Pięć pytań, które decydują o tym, jak europejska jest dana usługa

Moduł 2: Czym naprawdę jest europejska chmura? · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili za pomocą pięciu pytań ustalić, pod jakim prawem działa dana usługa chmurowa, oraz wyjaśnić, dlaczego sam datacenter w Europie do tego nie wystarczy.

Kluczowe pojęcia: siedziba (siedziba statutowa), ostateczny właściciel, lokalizacja datacenter, podwykonawca przetwarzania (subprocesor), dostęp zdalny, zarządzanie kluczami, UE, EOG, decyzja stwierdzająca odpowiedni stopień ochrony, „sovereign cloud”

„Nasze dane znajdują się w Europie.” I co dalej?

Niemal każda duża usługa chmurowa mówi dziś to samo: Państwa dane znajdują się w datacenter we Frankfurcie, Amsterdamie lub Dublinie. Brzmi to uspokajająco, ale odpowiada tylko na jedno z pytań, które naprawdę mają znaczenie. W module 1 widzieli Państwo, że amerykańska ustawa CLOUD Act nie patrzy na lokalizację serwera, lecz na przedsiębiorstwo, które ma dane w swoim posiadaniu, pieczy lub pod kontrolą („possession, custody, or control”). Serwer we Frankfurcie należący do firmy, która jest ostatecznie amerykańska, może więc i tak podlegać amerykańskiemu nakazowi.

Dlatego nie patrzy się na jedną cechę, lecz na pięć. Piekarnia De Korrel z naszego przykładu (12 pracowników, domena example.com) korzysta obecnie z amerykańskiego pakietu biurowego i chce wiedzieć, które alternatywy są naprawdę europejskie. Dzięki tym pięciu pytaniom oddzieli Państwo marketing od faktów.

Pytanie 1: gdzie ma siedzibę przedsiębiorstwo?

Siedziba to kraj, w którym przedsiębiorstwo podpisujące z Państwem umowę jest prawnie zarejestrowane: siedziba statutowa. Ten kraj decyduje w pierwszej kolejności o tym, jakie prawo ma zastosowanie do przedsiębiorstwa, który sąd jest właściwy i który organ nadzorczy sprawuje nadzór.

Proszę nie kierować się przy tym stroną internetową, lecz stroną umowy: nazwą widniejącą na dole regulaminu, w umowie powierzenia przetwarzania danych osobowych i na fakturze. Jeśli widnieje tam „Example Cloud Ireland Ltd.”, to stroną Państwa umowy jest podmiot irlandzki, nawet jeśli marka jest amerykańska. To dobry początek, ale jeszcze nie odpowiedź. Do tego potrzebne jest pytanie 2.

Pytanie 2: kto jest ostatecznym właścicielem?

Ostateczny właściciel to przedsiębiorstwo lub osoba znajdująca się na szczycie łańcucha udziałowców. Europejska spółka zależna amerykańskiej spółki matki jest prawnie przedsiębiorstwem europejskim, ale to spółka matka sprawuje kontrolę. Zgodnie z CLOUD Act amerykański sąd może zobowiązać spółkę matkę do wydania danych znajdujących się u spółki zależnej, jeśli spółka matka faktycznie sprawuje nad nimi „control”. Czy tak jest w konkretnym przypadku, zależy od sposobu, w jaki zorganizowane jest przedsiębiorstwo. Prawnicy nie są co do tego zgodni. Właśnie dlatego jest to ryzyko, a nie pewność.

Możliwa jest też sytuacja odwrotna: przedsiębiorstwo, które dziś jest europejskie, jutro może zostać przejęte. W Holandii taka sytuacja miała miejsce w latach 2025 i 2026 wokół spółki Solvinity, przedsiębiorstwa odpowiedzialnego za infrastrukturę systemu DigiD. Amerykańska firma Kyndryl chciała ją przejąć; holenderski rząd zablokował to przejęcie w maju 2026 roku po opinii Bureau Toetsing Investeringen (holenderskiego urzędu badania inwestycji). Warto więc zapytać dostawcę również o to: co stanie się z moją umową w razie przejęcia? Czy będę mógł/mogła wtedy bezpłatnie ją wypowiedzieć?

Gdzie znaleźć informację o właścicielu? W rejestrze przedsiębiorców (w Holandii jest to KVK, w Niemczech Handelsregister), w sprawozdaniu rocznym lub na stronie „O nas” albo w stopce redakcyjnej („Impressum”). W przypadku spółek giełdowych informacja ta znajduje się w sprawozdaniach rocznych.

Pytanie 3: gdzie znajdują się dane i kopie zapasowe?

