Hosting offshore a RODORozporządzenie podąża za Państwem, nie za serwerownią.

Zdanie, które ten rynek formułuje błędnie

To twierdzenie niemal nigdy nie jest zapisane wprost i właśnie dzięki temu przetrwało. Pojawia się jako sugestia: serwery są offshore, firma jest offshore, więc europejskie przepisy zostały gdzieś w tyle. Wystarczy przeczytać rozporządzenie, a sugestia rozpada się w jednym zdaniu.

Artykuł 3 określa, do kogo stosuje się RODO, i ani razu nie wspomina, gdzie znajduje się sprzęt. Ustęp 1 mówi, że rozporządzenie ma zastosowanie do przetwarzania danych osobowych w związku z działalnością jednostki organizacyjnej administratora lub podmiotu przetwarzającego w Unii, niezależnie od tego, czy przetwarzanie odbywa się w Unii, czy poza nią. Ustęp 2 działa w drugą stronę: firma, która w ogóle nie ma jednostki organizacyjnej w Unii, nadal podlega rozporządzeniu, jeśli oferuje towary lub usługi osobom w Unii albo monitoruje tam ich zachowanie.

To nie jest rozczarowanie i warto od razu wyjaśnić dlaczego. Powodem przenoszenia serwera jest to, że sąd w jednym kraju nie może wydać nakazu dotyczącego dysku w innym. Ten powód pozostaje nienaruszony. Wraz z maszyną wędruje obowiązek zgodności z przepisami, a nie ekspozycja prawna, a te dwie rzeczy są nieustannie mylone, bo obie opisuje się słowem “jurysdykcja”.

Do kogo zwraca się rozporządzenie

Dwie role, zdefiniowane w art. 4, rozdzielone jednym pytaniem: kto zdecydował, do czego służą dane.

Niemal każdy spór o hosting i RODO jest w istocie sporem o treść tej tabeli. Dostawca nie może być zgodny z przepisami w Państwa imieniu, bo większość obowiązków spoczywa na administratorze i nie da się ich przenieść umową. Dostawca może natomiast być podmiotem przetwarzającym, którego wybór Państwo są w stanie obronić, a to jest właśnie art. 28 — dokument, a nie poczucie.

Art. 28 ust. 3 wylicza, co musi zawierać taka umowa, a lista jest na tyle krótka, że można ją zestawić z własną. Przetwarzać wyłącznie na udokumentowane polecenie. Zobowiązać do poufności każdego, kto ma dostęp do danych. Zastosować środki bezpieczeństwa z art. 32. Nie angażować żadnego podprzetwarzającego bez zgody. Pomagać w odpowiadaniu osobom, których dane dotyczą. Pomagać przy naruszeniach i ocenach. Usunąć lub zwrócić wszystko na koniec. Dostarczyć wszystko, co potrzebne do zweryfikowania powyższego.

Co liczy się jako przekazanie danych

Rozdział V — art. 44–49 — reguluje przekazywanie danych osobowych do państwa trzeciego. Państwo trzecie oznacza dowolne miejsce poza Europejskim Obszarem Gospodarczym, czyli dwadzieścia siedem państw członkowskich plus Islandia, Liechtenstein i Norwegia. RODO zostało włączone do Porozumienia EOG w 2018 roku, dlatego ta trójka znajduje się wewnątrz tej granicy, a nie jedynie w jej pobliżu.

Art. 44 formułuje zasadę: przekazanie może nastąpić tylko wtedy, gdy spełnione są pozostałe warunki rozdziału. Istnieją wówczas trzy ścieżki, uszeregowane od najłatwiejszej do najtrudniejszej.

Ostatni wiersz to miejsce, w którym zwykle ląduje improwizowana zgodność z przepisami, i nie utrzymuje się ono w mocy. Art. 49 został napisany z myślą o sytuacjach sporadycznych i konkretnych. Przechowywanie bazy danych klientów na serwerze przez trzy lata nie jest ani jednym, ani drugim.

