Öt kérdés, amely eldönti, mennyire európai egy szolgáltatás

Modul 2: Mi az európai felhő valójában? · Olvasási idő: 11 perc

Tanulási cél: Ez után a lecke után Ön öt kérdéssel meg tudja állapítani, melyik jog vonatkozik egy felhőszolgáltatásra, és el tudja magyarázni, miért nem elég ehhez önmagában egy európai adatközpont.

Kulcsfogalmak: székhely (bejegyzett székhely), végső tulajdonos, adatközpont helye, alvállalkozó adatfeldolgozó, távoli hozzáférés, kulcskezelés, EU, EGT, megfelelőségi határozat, "sovereign cloud"

"A mi adataink Európában vannak." És akkor?

Manapság szinte minden nagy felhőszolgáltató ezt mondja: az Ön adatai egy Frankfurtban, Amszterdamban vagy Dublinban lévő adatközpontban vannak. Ez megnyugtatóan hangzik, de csak az egyik lényeges kérdésre ad választ. Az 1. modulban láthatta, hogy az amerikai CLOUD Act nem a szerver helyét nézi, hanem azt a vállalatot, amely az adatokat birtokolja, őrzi vagy ellenőrzése alatt tartja ("possession, custody, or control"). Egy frankfurti szerver, amely egy végső soron amerikai vállalathoz tartozik, így mégis amerikai hatósági utasítás alá eshet.

Ezért nem egyetlen jellemzőt kell megnézni, hanem ötöt. A példánkban szereplő Szemcse Pékség (12 alkalmazott, example.com domain) jelenleg egy amerikai irodai programcsomagot használ, és szeretné tudni, mely alternatívák valóban európaiak. Ezzel az öt kérdéssel leválasztja a marketinget a tényekről.

1. kérdés: hol van a vállalat székhelye?

A székhely az az ország, ahol a szerződést kötő vállalatot jogilag bejegyezték: a bejegyzett székhely. Ez az ország határozza meg elsősorban, melyik jog vonatkozik a vállalatra, melyik bíróság illetékes, és melyik hatóság gyakorol felügyeletet.

Ehhez ne a weboldalt nézze, hanem a szerződő felet: az általános szerződési feltételek, az adatfeldolgozási szerződés és a számla alján szereplő nevet. Ha ott "Example Cloud Ireland Ltd." szerepel, akkor a szerződő fele ír, még akkor is, ha a márka amerikai. Ez jó kiindulópont, de még nem válasz. Ehhez kell a 2. kérdés.

2. kérdés: ki a végső tulajdonos?

A végső tulajdonos az a vállalat vagy személy, aki a részvényesi lánc csúcsán áll. Egy amerikai anyavállalat európai leányvállalata jogilag európai vállalat, de az anyavállalatnak van döntési joga. A CLOUD Act szerint egy amerikai bíróság kötelezheti az anyavállalatot olyan adatok átadására, amelyek egy leányvállalatnál vannak, ha az anyavállalat ténylegesen "control" jogkörrel rendelkezik felettük. Hogy ez egy konkrét esetben így van-e, az attól függ, hogyan épül fel a vállalat. A jogászok véleménye megoszlik ebben. Pontosan ezért kockázat ez, nem bizonyosság.

Fordítva is előfordulhat: egy ma európai vállalatot holnap felvásárolhatnak. Hollandiában ez 2025-ben és 2026-ban a Solvinity körül zajlott, amely a DigiD infrastruktúrája mögött álló vállalat. Az amerikai Kyndryl felvásárolni szerette volna; a holland kormány 2026 májusában megtiltotta a felvásárlást a Bureau Toetsing Investeringen (befektetés-ellenőrzési hivatal) javaslata alapján. Kérdezze meg tehát a szolgáltatótól azt is: mi történik a szerződésével felvásárlás esetén? Lehet-e akkor díjmentesen felmondani?

Hol található meg a tulajdonos? A cégjegyzékben (Hollandiában a KVK, Németországban a Handelsregister), az éves beszámolóban, vagy az "About us" / "Impresszum" oldalon. Tőzsdén jegyzett vállalatoknál az éves jelentésben szerepel.

3. kérdés: hol vannak az adatok és a biztonsági mentések?

Az adatközpont helye továbbra is fontos. Ha az adatai az EU-ban vannak, akkor a GDPR értelmében nincs EGT-n kívüli adattovábbítás, amíg senki nem fér hozzájuk kívülről. Kérdezzen rá minden helyszínre: az elsődleges adatközpontra, a tartalék adatközpontra és a biztonsági mentésekre. Egy olyan szolgáltató, amelynek szerverei Hollandiában vannak, de a biztonsági mentései az Egyesült Államokban, bizony adattovábbítást végez.

