Rohkem kui privaatsus: kättesaadavus, sõltuvus ja kulud

Moodul 1: Miks valida Euroopa pilv? · Lugemisaeg: 11 minutit

Õpieesmärk: pärast seda tundi oskad selgitada, et digitaalne suveräänsus puudutab ka kättesaadavust, sõltuvust ja otsustusõigust, tead andmemääruse (Data Act) uusi Euroopa üleminekuõigusi ning oskad kaaluda oma olukorra riske.

Põhimõisted: digitaalne suveräänsus, kättesaadavuse risk, sanktsioonid, tingimuste ühepoolne muutmine, tarnijasõltuvus (vendor lock-in), kontsentratsioonirisk, ELi andmemäärus (Data Act), üleminekuõigus, üleminekukulud, NIS2, kaalumine (tõenäosus ja mõju)

Suveräänsus on rohkem kui "kes saab kaasa lugeda"

Eelmised tunnid käsitlesid konfidentsiaalsust: kes saab su andmeid näha. Kuid organisatsiooni jaoks on veel kaks sama olulist küsimust:

1. Kas pääsed andmetele ligi, kui neid vajad? (kättesaadavus)
2. Kas saad ise otsustada, isegi kui teenusepakkuja tahab teisiti? (otsustusõigus)

Koos nimetatakse seda digitaalseks suveräänsuseks: see, mil määral sina (või su riik, või Euroopa) säilitad kontrolli oma digitaalsete andmete ja teenuste üle. Sõna kõlab suurelt, aga Bakkerij De Korreli jaoks on see väga praktiline: kui Sanne ei saa esmaspäeva hommikul kell kuus veoringe avada, seisab kaksteist inimest ootamas.

See on selgitus, mitte õigusnõustamine.

Risk 1: su konto võidakse sulgeda

Pilveteenus võib piirata või sulgeda su juurdepääsu. Enamasti tavalistel põhjustel: maksmata arve, kuritarvituse kahtlus, automaatne süsteem, mis hindab midagi valesti. Igaüks, kes on kunagi kogenud mõne suure teenuse konto blokeerimist, teab, kui raske on sealt inimesega ühendust saada.

Olemas on ka geopoliitiline variant. Ettevõte peab järgima selle riigi sanktsioone, mille jurisdiktsiooni alla ta kuulub. 2025. aasta veebruaris kehtestas USA valitsus sanktsioonid Rahvusvahelise Kriminaalkohtu (ICC) peaprokurörile Haagis. 2025. aasta mais teatas uudisteagentuur AP, et peaprokuröril ei olnud enam juurdepääsu oma tööposti Microsofti juures. Microsoft on kinnitanud, et ta ei ole kunagi oma teenuseid ICC-le katkestanud; hilisemate teadete kohaselt lõpetas sanktsioonide surve all ICC ise postkasti kättesaadavuse. Täpne käik on endiselt vaidluse all. Kuid näide näitab, et teenuse kättesaadavus sõltub teenusepakkuja asukohariigi poliitikast, mitte ainult tehnikast.

Pagaritöökoda ei puutu tõenäoliselt kunagi kokku sanktsioonidega. Punkt on laiem: oled sõltuv reeglitest, millele sul puudub mõju.

Risk 2: tingimused ja hinnad muutuvad ühepoolselt

Pilveteenused töötavad tellimuste ja üldtingimuste alusel, mida teenusepakkuja võib muuta. Pakette liidetakse, funktsioonid kolitakse kallimasse paketti või lisandub uus funktsioon (näiteks tehisintellekt), mis tõstab hinda või muudab su andmete kasutamise viisi. Tavaliselt saad valida vaid: nõustu või lahku. Ja lahkumine on raske, kui kogu su töö on juba seal. Seda nimetatakse tarnijasõltuvuseks, inglise keeles vendor lock-in (tund 2.3).

Risk 3: kõik ühe teenusepakkuja käes

Kui su post, kalender, failid, vestlus, paroolid ja sisselogimine teistesse teenustesse ("logi sisse Google'i või Microsofti kontoga") on kõik ühe teenusepakkuja käes, siis piisab ühest rikkest, ühest blokeeritud kontost või ühest häkitud paroolist, et kaotada kõik korraga. Seda nimetatakse kontsentratsiooniriskiks. See kehtib iga teenusepakkuja, ka Euroopa oma kohta. Hajutamine ja oma varukoopia (moodul 8) aitavad.

Sama kehtib ka riigi tasandil. Hollandis tekkis 2025. ja 2026. aastal arutelu Solvinity ümber, ettevõtte, mis pakub infrastruktuuri DigiD ja MijnOverheid jaoks. Ameerika ettevõte Kyndryl soovis seda üle võtta. Pärast Bureau Toetsing Investeringeni nõuannet keelas riigisekretär 2026. aasta mais ülevõtmise avaliku huvi kaitseks; üks murekohtadest oli see, et USA valitsus võiks CLOUD Acti kaudu saada juurdepääsu. Näide näitab, et ka Euroopa teenusepakkuja omanik võib muutuda. Tänane Euroopa teenus võib homme kuuluda USA emaettevõttele. Seepärast peaks väljumisplaan (tund 8.2) kuuluma iga valiku juurde.