Lokalizacja datacenter nadal ma znaczenie. Jeśli Państwa dane znajdują się w UE, nie dochodzi do przekazania poza EOG w rozumieniu RODO, o ile nikt spoza EOG nie ma do nich dostępu. Proszę zapytać o wszystkie lokalizacje: podstawowy datacenter, zapasowy datacenter oraz kopie zapasowe. Dostawca z serwerami w Holandii i kopiami zapasowymi w Stanach Zjednoczonych i tak dokonuje przekazania danych.

Proszę zwrócić uwagę na trzy pojęcia, które są często mylone:

Szwajcaria i Zjednoczone Królestwo nie są więc częścią UE, ale usługę świadczoną tam można zgodnie z RODO wykorzystywać bez dodatkowych postanowień umownych. Decyzja dotycząca Szwajcarii pochodzi z 2000 roku i została potwierdzona w styczniu 2024 roku podczas ponownej oceny. Decyzja dotycząca Zjednoczonego Królestwa została 19 grudnia 2025 roku przedłużona do 27 grudnia 2031 roku. Decyzja stwierdzająca odpowiedni stopień ochrony może jednak zostać zrewidowana albo unieważniona przez Trybunał Sprawiedliwości Unii Europejskiej: wydarzyło się to dwukrotnie w przypadku ustaleń ze Stanami Zjednoczonymi (moduł 1, lekcja 1.4). Dla Stanów Zjednoczonych obowiązuje obecnie Data Privacy Framework, ale tylko dla amerykańskich przedsiębiorstw, które do niego przystąpiły, i z niepewnością, którą widzieli Państwo w lekcji 1.4.

Pytanie 4: kto jeszcze ma dostęp? Podwykonawcy przetwarzania i dostęp zdalny

Podwykonawca przetwarzania (subprocesor) to inne przedsiębiorstwo, które angażuje dostawca i które przy tym przetwarza lub może zobaczyć Państwa dane: datacenter, usługa kopii zapasowych, firma zajmująca się dostarczaniem wiadomości e-mail, dział wsparcia w innym kraju, usługa AI podsumowująca wiadomości e-mail. RODO wymaga, aby dostawca z wyprzedzeniem informował Państwa, z jakich podwykonawców przetwarzania korzysta, i umożliwiał zgłoszenie sprzeciwu wobec nowych (art. 28 RODO, lekcja 9.2).

Proszę zwrócić szczególną uwagę na dostęp zdalny. Dane znajdujące się w Amsterdamie, do których pracownik wsparcia w kraju spoza EOG może uzyskać wgląd w celu rozwiązania awarii, są zdaniem europejskich organów nadzorczych również przekazywane. Datacenter w Europie z działem pomocy technicznej, który ma wgląd przez całą dobę na całym świecie, jest więc mniej europejski, niż się wydaje.

Gdzie znaleźć taką listę? Zazwyczaj jako załącznik do umowy powierzenia przetwarzania danych osobowych lub na osobnej stronie „podwykonawcy przetwarzania” albo „sub-processors”. Jeśli takiej listy brakuje lub jest ona niejasna („współpracujemy ze starannie dobranymi partnerami”), to jest to sygnał ostrzegawczy.

Pytanie 5: kto ma klucz?

Szyfrowanie chroni przed innymi tylko wtedy, gdy nie mają oni klucza. W przypadku większości usług chmurowych Państwa dane są szyfrowane podczas przesyłania (https) i w spoczynku (na dysku), ale klucz ma dostawca. Jeśli dostawca musi wydać dane, może je odszyfrować. Przy szyfrowaniu end-to-end albo szyfrowaniu kluczem zarządzanym wyłącznie przez Państwa, dostawca nie jest w stanie tego zrobić. Chroni to lepiej, ale ma swoją cenę: wyszukiwanie, wspólna edycja w przeglądarce i odzyskiwanie zapomnianego hasła często wtedy nie działają lub działają w ograniczonym zakresie. Proszę więc zapytać: które elementy są szyfrowane end-to-end i czego wtedy nie będę mógł/mogła już zrobić?