Osiem regionów uporządkowanych według tego, jak nazywa je rozdział V

To jest ta część, na którą firma hostingowa może odpowiedzieć, a blog prawniczy nie, bo dotyczy faktów o konkretnej infrastrukturze, a nie ogólnej zasady. Osiem regionów tej sieci dzieli się na trzy grupy, a dystans między pierwszą a ostatnią grupą to dwa dokumenty.

Cztery z ośmiu regionów w ogóle nie stanowią przekazania danych. To zdanie warte jest więcej niż większość tego, co publikuje się o hostingu offshore i zgodności z przepisami, i nikt, kto sprzedaje jedno lub drugie, nie ma interesu w tym, by je wypowiedzieć, bo czyni ono trudny produkt zbędnym dla połowy infrastruktury.

Połowa zagadnienia, która nie dotyczy serwerowni

To, gdzie znajduje się dysk, decyduje o tym, czy dochodzi do przekazania danych. To, z jaką firmą Państwo podpisali umowę, decyduje o tym, kto go przechowuje, a te dwie rzeczy rozchodzą się częściej, niż powinny.

Dostawca z serwerami we Frankfurcie i spółką matką w Kalifornii eksportuje Państwa dane niezależnie od tego, czy cokolwiek fizycznie przepływa przez kabel, bo podmiot przetwarzający podlega jurysdykcji, która może po niego sięgnąć. To nie jest rozróżnienie czysto teoretyczne. To powód, dla którego struktura korporacyjna dostawcy hostingu jest faktem z zakresu ochrony danych, a nie ciekawostką.

Struktura przyjęta tutaj to osiem jurysdykcji i osiem odrębnych spółek, opisanych w klauzuli 1 regulaminu. Serwer w Reykjavíku jest objęty umową z podmiotem islandzkim, który znajduje się wewnątrz EOG, i dlatego pierwszy wiersz powyższej tabeli mówi to, co mówi. Jeśli czytają Państwo stronę kogoś innego, to właśnie to pytanie warto zadać: nie gdzie jest serwer, lecz jaka spółka figuruje na fakturze i gdzie ta spółka się znajduje.

Czego naprawdę wymaga od Państwa art. 46

Jeśli korzystają Państwo z jednego z trzech państw trzecich, praca jest realna, ale ograniczona, i niewiele się zmieniła od 2021 roku.

1. Zapisać przekazanie. Jakie kategorie danych osobowych, kogo dotyczą, do jakiego podmiotu, do jakiego kraju i w jakiej postaci docierają — czytelnej czy zaszyfrowanej kluczem, który pozostał po Państwa stronie.
2. Wdrożyć instrument prawny. W praktyce oznacza to standardowe klauzule ochrony danych przyjęte przez Komisję w czerwcu 2021 roku, w module odpowiadającym danej relacji. Relacja administrator–podmiot przetwarzający to moduł drugi, a właśnie tym jest wynajem serwera.
3. Ocenić kraj docelowy. Od czasu wyroku Trybunału Sprawiedliwości w sprawie Schrems II z lipca 2020 roku samo podpisanie klauzul to nie koniec sprawy: trzeba sprawdzić, czy prawo miejsca, do którego trafiają dane, pozwala organowi władzy publicznej sięgnąć po nie w sposób, którego klauzule nie wytrzymają. Europejska Rada Ochrony Danych opublikowała metodykę w 2021 roku, obejmującą sześć kroków.
4. Dodać wszystko, co zamyka lukę stwierdzoną przez ocenę, co jest treścią następnej sekcji, ponieważ w praktyce istnieje tylko jeden środek, który to robi.
5. Ustalić termin przeglądu. Ocena dotyczy prawa danego kraju, a prawo danego kraju zmienia się bez uprzedzenia. Jednorazowe działanie to nie zgodność z przepisami; zgodność zapewnia dopiero cykl przeglądów.

