Компания выбирает облачный сервис с серверами в Германии, а по договору данные хранятся в Евросоюзе. Может показаться, что вопрос с юрисдикцией решен. Но место хранения — лишь один из факторов: важно также, какая компания предоставляет услугу, кому она подчиняется и кто контролирует данные.
В 2018 году в США приняли CLOUD Act, который внес изменения в Stored Communications Act (SCA) — часть американского законодательства об электронных коммуникациях. Закон предусматривает, что поставщик услуг, находящийся под юрисдикцией США, может быть обязан предоставить данные, которые находятся в его владении, распоряжении или под его контролем, даже если они хранятся за пределами США. Для этого требуется надлежащая правовая процедура; сам факт американской юрисдикции не означает автоматического доступа властей к любой информации.
Иными словами, если поставщик подпадает под юрисдикцию США и получает действительное требование предоставить данные, расположение серверов в Германии само по себе не исключает обязанности ответить на это требование. Однако применимость закона зависит от конкретных обстоятельств, в том числе от юрисдикции в отношении поставщика и его контроля над данными.
CLOUD Act и GDPR: как соотносятся требования
Возникает вопрос: что происходит, если американское требование касается персональных данных, на которые распространяется GDPR?
Статья 48 GDPR устанавливает, что решение суда или административного органа третьей страны, требующее передачи или раскрытия персональных данных, может быть признано или исполнено в ЕС на основании международного соглашения, например договора о взаимной правовой помощи. При этом статья не отменяет другие основания для передачи данных, предусмотренные главой V GDPR. Европейский совет по защите данных уточняет: даже если такого соглашения нет, возможные основания для передачи нужно оценивать отдельно, с учетом конкретной ситуации и требований GDPR.
Поэтому ситуация, в которой требования американского и европейского права могут затронуть одни и те же данные, требует отдельной юридической оценки. Само наличие CLOUD Act не отменяет GDPR, а хранение данных в ЕС не означает, что иностранные юридические требования заведомо не могут их затронуть.
Что важнее: страна регистрации или владелец компании?
Однозначного ответа нет. Например, договор с клиентом может заключать европейское юридическое лицо, входящее в группу с материнской компанией в США. При этом часть административных функций может выполняться централизованно.
Такая структура — повод выяснить, кто управляет инфраструктурой и имеет технический или юридический контроль над данными. Но наличие американской материнской компании само по себе не означает, что любые данные европейской дочерней компании автоматически доступны по американскому требованию. Важны конкретная структура отношений, контроль над данными и применимая юрисдикция.
И наоборот, регистрация поставщика за пределами США сама по себе не гарантирует, что американская юрисдикция ни при каких обстоятельствах не будет применима. Министерство юстиции США указывает, что обязанность предоставить данные по CLOUD Act связана с юрисдикцией США в отношении поставщика и наличием действительного правового требования, а не только со страной регистрации или происхождения капитала. Поэтому при выборе облачного сервиса стоит изучить юридическую структуру поставщика, условия договора и то, как организован доступ к данным.
Может ли европейский провайдер снизить такие риски?
Для компаний, которые хотят ограничить число юрисдикций, способных предъявить требования к поставщику, работа с европейским юридическим лицом и размещение инфраструктуры в ЕС могут быть частью решения. Но сами по себе эти условия не дают полной картины. Нужно также учитывать корпоративную структуру провайдера, технические доступы, условия договора и субподрядчиков: европейский поставщик тоже может использовать международные сервисы.
Физическое расположение серверов остается важным критерием, но для оценки юридических рисков его недостаточно. Нужно учитывать всю цепочку: кто предоставляет услугу, кто контролирует данные, кто имеет к ним технический доступ и какие договорные обязательства действуют. Тогда формулировка «данные хранятся в Европе» будет означать не только географическое размещение, но и понятную модель доступа и ответственности.
