Czym jest suwerenność danych i dlaczego ma znaczenie dla twoich zdjęć?

Suwerenność danych pojawia się w niemal każdej polityce prywatności i stronie marketingowej, jaką czytasz. Dostawcy chmury się na nią powołują. Rządy używają jej w ustawodawstwie. Startupy budują wokół niej całe marki. Ale jeśli zapytasz trzy osoby, co ona oznacza, zazwyczaj dostaniesz cztery różne odpowiedzi.

To jest problem, bo termin ten faktycznie ma konkretne znaczenie, a różnica między definicją techniczną a wersją marketingową to różnica między realną ochroną a prawną furtką.

Co naprawdę oznacza suwerenność danych

Suwerenność danych to zasada, według której dane podlegają prawu kraju, w którym są fizycznie przechowywane. Jeśli twoje zdjęcia znajdują się na serwerach w Niemczech, obowiązuje prawo niemieckie. Jeśli są w Irlandii, obowiązuje prawo irlandzkie. A ponieważ Irlandia i Niemcy są państwami członkowskimi UE, rozporządzenia unijne takie jak GDPR regulują, jak dane mogą być zbierane, przetwarzane i udostępniane.

Koncepcja brzmi prosto. W praktyce jest skomplikowana przez trzy rzeczy, których większość stron o prywatności nie wyjaśnia.

Trzy warstwy suwerenności

Aby zrozumieć, czy usługa rzeczywiście oferuje suwerenność danych, musisz zadać trzy odrębne pytania.

Gdzie fizycznie znajdują się dane? To warstwa, na której skupia się większość osób. Kiedy usługa mówi „dane przechowywane w UE", zwykle oznacza to, że jej serwery stoją w europejskim centrum danych. Konieczne, ale niewystarczające.

Kto obsługuje infrastrukturę? Serwer fizyczny może stać we Frankfurcie, ale jeśli obsługuje go amerykański dostawca chmury, operator podlega prawu USA. Kiedy rząd amerykański wystosowuje żądanie, operator odpowiada, niezależnie od tego, gdzie znajduje się maszyna.

Gdzie firma jest zarejestrowana? To warstwa, która określa, jakim prawom sama firma musi się podporządkować. Firma zarejestrowana w Kalifornii podlega prawu amerykańskiemu, w tym CLOUD Act, niezależnie od tego, gdzie są jej serwery czy klienci.

Aby suwerenność danych się utrzymała, wszystkie trzy warstwy muszą się zgadzać. Serwer musi znajdować się w odpowiedniej jurysdykcji, operator musi podlegać prawu tej jurysdykcji, a firma nie może być prawnie zobowiązana do spełniania żądań obcego rządu.

Dlaczego „przechowywane w UE" nie wystarczy

Rozdźwięk między obietnicą marketingową a rzeczywistością prawną stał się wyraźny w orzeczeniu Trybunału Sprawiedliwości Unii Europejskiej z 2020 roku, znanym jako Schrems II. Trybunał uznał, że przekazywanie danych osobowych z UE do USA nie chroniło wystarczająco Europejczyków przed amerykańskimi ustawami inwigilacyjnymi, nawet jeśli dane nigdy nie przekraczały Atlantyku.

Rozumowanie Trybunału było bezpośrednie. Jeśli amerykańska firma posiada dane, prawo amerykańskie ich sięga, gdziekolwiek są serwery. Sama lokalizacja przechowywania nie decyduje, jakie prawo obowiązuje.

Dlatego „hostowane w UE" to częsty zwrot i słabe twierdzenie. Obejmuje tylko pierwszą z trzech warstw. Bez pozostałych dwóch obiecana ochrona się nie utrzymuje.

Co zmienia CLOUD Act

Amerykański CLOUD Act został przyjęty w 2018 roku. Daje władzom USA uprawnienie do zmuszenia amerykańskich firm do wydania danych, które posiadają lub kontrolują, niezależnie od tego, gdzie te dane są fizycznie przechowywane.

Oznacza to, że amerykański dostawca chmury obsługujący serwery w Holandii może zostać prawnie zobowiązany do wydania danych przechowywanych na tych serwerach władzom USA. Rząd holenderski nie musi być informowany. Użytkownik, którego to dotyczy, nie musi być powiadomiony. Gwarancje ochrony danych z GDPR nie unieważniają tego żądania.

GDPR ogranicza to, co firmy robią z twoimi danymi z własnej inicjatywy. CLOUD Act pozwala określonemu podmiotowi zewnętrznemu obejść to ograniczenie. Obie ustawy obowiązują jednocześnie i wskazują w przeciwnych kierunkach.

Nasz kolega napisał bardziej szczegółowe wyjaśnienie jak działa CLOUD Act i co oznacza dla przechowywania zdjęć.

Czego wymaga prawdziwa europejska suwerenność danych

Aby usługa oferowała prawdziwą europejską suwerenność danych, muszą być spełnione trzy warunki.

Dane muszą być przechowywane na serwerach zlokalizowanych w UE. Operator infrastruktury musi podlegać prawu UE. Firma będąca właścicielem usługi musi być zarejestrowana w UE i wolna od kontroli amerykańskiej spółki matki.

Kiedy wszystkie trzy są spełnione, usługa podlega prawu UE, i tylko prawu UE. Żądanie rządu USA nie ma żadnej drogi prawnej do danych.

Kiedy któregoś z trzech brakuje, twierdzenie o suwerenności jest częściowe. Może nadal oferować poprawę w porównaniu z innymi opcjami, ale nie oferuje ochrony, którą sugeruje ten termin.

Dlaczego ma to znaczenie dla twoich zdjęć

Zdjęcia to jedna z najbardziej osobistych kategorii danych, jakie gdziekolwiek przesyłasz. Zawierają twoją twarz, twarze osób ci bliskich, miejsca, do których chodzisz, i znaczniki czasu twojego codziennego życia. Artykuł o metadanych pokazuje, ile informacji niesie pojedynczy plik zdjęcia.

Kiedy wybierasz, gdzie przechowywać tę bibliotekę, kwestia suwerenności nie jest abstrakcyjna. Określa, kto może wymusić dostęp do tych zdjęć, w jakich ramach prawnych i z jakim odwołaniem.

Co robi PixelUnion

PixelUnion jest zarejestrowany w UE. Nasze serwery znajdują się w UE. Nasza infrastruktura działa pod prawem UE. Nie ma amerykańskiej spółki matki i nie ma żadnej drogi prawnej, którą CLOUD Act mógłby sięgnąć danych naszych klientów.

To nie jest decyzja marketingowa. To decyzja strukturalna dotycząca tego, co „przechowywane w UE" musi oznaczać, aby to sformułowanie było uczciwe.

Artykuł o GDPR omawia prawa, jakie rozporządzenie ci daje, i jak działają w praktyce. Suwerenność danych to warunek podstawowy, który sprawia, że te prawa są w ogóle egzekwowalne.

Chcesz zobaczyć, jak europejska suwerenność przekłada się na działającą alternatywę dla amerykańskich usług? Nasz kolega przygotował praktyczny przewodnik po tym, jak całkowicie porzucić Big Tech, z konkretnymi alternatywami dla każdej usługi.