Viis küsimust, mis näitavad, kui Euroopalik on teenus tegelikult

Moodul 2: Mis on Euroopa pilv tegelikult? · Lugemisaeg: 11 minutit

Õpieesmärk: Pärast seda tundi oskad viie küsimuse abil kindlaks teha, millise riigi õiguse alla pilveteenus käib, ja selgitada, miks andmekeskuse asumisest Euroopas selleks ei piisa.

Põhimõisted: asukoht (registrijärgne asukoht), lõplik omanik, andmekeskuse asukoht, alltöötleja, kaugligipääs, võtmehaldus, EL, EMP, piisavusotsus, "sovereign cloud"

"Meie andmed asuvad Euroopas." Ja mis siis?

Peaaegu iga suurem pilveteenus ütleb tänapäeval seda: su andmed asuvad andmekeskuses Frankfurdis, Amsterdamis või Dublinis. See kõlab rahustavalt, kuid vastab ainult ühele olulisele küsimusele. Moodulis 1 nägid, et Ameerika CLOUD Act ei vaata serveri asukohta, vaid ettevõtet, kelle valduses, hoiule või kontrolli all andmed on ("possession, custody, or control"). Server Frankfurdis, mis kuulub ettevõttele, mille lõplik omanik on Ameerika ettevõte, võib seega siiski kuuluda Ameerika korralduse alla.

Seepärast ei vaata sa üht tunnust, vaid viit. Meie näites olev Bakkerij De Korrel (12 töötajat, domeen example.com) kasutab praegu Ameerika kontoripaketti ja soovib teada, millised alternatiivid on tõeliselt Euroopa omad. Nende viie küsimusega eristab ta turunduse faktidest.

Küsimus 1: kus asub ettevõte?

Asukoht on riik, kus ettevõte, kes sinuga lepingu sõlmib, on juriidiliselt registreeritud: registrijärgne asukoht. See riik määrab, millise riigi õigus ettevõttele esmajoones kohaldub, millisel kohtul on pädevus ja milline järelevalveasutus seda jälgib.

Vaata selleks mitte veebilehte, vaid lepingupoolt: nime üldtingimuste, isikuandmete töötlemise lepingu ja arve allosas. Kui seal on kirjas "Example Cloud Ireland Ltd.", siis on su lepingupool Iirimaa ettevõte, isegi kui bränd on Ameerika oma. See on hea algus, aga mitte veel vastus. Selleks on vaja küsimust 2.

Küsimus 2: kes on lõplik omanik?

Lõplik omanik on ettevõte või isik, kes seisab aktsionäride ahela tipus. Ameerika emaettevõtte Euroopa tütarettevõte on juriidiliselt Euroopa ettevõte, kuid emaettevõttel on otsustusõigus. CLOUD Acti kohaselt võib Ameerika kohus kohustada emaettevõtet andmeid väljastama, mis asuvad tütarettevõtte juures, kui emaettevõttel on nende üle tegelik "control". Kas see konkreetsel juhul nii on, sõltub ettevõtte ülesehitusest. Juristide seas selles üksmeelt pole. Just seepärast on tegu riskiga, mitte kindlusega.

Ka vastupidine on võimalik: ettevõte, mis on praegu Euroopa oma, võidakse homme üle võtta. Hollandis toimus 2025. ja 2026. aastal selline olukord Solvinity ümber, mis on ettevõte DigiD infrastruktuuri taga. Ameerika ettevõte Kyndryl soovis seda üle võtta; Hollandi valitsus keelas ülevõtmise 2026. aasta mais pärast investeeringute kontrolli büroo (Bureau Toetsing Investeringen) soovitust. Küsi seega ka pakkujalt: mis juhtub minu lepinguga ülevõtmise korral? Kas saan siis tasuta lepingu üles öelda?

Kust omanikku leida? Äriregistrist (Hollandis KVK, Saksamaal Handelsregister), aastaaruandest või lehelt "Teave meist" või "Impressum". Börsil noteeritud ettevõtete puhul leiad selle majandusaasta aruandest.

Küsimus 3: kus asuvad andmed ja varukoopiad?

