dla ciebie dużo bardziej przewidywalny.
Chcesz szerzej zobaczyć różnicę między tymi dwoma światami? Przeczytaj artykuł europejski czy amerykański hosting poczty.
Uwaga: chodzi tu o to, co jest teoretycznie możliwe, a nie o to, co dzieje się na co dzień. Większość ludzi nigdy nie spotka się z konkretnym żądaniem. Chodzi o pewność z góry: u dostawcy podlegającego prawu europejskiemu wiesz, jakie zasady cię obowiązują i jakie gwarancje masz. Dla osób, które zawodowo muszą zapewnić zachowanie tajemnicy, ta przewidywalność jest często ważniejsza niż szansa, że kiedyś coś pójdzie nie tak. Swoje zobowiązania opierasz przecież na tym, co jest możliwe, a nie na szczęściu.
Na co trzeba uważać
Kilka ważnych punktów i nieporozumień:
- „Moje dane są w Europie, więc wszystko jest w porządku”. Niekoniecznie. Lokalizacja danych ma znaczenie, ale jeśli dostawca podlega prawu USA, przepisy takie jak CLOUD Act mogą mimo to wchodzić w grę. Pytaj też o jurysdykcję dostawcy, a nie tylko o lokalizację serwerów.
- „To tylko sprawa dużych firm”. Zasady dotyczące staranności i poufności obowiązują każdego, kto pracuje z cudzymi danymi, także mały gabinet czy stowarzyszenie.
- Niedopytywanie dostawcy. Wiarygodny dostawca jasno odpowiada na pytanie, gdzie są twoje dane i jakiemu prawu podlegają. Jeśli nie dostajesz jasnej odpowiedzi, to już samo w sobie jest sygnałem.
- Przekonanie, że to szczegół techniczny. To wybór dotyczący prawa i kontroli. Przy danych wrażliwych ten wybór waży tyle samo co technika.
To ogólne wskazówki, a nie wiążąca ocena prawna twojej sytuacji. W razie wątpliwości skonsultuj się ze specjalistą.
A w Mailflux?
Mailflux hostuje twoją pocztę w Europie, zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO), we własnej domenie. Oznacza to, że twoje wiadomości podlegają europejskim przepisom o prywatności i możesz bez owijania w bawełnę wyjaśnić, gdzie są twoje dane. Nie masz pewności, gdzie właściwie trafia twoja poczta? Pomoże ci artykuł gdzie jest przechowywana moja poczta.
Każdy plan obejmuje szyfrowane połączenia, filtrowanie spamu, phishingu i złośliwego oprogramowania, automatyczne kopie zapasowe i opcjonalnie weryfikację dwuetapową. Twoje treści nie są skanowane na potrzeby reklam. Dzięki temu zachowujesz kontrolę nad korespondencją i pewność co do prawa, które się do niej stosuje. Więcej na ten temat w artykule europejski hosting poczty we własnej domenie.
FAQ
Najczęściej zadawane pytania
Czy CLOUD Act dotyczy mnie, jeśli korzystam z poczty w Europie?
Pośrednio może. Jeśli korzystasz z dostawcy podlegającego prawu USA, CLOUD Act może odegrać rolę przy żądaniach amerykańskich organów, nawet jeśli twoje dane są w Europie. U dostawcy, który w całości podlega prawu europejskiemu, to ryzyko jest mniejsze. W razie wątpliwości skonsultuj się ze specjalistą.
Czy dane w europejskim centrum danych są zawsze chronione przed dostępem z zagranicy?
Lokalizacja pomaga, ale to nie wszystko. Liczy się też, jakiej jurysdykcji podlega dostawca. Europejska lokalizacja serwerów u dostawcy podlegającego prawu USA daje mniej pewności niż dostawca działający w całości w ramach prawa europejskiego.
Co dokładnie oznacza suwerenność danych?
Suwerenność danych oznacza, że twoje dane podlegają prawu jurysdykcji, którą wybierasz, a nie zagranicznym przepisom. Dla organizacji europejskich sprowadza się to do RODO, z jego gwarancjami dotyczącymi obchodzenia się z danymi osobowymi.