Pet pitanja koja određuju koliko je neka usluga europska

Modul 2: Što je europski cloud zapravo? · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete pomoću pet pitanja utvrditi pod čijim pravom se nalazi neka cloud usluga i objasniti zašto podatkovni centar u Europi sam po sebi nije dovoljan.

Ključni pojmovi: sjedište (statutarno registrirano sjedište), krajnji vlasnik, lokacija podatkovnog centra, podizvršitelj obrade, pristup na daljinu, upravljanje ključevima, EU, EGP, odluka o primjerenosti, "sovereign cloud"

"Naši podaci nalaze se u Europi." Pa što onda?

Gotovo svaka velika cloud usluga danas to kaže: Vaši podaci nalaze se u podatkovnom centru u Frankfurtu, Amsterdamu ili Dublinu. To zvuči umirujuće, ali time je odgovoreno samo na jedno od pitanja koja su doista bitna. U modulu 1 vidjeli ste da se američki CLOUD Act ne obazire na lokaciju poslužitelja, nego na tvrtku koja podatke ima u posjedu, čuvanju ili pod nadzorom ("possession, custody, or control"). Poslužitelj u Frankfurtu tvrtke koja je u krajnjem vlasništvu američka, stoga ipak može potpasti pod američki nalog.

Zato ne gledate samo jedno obilježje, nego pet njih. Pekarnica De Korrel iz našeg primjera (12 zaposlenika, domena example.com) trenutačno koristi američki uredski paket i želi znati koje su alternative doista europske. Pomoću ovih pet pitanja odvaja marketing od činjenica.

Pitanje 1: gdje je tvrtka registrirana?

Sjedište je zemlja u kojoj je tvrtka koja s Vama sklapa ugovor pravno registrirana: njezino statutarno sjedište. Ta zemlja u prvom redu određuje koje se pravo primjenjuje na tu tvrtku, koji je sud nadležan i koje tijelo provodi nadzor.

Za to nemojte gledati internetsku stranicu, nego ugovornu stranu: naziv na dnu općih uvjeta, ugovora o obradi podataka i računa. Ako tamo piše "Example Cloud Ireland Ltd.", Vaša je ugovorna strana irska, čak i ako je brend američki. To je dobar početak, ali još nije odgovor. Za to Vam je potrebno pitanje 2.

Pitanje 2: tko je krajnji vlasnik?

Krajnji vlasnik je tvrtka ili osoba koja se nalazi na vrhu lanca dioničara. Europsko društvo kći američkog matičnog društva pravno je europska tvrtka, ali matično društvo ima stvarni nadzor. Prema CLOUD Actu, američki sud može naložiti matičnom društvu da preda podatke koji se nalaze kod društva kćeri, ako matično društvo nad njima stvarno ima "control". Hoće li to u konkretnom slučaju biti tako, ovisi o tome kako je tvrtka organizirana. Pravnici se o tome ne slažu. Upravo je to razlog zašto je riječ o riziku, a ne o sigurnosti.

Moguće je i obrnuto: tvrtka koja je danas europska sutra može biti preuzeta. U Nizozemskoj se to 2025. i 2026. događalo oko tvrtke Solvinity, tvrtke koja stoji iza infrastrukture sustava DigiD. Američka tvrtka Kyndryl htjela ju je preuzeti; nizozemska Vlada zabranila je preuzimanje u svibnju 2026. nakon mišljenja Ureda za provjeru investicija (Bureau Toetsing Investeringen). Zato kod pružatelja usluge pitajte i: što se događa s mojim ugovorom u slučaju preuzimanja? Mogu li tada besplatno raskinuti ugovor?

Gdje pronaći vlasnika? U trgovačkom registru (u Nizozemskoj KVK, u Njemačkoj Handelsregister), u godišnjem izvješću, ili na stranici "O nama" ili "Impressum". Kod burzovno kotiranih tvrtki to piše u godišnjim financijskim izvještajima.

Pitanje 3: gdje se nalaze podaci i sigurnosne kopije?

