离岸主机与GDPR这部条例跟随的是你，而不是机架。

这个市场说错的那句话

这种说法几乎从不被明白写出来，这正是它得以流传的原因。它以一种暗示的方式出现：服务器在境外，公司在境外，因此欧洲的规则已被你甩在身后。读一读条例，这种暗示一句话就会不攻自破。

第3条规定了GDPR适用于谁，通篇都没有提到硬件设在何处。第1款规定，条例适用于在欧盟境内设立的控制者或处理者所进行的处理活动，无论该处理活动是否发生在欧盟境内。第2款则从另一个方向出发：即便一家公司在欧盟境内完全没有设立机构，只要它向欧盟境内的人提供商品或服务，或监测其在欧盟境内的行为，仍然要受条例管辖。

这并不是一个令人失望的结论，在讨论其他内容之前，有必要先说明原因。迁移服务器的理由在于：一国的法院无法向另一国的磁盘发出命令。这个理由并未受到影响。随机器一同转移的，是一项合规义务，而不是一种法律风险，这两者经常被混为一谈，因为它们都被称作“管辖权”。

条例在对你们中的哪一方说话

第4条定义了两种角色，区分它们的只有一个问题：是谁决定了数据的用途。

几乎所有关于主机服务与GDPR的争论，归根结底都是关于上面这张表的争论。服务商无法代替你实现合规，因为大多数义务属于控制者，无法通过合同转移出去。服务商能做到的，是成为一个你可以证明自己选择合理的处理者，这就是第28条—一份文件，而不是一种感觉。

第28条第3款列出了该合同必须包含的内容，这份清单足够简短，可以拿来对照你自己的合同逐条核查：只依照书面指示进行处理；要求所有可接触数据的人员承担保密义务；采取第32条规定的安全措施；未经许可不得增加次级处理者；协助你回应数据主体的请求；协助你处理数据泄露和评估事宜；在合同结束时删除或返还全部数据；提供你核实以上所有事项所需的一切。

什么算作数据转移

第五章—第44条至第49条—规范向第三国传输个人数据的行为。第三国是指欧洲经济区以外的任何地方，而欧洲经济区由二十七个成员国加上冰岛、列支敦士登和挪威组成。GDPR已于2018年被纳入《欧洲经济区协议》，这就是为什么这三个国家是在这条线以内，而不仅仅是靠近这条线。

第44条阐明了这一原则：只有在满足本章其余条款的前提下，转移才能进行。此后有三条路径，按照可操作性从高到低依次排列。

临时拼凑的合规方案，最终往往会落到最后一行，而这站不住脚。第49条是为偶发和特定的情形而写的。把客户数据库放在服务器上托管三年，两者都不沾边。

八个地区，按第五章的分类排列

这一部分，主机服务商能够回答，而法律博客不能，因为这是关于一套具体基础设施的事实，而不是一条普遍原则。本网络的八个地区分为三组，从第一组到最后一组之间的距离，只是两份文件。

八个地区中有四个根本不构成转移。这一点，比大多数关于离岸主机与合规的公开文章都更有价值，而这也是一句无论卖哪一种产品的人都不愿意说出口的话，因为它让那个更难卖的产品，在一半的基础设施上都变得没有必要。

问题中与机架无关的另一半

磁盘所在的位置，决定了是否构成转移。你签约的是哪家公司，决定了谁在持有数据，而这两者分离的情况，比理应出现的次数要多得多。

一家在法兰克福设有机架、母公司却在加利福尼亚的服务商，无论数据是否经由线路传输，都在向外转移你的数据，因为该处理者要服从一个能够触及它的司法管辖权。这不是一个假设性的区别，而正是主机服务商的公司结构属于数据保护事实、而非无关紧要的问题的原因。

这里的安排是八个司法辖区、八家独立的公司，具体列于条款第1条。位于雷克雅未克的服务器，签约对象是冰岛主体，该主体位于欧洲经济区之内，这就是上表第一行如此表述的原因。如果你正在阅读别家的页面，这就是该向它提出的问题：不是服务器在哪里，而是发票上是哪家公司，那家公司又在哪里。

第46条究竟要求你做什么

如果你使用的是三个第三国之一，需要做的工作是真实存在的，但范围有限，而且自2021年以来变化不大。

1. 把这次转移记录下来：哪些类别的个人数据，涉及谁，转移给哪个主体，在哪个国家，以及数据到达时是什么形式—可读的，还是用你自己保管的密钥加密过的。
2. 落实相应的文件。实践中，这意味着欧盟委员会于2021年6月通过的标准合同条款，并选用与你们关系相匹配的模块。控制者对处理者对应的是模块二，而租用服务器正是这种关系。
3. 评估目的地。自欧盟法院于2020年7月判决Schrems II案以来，签署条款并不是终点：你还必须审查数据落地国家的法律，是否会让公共机构以条款无法承受的方式获取数据。欧洲数据保护委员会已于2021年公布了评估方法，共分六个步骤。
4. 补上评估中发现的差距所需的一切，这正是下一节的内容，因为能真正弥补这一差距的措施其实只有一种。
5. 为它定下一个日期。评估针对的是一国的法律，而一国的法律会在你毫不知情的情况下发生变化。只做一次不是合规，定期复查才是。

