Lokalizacja danych: gdzie naprawdę leżą wasze dane w SaaS

„Nasze dane są w Unii” to najczęstsza półodpowiedź, jaką słyszy się w rozmowie handlowej. Zwykle jest prawdziwa, zwykle podana w dobrej wierze i zwykle odpowiada tylko na jedno z trzech pytań, które kupujący faktycznie zadaje.

Trzy rzeczy nazywane lokalizacją danych

1. Gdzie dane leżą. W którym regionie stoi baza produkcyjna i kopie zapasowe. Na to pytanie dostawcy odpowiadają.
2. Kto i skąd może do nich sięgnąć. Wsparcie, dyżury, podprzetwarzający, zespół programistów spoza EOG debugujący zgłoszenie na danych produkcyjnych. Rekord leżący we Frankfurcie, ale odczytany spoza EOG, został przekazany — niezależnie od tego, co stoi na stronie.
3. Czyje prawo może wymusić ujawnienie. O tym decyduje struktura właścicielska i siedziba podmiotu, a nie położenie dysku. Amerykański dostawca trzymający dane w Irlandii wciąż jest amerykańskim dostawcą.

Dostawca może być całkowicie uczciwy w pierwszym punkcie i zostawić was odsłoniętych w drugim i trzecim. Nie chodzi o to, że to skandal — chodzi o to, żebyście wiedzieli, którą z tych trzech rzeczy kupiliście.

To nie jest wyłącznie kwestia prawna

• Wymagania klientów spływają w dół. Jeśli sprzedajecie do banku, szpitala albo jednostki publicznej, ich wymogi lądują w waszej umowie, a wy musicie je potem odtworzyć u swoich dostawców.
• W przetargach to pytanie zero-jedynkowe. Zamówienia publiczne regularnie stawiają przechowywanie danych w UE jako wymóg twardy. Odpowiedź „w większości w UE” przegrywa postępowanie.
• Sektory regulowane mają własne reguły. Instytucje finansowe działają pod dodatkowymi oczekiwaniami dotyczącymi outsourcingu chmurowego, ponad RODO, a dyrektywa NIS2 poszerzyła krąg firm z formalnymi obowiązkami wobec łańcucha dostaw.
• Opóźnienia bywają odczuwalne, jeśli narzędzie jest używane interaktywnie przez cały dzień przez ludzi w jednym regionie.

Pięć pytań, które warto zadać

1. W jakim regionie jest moja instancja i czy mogę go wybrać przy zakładaniu konta, czy dopiero w planie korporacyjnym?
2. Gdzie leżą kopie zapasowe i kopie na potrzeby odtwarzania po awarii? Bardzo często w innym regionie niż baza główna.
3. Z jakich krajów pracownicy dostawcy mają dostęp do produkcji i pod jakimi zabezpieczeniami? Poproście o odpowiedź na piśmie.
4. Którzy podprzetwarzający dotykają tych danych i gdzie mają siedziby? Zestawcie opublikowaną listę z odpowiedzią na pytanie trzecie.
5. Jeśli dane wychodzą poza EOG, na jakiej podstawie i czy istnieje ocena skutków przekazania, na której mogę się oprzeć?

Dłuższą wersję tej rozmowy — z umową powierzenia i usuwaniem danych — zebraliśmy w tekście RODO: siedem pytań do dostawcy SaaS.

Jak to wygląda w praktyce

Lokalizację danych zapisujemy przy każdym produkcie jako osobne kryterium, więc listę można zawęzić, zanim ktokolwiek zacznie rozmowę handlową. Układa się to w cztery wzorce.

Platformy z danymi w UE

Brevo i GetResponse mamy w katalogu z danymi przechowywanymi w Unii. Pierwsze pytanie odpada, a rozmowa od razu przechodzi na dostęp i podprzetwarzających.

Platformy z danymi w USA

Mailchimp i ClickUp figurują z lokalizacją w Stanach. To nie jest dyskwalifikacja i dla wielu zastosowań jest zupełnie rozsądne. Oznacza natomiast, że podstawę przekazania trzeba udokumentować, a nie założyć — i że w ankiecie bezpieczeństwa odpowiadacie „nie”, a nie „to zależy”.

Instalacja własna

Metabase można postawić na własnej infrastrukturze, co pytanie o lokalizację raczej przesuwa, niż rozwiązuje: od tej chwili wasz jest region, kopie zapasowe, aktualizacje i kontrola dostępu. To dobra odpowiedź, jeśli macie kogoś, kto to poprowadzi, i gorsza, jeśli nie macie.

Region po stronie dzierżawcy

U dużych dostawców platformowych region bywa cechą waszej instancji, a nie produktu. Power BI mieści się w tym modelu, więc użyteczne pytanie brzmi nie „gdzie ten dostawca trzyma dane”, tylko „w jakim regionie jest nasz tenant i czy da się go przenieść”. Zapytajcie własnego administratora, zanim zapytacie dostawcę.

Kiedy hosting poza UE jest w porządku

Często. Lista do newslettera, narzędzie do zadań bez danych osobowych poza imionami pracowników, wewnętrzny rejestrator ekranu — ryzyko przekazania jest niskie, a mechanizm dobrze przetarty. Błędem nie jest wybór narzędzia hostowanego w USA. Błędem jest dowiedzieć się o tym dopiero podczas audytu bezpieczeństwa u klienta.

Lokalizacja danych nie jest cnotą. Jest ograniczeniem, które albo was dotyczy, albo nie — a kosztowną pomyłką jest niewiedza, które z dwojga.

Co zapisać

• Region, osobno dla każdego narzędzia, w tym samym miejscu co rejestr czynności przetwarzania.
• Podstawę przekazania tam, gdzie występuje, z datą sprawdzenia.
• Kto i skąd ma dostęp do produkcji.
• Co odpowiecie, jeśli klient zapyta o to jutro.

Materiały źródłowe: wytyczne Europejskiej Rady Ochrony Danych, które stosują organy nadzorcze, oraz poradniki UODO pisane wprost dla administratorów w Polsce.