Cinci întrebări care determină cât de european este un serviciu

Modulul 2: Ce înseamnă cu adevărat un cloud european? · Timp de citire: 11 minute

Obiectiv de învățare: După această lecție veți putea stabili, cu ajutorul a cinci întrebări, sub ce drept intră un serviciu cloud și veți putea explica de ce un datacenter în Europa nu este suficient pentru aceasta.

Noțiuni cheie: sediu (sediu social), beneficiar real, locația datacenterului, subîmputernicit, acces de la distanță, gestionarea cheilor, UE, SEE, decizie de adecvare, „sovereign cloud”

„Datele noastre se află în Europa.” Și?

Aproape fiecare serviciu cloud important spune astăzi acest lucru: datele dumneavoastră se află într-un datacenter la Frankfurt, Amsterdam sau Dublin. Sună liniștitor, dar răspunde la una singură dintre întrebările care contează cu adevărat. În modulul 1 ați văzut că legea americană CLOUD Act nu se uită la locul unde se află serverul, ci la compania care are datele în posesie, custodie sau sub control („possession, custody, or control”). Astfel, un server de la Frankfurt, aparținând unei companii care în ultimă instanță este americană, poate totuși intra sub incidența unui ordin american.

De aceea nu vă uitați la o singură caracteristică, ci la cinci. Bakkerij De Korrel din exemplul nostru (12 angajați, domeniul example.com) folosește în prezent un pachet office american și dorește să afle ce alternative sunt cu adevărat europene. Cu aceste cinci întrebări, separă marketingul de fapte.

Întrebarea 1: unde este sediul companiei?

Sediul este țara în care compania care semnează contractul dumneavoastră este înregistrată din punct de vedere juridic: sediul social. Această țară determină în primul rând ce drept se aplică acelei companii, ce instanță este competentă și ce autoritate de supraveghere o monitorizează.

Nu vă uitați la site-ul web, ci la partenerul contractual: numele de la finalul condițiilor generale, al acordului de prelucrare a datelor și al facturii. Dacă acolo scrie „Example Cloud Ireland Ltd.”, atunci partenerul dumneavoastră contractual este irlandez, chiar dacă marca este americană. Este un început bun, dar nu încă un răspuns. Pentru aceasta aveți nevoie de întrebarea 2.

Întrebarea 2: cine este beneficiarul real?

Beneficiarul real este compania sau persoana aflată în vârful lanțului de acționari. O filială europeană a unei companii-mamă americane este, din punct de vedere juridic, o companie europeană, dar compania-mamă deține controlul. Conform CLOUD Act, un judecător american poate obliga compania-mamă să furnizeze date aflate la o filială, dacă aceasta are efectiv „control” asupra lor. Dacă acest lucru este adevărat într-un caz concret depinde de modul în care este organizată compania. Juriștii nu sunt de acord în această privință. Tocmai acesta este motivul pentru care este un risc, nu o certitudine.

Poate fi și invers: o companie care astăzi este europeană poate fi preluată mâine. În Țările de Jos, acest lucru s-a întâmplat în 2025 și 2026 în cazul Solvinity, compania din spatele infrastructurii DigiD. Americanul Kyndryl dorea să o preia; guvernul a interzis preluarea în mai 2026, în urma avizului Bureau Toetsing Investeringen (Biroul de evaluare a investițiilor). Întrebați deci un furnizor și: ce se întâmplă cu contractul meu în cazul unei preluări? Pot atunci să reziliez fără costuri?

Unde găsiți informații despre proprietar? În registrul comerțului (în Țările de Jos, KVK; în Germania, Handelsregister), în raportul anual sau pe pagina „Despre noi” ori „Impressum”. La companiile listate la bursă, aceste informații se găsesc în situațiile financiare anuale.

Întrebarea 3: unde se află datele și copiile de rezervă?