Ügyeljen erre a három, gyakran összekevert fogalomra:

Svájc és az Egyesült Királyság tehát nem EU-tagállam, de egy ottani szolgáltatást a GDPR alapján további szerződéses rendelkezések nélkül is használhat. A Svájcra vonatkozó határozat 2000-ből származik, és egy 2024 januári felülvizsgálat során megerősítették. Az Egyesült Királyságra vonatkozó határozatot 2025. december 19-én 2031. december 27-ig meghosszabbították. Egy megfelelőségi határozatot felül lehet vizsgálni, vagy az Európai Unió Bírósága (EUB) hatályon kívül helyezheti: ez kétszer is megtörtént az Egyesült Államokkal kötött megállapodásokkal (1. modul, 1.4. lecke). Az Egyesült Államokra most a Data Privacy Framework vonatkozik, de csak az ahhoz csatlakozott amerikai vállalatokra, és azzal a bizonytalansággal, amelyet az 1.4. leckében látott.

4. kérdés: ki fér még hozzá? Alvállalkozó adatfeldolgozók és távoli hozzáférés

Az alvállalkozó adatfeldolgozó egy olyan másik vállalat, amelyet a szolgáltató bevon, és amely ennek során az Ön adatait feldolgozza vagy láthatja: az adatközpont, egy biztonságimentés-szolgáltató, egy e-mail-kézbesítő vállalat, egy másik országban működő ügyfélszolgálati részleg, egy e-maileket összefoglaló AI-szolgáltatás. A GDPR megköveteli, hogy a szolgáltató előre tájékoztassa Önt arról, mely alvállalkozó adatfeldolgozókat veszi igénybe, és lehetőséget adjon az új adatfeldolgozók elleni kifogásra (GDPR 28. cikk, 9.2. lecke).

Különösen ügyeljen a távoli hozzáférésre. Azokat az adatokat, amelyek Amszterdamban vannak tárolva, de amelyeket egy EGT-n kívüli ügyfélszolgálati munkatárs megtekinthet egy hiba elhárítása érdekében, az európai hatóságok szerint szintén továbbítottnak kell tekinteni. Egy európai adatközpont, amelyhez egy 0-24 órában világszerte betekintő ügyfélszolgálat tartozik, tehát kevésbé európai, mint amilyennek látszik.

Hol találja meg a listát? Többnyire az adatfeldolgozási szerződés mellékleteként, vagy egy külön "alvállalkozó adatfeldolgozók" vagy "sub-processors" oldalon. Ha ez a lista hiányzik, vagy homályos ("gondosan kiválasztott partnerekkel dolgozunk"), az figyelmeztető jel.

5. kérdés: kinél van a kulcs?

A titkosítás csak akkor segít mások ellen, ha ők nem rendelkeznek a kulccsal. A legtöbb felhőszolgáltatásnál az adatok titkosítva vannak átvitel közben (https) és nyugalmi állapotban (a lemezen), de a kulcs a szolgáltatónál van. Ha a szolgáltatónak ki kell adnia az adatokat, akkor azokat ki tudja titkosítani. Végpontok közötti titkosítás esetén, vagy olyan kulccsal titkosítva, amelyet csak Ön kezel, a szolgáltató erre nem képes. Ez jobban véd, de van ára: a keresés, a böngészőben való közös szerkesztés és az elfelejtett jelszó helyreállítása ilyenkor gyakran nem vagy csak korlátozottan működik. Kérdezze meg tehát: mely részek vannak végpontok közötti titkosítással védve, és mit nem tud ilyenkor használni?

Amerikai vállalatok "sovereign cloud" megoldásai

A nagy amerikai szolgáltatók reagálnak a szuverenitás iránti igényre. Néhány példa, hogy felismerje a kifejezéseket:

• Microsoft EU Data Boundary: a Microsoft 2025 februárjában bejelentette, hogy a Microsoft 365, a Dynamics 365, a Power Platform és a legtöbb Azure-szolgáltatás ügyféladatait az EU-n és az EFTA-országokon belül tárolják és dolgozzák fel, beleértve a támogatási adatokat is. A Microsoft maga írja, hogy korlátozott esetekben még mindig dolgoznak fel adatokat az EU-n kívül, például biztonsági okokból. A Microsoft amerikai vállalat marad. 2025 júniusában a Microsoft Franciaország jogi igazgatója eskü alatt kijelentette a francia szenátus előtt, hogy nem tudja garantálni, hogy az adatokat soha nem adják át engedély nélkül az amerikai hatóságoknak.
• AWS European Sovereign Cloud: 2026. január 15. óta általánosan elérhető, első régiója Brandenburgban (Németország) található. Egy olyan német jogi személy üzemelteti, amelynek munkatársai az EU-ban dolgoznak, és technikailag el van választva az AWS többi részétől. A végső anyavállalat az Amazon. Elemzők rámutatnak, hogy emiatt a CLOUD Act szerinti kockázat kisebb lehet, de nem bizonyíthatóan szűnik meg.
• Együttműködési modellek: Franciaországban és Németországban vannak olyan európai vállalatok, amelyek licenc alapján amerikai felhőtechnológiát üzemeltetnek, így az irányítás az európai vállalatnál marad. Hogy ez működik-e, az a frissítésekről, az üzemeltetésről és a hozzáférésről szóló megállapodásoktól függ.

Az ilyen szolgáltatások egyes szervezetek számára ésszerű átmeneti megoldást jelenthetnek. De tegye fel nekik is ugyanazt az öt kérdést. A 2. kérdésre (tulajdonos) adott válasz ezeknél a szolgáltatásoknál mindig más marad, mint egy teljesen európai vállalat esetében.

A gyakorlatban: így néz ki ez egy szolgáltatónál

Vegyük példaként a WebOké Nextcloud szolgáltatását. Székhely és tulajdonos: egy holland bt. Adatközpont: a kézikönyv szerint a NorthC két holland adatközpontja. Szoftver: Nextcloud, amelyet a német Nextcloud GmbH készített, nyílt forráskódú. A tárolási titkosítás kulcsa a szolgáltatónál van; a végpontok közötti titkosítást mappánként Ön maga is bekapcsolhatja. Más európai szolgáltatóknál, például más Nextcloud-szolgáltatóknál, a mailbox.org, az Infomaniak vagy az IONOS esetében ugyanazt az öt választ keresse ugyanazokon a helyeken: a szerződésben, a cégjegyzékben, az adatfeldolgozási szerződésben és az alvállalkozó adatfeldolgozók listájában.

Összefoglalás

• Egy európai adatközpont csak az öt kérdés egyikére ad választ.
• Az öt kérdés: székhely, végső tulajdonos, az adatok és a biztonsági mentések helye, alvállalkozó adatfeldolgozók és távoli hozzáférés, valamint ki birtokolja a kulcsot.
• Egy amerikai vállalat európai leányvállalata mégis a CLOUD Act hatálya alá eshet.
• Svájc és az Egyesült Királyság nem EU-tagállam, de rendelkeznek megfelelőségi határozattal; az EGT az EU plusz Norvégia, Izland és Liechtenstein.
• Az amerikai vállalatok "sovereign cloud" szolgáltatásai csökkentik a kockázatokat, de nem változtatják meg a tulajdonosi kérdésre adott választ.

Kvíz

Feladat

A2.1 feladat: Ki fogadja és küldi a leveleket az Ön domainje nevében? Adja meg a saját domainjét. A program megkeresi az MX-rekordokat, és teljesen kibontja az Ön SPF-rekordját. Ön megadja, mely szervezetek fogadhatják az Ön leveleit, és melyek küldhetnek az Ön nevében. Így néhány perc alatt láthatja, mely felek vesznek már részt az Ön levelezésében.

E2.1 feladat: Az öt kérdés a saját szolgáltatásaira alkalmazva. Válasszon ki két jelenleg használt szolgáltatást (például a levelezését és a fájltárolását) és egy lehetséges európai alternatívát. Mindhárom esetében keresse meg az öt kérdésre adott választ, a forrás megjelölésével.

További olvasnivaló

Az ezekben a cikkekben leírt lépések a WebOké szolgáltatásaira vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Nextcloud kézikönyv 1.1: Mi az a Nextcloud és mi az a WebOké Nextcloud?
• Nextcloud kézikönyv 3.1: Hogyan védi a WebOké az Ön Nextcloud fiókját?
• Nextcloud kézikönyv 15.13: Gyakori kérdések a biztonságról és az adatvédelemről
• Európai Bizottság, a megfelelőségi határozatok áttekintése: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (az adatok "regardless of whether" az Egyesült Államokon belül vagy kívül vannak)