Najvažnije iz članka
- Suverenitet podataka znači da su podaci podložni zakonima zemlje u kojoj se fizički nalaze, što je ključno za tvrtke koje koriste cloud usluge.
- EU regulativa, posebno GDPR i presuda Schrems II, nameće stroga ograničenja na prijenos osobnih podataka izvan EGP-a, zahtijevajući rigorozne procjene rizika (TIA) i dodatne zaštitne mjere.
- Hrvatske tvrtke moraju pažljivo birati pružatelje cloud usluga, uzimajući u obzir njihovu matičnu zemlju i regulatorni okvir, čak i ako su podatkovni centri unutar EU.
- Ključne strategije za usklađenost uključuju enkripciju s kontrolom ključeva, transparentne ugovore, korištenje EGP regija, pseudonimizaciju i kontinuirano praćenje regulatornih promjena.
Sadržaj članka
- Što je Data Sovereignty (suverenitet podataka)?
- Data Residency vs. Data Sovereignty
- EU regulativa i suverenitet podataka
- Opća uredba o zaštiti podataka (GDPR)
- NIS2 Direktiva i Cyber Resilience Act
- Europski podatkovni akt (European Data Act) i EU Data Strategy
- Izazovi za hrvatske tvrtke u cloudu
- Izbor pružatelja cloud usluga
- Vendor Lock-in
- Složenost ugovora i odgovornosti
- Lokalna rješenja i suverenitet podataka
- Strategije za postizanje usklađenosti
- 1. Temeljita procjena rizika (TIA)
- 2. Izbor regije podatkovnog centra
- 3. Enkripcija i kontrola ključeva
- 4. Transparentnost i ugovorni uvjeti
- 5. Pseudonimizacija i anonimizacija
- 6. Kontinuirano praćenje i revizija
- Budućnost suvereniteta podataka u EU
Kao što smo svjedoci ubrzane digitalizacije poslovanja, tvrtke diljem svijeta sve više usvajaju cloud computing kao temeljnu komponentu svoje IT infrastrukture. Prednosti su brojne: skalabilnost, fleksibilnost, smanjeni operativni troškovi i globalna dostupnost. Međutim, s rastom ovisnosti o cloud uslugama, u prvi plan izbija i složeno pitanje data sovereignty – suvereniteta podataka. Ovaj koncept, posebno relevantan u kontekstu Europske unije i njezine rigorozne regulative, postavlja izazove i dileme pred tvrtke koje žele osigurati ne samo sigurnost, već i zakonitu obradu i pohranu svojih podataka.
Što je Data Sovereignty (suverenitet podataka)?
Suverenitet podataka odnosi se na ideju da podaci podliježu zakonima i propisima zemlje u kojoj se fizički nalaze. To znači da se podaci pohranjeni unutar granica određene države smatraju podložnima pravnom poretku te države, čak i ako njima upravlja tvrtka iz druge zemlje. U praksi, ovo implicira da vlade mogu nametnuti pravne zahtjeve za pristup, kontrolu ili obradu podataka koji se nalaze na njihovom teritoriju, bez obzira na nacionalnost vlasnika podataka ili tvrtke koja ih obrađuje.
Data Residency vs. Data Sovereignty
Važno je razlikovati data residency od data sovereignty. Data residency se odnosi na fizičku lokaciju na kojoj su podaci pohranjeni. Tvrtka može odabrati pohranu podataka u podatkovnom centru u Dublinu, čime ispunjava zahtjev za rezidencijom unutar EU. Međutim, data sovereignty ide korak dalje. Čak i ako su podaci fizički u Dublinu, pitanje suvereniteta se postavlja ako davatelj cloud usluge (CSP) ima sjedište izvan EU, primjerice u SAD-u. U tom slučaju, podaci bi mogli biti podložni ne samo zakonima Irske, već i zakonima SAD-a, poput CLOUD Acta (Clarifying Lawful Overseas Use of Data Act), što otvara Pandorinu kutiju pravnih i usklađenosti izazova.
EU regulativa i suverenitet podataka
Europska unija je globalni lider u zaštiti podataka, a njezina regulativa ima snažan utjecaj na koncept suvereniteta podataka. Najvažniji propisi su:
Opća uredba o zaštiti podataka (GDPR)
GDPR (General Data Protection Regulation) je okosnica zaštite osobnih podataka u EU. On postavlja stroge zahtjeve za prikupljanje, obradu i pohranu osobnih podataka građana EU. Ključni aspekti relevantni za suverenitet podataka uključuju:
- Teritorijalno područje primjene: GDPR se primjenjuje na sve tvrtke koje obrađuju osobne podatke građana EU, bez obzira na to gdje se nalaze sjedište tvrtke ili podatkovni centri.
