Офшорний хостинг і GDPRРегламент слідує за Вами, а не за стійкою.

Речення, яке цей ринок формулює неправильно

Це твердження майже ніколи не формулюють прямо — саме тому воно й тримається. Воно приходить як натяк: сервери офшорні, компанія офшорна, отже, європейські правила нібито залишилися десь позаду. Прочитайте регламент, і цей натяк розсипається в одному реченні.

Стаття 3 визначає, до кого застосовується GDPR, і в ній жодного разу не згадується, де розташоване обладнання. Пункт 1 говорить, що регламент застосовується до обробки, яку здійснює контролер або обробник, що має осідок у Союзі, незалежно від того, чи відбувається обробка в Союзі, чи ні. Пункт 2 діє в протилежний бік: компанія, яка взагалі не має осідку в Союзі, все одно підпадає під дію регламенту, якщо вона пропонує товари чи послуги людям у Союзі або відстежує їхню поведінку там.

Це не розчарування, і варто одразу пояснити чому. Причина переносити сервер полягає в тому, що суд однієї країни не може віддати наказ щодо диска в іншій. Ця причина лишається незмінною. Разом із машиною подорожує обов'язок дотримання вимог, а не юридична вразливість, і ці два поняття постійно плутають, бо обидва описують словом “юрисдикція”.

До кого саме звертається регламент

Дві ролі, визначені у статті 4, розмежовані одним питанням: хто вирішив, для чого призначені дані.

Майже кожна суперечка про хостинг і GDPR — насправді суперечка про цю таблицю. Провайдер не може бути відповідним вимогам замість Вас, бо більшість обов'язків належать контролеру і не можуть бути передані договором. Що провайдер справді може — це бути обробником, вибір якого Ви здатні обґрунтувати, а це стаття 28 — документ, а не відчуття.

Стаття 28(3) перелічує, що має містити цей договір, і перелік достатньо короткий, щоб звірити з власним. Обробляти лише за документованими інструкціями. Зобов'язати кожного, хто має доступ, до конфіденційності. Вжити заходів безпеки за статтею 32. Не залучати субобробника без дозволу. Допомагати Вам відповідати суб'єктам даних. Допомагати Вам із порушеннями та оцінками. Видалити або повернути все наприкінці. Надати Вам усе необхідне для перевірки цього.

Що вважається передачею даних

Розділ V — статті з 44 по 49 — регулює передачу персональних даних до третьої країни. Третя країна — це будь-яке місце за межами Європейського економічного простору, тобто двадцяти семи держав-членів плюс Ісландія, Ліхтенштейн і Норвегія. GDPR включили до Угоди про ЄЕП у 2018 році, тому ці три країни перебувають усередині межі, а не просто поруч із нею.

Стаття 44 закладає принцип: передача може відбутися лише за умови дотримання решти розділу. Далі йдуть три шляхи, у порядку спадання того, наскільки легко з ними жити.

Останній рядок — це те, де зазвичай опиняється імпровізована відповідність вимогам, і вона там не тримається. Стаття 49 написана для одиничних і конкретних випадків. Розміщення бази клієнтів на сервері протягом трьох років — це ні те, ні інше.

Вісім регіонів, розподілені за тим, як їх називає Розділ V

Це та частина, на яку хостинг-компанія може відповісти, а юридичний блог — ні, бо це факт про конкретну мережу, а не загальний принцип. Вісім регіонів цієї мережі поділяються на три групи, і відстань між першою групою та останньою — це два документи.

Чотири з восьми регіонів — це взагалі не передача даних. Це варте більшого, ніж більшість того, що публікують про офшорний хостинг і відповідність вимогам, і це речення, яке нікому, хто продає те чи інше, не вигідно вимовляти, бо воно робить складний продукт непотрібним для половини мережі.

Половина питання, яка не стосується стійки

Де фізично розташований диск — вирішує, чи є передача даних. З якою компанією Ви підписали договір — вирішує, хто його утримує, і ці два фактори розходяться частіше, ніж мали б.

Провайдер зі стійками у Франкфурті та материнською компанією в Каліфорнії експортує Ваші дані незалежно від того, чи перетинає щось кабель, бо обробник підпадає під юрисдикцію, яка здатна до нього дотягнутися. Це не гіпотетична відмінність. Саме тому корпоративна структура хостингу — це факт із сфери захисту даних, а не просто цікавинка.