„Sovereign cloud” amerykańskich przedsiębiorstw

Duzi amerykańscy dostawcy odpowiadają na zapotrzebowanie na suwerenność. Kilka przykładów, aby rozpoznawali Państwo te pojęcia:

• Microsoft EU Data Boundary: Microsoft poinformował w lutym 2025 roku, że dane klientów usług Microsoft 365, Dynamics 365, Power Platform oraz większości usług Azure są przechowywane i przetwarzane w obrębie UE i krajów EOG, w tym dane dotyczące wsparcia technicznego. Microsoft sam zaznacza, że w ograniczonych przypadkach dane są nadal przetwarzane poza UE, na przykład na potrzeby bezpieczeństwa. Microsoft pozostaje przedsiębiorstwem amerykańskim. W czerwcu 2025 roku dyrektor prawny Microsoft Francja zeznał pod przysięgą przed francuskim Senatem, że nie może zagwarantować, iż dane nigdy nie zostaną przekazane amerykańskim organom bez zgody.
• AWS European Sovereign Cloud: ogólnodostępny od 15 stycznia 2026 roku, z pierwszym regionem w Brandenburgii (Niemcy). Jest zarządzany przez niemiecką spółkę zatrudniającą personel w UE i jest technicznie oddzielony od reszty AWS. Ostatecznym podmiotem dominującym pozostaje Amazon. Analitycy wskazują, że ryzyko związane z CLOUD Act może być przez to mniejsze, ale nie da się udowodnić, że zniknęło całkowicie.
• Modele współpracy: we Francji i w Niemczech istnieją europejskie przedsiębiorstwa, które prowadzą amerykańską technologię chmurową na licencji, tak aby kontrolę sprawowało przedsiębiorstwo europejskie. Czy to działa, zależy od ustaleń dotyczących aktualizacji, zarządzania i dostępu.

Takie usługi mogą dla niektórych organizacji stanowić rozsądny krok pośredni. Należy jednak zadać im te same pięć pytań. Odpowiedź na pytanie 2 (właściciel) pozostaje w przypadku tych usług inna niż w przypadku przedsiębiorstwa w pełni europejskiego.

W praktyce: tak wygląda to u dostawcy

Weźmy jako przykład WebOké Nextcloud. Siedziba i właściciel: holenderska spółka bv. Datacenter: zgodnie z dokumentacją dwa holenderskie datacenter firmy NorthC. Oprogramowanie: Nextcloud, stworzony przez niemiecką firmę Nextcloud GmbH, open source. Klucz szyfrowania danych w spoczynku znajduje się u dostawcy; szyfrowanie end-to-end mogą Państwo samodzielnie włączyć dla poszczególnych folderów. U innych europejskich dostawców, takich jak inni dostawcy Nextcloud, mailbox.org, Infomaniak czy IONOS, te same pięć odpowiedzi należy szukać w tych samych miejscach: w umowie, w rejestrze przedsiębiorców, w umowie powierzenia przetwarzania danych osobowych oraz na liście podwykonawców przetwarzania.

Podsumowanie

• Datacenter w Europie odpowiada tylko na jedno z pięciu pytań.
• Pięć pytań: siedziba, ostateczny właściciel, lokalizacja danych i kopii zapasowych, podwykonawcy przetwarzania i dostęp zdalny oraz kto ma klucz.
• Europejska spółka zależna amerykańskiego przedsiębiorstwa może mimo to podlegać CLOUD Act.
• Szwajcaria i Zjednoczone Królestwo nie są częścią UE, ale mają decyzję stwierdzającą odpowiedni stopień ochrony; EOG to UE plus Norwegia, Islandia i Liechtenstein.
• Usługi typu „sovereign cloud” oferowane przez amerykańskie przedsiębiorstwa zmniejszają ryzyko, ale nie zmieniają odpowiedzi na pytanie o właściciela.

Quiz

Zadanie

Zadanie A2.1: Kto odbiera i wysyła pocztę dla Państwa domeny? Proszę wprowadzić własną domenę. Program wyszuka rekordy MX i w pełni rozwinie Państwa rekord SPF. Następnie wskażą Państwo, które organizacje odbierają Państwa pocztę i które mogą wysyłać wiadomości w Państwa imieniu. Dzięki temu w kilka minut zobaczą Państwo, jakie podmioty są już zaangażowane w obsługę Państwa poczty.

Zadanie E2.1: Pięć pytań dla Państwa własnych usług. Proszę wybrać dwie usługi, z których obecnie Państwo korzystają (na przykład pocztę i przechowywanie plików) oraz jednego możliwego europejskiego zastępcę. Proszę znaleźć odpowiedzi na pięć pytań dla wszystkich trzech, wraz ze źródłem.

Więcej informacji

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik Nextcloud 1.1: Czym jest Nextcloud i czym jest WebOké Nextcloud?
• Podręcznik Nextcloud 3.1: Jak WebOké zabezpiecza Pana/Pani Nextcloud?
• Podręcznik Nextcloud 15.13: Najczęściej zadawane pytania dotyczące bezpieczeństwa i prywatności
• Komisja Europejska, przegląd decyzji stwierdzających odpowiedni stopień ochrony: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (dane „regardless of whether” znajdują się w USA, czy poza nimi)