Uued Euroopa reeglid: andmemäärus (Data Act)

EL on kehtestanud reeglid, mis muudavad pilveteenuste vahel üleminekut lihtsamaks: andmemäärus (Data Act) (määrus (EL) 2023/2854). Määrus kehtib alates 12. septembrist 2025. Pilveteenuste kohta (seadus kasutab mõistet "andmetöötlusteenused") on reeglid toodud VI peatükis (artiklid 23 kuni 31). Lühidalt:

• Teenusepakkuja ei tohi sind takistada, kui soovid üle minna teisele teenusepakkujale või oma serveritele, ja peab sellele kaasa aitama.
• Leping peab muu hulgas lubama ülesütlemistähtaja, mis on kõige rohkem kaks kuud, üleminekuperioodi, mis on põhimõtteliselt kõige rohkem kolmkümmend päeva, ning vähemalt kolmekümnepäevase perioodi oma andmete kättesaamiseks.
• Teenusepakkujad peavad kulude osas olema eelnevalt selged.
• Üleminekukulud, sealhulgas andmete väljasaatmise kulud (egress), tohtisid alates algusest olla ainult omahinna tasemel ning kaovad täielikult alates 12. jaanuarist 2027 (artikkel 29). Tavalised tellimustasud ja trahvid tähtajalise lepingu enneaegse lõpetamise eest jäävad siiski võimalikuks.

See aitab, aga ei lahenda kõike. Seadus ütleb, et võid oma andmed kaasa võtta, mitte seda, et need töötavad uues teenuses täpselt samamoodi. Google'i dokumendi või Teamsi vestlusajaloo viimine teise keskkonda jääb keeruliseks (moodul 5, 6 ja 7).

NIS2 ühes lõigus

Euroopa NIS2 direktiiv (direktiiv (EL) 2022/2555) kohustab keskmise suurusega ja suuri organisatsioone olulistes sektorites hoidma oma küberturvalisuse ja oma tarnijate küberturvalisuse korras. Väike pagaritöökoda ei kuulu selle alla, kuid sellise organisatsiooni tarnija võib siiski saada küsimusi oma pilveteenuste kohta. NIS2 ei ütle midagi Euroopa või mitte-Euroopa kohta, kuid ütleb, et pead tundma oma tarneahela riske.

Kaalumine: mitte kõik ei ole võrdselt tähtis

Sa ei pea homme kõike üle viima. Kaine kaalumine osade kaupa aitab. Iga riski puhul vaatad tõenäosust, et see juhtub, ja mõju, kui see juhtub:

Selline tabel näitab, kust alustada. Personalikaust on väike ja tundlik: kiiresti kolitav, suure kasuga. Post on tähtis, kuid nõuab hoolikat plaani (moodul 4). Vestlusajalugu ei pruugi sa kaasa võtta, kuid arhiveerid selle.

Aus vastukaal: suured Ameerika teenused on usaldusväärsed, tehniliselt tugevad ja su töötajatele tuttavad. Üleminek nõuab aega ja harjumist. Küsimus ei ole "õige või vale", vaid milliseid riske teadlikult aktsepteerid.

Praktikas: nii näeb see välja teenusepakkuja juures

Küsi igalt teenusepakkujalt, ka Euroopa omalt: kuidas saan oma andmed kätte, millistes vormingutes, ja kui kaua pärast lepingu lõpetamist on need veel kättesaadavad? WebOké juures on näiteks Nextcloudi juhendis kirjas, kuidas andmeid Nextcloudide vahel üle kanda, ning Nextcloud kasutab avatud standardeid nagu WebDAV, CalDAV ja CardDAV, nii et saad minna ka teisele teenusepakkujale. Teistel teenusepakkujatel on sarnased ekspordifunktsioonid; kontrolli, kas need töötavad ilma kasutajatoe abita.

Kokkuvõte

• Digitaalne suveräänsus puudutab konfidentsiaalsust, kättesaadavust ja otsustusõigust.
• Konto võib sulguda vea, maksmata arve või sanktsioonide tõttu; ICC juhtum (2025) näitab, et poliitika mängib kaasa.
• Tingimused ja hinnad võivad ühepoolselt muutuda; kõik ühe teenusepakkuja käes tekitab kontsentratsiooniriski.
• Andmemäärus (Data Act, kohaldub alates 12. septembrist 2025) annab üleminekuõigused; üleminekukulud kaovad alates 12. jaanuarist 2027.
• Kaalu iga osa puhul tõenäosust ja mõju ning alusta sealt, kus kasu on kõige suurem.

Test

Ülesanne

Ülesanne A1.5: Sinu enda riskihinnang. Täida oma organisatsiooni jaoks iga osa kohta (post, kalender, kontaktid, failid, dokumendid, vestlus, paroolid, varukoopiad), kui konfidentsiaalne see on, kui halb on selle kadumine ja kui raske on sellest lahkuda. Programm kontrollib, kas su hinnang on täielik ja järjepidev, ning seab osad järjekorda.

Ülesanne E1.5: Sinu kaalutlus viies lauses. Kirjuta üles, miks su organisatsioon soovib või ei soovi (osaliselt) üle minna, milliseid riske teadlikult aktsepteerid ja mis on kõige tähtsam argument su kolleegide jaoks.

Lisalugemist

Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste teenusepakkujate puhul toimib see sarnaselt.

• Nextcloudi juhend 1.1: Mis on Nextcloud ja mis on WebOké Nextcloud?
• Nextcloudi juhend 13.1: Valmistumine: mida kaasa võtta ja millises järjekorras
• Nextcloudi juhend 6.6: Varukoopiad WebOké juures: mida meie säilitame ja mida saad ise teha
• Määrus (EL) 2023/2854 (andmemäärus, Data Act), VI peatükk, artiklid 23 kuni 31, EUR-Lexis
• Direktiiv (EL) 2022/2555 (NIS2), EUR-Lexis