Hosting offshore và GDPRQuy định đi theo quý khách, không đi theo phần cứng.

Câu nói mà thị trường này hiểu sai

Tuyên bố này gần như không bao giờ được viết ra một cách rõ ràng, và đó chính là lý do nó tồn tại được. Nó xuất hiện dưới dạng một ngụ ý: máy chủ đặt ở nước ngoài, công ty đặt ở nước ngoài, do đó các quy tắc của châu Âu đã bị bỏ lại phía sau. Đọc chính quy định đó, và ngụ ý này sụp đổ chỉ trong một câu.

Điều 3 quy định GDPR áp dụng cho ai, và không một lần nào nhắc đến việc phần cứng đặt ở đâu. Khoản 1 quy định rằng quy định này áp dụng cho việc xử lý dữ liệu bởi một bên kiểm soát hoặc bên xử lý có trụ sở tại Liên minh Châu Âu bất kể việc xử lý đó diễn ra bên trong hay bên ngoài Liên minh. Khoản 2 đi theo chiều ngược lại: một công ty hoàn toàn không có trụ sở tại Liên minh vẫn thuộc phạm vi điều chỉnh nếu công ty đó cung cấp hàng hóa hoặc dịch vụ cho người tại Liên minh, hoặc theo dõi hành vi của họ tại đó.

Đây không phải là một điều đáng thất vọng, và điều đáng nói trước tiên là tại sao. Lý do để chuyển một máy chủ đi là vì tòa án ở một quốc gia không thể ra lệnh cho một ổ đĩa ở một quốc gia khác. Lý do đó vẫn nguyên vẹn. Thứ đi theo máy chủ là một nghĩa vụ tuân thủ, chứ không phải một rủi ro pháp lý, và hai điều này thường xuyên bị nhầm lẫn với nhau vì cả hai đều được mô tả bằng từ “khu vực pháp lý”.

Quy định đang nói với vai trò nào của quý khách

Hai vai trò, được định nghĩa tại Điều 4, phân biệt nhau bởi một câu hỏi duy nhất: ai là người quyết định dữ liệu được dùng để làm gì.

Gần như mọi tranh luận về hosting và GDPR thực chất đều là tranh luận về chính cái bảng đó. Một nhà cung cấp không thể tuân thủ thay cho quý khách, vì phần lớn các nghĩa vụ thuộc về bên kiểm soát và không thể chuyển giao qua hợp đồng. Điều mà một nhà cung cấp có thể là, là một bên xử lý mà quý khách có thể bảo vệ được lựa chọn của mình khi đã chọn họ, và đó chính là Điều 28 — một văn bản, chứ không phải một cảm giác.

Điều 28(3) liệt kê những gì hợp đồng đó phải chứa đựng, và danh sách này đủ ngắn để quý khách đối chiếu với hợp đồng của chính mình. Chỉ xử lý dữ liệu theo chỉ thị bằng văn bản. Ràng buộc nghĩa vụ bảo mật với mọi người có quyền truy cập. Áp dụng các biện pháp an ninh theo Điều 32. Không thêm bên xử lý phụ nào nếu chưa được phép. Hỗ trợ quý khách trả lời chủ thể dữ liệu. Hỗ trợ quý khách khi có vi phạm và khi thực hiện đánh giá. Xóa hoặc trả lại toàn bộ dữ liệu khi kết thúc. Cung cấp cho quý khách những gì cần thiết để kiểm chứng tất cả những điều trên.

Điều gì được tính là một hoạt động chuyển dữ liệu

Chương V — từ Điều 44 đến Điều 49 — điều chỉnh việc gửi dữ liệu cá nhân đến một nước thứ ba. Nước thứ ba nghĩa là bất kỳ nơi nào nằm ngoài Khu vực Kinh tế Châu Âu, tức hai mươi bảy quốc gia thành viên cộng với Iceland, Liechtenstein và Na Uy. GDPR được đưa vào Hiệp định EEA từ năm 2018, đó là lý do ba quốc gia này nằm trong ranh giới đó chứ không chỉ ở gần nó.

Điều 44 nêu ra nguyên tắc: một hoạt động chuyển dữ liệu chỉ có thể diễn ra nếu các điều khoản còn lại của chương này được đáp ứng. Sau đó có ba con đường, xếp theo thứ tự giảm dần về mức độ dễ áp dụng.

Hàng cuối cùng chính là nơi mà việc tuân thủ ứng biến thường kết thúc, và nó không đứng vững. Điều 49 được viết ra cho những trường hợp hãn hữu và cụ thể. Việc lưu trữ cơ sở dữ liệu khách hàng trên một máy chủ trong ba năm không phải là trường hợp nào trong số đó.

