Пет въпроса, които определят колко европейска е дадена услуга

Модул 2: Какво всъщност представлява европейският облак? · Време за четене: 11 минути

Учебна цел: След този урок ще можете с пет въпроса да установите под кое право попада дадена облачна услуга и да обясните защо наличието на дейтацентър в Европа не е достатъчно за това.

Основни понятия: седалище (регистрирано седалище), краен собственик, местоположение на дейтацентъра, подизпълнител (подобработващ), отдалечен достъп, управление на ключове, ЕС, ЕИП, решение за адекватност, "sovereign cloud"

"Нашите данни се намират в Европа." И какво от това?

Почти всяка голяма облачна услуга го казва днес: Вашите данни се намират в дейтацентър във Франкфурт, Амстердам или Дъблин. Това звучи успокоително, но отговаря само на един от въпросите, които имат значение. В модул 1 видяхте, че американският CLOUD Act не гледа към мястото на сървъра, а към компанията, която притежава данните, ги съхранява или има контрол над тях ("possession, custody, or control"). Сървър във Франкфурт на компания, която в крайна сметка е американска, може въпреки това да попадне под американска заповед.

Затова не гледате само към една характеристика, а към пет. Пекарна "Зърно" от нашия пример (12 служители, домейн example.com) в момента използва американски офис пакет и иска да разбере кои алтернативи наистина са европейски. С тези пет въпроса тя отделя маркетинга от фактите.

Въпрос 1: къде е седалището на компанията?

Седалището е държавата, в която компанията, подписваща Вашия договор, е юридически регистрирана: регистрираното седалище. Тази държава определя кое право се прилага към компанията на първо място, кой съд е компетентен и кой надзорен орган наблюдава.

За целта не гледайте уебсайта, а договорната страна: името в долната част на общите условия, споразумението за обработване на данни (чл. 28 ОРЗД) и фактурата. Ако там пише "Example Cloud Ireland Ltd.", то Вашата договорна страна е ирландска, дори ако марката е американска. Това е добро начало, но все още не е отговор. За това Ви е нужен въпрос 2.

Въпрос 2: кой е крайният собственик?

Крайният собственик е компанията или лицето на върха на веригата от акционери. Европейско дъщерно дружество на американска компания майка юридически е европейска компания, но компанията майка има контрол. Според CLOUD Act американски съд може да задължи компанията майка да предостави данни, намиращи се при дъщерно дружество, ако компанията майка на практика има "control" над тях. Дали това важи в конкретен случай зависи от начина, по който е устроена компанията. Юристите не са единодушни по този въпрос. Именно затова това е риск, а не сигурност.

Възможно е и обратното: компания, която днес е европейска, утре може да бъде изкупена. В Нидерландия това се случи през 2025 и 2026 г. около Solvinity, компанията зад инфраструктурата на DigiD. Американската Kyndryl искаше да я изкупи; правителството забрани сделката през май 2026 г. след становище на Bureau Toetsing Investeringen (Бюрото за проверка на инвестициите). Затова питайте доставчика и: какво се случва с договора ми при изкупуване? Мога ли тогава да прекратя безплатно?

Къде намирате собственика? В търговския регистър (в Нидерландия КVK, в Германия Handelsregister), в годишния отчет или на страницата "За нас" или "Impressum". При публично търгувани компании това е посочено в годишните финансови отчети.

Въпрос 3: къде се намират данните и резервните копия?

Местоположението на дейтацентъра остава важно. Ако данните Ви се намират в ЕС, няма предаване извън ЕИП по смисъла на ОРЗД, стига никой извън него да няма достъп. Питайте за всички места: основния дейтацентър, резервния дейтацентър и резервните копия. Доставчик със сървъри в Нидерландия и резервни копия в Съединените щати всъщност извършва предаване на данни.

Обърнете внимание на три понятия, които често се бъркат:

Швейцария и Обединеното кралство следователно не са ЕС, но услуга там можете да използвате съгласно ОРЗД без допълнителни договорни клаузи. Решението за Швейцария датира от 2000 г. и беше потвърдено при преразглеждане през януари 2024 г. Решението за Обединеното кралство беше удължено на 19 декември 2025 г. до 27 декември 2031 г. Решение за адекватност обаче може да бъде преразгледано или отменено от Съда на Европейския съюз (СЕС): това се случи два пъти със споразуменията със САЩ (модул 1, урок 1.4). За Съединените щати сега важи EU-U.S. Data Privacy Framework, но само за американски компании, присъединили се към него, и с несигурността, която видяхте в урок 1.4.

Въпрос 4: кой друг може да има достъп? Подизпълнители и отдалечен достъп

Подизпълнител (подобработващ) е друга компания, наета от доставчика, която при това обработва или може да вижда Вашите данни: дейтацентърът, услуга за резервни копия, компания за доставка на електронна поща, отдел за поддръжка в друга държава, AI услуга, която обобщава имейли. ОРЗД изисква доставчикът да Ви информира предварително кои подизпълнители използва и да Ви позволи да възразите срещу нови такива (чл. 28 ОРЗД, урок 9.2).