- Transferi podataka izvan EU: Članak 44. do 50. GDPR-a regulira prijenos osobnih podataka u treće zemlje (izvan EGP-a). Takvi prijenosi dopušteni su samo pod određenim uvjetima, kao što su odluke o primjerenosti (Adequacy Decisions) Europske komisije, Standardne ugovorne klauzule (SCCs) ili obvezujuća korporativna pravila (BCRs).
- Schrems II presuda: Ova presuda Suda pravde Europske unije (CJEU) iz 2020. godine poništila je Privacy Shield sporazum između EU i SAD-a, ističući da američki zakoni o nadzoru (poput FISA 702) ne pružaju dovoljnu zaštitu osobnim podacima građana EU. To je značajno zakompliciralo prijenos podataka u SAD i naglasilo potrebu za rigoroznim procjenama rizika (Transfer Impact Assessments – TIAs) pri korištenju SCCs.
NIS2 Direktiva i Cyber Resilience Act
NIS2 Direktiva (Network and Information Security Directive 2) proširuje opseg regulacije kibernetičke sigurnosti na veći broj sektora i subjekata, uključujući neke pružatelje cloud usluga. Ona nameće obveze upravljanja rizicima kibernetičke sigurnosti i izvješćivanja o incidentima. Iako se primarno fokusira na sigurnost, neizravno utječe i na suverenitet podataka zahtijevajući robustnu zaštitu infrastrukture na kojoj se podaci nalaze. Cyber Resilience Act, pak, donosi nova pravila za proizvode s digitalnim elementima, osiguravajući da su softverski i hardverski proizvodi sigurni tijekom cijelog životnog ciklusa. To dodatno jača povjerenje u digitalne servise i cloud infrastrukturu.
Europski podatkovni akt (European Data Act) i EU Data Strategy
European Data Act, ključni dio šire EU Data Strategy, ima za cilj poticanje pravedne, inovativne i otvorene podatkovne ekonomije unutar EU. On predviđa pravila o razmjeni podataka iz B2B (business-to-business) i B2G (business-to-government) odnosa. U kontekstu cloud computinga, Data Act uključuje odredbe koje olakšavaju prebacivanje između pružatelja cloud usluga (vendor lock-in), što je ključno za poticanje konkurencije i smanjenje ovisnosti o jednom davatelju. Također, postavlja pravila o pristupu podacima od strane javnih tijela u iznimnim situacijama, što ima direktan utjecaj na suverenitet podataka.
Izazovi za hrvatske tvrtke u cloudu
Hrvatske tvrtke, kao i sve tvrtke unutar EU, suočavaju se s nizom izazova pri usvajanju cloud usluga, a da pritom ostanu usklađene s regulativom o suverenitetu podataka:
Izbor pružatelja cloud usluga
Odabir pravog CSP-a je ključan. Tvrtke često biraju globalne igrače poput AWS-a, Azure-a ili Google Clouda zbog njihove robustnosti i širokog spektra usluga. Međutim, ovi pružatelji su često podložni zakonima SAD-a. Iako nude podatkovne centre unutar EU, pitanje je da li je samim time riješen problem suvereniteta podataka. Ako je CSP američka tvrtka, ne može garantirati da američke agencije neće zatražiti pristup podacima, čak i ako su fizički pohranjeni u EU podatkovnom centru. To zahtijeva temeljitu procjenu rizika.
Vendor Lock-in
Ovisnost o jednom pružatelju cloud usluga (vendor lock-in) predstavlja značajan izazov. Promjena pružatelja može biti skupa i složena, što smanjuje pregovaračku moć tvrtke i ograničava njezinu fleksibilnost u osiguravanju usklađenosti sa suverenitetom podataka. European Data Act pokušava adresirati ovaj problem, ali tranzicija i dalje može biti kompleksna.
Složenost ugovora i odgovornosti
Ugovori s CSP-ima su često složeni i obuhvaćaju mnoge slojeve odgovornosti. Razumijevanje tko je odgovoran za što – od fizičke sigurnosti podatkovnog centra do zaštite podataka na razini aplikacije – presudno je za usklađenost. Tvrtke moraju pažljivo pregovarati o standardnim ugovornim klauzulama (SCCs) i osigurati da one pružaju potrebne zaštitne mehanizme, posebno u kontekstu transfera podataka izvan EU.
