Mītu kliedēšana: vai ES uzņēmumi var izmantot ASV mākoņpakalpojumus un joprojām ievērot VDAR?
Mītu kliedēšana: vai ES uzņēmumi var izmantot ASV mākoņpakalpojumus un joprojām ievērot VDAR?
Gadiem ilgi viens no noturīgākajiem mītiem Eiropas biznesa vidē ir bijis: “Ja glabājat vai apstrādājat datus ASV, Jūs automātiski pārkāpjat VDAR.”
Šis apgalvojums ir nepatiess - un bīstami vienkāršots. Apskatīsim, ko likums nosaka patiesībā un kāpēc tūkstošiem Eiropas uzņēmumu katru dienu droši izmanto Amerikas mākoņpakalpojumu sniedzējus.
1. mīts: “VDAR aizliedz datu pārsūtīšanu uz ASV.”
Patiesība: VDAR neaizliedz datu pārsūtīšanu ārpus ES - tā to regulē.
Regulas 44-50. pants nosaka, kā datus var likumīgi nodot trešajām valstīm. Galvenā prasība ir nodrošināt, lai personas dati pēc pārsūtīšanas saņemtu līdzvērtīgu aizsardzības līmeni.
Lai to panāktu, pastāv vairāki juridiskie mehānismi:
-
Lēmums par aizsardzības līmeņa pietiekamību: Eiropas Komisija var atzīt, ka valsts nodrošina pietiekamu aizsardzības līmeni.
✅ 2023. gadā ES un ASV Datu privātuma satvars (Data Privacy Framework - DPF) piešķīra pietiekamības statusu ASV uzņēmumiem, kas tajā ir sertificēti. -
Standarta līguma klauzulas (SCC): Tās ir ES apstiprinātas līgumsaistības, kas garantē VDAR līmeņa aizsardzību pat bez lēmuma par pietiekamību. Lielākā daļa nozīmīgāko ASV mākoņpakalpojumu sniedzēju, piemēram, AWS, Microsoft un Google, pēc noklusējuma iekļauj SCC savos datu apstrādes līgumos (DPA).
-
Saistošie uzņēmuma noteikumi (BCR): Tos galvenokārt izmanto lielas daudznacionālas korporācijas; tie ir iekšējie rīcības kodeksi, ko apstiprinājušas datu aizsardzības iestādes.
Tātad, ja Jūsu pakalpojumu sniedzējs ir sertificēts saskaņā ar DPF vai iekļauj SCC, datu pārsūtīšana ir likumīga - ar nosacījumu, ka esat veicis datu pārsūtīšanas ietekmes novērtējumu (TIA), izvērtējot risku, kas saistīts ar ASV valsts iestāžu piekļuvi datiem.
2. mīts: “ASV iestādes var brīvi piekļūt visiem ES datiem pēc saviem ieskatiem.”
Patiesība: ASV izlūkdienestu piekļuve nav neierobežota, un VDAR atbilstība nozīmē riska novērtēšanu, nevis riska pilnīgu izskaušanu.
Jaunā DPF ietvaros ASV uzraudzības likumi tika grozīti, pievienojot samērīguma un tiesiskās aizsardzības mehānismus. ES pilsoņi tagad var iesniegt sūdzības jaunizveidotajā Datu aizsardzības pārskatīšanas tiesā (Data Protection Review Court), ja viņiem ir aizdomas par nelikumīgu piekļuvi.
Lielākajai daļai Eiropas MVU, kas izmanto standarta biznesa mākoņrīkus (CRM, e-pastu, analītiku), reālais nesamērīgas piekļuves risks ir minimāls - un ievērojami zemāks, nekā liecina daudzi vietējie aizspriedumi.
3. mīts: “Lai nodrošinātu atbilstību, dati obligāti jāglabā tikai ES.”
Patiesība: VDAR nepieprasa datu lokalizāciju. Regula ir tehnoloģiski neitrāla un koncentrējas uz aizsardzību, nevis ģeogrāfiju.
Būtiski ir tas, ka:
- Jums ir likumīgs pamats apstrādei (6. pants).
- Jūs izvēlaties apstrādātājus, kas sniedz pietiekamas garantijas (28. pants).
- Jūs nodrošināt atbilstošus pārsūtīšanas aizsardzības pasākumus (46. pants).
Daudzi ES bāzēti pakalpojumu sniedzēji vienkārši pārdod tālāk ASV infrastruktūru, vienlaikus apgalvojot, ka nodrošina “glabāšanu tikai ES”. Atbilstības atšķirība slēpjas nevis datu GPS koordinātās, bet gan Jūsu ieviestajos juridiskajos kontroles mehānismos un caurskatāmībā.
Ko šādā situācijā vajadzētu darīt ES uzņēmumiem?
- Pārbaudiet sertifikātus. Pārliecinieties, vai Jūsu ASV pakalpojumu sniedzējs ir iekļauts Data Privacy Framework sarakstā.
- Pārskatiet līgumus. Pārliecinieties, vai DPA ir iekļautas SCC vai DPF atrunas.
- Dokumentējiet savu TIA. Saglabājiet vienkāršu riska novērtējumu savos dokumentos.
- Ieviesiet šifrēšanu un piekļuves kontroli. Tehniskie drošības pasākumi stiprina Jūsu atbilstības pozīciju.
- Esiet atklāti. Informējiet lietotājus par to, kur un kāpēc viņu dati tiek apstrādāti.
Kopsavilkums
VDAR atbilstība balstās uz atbildību, nevis nacionālismu.
ES uzņēmumi pilnīgi noteikti drīkst izmantot ASV pakalpojumus - tostarp MI platformas, CRM un mākoņhostingu -, ja vien tie ievēro tiesisko regulējumu un veic pienācīgu pārbaudi.
Mīts, ka “ASV serveri = VDAR pārkāpums”, ir ne tikai novecojis, bet arī kaitīgs, jo tas kavē inovācijas un globālo sadarbību.
Piemērojot pareizos aizsardzības pasākumus, transatlantiskā datu plūsma joprojām ir pilnīgi likumīga, praktiska un privātumu cienoša.