Обърнете особено внимание на отдалечения достъп. Данни, намиращи се в Амстердам, до които обаче служител по поддръжката в държава извън ЕИП може да има достъп, за да отстрани повреда, според европейските надзорни органи също се считат за предадени. Дейтацентър в Европа с денонощна помощна служба, наблюдаваща отвсякъде по света, следователно е по-малко европейски, отколкото изглежда.

Къде намирате списъка? Обикновено като приложение към споразумението за обработване на данни или на отделна страница "подизпълнители" или "sub-processors". Ако такъв списък липсва или е неясен ("ние работим с внимателно подбрани партньори"), това е червен флаг.

Въпрос 5: кой има ключа?

Криптирането помага срещу други страни само ако те нямат ключа. При повечето облачни услуги данните Ви са криптирани по време на пренос (https) и в покой (на диска), но ключът е у доставчика. Ако доставчикът трябва да предостави данни, той може да ги декриптира. При криптиране от край до край или криптиране с ключ, който управлявате само Вие, доставчикът не може да направи това. Това защитава по-добре, но има цена: търсенето, съвместното редактиране в браузъра и възстановяването на забравена парола тогава често не работят или работят ограничено. Затова питайте: кои части са криптирани от край до край и какво вече няма да мога да правя тогава?

"Sovereign cloud" от американски компании

Големите американски доставчици отговарят на търсенето на суверенитет. Няколко примера, за да разпознавате термините:

• Microsoft EU Data Boundary: Microsoft съобщи през февруари 2025 г., че данните на клиенти от Microsoft 365, Dynamics 365, Power Platform и повечето услуги на Azure се съхраняват и обработват в рамките на ЕС и страните от ЕАСТ, включително данните от поддръжката. Самата Microsoft пише, че в ограничени случаи данни все още се обработват извън ЕС, например за целите на сигурността. Microsoft остава американска компания. През юни 2025 г. юридическият директор на Microsoft France заяви под клетва пред френския Сенат, че не може да гарантира, че данни никога не се предоставят без разрешение на американски органи.
• AWS European Sovereign Cloud: обществено достъпна от 15 януари 2026 г., с първи регион в Бранденбург (Германия). Управлява се от германско дружество с персонал в ЕС и е технически отделена от останалата част на AWS. Крайната компания майка е Amazon. Анализатори посочват, че рискът, свързан с CLOUD Act, поради това може да е по-малък, но не е доказуемо отстранен.
• Модели на сътрудничество: във Франция и Германия има европейски компании, които работят с американска облачна технология на лиценз, така че европейската компания да има контрола. Дали това работи, зависи от споразуменията относно актуализации, управление и достъп.

Подобни услуги могат да бъдат разумна междинна стъпка за някои организации. Но задайте им същите пет въпроса. Отговорът на въпрос 2 (собственик) остава различен при тези услуги спрямо компания, която е изцяло европейска.

На практика: ето как изглежда при един доставчик

Вземете WebOké Nextcloud за пример. Седалище и собственик: нидерландско дружество с ограничена отговорност (bv). Дейтацентър: според документацията два нидерландски дейтацентъра на NorthC. Софтуер: Nextcloud, създаден от германската компания Nextcloud GmbH, с отворен код. Ключът за криптиране на съхранението се намира у доставчика; криптиране от край до край можете сами да активирате за отделни папки. При други европейски доставчици, като други доставчици на Nextcloud, mailbox.org, Infomaniak или IONOS, търсите същите пет отговора на същите места: договор, търговски регистър, споразумение за обработване на данни и списък с подизпълнители.

Обобщение

• Дейтацентър в Европа отговаря само на един от петте въпроса.
• Петте въпроса: седалище, краен собственик, местоположение на данните и резервните копия, подизпълнители и отдалечен достъп, и кой има ключа.
• Европейско дъщерно дружество на американска компания може въпреки това да попадне под CLOUD Act.
• Швейцария и Обединеното кралство не са ЕС, но имат решение за адекватност; ЕИП е ЕС плюс Норвегия, Исландия и Лихтенщайн.
• Услуги "sovereign cloud" на американски компании намаляват рисковете, но не променят отговора на въпроса за собствеността.

Тест

Задача

Задача A2.1: Кой получава и изпраща поща за Вашия домейн? Въведете собствения си домейн. Програмата търси MX записите и разгъва изцяло Вашия SPF запис. Вие попълвате кои организации получават Вашата поща и кои имат право да изпращат от Ваше име. Така за няколко минути виждате кои страни вече са свързани с Вашата поща.

Задача E2.1: Петте въпроса за Вашите собствени услуги. Изберете две услуги, които използвате в момента (например имейл и съхранение на файлове) и една възможна европейска алтернатива. Потърсете за всичките три отговорите на петте въпроса, заедно с източника.

Допълнително четиво

Стъпките в тези статии важат за услугите на WebOké; при други доставчици процесът е сходен.

• Nextcloud наръчник 1.1: Какво е Nextcloud и какво е WebOké Nextcloud?
• Nextcloud наръчник 3.1: Как WebOké защитава Вашия Nextcloud?
• Nextcloud наръчник 15.13: Често задавани въпроси за сигурността и поверителността
• Европейска комисия, преглед на решенията за адекватност: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (данни "regardless of whether" се намират в или извън САЩ)