Andmekeskuse asukoht on endiselt oluline. Kui su andmed asuvad ELis, siis ei toimu isikuandmete kaitse üldmääruse (IKÜM, GDPR) tähenduses edastamist väljapoole EMPd, seni kuni keegi väljastpoolt ligi ei pääse. Küsi kõigi asukohtade kohta: peamine andmekeskus, varuandmekeskus ja varukoopiad. Pakkujal, kelle serverid asuvad Hollandis ja varukoopiad Ameerika Ühendriikides, toimub sellegipoolest edastamine.

Pane tähele kolme mõistet, mida sageli aetakse segi:

Šveits ja Suurbritannia ei ole seega EL, kuid sealset teenust võid IKÜMi alusel kasutada ilma lisalepingutingimusteta. Šveitsi puudutav otsus pärineb aastast 2000 ja kinnitati uuesti 2024. aasta jaanuaris toimunud ümberhindamisel. Suurbritanniat puudutavat otsust pikendati 19. detsembril 2025 kuni 27. detsembrini 2031. Piisavusotsust võidakse siiski üle vaadata või Euroopa Liidu Kohus võib selle tühistada: see juhtus kaks korda Ameerika Ühendriikidega sõlmitud kokkulepetega (moodul 1, tund 1.4). Ameerika Ühendriikide kohta kehtib praegu Data Privacy Framework, kuid ainult Ameerika ettevõtetele, kes on sellega liitunud, ja koos ebakindlusega, mida nägid tunnis 1.4.

Küsimus 4: kes veel pääseb ligi? Alltöötlejad ja kaugligipääs

Alltöötleja on teine ettevõte, kelle pakkuja kaasab ja kes seejuures töötleb või näeb su andmeid: andmekeskus, varunduse teenus, meili kohaletoimetamise ettevõte, tugiteenuse osakond mõnes teises riigis, tehisintellektil põhinev teenus, mis võtab meile kokku. IKÜM nõuab, et pakkuja teavitaks sind ette, milliseid alltöötlejaid ta kasutab, ja annaks sulle võimaluse uute suhtes vastuväiteid esitada (IKÜM artikkel 28, tund 9.2).

Pööra erilist tähelepanu kaugligipääsule. Andmeid, mis asuvad Amsterdamis, kuid mida saab vaadata tugiteenuse töötaja riigis väljaspool EMPd, et häiret lahendada, peetakse Euroopa järelevalveasutuste hinnangul samuti edastatuks. Andmekeskus Euroopas koos ööpäevaringselt üle maailma jälgiva kasutajatoega on seega vähem Euroopa oma, kui tundub.

Kust leiad nimekirja? Tavaliselt isikuandmete töötlemise lepingu lisana või eraldi lehel "alltöötlejad" või "sub-processors". Kui see nimekiri puudub või on ebamäärane ("töötame hoolikalt valitud partneritega"), on see hoiatav märk.

Küsimus 5: kellel on võti?

Krüpteerimine aitab teiste eest kaitsta ainult siis, kui neil võtit ei ole. Enamikul pilveteenustel on su andmed krüpteeritud edastamisel (https) ja puhkeolekus (kettal), kuid võti on pakkuja käes. Kui pakkuja peab andmed väljastama, saab ta need lahti krüpteerida. Otspunktkrüpteerimise korral või kui võtit haldab ainult sina, ei saa pakkuja seda teha. See kaitseb paremini, kuid sellel on hind: otsimine, ühine redigeerimine brauseris ja unustatud parooli taastamine ei toimi siis sageli või toimivad piiratult. Küsi seega: millised osad on otspunktkrüpteeritud ja mida ma siis enam teha ei saa?

Ameerika ettevõtete "sovereign cloud"

Suured Ameerika pakkujad vastavad suveräänsuse järele nõudlusele. Mõned näited, et tunneksid mõisted ära:

• Microsoft EU Data Boundary: Microsoft teatas 2025. aasta veebruaris, et Microsoft 365, Dynamics 365, Power Platformi ja enamiku Azure teenuste kliendiandmeid salvestatakse ja töödeldakse EL-is ja EFTA riikides, kaasa arvatud tugiteenuse andmed. Microsoft ise kirjutab, et piiratud juhtudel töödeldakse andmeid endiselt väljaspool ELi, näiteks turvalisuse tagamiseks. Microsoft jääb ikkagi Ameerika ettevõtteks. 2025. aasta juunis tunnistas Microsoft France'i õigusdirektor Prantsuse Senatis vande all, et ta ei saa garanteerida, et andmeid ei anta kunagi ilma loata Ameerika ametiasutustele.
• AWS European Sovereign Cloud: üldiselt saadaval alates 15. jaanuarist 2026, esimese regiooniga Brandenburgis (Saksamaa). Seda haldab Saksa äriühing töötajatega ELis ning see on tehniliselt eraldatud muust AWS-ist. Lõplik emaettevõte on Amazon. Analüütikud märgivad, et seetõttu võib CLOUD Acti risk olla väiksem, kuid see ei ole tõendatult kadunud.
• Koostöömudelid: Prantsusmaal ja Saksamaal on Euroopa ettevõtteid, kes käitavad litsentsi alusel Ameerika pilvetehnoloogiat, nii et kontroll on Euroopa ettevõtte käes. Kas see toimib, sõltub kokkulepetest uuenduste, halduse ja ligipääsu osas.

Sellised teenused võivad mõne organisatsiooni jaoks olla mõistlik vahepealne samm. Kuid esita neile samad viis küsimust. Vastus küsimusele 2 (omanik) jääb nende teenuste puhul teistsuguseks kui ettevõttel, mis on täielikult Euroopa oma.

Praktikas: nii näeb see välja ühe pakkuja juures

Võta näiteks WebOké Nextcloud. Asukoht ja omanik: Hollandi osaühing. Andmekeskus: käsiraamatu kohaselt kaks Hollandi andmekeskust ettevõttelt NorthC. Tarkvara: Nextcloud, mille on loonud Saksa ettevõte Nextcloud GmbH, avatud lähtekoodiga. Salvestusruumi krüpteerimise võti on pakkuja käes; otspunktkrüpteerimise saad kaustade kaupa ise sisse lülitada. Teiste Euroopa pakkujate puhul, näiteks teiste Nextcloudi pakkujate, mailbox.org, Infomaniaki või IONOSe puhul otsid samad viis vastust samadest kohtadest: lepingust, äriregistrist, isikuandmete töötlemise lepingust ja alltöötlejate nimekirjast.

Kokkuvõte

• Andmekeskus Euroopas vastab ainult ühele viiest küsimusest.
• Viis küsimust: asukoht, lõplik omanik, andmete ja varukoopiate asukoht, alltöötlejad ja kaugligipääs ning kellel on võti.
• Ameerika ettevõtte Euroopa tütarettevõte võib siiski kuuluda CLOUD Acti alla.
• Šveits ja Suurbritannia ei ole EL, kuid neil on piisavusotsus; EMP on EL pluss Norra, Island ja Liechtenstein.
• Ameerika ettevõtete "sovereign cloud" teenused vähendavad riske, kuid ei muuda vastust omaniku küsimusele.

Test

Ülesanne

Ülesanne A2.1: Kes võtab vastu ja saadab kirju sinu domeeni nimel? Sisesta oma domeen. Programm otsib üles MX-kirjed ja avab su SPF-kirje täielikult lahti. Sina märgid, millised organisatsioonid võtavad vastu su kirju ja millised tohivad su nimel kirju saata. Nii näed mõne minutiga, millised osapooled on juba su meiliga seotud.

Ülesanne E2.1: Viis küsimust sinu enda teenuste kohta. Vali kaks teenust, mida praegu kasutad (näiteks meil ja failihoidla), ja üks võimalik Euroopa asendaja. Leia kõigi kolme kohta vastused viiele küsimusele, koos allikaga.

Loe edasi

Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste pakkujate puhul toimib see sarnaselt.

• Nextcloudi juhend 1.1: Mis on Nextcloud ja mis on WebOké Nextcloud?
• Nextcloudi juhend 3.1: Kuidas WebOké kaitseb sinu Nextcloudi?
• Nextcloudi juhend 15.13: Korduma kippuvad küsimused turvalisuse ja privaatsuse kohta
• Euroopa Komisjon, piisavusotsuste ülevaade: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (andmed "regardless of whether", olenemata sellest, kas need asuvad USA-s või väljaspool seda)