Co początkowo oznacza niemiecki hosting
Kiedy dostawca reklamuje hosting w Niemczech, powinno to odnosić się do konkretnie nazwanej części jego usługi. Dane wejściowe, wyjściowe lub przechowywane pliki mogą być przetwarzane na serwerach w niemieckich centrach danych. Jest to pomocny punkt wyjścia dla organizacji, ponieważ fizyczna lokalizacja danych może być łatwiej zdefiniowana i określona w umowie.
Sam termin nie określa, które dane faktycznie pozostają w Niemczech. Logi, kopie zapasowe, dane pomocy technicznej lub informacje o koncie mogą być przetwarzane w innych systemach. Ponadto lokalizacja, w której hostowana jest usługa, nie jest automatycznie tożsama z lokalizacją przechowywania konta klienta. Kupujący powinni zatem zawsze brać pod uwagę całą usługę, a nie tylko lokalizację przetwarzania danych.
„Hosting w Niemczech” nie jest samo w sobie pieczęcią ochrony danych. Ogólne Rozporządzenie o Ochronie Danych (RODO) wymaga, aby dane osobowe były przetwarzane zgodnie z prawem, w jasno określonych celach i z odpowiednimi zabezpieczeniami. Lokalizacja serwera może zmniejszyć ryzyko i uprościć dokumentację. Nie oznacza to jednak, że zbędne gromadzenie danych lub niewystarczająco zabezpieczony dostęp są zgodne z prawem. Prawa osób, których dane dotyczą, muszą być praktycznie przestrzegane niezależnie od lokalizacji. Dlatego terminowi temu zawsze powinien towarzyszyć precyzyjny opis usług.
Lokalizację serwera i siedzibę dostawcy należy rozpatrywać oddzielnie.
Centrum danych może znajdować się we Frankfurcie, podczas gdy kontrahent ma siedzibę w innym państwie członkowskim UE lub poza Europejskim Obszarem Gospodarczym. Sytuacje te nie są automatycznie niedopuszczalne. Mają one jednak wpływ na to, jakie prawo ma zastosowanie do dostawcy, które spółki grupy są zaangażowane oraz czy podmioty zagraniczne mogą prawnie lub praktycznie żądać dostępu.
Pracownicy mogą również uzyskiwać dostęp do systemów z innego kraju. Należy zatem rozważyć zdalną konserwację, rozwiązywanie problemów i obsługę klienta. Jeśli dane osobowe z państwa trzeciego staną się widoczne lub dostępne, dostęp ten należy uznać za transfer do państwa trzeciego zgodnie z rozdziałem V RODO, nawet jeśli żadna trwała kopia nie opuści niemieckiego serwera.
Istotnym pytaniem umownym jest to, z jakich lokalizacji i przez które firmy mogą przetwarzać dane osobowe. Obejmuje to przechowywanie, bieżące przetwarzanie, wsparcie i tworzenie kopii zapasowych. Jasna odpowiedź odróżnia planowane przetwarzanie od rzadkich sytuacji awaryjnych i określa środki bezpieczeństwa. Niejasne zobowiązania, takie jak „infrastruktura europejska”, pozostawiają kluczowe decyzje otwarte. Lista lokalizacji powinna zatem określać, której części usługi dotyczy dany przypadek. Musi również wyraźnie rozróżniać Niemcy, UE i EOG.
Przestrzennie rozdzielone przetwarzanie i przechowywanie
W usłudze językowej opartej na sztucznej inteligencji przetwarzanie i przechowywanie mogą odbywać się w różnych lokalizacjach. Tekst może być przechowywany w Niemczech, a rzeczywiste obliczenia modelu wykonywane w innym regionie. I odwrotnie, zapytanie może być przetwarzane w Niemczech, ale jego wynik przechowywany na europejskim koncie klienta. Zobowiązanie dotyczące lokalizacji musi wyraźnie określać oba procesy.
Bieżące przetwarzanie obejmuje więcej niż tylko widoczne wywołanie modelu. Kolejki, bufory, filtry treści i systemy równoważenia obciążenia mogą przechowywać części identyfikatorów wejściowych lub technicznych. Jeśli tylko centralna pamięć masowa modelu znajduje się w Niemczech, ścieżka danych pozostaje niekompletnie opisana. Kupujący potrzebują regionów wszystkich komponentów, które mogą przetwarzać treści klienta.