Lokacija podatkovnog centra i dalje je važna. Ako se Vaši podaci nalaze u EU, nema iznošenja izvan EGP-a u smislu GDPR-a, sve dok nitko izvana nema pristup. Pitajte za sve lokacije: primarni podatkovni centar, pričuvni (disaster recovery) centar i sigurnosne kopije. Pružatelj usluge s poslužiteljima u Nizozemskoj i sigurnosnim kopijama u Sjedinjenim Državama ipak ostvaruje iznošenje podataka.

Pripazite ovdje na tri pojma koji se često miješaju:

Švicarska i Ujedinjeno Kraljevstvo stoga nisu EU, ali uslugu ondje smijete prema GDPR-u koristiti bez dodatnih ugovornih odredbi. Odluka za Švicarsku potječe iz 2000. godine i potvrđena je pri ponovnoj ocjeni u siječnju 2024. Odluka za Ujedinjeno Kraljevstvo produljena je 19. prosinca 2025. do 27. prosinca 2031. Odluka o primjerenosti ipak može biti preispitana ili je Sud Europske unije može poništiti: to se dvaput dogodilo s dogovorima sa SAD-om (modul 1, lekcija 1.4). Za Sjedinjene Države sada vrijedi Data Privacy Framework, ali samo za američke tvrtke koje su mu pristupile, uz nesigurnost koju ste vidjeli u lekciji 1.4.

Pitanje 4: tko još ima pristup? Podizvršitelji obrade i pristup na daljinu

Podizvršitelj obrade je druga tvrtka koju pružatelj usluge angažira i koja pritom obrađuje ili može vidjeti Vaše podatke: podatkovni centar, usluga sigurnosnog kopiranja, tvrtka za dostavu e-pošte, odjel za podršku u drugoj zemlji, AI usluga koja sažima e-poštu. GDPR zahtijeva da Vas pružatelj usluge unaprijed obavijesti koje podizvršitelje koristi i da Vam omogući prigovor na nove (članak 28. GDPR-a, lekcija 9.2).

Posebno obratite pozornost na pristup na daljinu. Podaci koji se nalaze u Amsterdamu, ali koje djelatnik podrške u zemlji izvan EGP-a može pregledati radi otklanjanja kvara, prema europskim nadzornim tijelima također se smatraju iznesenima. Podatkovni centar u Europi s službom podrške koja ih danonoćno nadzire diljem svijeta stoga je manje europski nego što se čini.

Gdje pronaći taj popis? Najčešće kao prilog ugovoru o obradi podataka ili na posebnoj stranici "podizvršitelji" ili "sub-processors". Ako taj popis nedostaje, ili je nejasan ("surađujemo s pažljivo odabranim partnerima"), to je crvena zastavica upozorenja.

Pitanje 5: tko ima ključ?

Enkripcija pomaže protiv drugih samo ako oni nemaju ključ. Kod većine cloud usluga Vaši su podaci šifrirani tijekom prijenosa (https) i u mirovanju (na disku), ali ključ ima pružatelj usluge. Ako pružatelj usluge mora predati podatke, može ih dešifrirati. Kod end-to-end enkripcije ili enkripcije ključem kojim upravljate isključivo Vi, pružatelj usluge to ne može. To bolje štiti, ali ima svoju cijenu: pretraživanje, zajedničko uređivanje u pregledniku i oporavak zaboravljene lozinke tada često ne rade ili rade ograničeno. Pitajte, dakle: koji su dijelovi end-to-end šifrirani, i što onda više neću moći raditi?

"Sovereign cloud" američkih tvrtki

Veliki američki pružatelji usluga odgovaraju na potražnju za suverenitetom. Nekoliko primjera, kako biste prepoznali te pojmove:

• Microsoft EU Data Boundary: Microsoft je u veljači 2025. objavio da se podaci korisnika usluga Microsoft 365, Dynamics 365, Power Platform i većine Azure usluga pohranjuju i obrađuju unutar EU i zemalja EGP-a, uključujući podatke podrške. Microsoft sam navodi da se u ograničenom broju slučajeva podaci ipak obrađuju izvan EU, primjerice radi sigurnosti. Microsoft ostaje američka tvrtka. U lipnju 2025. pravni direktor Microsofta Francuska pod prisegom je pred francuskim Senatom izjavio da ne može jamčiti da podaci nikada neće biti predani američkim vlastima bez odobrenja.
• AWS European Sovereign Cloud: dostupan od 15. siječnja 2026., s prvom regijom u Brandenburgu (Njemačka). Njime upravlja njemačko društvo sa zaposlenicima u EU i tehnički je odvojen od ostatka AWS-a. Krajnje matično društvo ostaje Amazon. Analitičari ističu da bi rizik vezan uz CLOUD Act time mogao biti manji, ali da nije dokazivo uklonjen.
• Modeli suradnje: u Francuskoj i Njemačkoj postoje europske tvrtke koje pod licencom koriste američku cloud tehnologiju, tako da nadzor ima europska tvrtka. Hoće li to funkcionirati, ovisi o dogovorima o ažuriranjima, upravljanju i pristupu.

Takve usluge mogu za neke organizacije biti razuman privremeni korak. No postavite im ista pet pitanja. Odgovor na pitanje 2 (vlasnik) kod takvih usluga ostaje drugačiji nego kod tvrtke koja je u potpunosti europska.

U praksi: kako to izgleda kod jednog pružatelja usluge

Uzmimo WebOké Nextcloud kao primjer. Sjedište i vlasnik: nizozemsko društvo s ograničenom odgovornošću (bv). Podatkovni centar: prema uputama, dva nizozemska podatkovna centra tvrtke NorthC. Softver: Nextcloud, koji izrađuje njemačka tvrtka Nextcloud GmbH, otvorenog koda. Ključ za enkripciju pohrane nalazi se kod pružatelja usluge; end-to-end enkripciju možete sami uključiti po mapi. Kod drugih europskih pružatelja usluga, poput drugih pružatelja Nextclouda, mailbox.org, Infomaniaka ili IONOS-a, iste odgovore na istih pet pitanja tražite na istim mjestima: ugovor, trgovački registar, ugovor o obradi podataka i popis podizvršitelja.

Sažetak

• Podatkovni centar u Europi daje odgovor samo na jedno od pet pitanja.
• Pet pitanja: sjedište, krajnji vlasnik, lokacija podataka i sigurnosnih kopija, podizvršitelji i pristup na daljinu, te tko ima ključ.
• Europsko društvo kći američke tvrtke ipak može potpasti pod CLOUD Act.
• Švicarska i Ujedinjeno Kraljevstvo nisu EU, ali imaju odluku o primjerenosti; EGP je EU plus Norveška, Island i Lihtenštajn.
• "Sovereign cloud" usluge američkih tvrtki smanjuju rizike, ali ne mijenjaju odgovor na pitanje o vlasništvu.

Kviz

Zadatak

Zadatak A2.1: Tko prima i šalje poštu za Vašu domenu? Unesite vlastitu domenu. Program pronalazi MX zapise i u potpunosti rastavlja Vaš SPF zapis. Vi unosite koje organizacije primaju Vašu poštu i koje smiju slati poštu u Vaše ime. Tako za nekoliko minuta vidite koje su strane već uključene u Vašu e-poštu.

Zadatak E2.1: Pet pitanja za Vaše vlastite usluge. Odaberite dvije usluge koje trenutačno koristite (primjerice Vašu e-poštu i pohranu datoteka) i jednu moguću europsku zamjenu. Za sve tri potražite odgovore na pet pitanja, uz naveden izvor.

Za dodatno čitanje

Koraci u ovim člancima vrijede za usluge WebOké; kod drugih pružatelja usluga postupak je sličan.

• Nextcloud priručnik 1.1: Što je Nextcloud i što je WebOké Nextcloud?
• Nextcloud priručnik 3.1: Kako WebOké osigurava Vaš Nextcloud?
• Nextcloud priručnik 15.13: Često postavljana pitanja o sigurnosti i privatnosti
• Europska komisija, pregled odluka o primjerenosti: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (podaci "regardless of whether" se nalaze unutar ili izvan SAD-a)