Päť otázok, ktoré určujú, ako európska je služba

Modul 2: Čo je európsky cloud naozaj? · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete pomocou piatich otázok určiť, pod akým právom cloudová služba spadá, a vysvetliť, prečo samotné dátové centrum v Európe na to nestačí.

Kľúčové pojmy: sídlo (štatutárne sídlo), konečný vlastník, umiestnenie dátového centra, subsprostredkovateľ, vzdialený prístup, správa šifrovacích kľúčov, EÚ, EHP, rozhodnutie o primeranosti, „sovereign cloud“

„Naše dáta sú v Európe.“ A čo ďalej?

Takmer každá veľká cloudová služba to dnes tvrdí: vaše údaje sú uložené v dátovom centre vo Frankfurte, Amsterdame alebo Dubline. Znie to upokojujúco, ale odpovedá to len na jednu z otázok, na ktorých naozaj záleží. V module 1 ste videli, že americký CLOUD Act sa nepozerá na miesto, kde stojí server, ale na spoločnosť, ktorá má údaje vo svojej držbe, úschove alebo pod kontrolou („possession, custody, or control“). Server vo Frankfurte spoločnosti, ktorá je napokon americká, teda môže aj tak podliehať americkému príkazu.

Preto sa nepozeráte na jeden znak, ale na päť. Bakkerij De Korrel z nášho príkladu (12 zamestnancov, doména example.com) teraz používa americký kancelársky balík a chce zistiť, ktoré alternatívy sú naozaj európske. Pomocou týchto piatich otázok oddelí marketing od faktov.

Otázka 1: kde má spoločnosť sídlo?

Sídlo je krajina, kde je právne zapísaná spoločnosť, ktorá podpisuje vašu zmluvu: štatutárne sídlo. Táto krajina v prvom rade určuje, aké právo sa na spoločnosť vzťahuje, ktorý súd je príslušný a ktorý dozorný orgán nad ňou dohliada.

Nepozerajte sa pritom na webovú stránku, ale na zmluvnú stranu: názov v spodnej časti všeobecných obchodných podmienok, v zmluve so sprostredkovateľom (čl. 28 GDPR) a na faktúre. Ak tam stojí „Example Cloud Ireland Ltd.“, vaša zmluvná strana je írska, aj keď je značka americká. Je to dobrý začiatok, ale ešte nie odpoveď. Na tú potrebujete otázku 2.

Otázka 2: kto je konečným vlastníkom?

Konečný vlastník je spoločnosť alebo osoba, ktorá stojí na vrchole reťazca akcionárov. Európska dcérska spoločnosť amerického materského podniku je právne európskou spoločnosťou, ale materský podnik má nad ňou rozhodujúci vplyv. Podľa CLOUD Act môže americký súd zaviazať materský podnik, aby poskytol údaje, ktoré má dcérska spoločnosť, ak nad nimi materský podnik skutočne vykonáva „control“. Či je to tak v konkrétnom prípade, závisí od toho, ako je spoločnosť organizačne usporiadaná. Právnici sa na tom nezhodujú. Práve preto ide o riziko, nie o istotu.

Môže to fungovať aj naopak: spoločnosť, ktorá je dnes európska, môže byť zajtra prevzatá. V Holandsku sa to v rokoch 2025 a 2026 odohrávalo okolo spoločnosti Solvinity, firmy stojacej za infraštruktúrou systému DigiD. Americká spoločnosť Kyndryl ju chcela prevziať; holandská vláda prevzatie v máji 2026 zakázala po posúdení Úradu pre preverovanie investícií (Bureau Toetsing Investeringen). Pýtajte sa teda poskytovateľa aj na to: čo sa stane s mojou zmluvou pri prevzatí spoločnosti? Môžem v takom prípade bezplatne odstúpiť?

Kde vlastníka nájdete? V obchodnom registri (v Holandsku KVK, v Nemecku Handelsregister), vo výročnej správe, alebo na stránke „O nás“ či „Impressum“. Pri burzovo kótovaných spoločnostiach to nájdete vo výročných finančných výkazoch.

Otázka 3: kde sa nachádzajú údaje a ich záložné kópie?

