Сервер у Європі, провайдер у США: хто насправді може отримати доступ до даних?
Компанія обирає хмарний сервіс із серверами в Німеччині, а за договором дані зберігаються в Євросоюзі. Може здатися, що питання юрисдикції вирішене. Але місце зберігання — лише один із чинників: важливо також, яка компанія надає послугу, кому вона підпорядковується і хто контролює дані.
У 2018 році в США ухвалили CLOUD Act, який вніс зміни до Stored Communications Act (SCA) — частини американського законодавства про електронні комунікації. Закон передбачає, що постачальник послуг, який перебуває під юрисдикцією США, може бути зобов’язаний надати дані, що перебувають у його володінні, розпорядженні або під його контролем, навіть якщо вони зберігаються за межами США. Для цього потрібна належна правова процедура; сам факт американської юрисдикції не означає автоматичного доступу влади до будь-якої інформації.
Іншими словами, якщо постачальник підпадає під юрисдикцію США й отримує дійсну вимогу надати дані, розташування серверів у Німеччині саме по собі не виключає обов’язку відповісти на цю вимогу. Проте застосовність закону залежить від конкретних обставин, зокрема від юрисдикції щодо постачальника та його контролю над даними.
CLOUD Act і GDPR: як співвідносяться вимоги
Виникає питання: що відбувається, якщо американська вимога стосується персональних даних, на які поширюється GDPR?
Стаття 48 GDPR встановлює, що рішення суду чи адміністративного органу третьої країни, яке вимагає передати або розкрити персональні дані, може бути визнане чи виконане в ЄС на підставі міжнародної угоди, наприклад договору про взаємну правову допомогу. При цьому стаття не скасовує інших підстав для передавання даних, передбачених главою V GDPR. Європейська рада із захисту даних уточнює: навіть якщо такої угоди немає, можливі підстави для передавання потрібно оцінювати окремо, з урахуванням конкретної ситуації та вимог GDPR.
Тому ситуація, в якій вимоги американського й європейського права можуть стосуватися одних і тих самих даних, потребує окремої юридичної оцінки. Сама наявність CLOUD Act не скасовує GDPR, а зберігання даних у ЄС не означає, що іноземні юридичні вимоги заздалегідь не можуть їх зачепити.
Що важливіше: країна реєстрації чи власник компанії?
Однозначної відповіді немає. Наприклад, договір із клієнтом може укладати європейська юридична особа, що входить до групи з материнською компанією в США. При цьому частина адміністративних функцій може виконуватися централізовано.
Така структура — привід з’ясувати, хто керує інфраструктурою та має технічний або юридичний контроль над даними. Проте наявність американської материнської компанії сама по собі не означає, що будь-які дані європейської дочірньої компанії автоматично доступні за американською вимогою. Важливі конкретна структура відносин, контроль над даними та застосовна юрисдикція.
І навпаки, реєстрація постачальника за межами США сама по собі не гарантує, що американська юрисдикція за жодних обставин не буде застосовна. Міністерство юстиції США вказує, що обов’язок надати дані за CLOUD Act пов’язаний із юрисдикцією США щодо постачальника та наявністю дійсної правової вимоги, а не лише з країною реєстрації чи походження капіталу. Тому під час вибору хмарного сервісу варто вивчити юридичну структуру постачальника, умови договору та те, як організовано доступ до даних.
Чи може європейський провайдер зменшити такі ризики?
Для компаній, які хочуть обмежити кількість юрисдикцій, здатних висувати вимоги до постачальника, робота з європейською юридичною особою та розміщення інфраструктури в ЄС можуть бути частиною рішення. Але самі ці умови не дають повної картини. Потрібно також ураховувати корпоративну структуру провайдера, технічні доступи, умови договору та субпідрядників: європейський постачальник теж може використовувати міжнародні сервіси.
Фізичне розташування серверів залишається важливим критерієм, але для оцінювання юридичних ризиків його недостатньо. Потрібно враховувати весь ланцюг: хто надає послугу, хто контролює дані, хто має до них технічний доступ і які договірні зобов’язання діють. Тоді формулювання «дані зберігаються в Європі» означатиме не лише географічне розміщення, а й зрозумілу модель доступу та відповідальності.