Środek, który faktycznie zamyka lukę

Środki uzupełniające opisane przez Radę po bliższej lekturze w większości rozczarowują. Środki umowne i organizacyjne nie powstrzymują państwa dysponującego uprawnieniami przymusu, i Rada mówi to wprost. Jeden środek techniczny wytrzymuje tę analizę i jest to ten sam środek, który rekomendowany jest w pozostałych miejscach tej witryny z powodów niemających nic wspólnego z RODO.

Jeśli dane docierają zaszyfrowane kluczem, który nigdy nie opuszcza Państwa kontroli, podmiot przetwarzający, który je przechowuje, nie jest w stanie ujawnić niczego czytelnego nikomu — ani sądowi, ani Państwu, ani samemu sobie. Rekomendacje Rady traktują silne szyfrowanie z kluczem zachowanym przez eksportera jako skuteczny środek dla danych przechowywanych, a podmiot przetwarzający, który potrzebuje danych w postaci jawnej, jako przypadek, dla którego nie zidentyfikowano żadnego środka. To uczciwe stanowisko: nie da się umową wyłączyć tego, że ktoś jest w stanie odczytać dysk.

Rozróżnienie, które w praktyce ma znaczenie, przebiega między przechowywaniem a przetwarzaniem. Magazyn obiektów przechowujący zaszyfrowane archiwa to przypadek łatwy. Działająca baza danych na maszynie wirtualnej to przypadek trudny, bo klucz musi znajdować się w pamięci sprzętu, którego może dotknąć ktoś inny. Co Państwa dostawca nadal może odczytać pokazuje dokładnie, gdzie przebiega ta granica, i nie kończy się zapewnieniem, że wszystko jest bezpieczne.

Artykuł 48, który wskazuje w drugą stronę

Rozdział V zawiera jeden artykuł, który na tym rynku rzadko się cytuje, a zasługuje na to. Art. 48 mówi, że orzeczenie sądu lub decyzja organu administracyjnego państwa trzeciego, nakazujące administratorowi lub podmiotowi przetwarzającemu ujawnienie danych osobowych, mogą być uznane lub wykonalne wyłącznie wtedy, gdy opierają się na umowie międzynarodowej — w praktyce na traktacie o wzajemnej pomocy prawnej.

Odczytane jako instrukcja dla dostawcy hostingu, mówi to coś konkretnego: nakaz nadchodzący z kraju, który nie ma jurysdykcji, nie jest w prawie europejskim powodem, by cokolwiek wydać. Dostawca, który mimo to się podporządkowuje, nie zachowuje ostrożności. Dokonuje bezprawnego przekazania danych i nazywa to współpracą.

Ta infrastruktura dochodzi do tej samej odpowiedzi z drugiej strony, i to od 2019 roku, co można sprawdzić, a nie tylko przyjąć na wiarę: 164 żądania organów ścigania, z których 31 przyniosło jakikolwiek rezultat, żaden nakaz milczenia w dwudziestu dziewięciu opublikowanych kwartałach, a to, co wydano, to adres e-mail i zestawienie kwot. Poradnik dla organów ścigania określa ten próg w jednym zdaniu: nakaz sądu mającego jurysdykcję nad podmiotem, któremu doręczono żądanie.

Co się nie zmienia, niezależnie od tego, gdzie stoi maszyna

To jest sekcja, która kosztuje sprzedaż, więc warto przeczytać ją dwukrotnie. Każdy z poniższych obowiązków spoczywa na Państwu jako administratorze, i żadna decyzja dotycząca hostingu niczego w nich nie zmienia.

Sześć wierszy, jedna odpowiedź. Słowem, które to wszystko myli, jest “jurysdykcja”, które wykonuje dwie funkcje naraz: jest odpowiedzią na to, kto może przymusić do wydania dysku, i jest odpowiedzią na to, czyich zasad Państwo przestrzegają. Przeniesienie serwera zmienia pierwszą z nich, a drugą pozostawia dokładnie tam, gdzie była.