Umiestnenie dátového centra zostáva dôležité. Ak sú vaše údaje v EÚ, nejde v zmysle GDPR o prenos mimo EHP, pokiaľ sa k nim nedostane nikto zvonka. Pýtajte sa na všetky miesta: primárne dátové centrum, záložné (havarijné) dátové centrum a zálohy. Poskytovateľ so servermi v Holandsku a zálohami v Spojených štátoch v skutočnosti prenos vykonáva.

Dávajte pozor na tri pojmy, ktoré sa často zamieňajú:

Švajčiarsko a Spojené kráľovstvo teda nie sú EÚ, ale službu tam môžete podľa GDPR používať bez ďalších zmluvných ustanovení. Rozhodnutie pre Švajčiarsko pochádza z roku 2000 a bolo potvrdené pri opätovnom posúdení v januári 2024. Rozhodnutie pre Spojené kráľovstvo bolo 19. decembra 2025 predĺžené do 27. decembra 2031. Rozhodnutie o primeranosti však môže byť preskúmané alebo zrušené Súdnym dvorom Európskej únie: to sa dvakrát stalo pri dohodách s USA (modul 1, lekcia 1.4). Pre Spojené štáty teraz platí Data Privacy Framework, ale len pre americké spoločnosti, ktoré sa k nemu pripojili, a s neistotou, ktorú ste videli v lekcii 1.4.

Otázka 4: kto sa k údajom ešte dostane? Subsprostredkovatelia a vzdialený prístup

Subsprostredkovateľ je iná spoločnosť, ktorú poskytovateľ zapája a ktorá pritom spracúva alebo môže vidieť vaše údaje: dátové centrum, zálohovacia služba, spoločnosť na doručovanie e-mailov, podpora v inej krajine, AI služba, ktorá zhŕňa e-maily. GDPR vyžaduje, aby vás poskytovateľ vopred informoval o tom, akých subsprostredkovateľov používa, a umožnil vám namietať proti novým (čl. 28 GDPR, lekcia 9.2).

Osobitne si všímajte vzdialený prístup. Údaje, ktoré sa nachádzajú v Amsterdame, ale ku ktorým sa môže dostať pracovník podpory v krajine mimo EHP, aby vyriešil poruchu, sa podľa európskych dozorných orgánov tiež považujú za prenesené. Dátové centrum v Európe so službou podpory, ktorá do údajov nazerá nepretržite odkiaľkoľvek na svete, je teda menej európske, než sa zdá.

Kde zoznam nájdete? Väčšinou ako prílohu zmluvy so sprostredkovateľom alebo na samostatnej stránke „subsprostredkovatelia“ či „sub-processors“. Ak takýto zoznam chýba, alebo je nejasný („spolupracujeme s starostlivo vybranými partnermi“), je to varovný signál.

Otázka 5: kto má šifrovací kľúč?

Šifrovanie chráni pred inými len vtedy, ak nemajú kľúč. Pri väčšine cloudových služieb sú vaše údaje šifrované pri prenose (https) a v pokoji (na disku), ale kľúč má poskytovateľ. Ak musí poskytovateľ údaje vydať, vie ich dešifrovať. Pri end-to-end šifrovaní alebo šifrovaní kľúčom, ktorý spravujete výlučne vy, to poskytovateľ nedokáže. To chráni lepšie, ale má to svoju cenu: vyhľadávanie, spoločná úprava v prehliadači a obnova zabudnutého hesla potom často nefungujú vôbec alebo len obmedzene. Pýtajte sa teda: ktoré časti sú end-to-end šifrované a čo potom už nebudem môcť robiť?