Tám khu vực, phân loại theo cách Chương V gọi tên chúng

Đây là phần mà một công ty hosting có thể trả lời còn một blog pháp lý thì không, vì đó là một sự thật về một hệ thống cụ thể chứ không phải một nguyên tắc chung chung. Tám khu vực trong mạng lưới này chia thành ba nhóm, và khoảng cách giữa nhóm đầu tiên và nhóm cuối cùng chỉ là hai văn bản.

Bốn trong tám khu vực hoàn toàn không phải là hoạt động chuyển dữ liệu. Điều đó có giá trị hơn phần lớn những gì được công bố về hosting offshore và việc tuân thủ, và đó là một câu mà không ai bán một trong hai thứ đó muốn nói ra, vì nó khiến sản phẩm khó khăn kia trở nên không cần thiết cho một nửa hệ thống.

Nửa còn lại của câu hỏi, phần không liên quan đến phần cứng

Vị trí đặt ổ đĩa quyết định có phải là một hoạt động chuyển dữ liệu hay không. Công ty mà quý khách ký hợp đồng cùng quyết định ai đang nắm giữ dữ liệu đó, và hai điều này tách rời nhau thường xuyên hơn mức đáng lẽ phải có.

Một nhà cung cấp có máy chủ đặt tại Frankfurt nhưng công ty mẹ ở California đang xuất khẩu dữ liệu của quý khách dù có bất cứ thứ gì truyền qua dây cáp hay không, vì bên xử lý đó chịu sự chi phối của một khu vực pháp lý có thể tiếp cận được nó. Đó không phải là một sự phân biệt mang tính giả định. Đó là lý do vì sao cơ cấu công ty của một nhà cung cấp hosting là một sự thật về bảo vệ dữ liệu, chứ không phải một câu hỏi vặt vãnh.

Cách sắp xếp ở đây là tám khu vực pháp lý và tám công ty riêng biệt, được nêu rõ tại khoản 1 của điều khoản dịch vụ. Một máy chủ tại Reykjavík được ký hợp đồng với pháp nhân tại Iceland, nằm bên trong EEA, đó là lý do hàng đầu tiên của bảng trên nói đúng như những gì nó nói. Nếu quý khách đang đọc trang của một nhà cung cấp khác, đó chính là câu hỏi cần đặt ra cho họ: không phải máy chủ đặt ở đâu, mà là công ty nào đứng tên trên hóa đơn và công ty đó đặt ở đâu.

Điều 46 thực sự yêu cầu gì ở quý khách

Nếu quý khách sử dụng một trong ba nước thứ ba, công việc cần làm là có thật nhưng có giới hạn, và nó không thay đổi nhiều kể từ năm 2021.

1. Ghi lại hoạt động chuyển dữ liệu đó. Loại dữ liệu cá nhân nào, về ai, đến pháp nhân nào, ở quốc gia nào, và dữ liệu đến nơi dưới dạng nào — có thể đọc được, hay đã được mã hóa bằng một khóa mà quý khách vẫn giữ.
2. Thiết lập công cụ pháp lý đó. Trên thực tế nghĩa là điều khoản hợp đồng tiêu chuẩn mà Ủy ban Châu Âu đã thông qua vào tháng 6 năm 2021, ở mô-đun phù hợp với mối quan hệ liên quan. Từ bên kiểm soát đến bên xử lý là Mô-đun Hai, và đó chính xác là những gì việc thuê một máy chủ tạo ra.
3. Đánh giá điểm đến. Kể từ khi Tòa án Công lý Liên minh Châu Âu ra phán quyết Schrems II vào tháng 7 năm 2020, việc ký các điều khoản đó không phải là điểm kết thúc: quý khách phải xem xét liệu luật pháp tại nơi dữ liệu đến có cho phép một cơ quan công quyền tiếp cận nó theo cách mà các điều khoản đó không thể chống đỡ hay không. Ủy ban Bảo vệ Dữ liệu Châu Âu đã công bố phương pháp này vào năm 2021 và nó gồm sáu bước.
4. Bổ sung bất cứ điều gì lấp đầy khoảng trống mà đánh giá đó phát hiện ra, đó là phần tiếp theo, vì trên thực tế chỉ có đúng một biện pháp có thể lấp đầy nó.
5. Đặt một mốc thời gian cho việc đó. Đánh giá này nói về luật pháp của một quốc gia, và luật pháp của một quốc gia thay đổi mà không hề báo trước. Làm một lần không phải là tuân thủ; một chu kỳ rà soát định kỳ mới là tuân thủ.