Locația datacenterului rămâne importantă. Dacă datele dumneavoastră se află în UE, nu există un transfer în afara SEE în sensul GDPR, atât timp cât nimeni din afară nu are acces la ele. Întrebați despre toate locațiile: datacenterul principal, datacenterul de rezervă și copiile de siguranță. Un furnizor cu servere în Țările de Jos și copii de siguranță în Statele Unite realizează, de fapt, un transfer.

Fiți atenți la trei noțiuni care se confundă adesea:

Elveția și Regatul Unit nu fac deci parte din UE, dar un serviciu de acolo poate fi folosit în conformitate cu GDPR fără clauze contractuale suplimentare. Decizia pentru Elveția datează din 2000 și a fost confirmată în ianuarie 2024 în urma unei reevaluări. Decizia pentru Regatul Unit a fost prelungită la 19 decembrie 2025 până la 27 decembrie 2031. O decizie de adecvare poate fi totuși revizuită sau anulată de Curtea de Justiție a Uniunii Europene (CJUE): acest lucru s-a întâmplat de două ori cu acordurile cu SUA (modulul 1, lecția 1.4). Pentru Statele Unite se aplică acum Data Privacy Framework, dar numai pentru companiile americane care au aderat la acesta, și cu incertitudinea pe care ați văzut-o în lecția 1.4.

Întrebarea 4: cine mai are acces? Subîmputerniciți și acces de la distanță

Un subîmputernicit este o altă companie pe care furnizorul o angajează și care prelucrează sau poate vedea datele dumneavoastră: datacenterul, un serviciu de copii de siguranță, o companie de livrare a e-mailurilor, un departament de suport dintr-o altă țară, un serviciu de AI care rezumă e-mailuri. GDPR impune ca furnizorul să vă informeze în prealabil ce subîmputerniciți folosește și să vă permită să faceți obiecții la noi subîmputerniciți (articolul 28 GDPR, lecția 9.2).

Fiți atenți în special la accesul de la distanță. Datele care se află la Amsterdam, dar pe care un angajat de suport dintr-o țară din afara SEE le poate consulta pentru a rezolva o problemă tehnică, sunt considerate de autoritățile europene de supraveghere tot un transfer. Un datacenter în Europa cu un helpdesk care monitorizează la nivel global, 24 de ore din 24, este așadar mai puțin european decât pare.

Unde găsiți lista? De obicei ca anexă la acordul de prelucrare a datelor sau pe o pagină separată „subîmputerniciți” ori „sub-processors”. Dacă această listă lipsește, sau este vagă („lucrăm cu parteneri selectați cu grijă”), acesta este un semnal de alarmă.

Întrebarea 5: cine deține cheia?

Criptarea ajută împotriva altora doar dacă aceștia nu dețin cheia. La majoritatea serviciilor cloud, datele dumneavoastră sunt criptate în tranzit (https) și în repaus (pe disc), dar furnizorul deține cheia. Dacă furnizorul trebuie să predea date, le poate decripta. În cazul criptării end-to-end sau al criptării cu o cheie gestionată doar de dumneavoastră, furnizorul nu poate face acest lucru. Acest lucru protejează mai bine, dar are un preț: căutarea, editarea comună în browser și recuperarea unei parole uitate funcționează adesea limitat sau deloc. Întrebați deci: ce componente sunt criptate end-to-end și ce nu mai pot face atunci?