Terminy „dane w spoczynku” i „dane w trakcie przetwarzania” również powinny być jasno wyjaśnione. Nie mogą one prowadzić do wykluczenia krótkotrwałych kopii z zobowiązania. Gwarantowany region niemiecki jest szczególnie niezawodny, jeśli dostawca jasno określi, jakie dane tymczasowe są generowane, gdzie się znajdują i kiedy mogą opuścić docelową ścieżkę przetwarzania. Dotyczy to również automatycznych ponownych prób nieudanych żądań.
W zobowiązaniu należy uwzględnić kopie zapasowe i systemy awaryjne.
Dane produkcyjne nie są jedyną kopią usługi. Kopie zapasowe, repliki i systemy odzyskiwania mogą znajdować się w regionie zapasowym. Chroni to przed awariami, ale może zmienić zobowiązanie do lokalizacji w Niemczech. Dostawca powinien ujawnić, czy kopie zapasowe również pozostają wyłącznie w Niemczech, czy są rozproszone na większym obszarze europejskim.
To samo dotyczy operacji przełączania awaryjnego. W przypadku awarii niemieckiego centrum danych usługa może zostać przełączona do innego regionu. Takie przełączenie poprawia dostępność, ale nie może automatycznie usuwać żadnych umownych granic lokalizacji. Kupujący powinni wiedzieć, czy usługa zostanie zatrzymana w przypadku niedostępności zasobów w Niemczech, będzie kontynuowana z ograniczoną funkcjonalnością lub będzie przetwarzać dane w innym regionie.
Niezawodne zobowiązanie określa dopuszczalne regiony: podstawowy, zapasowy i przełączania awaryjnego. Opisuje również, czy klienci mogą samodzielnie zainicjować przełączenie regionu i w jaki sposób zostaną powiadomieni o przełączeniu awaryjnym. Pozwala to na świadomy wybór między ścisłym przechowywaniem danych a większą dostępnością geograficzną, zamiast po prostu zakładać jedno i drugie. Po powrocie, tymczasowe kopie w lokalizacji alternatywnej muszą być obsługiwane zgodnie z przepisami.
Transfer danych do państw trzecich nie kończy się na niemieckim centrum danych
Rozdział V RODO reguluje transfer danych osobowych do państw trzecich i organizacji międzynarodowych. Niemieckie miejsce przechowywania danych może zapobiec takiemu transferowi, jeśli wszystkie istotne procesy przetwarzania faktycznie odbywają się w obrębie Europejskiego Obszaru Gospodarczego. Jeśli jednak dostępy, podwykonawcy lub inne systemy znajdują się poza tym obszarem, konkretny transfer należy ocenić osobno.
W niektórych krajach Komisja Europejska wydała decyzję o odpowiednim stopniu ochrony. W innych przypadkach mogą być wymagane odpowiednie zabezpieczenia, takie jak standardowe klauzule umowne. Instrumenty te nie dają automatycznej odpowiedzi na każde pytanie dotyczące ryzyka technicznego. Organizacje muszą zrozumieć, których danych to dotyczy, jakie prawo obowiązuje w miejscu docelowym i jakie dodatkowe zabezpieczenia są skuteczne w danym przypadku.
Spółka dominująca europejskiego dostawcy również może mieć znaczenie dla oceny. Liczy się nie tylko ich obywatelstwo, ale także istniejące zobowiązania prawne, prawa do instrukcji i opcje dostępu. Kupujący nie powinni zatem automatycznie zakładać, że niemiecki serwer nie oznacza ryzyka ze strony krajów trzecich. Powinni mieć wyjaśniony rzeczywisty przepływ danych i strony zaangażowane w ten proces. Zwykły dostęp należy oceniać inaczej niż wąsko zdefiniowane przypadki wyjątkowe. Każdy przypadek wyjątkowy wymaga jednak solidnej podstawy prawnej i technicznej.
Fizyczna weryfikacja logów i danych operacyjnych
Logi techniczne są często przechowywane oddzielnie od faktycznego tekstu wprowadzanego. Mogą one zawierać identyfikatory kont, znaczniki czasu, adresy IP, komunikaty o błędach lub, w niektórych przypadkach, fragmenty treści. Jeśli dostawca określi jedynie lokalizację bazy danych klientów, nie jest jasne, gdzie przechowywane są dane operacyjne i który zespół je analizuje.