Biện pháp thực sự lấp đầy khoảng trống đó

Các biện pháp bổ sung mà Ủy ban Bảo vệ Dữ liệu Châu Âu mô tả, khi đọc kỹ, phần lớn đều gây thất vọng. Các biện pháp mang tính hợp đồng và tổ chức không ngăn được một nhà nước có quyền lực cưỡng chế, và chính Ủy ban Bảo vệ Dữ liệu Châu Âu cũng nói thẳng điều đó. Chỉ có một biện pháp kỹ thuật vượt qua được phân tích này, và đó cũng chính là biện pháp được khuyến nghị ở mọi nơi khác trên trang này, vì những lý do chẳng liên quan gì đến GDPR.

Nếu dữ liệu đến nơi đã được mã hóa bằng một khóa không bao giờ rời khỏi sự kiểm soát của quý khách, thì bên xử lý đang giữ dữ liệu đó không thể tạo ra bất cứ thứ gì đọc được cho bất kỳ ai — không cho tòa án, không cho quý khách, không cho cả chính họ. Khuyến nghị của Ủy ban Bảo vệ Dữ liệu Châu Âu coi mã hóa mạnh với khóa do bên xuất khẩu dữ liệu nắm giữ là hiệu quả đối với dữ liệu lưu trữ, và coi một bên xử lý cần dữ liệu ở dạng không mã hóa là trường hợp không xác định được biện pháp nào phù hợp. Đây chính là lập trường trung thực: quý khách không thể dùng hợp đồng để thoát khỏi việc ai đó có khả năng đọc được một ổ đĩa.

Sự phân biệt quan trọng trên thực tế nằm giữa lưu trữ và xử lý. Một kho lưu trữ đối tượng chứa các tệp lưu trữ đã mã hóa là trường hợp dễ. Một cơ sở dữ liệu đang chạy trên một máy ảo là trường hợp khó, vì khóa đó phải nằm trong bộ nhớ, trên phần cứng mà người khác có thể chạm tới. Những gì nhà cung cấp của quý khách vẫn có thể đọc được phân tích chính xác ranh giới đó nằm ở đâu, và nó không kết thúc bằng một lời trấn an.

Điều 48, điều khoản chỉ theo hướng ngược lại

Chương V có một điều khoản hiếm khi được nhắc đến trên thị trường này, dù nó xứng đáng được nhắc đến nhiều hơn. Điều 48 quy định rằng một phán quyết của tòa án, hoặc một quyết định của cơ quan hành chính, của một nước thứ ba, yêu cầu bên kiểm soát hoặc bên xử lý tiết lộ dữ liệu cá nhân, chỉ có thể được công nhận hoặc thi hành khi nó dựa trên một điều ước quốc tế — trên thực tế là một hiệp định tương trợ tư pháp.

Đọc như một chỉ dẫn dành cho một nhà cung cấp hosting, điều đó nói lên một điều rất cụ thể: một lệnh đến từ một quốc gia không có thẩm quyền, theo luật châu Âu, không phải là lý do để giao nộp bất cứ điều gì. Một nhà cung cấp vẫn tuân theo lệnh đó không phải là đang thận trọng. Đó là đang thực hiện một hoạt động chuyển dữ liệu bất hợp pháp và gọi nó là hợp tác.

Hệ thống này đi đến cùng một câu trả lời từ hướng ngược lại, và đã như vậy kể từ năm 2019, một điều có thể kiểm chứng được chứ không chỉ là khẳng định suông: 164 yêu cầu từ cơ quan thực thi pháp luật, trong đó 31 yêu cầu tạo ra kết quả nào đó, không một lệnh cấm tiết lộ nào trong hai mươi chín quý đã công bố, và những gì được cung cấp chỉ là một địa chỉ email và một sổ ghi chép số tiền. Hướng dẫn dành cho cơ quan thực thi pháp luật nêu rõ ngưỡng yêu cầu chỉ trong một câu: một lệnh từ một tòa án có thẩm quyền đối với pháp nhân được tống đạt.

Điều không thay đổi, dù máy chủ đặt ở đâu

Đây là phần có thể khiến mất một đơn hàng, vì vậy đây là phần đáng đọc lại hai lần. Mỗi mục dưới đây đều thuộc trách nhiệm của quý khách với tư cách bên kiểm soát, và không có quyết định hosting nào chạm đến bất kỳ mục nào trong số đó.

Sáu hàng, một câu trả lời. Từ khiến điều này trở nên rối rắm là “khu vực pháp lý”, một từ đang đảm nhiệm hai vai trò cùng lúc: nó là câu trả lời cho việc ai có thể cưỡng chế ổ đĩa, và nó cũng là câu trả lời cho việc quý khách tuân theo quy tắc của ai. Chuyển một máy chủ đi làm thay đổi vế thứ nhất và để nguyên vế thứ hai đúng như vị trí ban đầu của nó.