„Sovereign cloud“ amerických spoločností

Veľkí americkí poskytovatelia reagujú na dopyt po suverenite. Niekoľko príkladov, aby ste tieto pojmy rozpoznali:

• Microsoft EU Data Boundary: Microsoft vo februári 2025 oznámil, že zákaznícke údaje služieb Microsoft 365, Dynamics 365, Power Platform a väčšiny služieb Azure sa ukladajú a spracúvajú v rámci EÚ a krajín EZVO, vrátane údajov o podpore. Microsoft sám uvádza, že v obmedzených prípadoch sa niektoré údaje stále spracúvajú mimo EÚ, napríklad z bezpečnostných dôvodov. Microsoft zostáva americkou spoločnosťou. V júni 2025 právny riaditeľ Microsoftu Francúzsko pod prísahou pred francúzskym Senátom vyhlásil, že nedokáže zaručiť, že údaje nikdy nebudú bez súhlasu poskytnuté americkým orgánom.
• AWS European Sovereign Cloud: od 15. januára 2026 všeobecne dostupná, s prvým regiónom v Brandenbursku (Nemecko). Spravuje ju nemecká spoločnosť so zamestnancami v EÚ a je technicky oddelená od zvyšku AWS. Konečným materským podnikom zostáva Amazon. Analytici upozorňujú, že riziko spojené s CLOUD Act tak môže byť menšie, no nie je preukázateľne odstránené.
• Modely spolupráce: vo Francúzsku a Nemecku existujú európske spoločnosti, ktoré prevádzkujú americkú cloudovú technológiu na základe licencie, pričom kontrolu má európska spoločnosť. Či to funguje, závisí od dohôd o aktualizáciách, správe a prístupe.

Takéto služby môžu byť pre niektoré organizácie primeraným medzikrokom. Položte im však rovnakých päť otázok. Odpoveď na otázku 2 (vlastník) zostáva pri týchto službách iná než pri spoločnosti, ktorá je plne európska.

V praxi: ako to vyzerá u poskytovateľa

Zoberme si ako príklad WebOké Nextcloud. Sídlo a vlastník: holandská spoločnosť (bv). Dátové centrum: podľa príručky dve holandské dátové centrá spoločnosti NorthC. Softvér: Nextcloud, vytvorený nemeckou spoločnosťou Nextcloud GmbH, open source. Kľúč šifrovania úložiska má poskytovateľ; end-to-end šifrovanie si môžete sami zapnúť pre jednotlivé priečinky. Pri iných európskych poskytovateľoch, ako sú iní poskytovatelia Nextcloud, mailbox.org, Infomaniak alebo IONOS, hľadáte odpovede na rovnakých päť otázok na rovnakých miestach: v zmluve, obchodnom registri, zmluve so sprostredkovateľom a zozname subsprostredkovateľov.

Zhrnutie

• Dátové centrum v Európe odpovedá len na jednu z piatich otázok.
• Päť otázok: sídlo, konečný vlastník, umiestnenie údajov a záloh, subsprostredkovatelia a vzdialený prístup, a kto má šifrovací kľúč.
• Európska dcéra americkej spoločnosti môže aj tak spadať pod CLOUD Act.
• Švajčiarsko a Spojené kráľovstvo nie sú EÚ, ale majú rozhodnutie o primeranosti; EHP je EÚ plus Nórsko, Island a Lichtenštajnsko.
• Služby typu „sovereign cloud“ amerických spoločností znižujú riziká, ale odpoveď na otázku o vlastníkovi nemenia.

Kvíz

Úloha

Úloha A2.1: Kto prijíma a odosiela poštu pre vašu doménu? Zadajte vlastnú doménu. Program vyhľadá MX záznamy a podrobne rozloží váš SPF záznam. Vy doplníte, ktoré organizácie prijímajú vašu poštu a ktoré môžu posielať poštu vaším menom. Takto za pár minút zistíte, ktoré strany sa už podieľajú na vašej pošte.

Úloha E2.1: Päť otázok pre vaše vlastné služby. Vyberte si dve služby, ktoré teraz používate (napríklad vašu poštu a vaše úložisko súborov), a jednu možnú európsku náhradu. Pre všetky tri vyhľadajte odpovede na päť otázok, vrátane zdroja.

Odporúčame na ďalšie čítanie

Postupy v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 1.1: Čo je Nextcloud a čo je WebOké Nextcloud?
• Návod na Nextcloud 3.1: Ako WebOké zabezpečuje váš Nextcloud?
• Návod na Nextcloud 15.13: Často kladené otázky o zabezpečení a ochrane súkromia
• Európska komisia, prehľad rozhodnutí o primeranosti: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (údaje „regardless of whether“ sa nachádzajú v USA alebo mimo nich)