Razbijanje mitova: Mogu li kompanije iz EU da koriste cloud usluge iz SAD i ostanu usklađene sa GDPR-om?
Razbijanje mitova: Mogu li kompanije iz EU da koriste cloud usluge iz SAD i ostanu usklađene sa GDPR-om?
Godinama je jedan od najupornijih mitova u evropskim poslovnim krugovima glasio: „Ako čuvate ili obrađujete podatke u SAD, automatski kršite GDPR.”
Ova tvrdnja je netačna - i opasno pojednostavljena. Hajde da razjasnimo šta zakon zaista kaže i zašto hiljade evropskih kompanija svakodnevno bezbedno koriste američke cloud provajdere.
Mit 1: „GDPR zabranjuje prenos podataka u SAD.”
Stvarnost: GDPR ne zabranjuje prenose van EU - on ih reguliše.
Članovi 44-50 ove uredbe definišu kako podaci mogu zakonito da teku u treće zemlje. Ključni zahtev jeste da podaci o ličnosti ostanu podjednako zaštićeni i nakon prenosa.
Postoji više pravnih mehanizama da se to postigne:
-
Odluka o adekvatnosti: Evropska komisija može da proglasi da određena zemlja obezbeđuje adekvatan nivo zaštite.
✅ Godine 2023, okvir za zaštitu podataka između EU i SAD - Data Privacy Framework (DPF) - dodelio je status adekvatnosti američkim kompanijama koje su u okviru njega sertifikovane. -
Standardne ugovorne klauzule (SCC): To su ugovorne obaveze odobrene od strane EU koje obezbeđuju zaštitne mere na nivou GDPR-a čak i bez odluke o adekvatnosti. Većina velikih američkih cloud provajdera, kao što su AWS, Microsoft i Google, podrazumevano uključuje SCC u svoje ugovore o obradi podataka (DPA).
-
Obavezujuća poslovna pravila (BCR): Koriste ih uglavnom velike multinacionalne kompanije i predstavljaju interne kodekse ponašanja koje odobravaju organi za zaštitu podataka.
Dakle, ako je Vaš provajder sertifikovan u okviru DPF-a ili uključuje SCC, Vaš prenos je zakonit - pod uslovom da ste sproveli procenu uticaja prenosa (TIA) kojom se procenjuje rizik od pristupa organa vlasti SAD.
Mit 2: „Vlasti SAD mogu pristupiti svim podacima iz EU po sopstvenoj volji.”
Stvarnost: Pristup američkih obaveštajnih službi nije neograničen, a usklađenost sa GDPR-om se odnosi na procenu rizika, a ne na potpuno uklanjanje rizika.
U okviru novog DPF-a, zakoni o nadzoru u SAD su izmenjeni kako bi se dodali mehanizmi srazmernosti i pravne zaštite. Građani EU sada mogu podneti žalbu novom sudu za reviziju zaštite podataka (Data Protection Review Court) ukoliko sumnjaju na nezakonit pristup.
Za većinu evropskih MSP koja koriste standardne poslovne cloud alate (CRM, e-pošta, analitika), stvarni rizik od nesrazmernog pristupa je minimalan - i znatno manji nego što to mnoge lokalne zablude sugerišu.
Mit 3: „Da biste bili usklađeni, podatke morate skladištiti isključivo u EU.”
Stvarnost: GDPR ne zahteva lokalizaciju podataka. Ova uredba je tehnološki neutralna i fokusira se na zaštitu, a ne na geografiju.
Važno je sledeće:
- Imate zakonit osnov za obradu (Član 6).
- Birate obrađivače koji nude dovoljne garancije (Član 28).
- Imate odgovarajuće zaštitne mere za prenos (Član 46).
Mnogi provajderi sa sedištem u EU jednostavno preprodaju infrastrukturu iz SAD, dok istovremeno tvrde da nude „hosting isključivo u EU”. Razlika u usklađenosti ne leži u GPS koordinatama podataka, već u pravnim kontrolama i transparentnosti koje primenjujete.
Šta bi onda kompanije iz EU trebalo da urade?
- Proverite sertifikate. Proverite da li se Vaš američki provajder nalazi na listi Data Privacy Framework list.
- Pregledajte ugovore. Uverite se da su SCC ili DPF klauzule uključene u DPA.
- Dokumentujte svoju TIA procenu. Sačuvajte jednostavnu procenu rizika u svojoj evidenciji.
- Primenite enkripciju i kontrole pristupa. Tehničke zaštitne mere jačaju Vaš nivo usklađenosti.
- Budite transparentni. Obavestite korisnike gde se njihovi podaci obrađuju i zašto.
Zaključak
Usklađenost sa GDPR-om se svodi na odgovornost, a ne na nacionalizam.
Kompanije iz EU apsolutno mogu da koriste usluge iz SAD - uključujući AI platforme, CRM sisteme i cloud hosting - pod uslovom da prate zakonski okvir i postupaju sa dužnom pažnjom.
Mit da „serveri u SAD = kršenje GDPR-a” nije samo zastareo već i štetan, jer koči inovacije i globalnu saradnju.
Uz odgovarajuće zaštitne mere, prekookeanski tokovi podataka ostaju potpuno legalni, praktični i usklađeni sa zaštitom privatnosti.