Co granica rzeczywiście zmienia

• Kogo trzeba przekonać. Nakaz musi pochodzić od sądu mającego jurysdykcję nad spółką przechowującą dysk, a osiem spółek w ośmiu krajach to osiem odrębnych postępowań, a nie jedno.
• Czy zgłoszenie ma jakąkolwiek moc. Żądanie usunięcia treści jest korespondencją wszędzie; w niektórych miejscach jest to korespondencja, na którą dostawca hostingu ma obowiązek zareagować, a offshore oznacza, że tego obowiązku nie ma. Tym tematem zajmuje się poradnik o DMCA.
• Co dostawcę można zmusić do przechowywania. Obowiązki retencyjne mają charakter krajowy. Rumunia dwukrotnie uchyliła własne przepisy i niczym ich nie zastąpiła; Mołdawia i Panama nie nakładają żadnych. Tego, czego dostawcy nie można zmusić do przechowywania, nie można też zmusić go do wydania.
• Czy przekazanie wymaga instrumentu prawnego. A to jest właśnie temat tej strony — i jest to koszt formalny, a nie ryzyko.

Czego granica nie zmienia

• Czy RODO ma do Państwa zastosowanie. Art. 3, rozstrzygany przez to, gdzie mają Państwo siedzibę i czyje dane Państwo przechowują.
• Żaden z obowiązków wymienionych w tabeli powyżej. Rejestry, bezpieczeństwo, zgłaszanie naruszeń, oceny skutków, prawa osób, których dane dotyczą.
• Państwa własne logi. Wynajmowana maszyna zapisuje odwiedzających zgodnie z Państwa konfiguracją, pod Państwa nadzorem, i to do Państwa ktoś napisze w tej sprawie — co jest tematem osobnego poradnika, bo to osobny problem.
• Czy można Państwa zastać. Jeśli mają Państwo siedzibę w Unii, właściwy organ nadzorczy nie musi docierać do serwera. Musi dotrzeć do Państwa.

Popołudnie, które rozstrzyga sprawę

Nic z poniższego nie wymaga narzędzia, które trzeba kupić, a cała sekwencja jest krótsza, niż sugeruje rynek.

1. Ustalić, czy w ogóle przetwarzają Państwo dane osobowe osób z Unii. Jeśli uczciwa odpowiedź brzmi nie — a dla bardzo wielu projektów tak właśnie brzmi — wszystko powyżej to lektura uzupełniająca i na tym można zakończyć.
2. Zapisać, z jakim podmiotem zawarli Państwo umowę dla każdego wykorzystywanego regionu, i w jakim kraju ten podmiot się znajduje. Nie region: spółkę widniejącą na fakturze.
3. Przyporządkować je do trzech grup z tabeli. Wewnątrz EOG, kraj adekwatny, żadne z powyższych.
4. Dla wszystkiego, co znajdzie się w trzeciej grupie, wdrożyć klauzule z 2021 roku i sporządzić ocenę kraju docelowego. Dwa dokumenty, raz, na kraj.
5. Sprawdzić, co tak naprawdę tam trafia. Jeśli odpowiedzią jest zaszyfrowane archiwum, którego klucz znajduje się na Państwa własnym sprzęcie, należy to zapisać w ocenie, bo to właśnie ten fakt sprawia, że reszta staje się prosta.
6. Włączyć to wszystko do rejestru z art. 30, czyli dokumentu, o który organ nadzorczy pyta jako pierwszy i który większość administratorów sporządza jako ostatni.
7. Ustalić datę przeglądu oceny i zostawić ją tam, gdzie znajdzie ją następna osoba zajmująca się tą sprawą.

To cały ten wysiłek, i nie stoi on w sprzeczności z niczym innym na tej witrynie — a to zdanie jest właśnie powodem powstania tego poradnika. Wybór jurysdykcji chroniącej Państwa dane i przestrzeganie zasad chroniących Państwa użytkowników to nie są przeciwstawne decyzje. To ta sama decyzja, odczytana z obu końców.

Pytania, które faktycznie są zadawane

Każda cena w tej infrastrukturze jest publikowana w całości, w jednym miejscu. Zobacz cały katalog