Systemy wykrywania nadużyć, pomiaru wydajności i wsparcia mogą również korzystać z własnych regionów. Niemiecki przykład nie gwarantuje, że każda diagnoza jest przeprowadzana również w Niemczech. Kupujący powinni zapytać o lokalizację tych danych operacyjnych i rozróżnić, czy logi zawierają tylko identyfikatory techniczne, czy też fragmenty wprowadzonej treści.
Zobowiązanie dotyczące lokalizacji powinno wyraźnie obejmować aktywne logi, logi zarchiwizowane i ich kopie zapasowe. Wyjątki dotyczące analiz bezpieczeństwa również wymagają określonych lokalizacji, ograniczonego dostępu i śledzenia miejsca przechowywania. Jeśli dostawca korzysta z centralnego narzędzia analitycznego poza regionem objętym zobowiązaniem, należy również ocenić tę ścieżkę danych. Tylko wtedy „hosting niemiecki” opisuje coś więcej niż tylko lokalizację widocznego wywołania modelu.
Lokalizacja kluczy i dostęp administracyjny
Szyfrowanie uzupełnia zobowiązanie dotyczące lokalizacji, ale go nie zastępuje. Kluczami można zarządzać w Niemczech, podczas gdy upoważniony personel uzyskuje do nich dostęp za pośrednictwem zespołu operacyjnego w innym kraju. Z drugiej strony, globalny dostawca kluczy może zabezpieczyć niemiecki region danych. Kupujący powinni zatem wiedzieć, gdzie klucze są przechowywane i zarządzane oraz które podmioty mogą autoryzować ich użycie.
Dostęp administracyjny wymaga takiej samej precyzji przestrzennej jak serwery. Zespół operacyjny w Niemczech, usługa na wezwanie w EOG i zespół wsparcia w kraju trzecim oznaczają różne ścieżki danych. Dokumenty umowne powinny rozróżniać dostęp standardowy, dostęp awaryjny i monitorowanie systemu, a w każdym przypadku wyjaśniać, czy można przeglądać tekst jawny.
Dowody mogą potwierdzać te stwierdzenia, jeśli ich zakres obejmuje dane systemy i regiony. BSI C5 wymaga przejrzystości w zakresie lokalizacji danych geograficznych i funkcji outsourcingowych w opisie systemu. Przy podejmowaniu decyzji o wyborze lokalizacji kluczowe jest, aby złożony raport dokładnie opisywał zarezerwowane środowisko niemieckie, a nie liczbę ogólnych certyfikatów posiadanych przez dostawcę. Okres audytu powinien również obejmować aktualnie wdrożone środowisko.
Uwidocznienie lokalizacji spółek grupy i wsparcia
Dostawca może obsługiwać niemiecką infrastrukturę za pośrednictwem lokalnej spółki zależnej, jednocześnie uzyskując wsparcie, rozwój lub analizę bezpieczeństwa od innych spółek grupy. Wspólna nazwa marki łatwo zaciemnia to rozproszenie geograficzne. Dlatego kupujący potrzebują nie tylko lokalizacji partnera kontraktowego, ale także lokalizacji zespołów, które faktycznie przeglądają dane klientów lub zarządzają systemami z dostępem.
Wsparcie jest szczególnie istotne, ponieważ klienci często udostępniają tam zrzuty ekranu, próbki tekstu lub pliki eksportowe. Nawet jeśli platforma produkcyjna działa wyłącznie w Niemczech, globalny system biletowy może otworzyć nowy szlak danych. Bezpieczna transmisja, przetwarzanie regionalne i wyraźne ograniczenie widocznej zawartości powinny być częścią tego samego opisu lokalizacji.
Ogólne wymagania dotyczące podmiotów przetwarzających dane i podwykonawców muszą zostać szczegółowo omówione w przeglądzie Umowy o Przetwarzaniu Danych (DPA). W przypadku hostingu w Niemczech kluczowe jest bardziej szczegółowe pytanie: Która uczestnicząca firma jest upoważniona do dostępu do jakich danych z którego kraju? Odpowiedź musi również obejmować zmiany w zespołach wsparcia lub dyżurach, a nie tylko wymianę centrum danych. Ograniczony czasowo dostęp do projektu powinien również zostać uwzględniony w tym opisie.