真正能弥补差距的措施

数据保护委员会所描述的补充措施，细读之下大多令人失望。合同性和组织性的措施，无法阻挡一个拥有强制权力的国家，该委员会对此说得很明白。只有一项技术性措施经得起分析，而这项措施，也正是本网站其他各处出于与GDPR无关的理由所推荐的那一项。

如果数据到达时已用一把从未离开你控制的密钥加密，持有数据的处理者就无法向任何人交出可读的内容—无论是法院、你自己，还是它自身。数据保护委员会的建议认为，由数据输出方保管密钥的强加密，对存储数据而言是有效措施；而对于需要明文数据才能运作的处理者，该委员会认为不存在任何有效措施。这才是诚实的立场：你无法靠一纸合同，让某人读不到一块磁盘。

实践中真正重要的区别，是存储与处理之间的区别。存放加密归档文件的对象存储，是简单的情形。虚拟机上运行的数据库，则是困难的情形，因为密钥必须驻留在别人可以触碰到的硬件内存中。你的服务商仍能读到什么一文详细分析了这条界线究竟落在哪里，而结论并不是一句让人安心的话。

指向另一个方向的第48条

第五章中有一条在这个市场里很少被引用，但理应被引用。第48条规定，第三国法院的判决，或行政机关的决定，要求控制者或处理者披露个人数据的，只有在其基于国际协议—实践中即司法互助条约—的情况下，才可能被承认或执行。

把这一条当作对主机服务商的指示来读，它说的是一件具体的事：一份来自没有管辖权国家的命令，在欧洲法律下，并不构成交出数据的理由。一个依然选择照办的服务商，算不上谨慎，而是在进行一次非法转移，却将其称为配合。

这套基础设施从另一个方向得出了相同的答案，而且自2019年以来一直如此，这一点是可核实的，而不只是一种断言：164次执法请求，其中31次提供了内容，在已公布的二十九个季度中没有一次收到过封口令，而所提供的内容只是一个电子邮件地址和一份金额账目。执法指南用一句话说明了这道门槛：必须是来自对被送达主体拥有管辖权的法院的命令。

无论机器身处何地都不会改变的事

这一节会让一些订单流失，所以也值得读上两遍。以下每一项都是你作为控制者的责任，任何主机方面的决定都不会触及它们。

六行内容，一个答案。让人感到困惑的那个词是“管辖权”，它同时承担着两项职责：既回答了谁能强制取用那块磁盘，也回答了你要遵循谁的规则。迁移服务器会改变第一项，却让第二项分毫未动。

国界确实会改变的事

• 谁必须被说服。命令必须来自对持有磁盘的公司拥有管辖权的法院，而八个国家的八家公司，意味着八场各自独立的论证，而不是一场。
• 通知是否具有强制力。下架通知在任何地方都只是一封信函；但在某些地方，服务商有义务对这封信函采取行动，而离岸则意味着没有这项义务。这正是DMCA指南所讨论的主题。
• 服务商能被强制保留什么。数据留存规定是各国自定的。罗马尼亚曾两次废止自己的留存法，且此后再无替代；摩尔多瓦和巴拿马则完全没有此类规定。服务商无法被强制保留的东西，也就无法被强制交出。
• 转移是否需要一份文件。这正是本页所讲的内容—而这只是一项文书成本，不是一种风险。

不会改变的事

• GDPR是否适用于你。由第3条决定，取决于你设立在哪里，以及你持有的是谁的数据。
• 上表中的任何一项义务。记录、安全、数据泄露通知、评估、数据主体权利。
• 你自己的日志。你租用的机器会按照你的配置记录访问者，日志由你保管，若有人为此写信，收信人也是你—这是另一篇指南的主题，因为这是另一个问题。
• 你是否能被联系到。如果你设立在欧盟境内，你的监管机构并不需要联系到服务器，它需要联系到的是你。

一个下午就能解决这个问题

以下内容都不需要购买任何工具，整个流程也比这个市场所暗示的要短得多。

1. 先判断你是否处理欧盟境内人员的个人数据。如果诚实的答案是否定的—对很多项目来说确实如此—那么以上内容都只是背景知识，你的工作到此为止。
2. 写下你所使用的每个地区分别是与哪个主体签约的，以及该主体位于哪个国家。不是地区：是发票上的那家公司。
3. 把它们归入表中的三组：欧洲经济区之内、已获充分性认定、两者都不是。
4. 对于归入第三组的内容，落实2021年条款并撰写目的地评估。两份文件，每个国家一次。
5. 查看究竟有什么数据到达那里。如果答案是一份加密归档文件，且密钥保存在你自己的硬件上，就在评估中如实写明，因为正是这一事实让后续的一切都变得简单。
6. 把这一切都纳入你的第30条记录中，那是监管机构最先索要的文件，也是大多数控制者最后才动笔的文件。
7. 为评估设定一个复查日期，并把它放在下一个接手此事的人能够找到的地方。

这就是全部流程，而且它与本网站上的其他任何内容都不冲突—这正是本指南存在的意义所在。选择一个能保护你的数据的司法辖区，与遵守保护你的用户的规则，并不是相互对立的选择，而是同一个决定的两端。

人们实际提出的问题

本机房的每一项价格都在同一处完整公开。 查看完整目录