Điều mà một đường biên giới thực sự làm thay đổi

• Ai là người phải được thuyết phục. Một lệnh phải đến từ một tòa án có thẩm quyền đối với công ty đang nắm giữ ổ đĩa, và tám công ty tại tám quốc gia là tám lập luận riêng biệt chứ không phải một.
• Liệu một thông báo có hiệu lực hay không. Một thông báo gỡ bỏ nội dung ở đâu cũng chỉ là thư từ trao đổi; ở một số nơi, đó là thư từ mà một nhà cung cấp hosting buộc phải hành động theo, và offshore nghĩa là họ không buộc phải làm vậy. Đó là chủ đề của hướng dẫn về DMCA.
• Nhà cung cấp hosting có thể bị buộc phải lưu giữ những gì. Các quy định bắt buộc lưu giữ dữ liệu mang tính quốc gia. Romania đã hai lần bác bỏ quy định của chính mình và không có gì thay thế; Moldova và Panama không áp đặt quy định nào cả. Điều mà một nhà cung cấp không thể bị buộc phải lưu giữ, thì cũng không thể bị buộc phải giao nộp.
• Liệu việc chuyển dữ liệu có cần một công cụ pháp lý hay không. Đó chính là nội dung của trang này — và đó là một chi phí giấy tờ, chứ không phải một rủi ro.

Điều mà nó không làm thay đổi

• Liệu GDPR có áp dụng cho quý khách hay không. Điều 3, được quyết định bởi nơi quý khách có trụ sở và dữ liệu của ai mà quý khách đang nắm giữ.
• Bất kỳ nghĩa vụ nào trong bảng trên. Hồ sơ, an ninh, thông báo vi phạm, đánh giá, quyền của chủ thể dữ liệu.
• Nhật ký của chính quý khách. Máy chủ mà quý khách thuê ghi lại khách truy cập theo cấu hình của quý khách, dưới sự quản lý của quý khách, và chính quý khách mới là người mà ai đó sẽ liên hệ về việc này — đó là chủ đề của một hướng dẫn riêng vì đó là một vấn đề riêng biệt.
• Liệu quý khách có thể bị tiếp cận hay không. Nếu quý khách có trụ sở tại Liên minh Châu Âu, cơ quan giám sát của quý khách không cần phải tiếp cận máy chủ. Họ cần tiếp cận quý khách.

Một buổi chiều đủ để giải quyết câu hỏi này

Không mục nào dưới đây cần đến một công cụ mà quý khách phải mua, và toàn bộ quy trình này ngắn hơn nhiều so với những gì thị trường ngụ ý.

1. Xác định xem quý khách có xử lý dữ liệu cá nhân của người tại Liên minh Châu Âu hay không. Nếu câu trả lời trung thực là không — và với rất nhiều dự án thì đúng là như vậy — tất cả những gì ở trên chỉ là tài liệu tham khảo và quý khách đã xong việc.
2. Ghi lại pháp nhân nào mà quý khách ký hợp đồng cùng cho mỗi khu vực quý khách sử dụng, và pháp nhân đó nằm ở quốc gia nào. Không phải khu vực: mà là công ty đứng tên trên hóa đơn.
3. Phân loại chúng vào ba nhóm trong bảng. Bên trong EEA, đạt mức độ bảo vệ đầy đủ, hoặc không thuộc nhóm nào trong hai nhóm đó.
4. Đối với bất cứ điều gì thuộc nhóm thứ ba, hãy thiết lập các điều khoản năm 2021 và viết bản đánh giá điểm đến. Hai văn bản, làm một lần, cho mỗi quốc gia.
5. Xem xét thứ gì thực sự đến nơi đó. Nếu câu trả lời là một tệp lưu trữ đã mã hóa mà khóa của nó nằm trên phần cứng của chính quý khách, hãy nêu rõ điều đó trong bản đánh giá, vì đó là sự thật khiến phần còn lại trở nên đơn giản.
6. Gộp tất cả những điều đó vào hồ sơ Điều 30 của quý khách, đây là văn bản mà một cơ quan giám sát sẽ yêu cầu đầu tiên, và cũng là văn bản mà phần lớn các bên kiểm soát viết sau cùng.
7. Đặt một ngày rà soát cho bản đánh giá và để nó ở nơi mà người tiếp theo động đến việc này sẽ tìm thấy.

Đó là toàn bộ công việc cần làm, và nó không mâu thuẫn với bất cứ điều gì khác trên trang này — đó chính là câu mà hướng dẫn này tồn tại để truyền tải. Chọn một khu vực pháp lý bảo vệ dữ liệu của quý khách và tuân theo các quy tắc bảo vệ người dùng của quý khách không phải là hai quyết định đối lập. Chúng là cùng một quyết định, chỉ đọc từ hai đầu khác nhau.

Những câu hỏi khách hàng thực sự đặt ra

Mọi mức giá trên toàn hệ thống này được công bố đầy đủ, tại một nơi duy nhất. Xem toàn bộ danh mục