Umownie zabezpieczone gwarancje regionalne i dowód lokalizacji.
Wybór regionu w interfejsie produktu jest pomocny, ale łatwiejszy do zmiany niż gwarancja umowna. Umowa powinna określać, które typy danych i kroki przetwarzania są powiązane z Niemcami. Terminy takie jak „domyślny” lub „preferowany” pozostawiają miejsce na wyjątki. Jeśli takie wyjątki są konieczne, wymagają jasnych warunków i powiadomienia.
Weryfikację lokalizacji można uzyskać na podstawie opisu systemu, odpowiedniego raportu z audytu i informacji technicznych. Powinna ona obejmować przetwarzanie produkcyjne, przechowywanie, kopie zapasowe, logi i dostęp administracyjny. Faktura za centrum danych dowodzi jedynie, że infrastruktura jest używana w Niemczech, a nie, że wszystkie dane klientów są przetwarzane wyłącznie tam.
Zmiany muszą być również możliwe do śledzenia. Nowe regiony, zmodyfikowane zasady przełączania awaryjnego lub przeniesiony zespół wsparcia mogą wpłynąć na pierwotną ocenę. Umowny obowiązek dostarczenia informacji umożliwia ponowną ocenę przed zmianą ścieżki danych. Dzięki temu zobowiązanie do korzystania z niemieckiego hostingu pozostaje weryfikowalne przez cały okres użytkowania i nie jest udokumentowane jedynie w momencie sprzedaży. Regularne potwierdzenia lokalizacji mogą skutecznie uzupełnić ten dowód.
Niemiecki hosting to kluczowy element trafnej decyzji
Uruchomienie pilotażowe w Niemczech może przynieść organizacjom realną korzyść. Ustanawia ono wyraźne powiązanie geograficzne, może ograniczyć transfer danych do krajów trzecich i uprościć niektóre wymogi umowne. Ta korzyść jest największa, gdy dane wejściowe, wyjściowe, kopie zapasowe, logi i wsparcie są rozpatrywane łącznie i transparentnie ograniczone. Zobowiązanie geograficzne powinno pozostać wiążące przez cały okres obowiązywania umowy. Powinno ono również wyraźnie obejmować wszystkie przyszłe funkcje zarezerwowanej usługi.
Dlatego też kilka precyzyjnych odpowiedzi ma kluczowe znaczenie w procesie wyboru. Kto jest stroną umowy i podmiotem przetwarzającym dane? Jacy podwykonawcy są zaangażowani? Gdzie ludzie i systemy mają dostęp do danych? Czy treści są przechowywane lub wykorzystywane do celów szkoleniowych? Które certyfikaty bezpieczeństwa konkretnie obejmują zarezerwowaną usługę? Tylko razem te odpowiedzi opisują rzeczywisty efekt ochronny oferty.
Najlepsza decyzja łączy lokalizację z celem i ryzykiem związanym z jej zamierzonym wykorzystaniem. Publiczne teksty na stronach internetowych mają inne wymagania niż akta osobowe czy porady medyczne. Niemiecki hosting nie zastępuje tej klasyfikacji, ale może ją skutecznie wspierać. Kiedy obietnice marketingowe przekładają się na jasne umowy i weryfikowalne środki ochronne, lokalizacja staje się wiarygodnym atrybutem, a nie jedynie etykietą. Ta jasność ułatwia również późniejsze zmiany w usłudze lub jej wykorzystaniu. Wskazuje również, kiedy konieczna jest nowa ocena lokalizacji.
Źródła referencyjne
- Ogólne rozporządzenie o ochronie danych (RODO), w szczególności art. 5, 28, 32 i 44
- Federalny Komisarz ds. Ochrony Danych i Wolności Informacji (BfDI): Wzór umowy o przetwarzaniu danych
- Federalny Urząd Bezpieczeństwa Informacji (BSI): Katalog kryteriów zgodności przetwarzania w chmurze C5
- Federalny Urząd Bezpieczeństwa Informacji (BSI): Minimalny standard korzystania z zewnętrznych usług chmurowych