„Sovereign cloud” de la companii americane

Marii furnizori americani răspund la cererea de suveranitate. Câteva exemple, pentru a recunoaște termenii:

• Microsoft EU Data Boundary: Microsoft a anunțat în februarie 2025 că datele clienților din Microsoft 365, Dynamics 365, Power Platform și majoritatea serviciilor Azure sunt stocate și prelucrate în interiorul UE și al țărilor AELS, inclusiv datele de suport. Microsoft precizează chiar ea că, în cazuri limitate, unele date sunt totuși prelucrate în afara UE, de exemplu pentru securitate. Microsoft rămâne o companie americană. În iunie 2025, directorul juridic al Microsoft Franța a declarat sub jurământ în Senatul francez că nu poate garanta că datele nu vor fi niciodată furnizate fără autorizare autorităților americane.
• AWS European Sovereign Cloud: disponibil general din 15 ianuarie 2026, cu o primă regiune în Brandenburg (Germania). Este administrat de o societate germană cu personal în UE și este separat tehnic de restul AWS. Compania-mamă finală rămâne Amazon. Analiștii subliniază că riscul legat de CLOUD Act poate fi astfel mai mic, dar nu este demonstrabil eliminat.
• Modele de colaborare: în Franța și Germania există companii europene care operează sub licență tehnologie cloud americană, astfel încât compania europeană deține controlul. Dacă acest lucru funcționează depinde de acordurile privind actualizările, administrarea și accesul.

Astfel de servicii pot fi, pentru unele organizații, un pas intermediar rezonabil. Dar puneți-le aceleași cinci întrebări. Răspunsul la întrebarea 2 (proprietarul) rămâne diferit la aceste servicii față de o companie complet europeană.

În practică: cum arată la un furnizor

Luați un Nextcloud WebOké ca exemplu. Sediu și proprietar: o societate comercială din Țările de Jos (bv). Datacenter: conform manualului, două datacentere olandeze ale NorthC. Software: Nextcloud, realizat de compania germană Nextcloud GmbH, open source. Cheia de criptare a stocării se află la furnizor; criptarea end-to-end poate fi activată de dumneavoastră pentru fiecare folder în parte. La alți furnizori europeni, precum alți furnizori de Nextcloud, mailbox.org, Infomaniak sau IONOS, căutați aceleași cinci răspunsuri în aceleași locuri: contract, registrul comerțului, acordul de prelucrare a datelor și lista subîmputerniciților.

Rezumat

• Un datacenter în Europa răspunde doar la una dintre cele cinci întrebări.
• Cele cinci întrebări: sediul, beneficiarul real, locația datelor și a copiilor de siguranță, subîmputerniciții și accesul de la distanță, și cine deține cheia.
• O filială europeană a unei companii americane poate totuși intra sub incidența CLOUD Act.
• Elveția și Regatul Unit nu fac parte din UE, dar au o decizie de adecvare; SEE este UE plus Norvegia, Islanda și Liechtenstein.
• Serviciile „sovereign cloud” ale companiilor americane reduc riscurile, dar nu schimbă răspunsul la întrebarea privind proprietarul.

Quiz

Exercițiu

Exercițiul A2.1: Cine primește și trimite e-mailuri pentru domeniul dumneavoastră? Introduceți propriul domeniu. Programul caută înregistrările MX și desfășoară complet înregistrarea SPF. Dumneavoastră completați ce organizații vă primesc e-mailul și care pot trimite e-mailuri în numele dumneavoastră. Astfel vedeți în câteva minute ce părți sunt deja implicate în e-mailul dumneavoastră.

Exercițiul E2.1: Cele cinci întrebări pentru serviciile dumneavoastră proprii. Alegeți două servicii pe care le folosiți în prezent (de exemplu e-mailul și spațiul de stocare a fișierelor) și un posibil înlocuitor european. Căutați pentru toate cele trei răspunsurile la cele cinci întrebări, cu sursa aferentă.

Pentru aprofundare

Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori funcționează similar.

• Manual Nextcloud 1.1: Ce este Nextcloud și ce este un WebOké Nextcloud?
• Manual Nextcloud 3.1: Cum vă securizează WebOké Nextcloud-ul?
• Manual Nextcloud 15.13: Întrebări frecvente despre securitate și confidențialitate
• Comisia Europeană, prezentare generală a deciziilor de adecvare: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (date „regardless of whether” se află în interiorul sau în afara SUA)