Тут діє схема з восьми юрисдикцій і восьми окремих компаній, викладена в пункті 1 умов. Сервер у Рейк'явіку орендується через ісландську юридичну особу, яка перебуває в межах ЄЕП, тому перший рядок таблиці вище й каже те, що каже. Якщо Ви читаєте чиюсь чужу сторінку, саме це питання варто їй поставити: не де розташований сервер, а яка компанія вказана в рахунку і де вона перебуває.

Що насправді вимагає від Вас стаття 46

Якщо Ви користуєтеся однією з трьох третіх країн, робота справді потрібна, але вона обмежена, і мало що змінилося з 2021 року.

1. Задокументуйте передачу. Які категорії персональних даних, про кого, якій юридичній особі, в якій країні, і в якому вигляді вони надходять — у читабельному вигляді чи зашифровані під ключем, який залишився у Вас.
2. Впровадьте інструмент. На практиці це означає стандартні договірні положення, які Комісія ухвалила в червні 2021 року, у модулі, що відповідає типу відносин. Контролер—обробник — це Модуль 2, а саме ним і є оренда сервера.
3. Оцініть країну призначення. Відколи Суд Європейського Союзу ухвалив рішення у справі Schrems II в липні 2020 року, підписання положень — це ще не все: потрібно перевірити, чи дозволяє законодавство країни, куди потрапляють дані, державному органу отримати до них доступ у спосіб, який положення не витримають. Європейська рада із захисту даних опублікувала методику в 2021 році, і вона складається із шести кроків.
4. Додайте те, що закриває прогалину, знайдену під час оцінки, — про це наступний розділ, бо насправді існує лише один захід, який її закриває.
5. Зазначте дату. Оцінка стосується законодавства країни, а законодавство країни змінюється, не попереджаючи Вас. Одноразова дія — це не відповідність вимогам; періодичний перегляд — так.

Захід, який справді закриває прогалину

Додаткові заходи, які описує Рада, здебільшого розчаровують при уважному прочитанні. Договірні й організаційні заходи не зупиняють державу, яка має повноваження примушувати, і Рада прямо це визнає. Лише один технічний захід витримує цей аналіз, і саме його рекомендують у всіх інших місцях цього сайту з причин, які не мають жодного стосунку до GDPR.

Якщо дані потрапляють туди зашифрованими під ключем, який ніколи не залишає Вашого контролю, обробник, що їх утримує, не може надати нічого читабельного нікому — ні суду, ні Вам, ні навіть собі. Рекомендації Ради визнають надійне шифрування з ключем, який залишається в експортера, ефективним заходом для збережених даних, і визнають випадок, коли обробнику потрібні дані у відкритому вигляді, таким, для якого жодного заходу не знайдено. І це чесна позиція: неможливо договірним шляхом усунути те, що хтось здатний прочитати диск.

На практиці важлива відмінність — між зберіганням і обробкою. Об'єктне сховище із зашифрованими архівами — простий випадок. Працююча база даних на віртуальній машині — складний, бо ключ має перебувати в пам'яті на обладнанні, до якого має доступ хтось інший. Що Ваш провайдер усе ще може прочитати детально розбирає, де саме проходить ця межа, і закінчується це не заспокоєнням.

Стаття 48, яка діє в іншому напрямку

Розділ V містить одну статтю, яку на цьому ринку цитують рідко, хоча варто було б частіше. Стаття 48 говорить, що рішення суду або адміністративного органу третьої країни, яке вимагає від контролера чи обробника розкрити персональні дані, може бути визнане чи підлягати виконанню лише тоді, коли воно ґрунтується на міжнародній угоді — на практиці це договір про взаємну правову допомогу.

Якщо прочитати це як інструкцію для хостингу, вона каже конкретну річ: наказ, що надходить від країни без юрисдикції, за європейським правом не є підставою щось видавати. Провайдер, який все одно його виконує, діє не обережно. Він здійснює незаконну передачу даних і називає це співпрацею.

Ця мережа доходить до тієї самої відповіді з іншого боку, і так триває з 2019 року, причому це можна перевірити, а не просто заявити: 164 запити від правоохоронних органів, 31 з яких дав якийсь результат, жодного запиту із забороною розголошення за двадцять дев'ять оприлюднених кварталів, а результатом видачі щоразу була адреса електронної пошти й реєстр сум. Посібник для правоохоронних органів формулює поріг в одному рядку: наказ від суду, юрисдикція якого поширюється на юридичну особу, якій його вручили.