Lokalna rješenja i suverenitet podataka
Neke hrvatske tvrtke razmatraju korištenje lokalnih ili regionalnih cloud pružatelja, odnosno hibridnih cloud rješenja gdje osjetljivi podaci ostaju u lokalnom podatkovnom centru. Iako ovo može smanjiti rizike povezane s transferom podataka izvan EU, važno je osigurati da i lokalni pružatelji usluga udovoljavaju svim sigurnosnim i regulatornim standardima. Stoga, samostalna izgradnja privatnog oblaka ili korištenje domaćeg CSP-a ne abolira tvrtku od odgovornosti za provođenje svih potrebnih kontrola i procjena.
Strategije za postizanje usklađenosti
Kako bi hrvatske tvrtke osigurale usklađenost sa zahtjevima suvereniteta podataka i EU regulative, preporučuju se sljedeće strategije:
1. Temeljita procjena rizika (TIA)
Prije bilo kakvog prijenosa podataka izvan EGP-a, tvrtke moraju provesti detaljnu procjenu rizika (Transfer Impact Assessment – TIA). TIA mora identificirati sve relevantne zakone treće zemlje koji bi mogli utjecati na zaštitu prenesenih podataka, uključujući zakone o nadzoru. Ako TIA pokaže da SCCs sami po sebi nisu dovoljni, tvrtka mora implementirati dodatne mjere zaštite (supplementary measures), kao što su end-to-end enkripcija podataka gdje ključevi ostaju kod korisnika, pseudonimizacija ili tokenizacija.
2. Izbor regije podatkovnog centra
Prioritet treba biti pohrana osobnih podataka građana EU u podatkovnim centrima smještenim unutar Europskog gospodarskog prostora (EGP). Većina velikih CSP-a ima regije unutar EGP-a (npr. Frankfurt, Dublin, Pariz). Međutim, sama lokacija nije dovoljna; ključno je razumjeti pravne obveze matične države CSP-a.
3. Enkripcija i kontrola ključeva
Implementacija snažne enkripcije (šifriranja) podataka u mirovanju i u tranzitu je nužna. Još je važnije osigurati da tvrtka zadržava kontrolu nad ključevima za dešifriranje. Ako CSP ima pristup ključevima, tada bi mogao dešifrirati podatke na zahtjev vlade matične zemlje. Rješenja poput Bring Your Own Key (BYOK) ili Hold Your Own Key (HYOK) omogućuju tvrtki da zadrži ekskluzivnu kontrolu nad ključevima, čak i kada koristi cloud usluge.
4. Transparentnost i ugovorni uvjeti
Zahtijevajte od CSP-a maksimalnu transparentnost u pogledu lokacije podataka, procesa obrade, sigurnosnih kontrola i pravnih obveza. Pažljivo pregledajte uvjete pružanja usluge (Terms of Service) i ugovore o obradi podataka (Data Processing Agreements – DPA). Osigurajte da DPA jasno definira uloge i odgovornosti, te da uključuje obveze obavješćivanja u slučaju zahtjeva za pristup podacima od strane državnih tijela treće zemlje.
5. Pseudonimizacija i anonimizacija
Gdje god je to moguće, koristite tehnike pseudonimizacije ili anonimizacije podataka. Pseudonimizacija smanjuje rizik ponovne identifikacije pojedinaca, dok anonimizacija trajno uklanja mogućnost povezivanja podataka s pojedincem. Iako pseudonimizirani podaci i dalje spadaju pod GDPR, rizik za ispitanike je manji, a time i pravni teret za tvrtku.
6. Kontinuirano praćenje i revizija
Regulativa i geopolitička situacija se mijenjaju. Tvrtke moraju uspostaviti procese za kontinuirano praćenje novih regulatornih smjernica, presuda sudova (poput Schrems II) i najboljih praksi u industriji. Redovite revizije usklađenosti s cloud pružateljima usluga su neophodne.
Budućnost suvereniteta podataka u EU
EU nastavlja raditi na jačanju svoje digitalne suverenosti. Inicijative poput Europske strategije podataka, Europskog podatkovnog akta i planovi za zajedničke europske podatkovne prostore (Data Spaces) jasno pokazuju smjer. Cilj je stvoriti okruženje u kojem podaci mogu slobodno teći unutar EU, ali uz snažnu zaštitu od neovlaštenog pristupa trećih zemalja.
Za hrvatske tvrtke, to znači da će se pritisak na usklađenost samo povećavati. Proaktivni pristup, temeljita analiza rizika i primjena robusnih tehničkih i organizacijskih mjera nisu više opcija, već nužnost za sigurno i zakonito poslovanje u cloud okruženju. Ulaganje u razumijevanje i implementaciju ovih principa neće samo osigurati usklađenost, već će i izgraditi povjerenje s klijentima i partnerima, što je u digitalnom dobu neprocjenjiva valuta.
Komentari