Що не змінюється, хоч би де перебувала машина

Це той розділ, який коштує продажу, тому саме його варто прочитати двічі. Кожен із наведених нижче пунктів — Ваш обов'язок як контролера, і жодне рішення щодо хостингу їх не стосується.

Шість рядків, одна відповідь. Слово, яке робить це заплутаним, — “юрисдикція”, яке виконує одразу дві функції: воно відповідає на питання, хто може примусово вимагати диск, і воно ж відповідає на питання, чиї правила Ви дотримуєтеся. Перенесення сервера змінює перше і залишає друге точно там само, де воно було.

Що кордон таки змінює

• Кого потрібно переконати. Наказ повинен надійти від суду, юрисдикція якого поширюється на компанію, що утримує диск, а вісім компаній у восьми країнах — це вісім окремих аргументів замість одного.
• Чи має повідомлення хоч якусь силу. Запит на видалення контенту скрізь є просто листом; у деяких місцях це лист, на який хостинг зобов'язаний реагувати, а офшорність означає, що це не так. Цьому присвячений посібник з DMCA.
• Що хостинг можуть змусити зберігати. Вимоги щодо зберігання даних — національні. Румунія двічі скасовувала власну, і на заміну нічого не прийшло; Молдова і Панама не встановлюють жодних. Те, що провайдера не можуть примусити зберігати, його не можуть примусити й видати.
• Чи потрібен передачі даних інструмент. А це саме те, про що ця сторінка — і це радше витрати на паперову роботу, ніж ризик.

Що це не змінює

• Чи застосовується GDPR до Вас. Стаття 3, що визначається тим, де Ви маєте осідок і чиї дані Ви утримуєте.
• Жоден з обов'язків у таблиці вище. Реєстри, безпека, повідомлення про порушення, оцінки, права суб'єктів даних.
• Ваші власні журнали. Машина, яку Ви орендуєте, записує відвідувачів за Вашою конфігурацією, під Вашою опікою, і саме Вам хтось напише з цього приводу — це окремий посібник, бо це окрема проблема.
• Чи можна до Вас дотягнутися. Якщо Ви маєте осідок у Союзі, Вашому наглядовому органу немає потреби дотягуватися до сервера. Йому потрібно дотягнутися до Вас.

Кілька годин роботи, які закривають питання

Ніщо з наведеного нижче не потребує інструменту, який треба купувати, і вся послідовність коротша, ніж натякає цей ринок.

1. Визначте, чи обробляєте Ви взагалі персональні дані людей у Союзі. Якщо чесна відповідь — ні, а для дуже багатьох проєктів це саме так — усе написане вище є довідковою інформацією, і на цьому Ви закінчили.
2. Запишіть, з якою юридичною особою Ви укладаєте договір для кожного регіону, який використовуєте, і в якій країні перебуває ця особа. Не регіон: компанія, вказана в рахунку.
3. Розподіліть їх на три групи з таблиці. У межах ЄЕП, з належним рівнем захисту, або жодне з двох.
4. Для всього, що потрапляє в третю групу, впровадьте положення 2021 року і напишіть оцінку країни призначення. Два документи, один раз, на кожну країну.
5. Подивіться, що саме туди потрапляє. Якщо відповідь — зашифрований архів, ключ від якого на Вашому власному обладнанні, зазначте це в оцінці, бо саме цей факт робить усе інше простим.
6. Внесіть усе це до свого реєстру за статтею 30 — документа, який наглядовий орган запитує першим і який більшість контролерів пишуть останнім.
7. Позначте в оцінці дату наступного перегляду і залиште її там, де її знайде наступна людина, яка займеться цим питанням.

Це вся процедура повністю, і вона не суперечить нічому іншому на цьому сайті — саме заради цього речення й існує цей посібник. Вибір юрисдикції, яка захищає Ваші дані, і дотримання правил, які захищають Ваших користувачів, — це не протилежні рішення. Це те саме рішення, прочитане з двох різних кінців.

Питання, які справді ставлять

Кожна ціна цієї інфраструктури повністю опублікована в одному місці. Переглянути весь каталог