Polska chmura obliczeniowa: co realnie znaczy „dane w Polsce”?

Blog WebDisk · kategoria: Chmura · czas czytania: ~8 minut

W skrócie:- Za hasłem „dane w Polsce” kryją się trzy osobne pytania: gdzie fizycznie leżą dane, czyjemu prawu podlega dostawca i kto – w całym łańcuchu podwykonawców – ma do danych dostęp.- Lokalizacja w Europejskim Obszarze Gospodarczym upraszcza zgodność z RODO (temat transferów poza EOG kurczy się do przeglądu listy podwykonawców), skraca drogę pakietów i ułatwia codzienność: umowa, faktura i wsparcie w jednym języku i jednej walucie.- Lokalizacja to jeden z czynników wyboru chmury – nie talizman. Nie zastąpi szyfrowania, kopii zapasowych ani dobrej umowy powierzenia danych.

W ankietach bezpieczeństwa, które nasi klienci dostają od swoich klientów, jedno pytanie pojawia się dziś niemal zawsze: „Gdzie fizycznie przechowywane są dane i czyjemu prawu podlega dostawca?”. Kiedyś zadawały je głównie banki i administracja – dziś dostaje je średniej wielkości hurtownia, kancelaria i software house.

W tym artykule rozbieramy hasło „polska chmura” na części pierwsze: co z lokalizacji danych wynika naprawdę – prawnie i technicznie – co jest praktyczną wygodą, a co marketingowym skrótem myślowym. Piszemy z pozycji zainteresowanej, bo WebDisk jest polskim dostawcą chmury, więc tym staranniej oddzielamy fakty od haseł. Tekst jest dla osób, które wybierają lub audytują dostawcę: właścicieli firm, administratorów IT i pełnomocników ds. ochrony danych.

„Dane w Polsce” to trzy pytania, nie jedno

Marketing chętnie skleja w jedno hasło trzy różne warstwy, które przy analizie ryzyka trzeba rozdzielić:

1. Fizyczna lokalizacja serwerów. Gdzie stoją maszyny, na których leżą dane – i gdzie leżą ich kopie zapasowe oraz repliki. To pytanie o geografię: kraj, serwerownię, drogę, którą pokonują pakiety.
2. Jurysdykcja dostawcy. Prawu którego państwa podlega spółka świadcząca usługę – bo to ono rozstrzyga, jakie organy i na jakiej podstawie mogą żądać dostępu do danych. Serwer w Europie należący do spółki spoza UE to prawnie inna sytuacja niż serwer w Europie należący do spółki europejskiej.
3. Łańcuch podwykonawców. Kto faktycznie „dotyka” danych: gdzie pracuje zespół wsparcia, dokąd płyną logi i telemetria, z jakich poddostawców korzysta dostawca. RODO wymaga, by dostawca ujawnił ten łańcuch klientowi i uzyskał jego zgodę na zmiany – listę podwykonawców znajdziesz w umowie powierzenia danych.

Dopiero odpowiedzi na wszystkie trzy pytania mówią, co naprawdę oznacza „dane w Polsce” – i właśnie w tej kolejności warto je zadawać każdemu dostawcy. Także nam.

RODO: lokalizacja w EOG to nie obowiązek, tylko uproszczenie

Zacznijmy od odczarowania: RODO nie nakazuje przechowywania danych w Polsce. Nie nakazuje nawet przechowywania ich w Unii. Rozporządzenie mówi co innego: dane osobowe mogą opuścić Europejski Obszar Gospodarczy (EOG – kraje UE plus Islandia, Liechtenstein i Norwegia) tylko wtedy, gdy istnieje do tego podstawa prawna – na przykład decyzja Komisji Europejskiej stwierdzająca odpowiedni poziom ochrony w danym kraju albo standardowe klauzule umowne podpisane z odbiorcą danych.

W praktyce oznacza to, że chmura poza EOG jest legalna, ale wymaga dodatkowej pracy: trzeba zidentyfikować transfery, dobrać mechanizm, ocenić ryzyko i śledzić zmiany w orzecznictwie. Historia ostatniej dekady pokazała, że to ruchomy grunt – dwie kolejne ramy transferu danych do USA (Safe Harbour i Privacy Shield) zostały unieważnione przez Trybunał Sprawiedliwości UE, a obecna, Data Privacy Framework, pozostaje w mocy, choć jest przedmiotem sporów prawnych – jej trwałości nikt nie gwarantuje. Firmy, które opierały na tych ramach dokumentację, za każdym razem musiały ją przebudowywać.

Dane przechowywane w EOG ograniczają ten temat do przeglądu listy podwykonawców w umowie powierzenia – przepisy o transferach nie mają zastosowania do samego przechowywania. Mniej analiz, krótsza dokumentacja, prostsza rozmowa z audytorem i z klientem, który przysłał ankietę.

Uczciwie trzeba dopisać dwie rzeczy. Po pierwsze, lokalizacja nie zwalnia z reszty obowiązków: umowa powierzenia przetwarzania (DPA), rejestr czynności, zabezpieczenia techniczne i organizacyjne – to wszystko obowiązuje niezależnie od tego, gdzie stoi serwer. Po drugie, z punktu widzenia RODO wystarcza „w EOG”; wymóg „konkretnie w Polsce” pochodzi raczej z przetargów, regulacji sektorowych i polityk wewnętrznych niż z samego rozporządzenia.

CLOUD Act: jurysdykcja liczy się tak samo jak geografia

Drugi wątek, który wraca w każdej dyskusji o suwerenności danych, to amerykański CLOUD Act z 2018 roku. Ustawa pozwala organom USA żądać danych od dostawców podlegających amerykańskiej jurysdykcji niezależnie od tego, gdzie te dane fizycznie leżą. Serwer we Frankfurcie czy w Warszawie niczego tu nie zmienia, jeśli operator podlega prawu Stanów Zjednoczonych.

Wyważmy to jednak bez straszenia. CLOUD Act dotyczy żądań w konkretnych postępowaniach (przede wszystkim karnych), realizowanych w trybie prawnym – to nie jest mechanizm masowego dostępu do cudzych plików, a dostawcy potrafią się takim żądaniom prawnie przeciwstawiać. Dla wielu firm praktyczne ryzyko jest niewielkie. Sedno leży gdzie indziej: w wymaganiach, które musi spełnić Twoja firma. Kancelaria prawna, podmiot medyczny czy wykonawca kontraktów publicznych coraz częściej dostaje wprost warunek, by dane nie podlegały prawu państw trzecich – i wtedy sama możliwość takiego dostępu, niezależnie od jej prawdopodobieństwa, wyklucza dostawcę z krótkiej listy.

Dostawca będący spółką europejską, bez podlegania jurysdykcji USA, pozostaje poza tym reżimem – podlega prawu polskiemu i unijnemu. I tu symetryczna uczciwość: to nie znaczy, że dane stają się „niedostępne dla żadnego państwa”. Polski dostawca ma obowiązki wobec polskich organów, działających na podstawie polskiego prawa i pod kontrolą polskich sądów. Różnica polega na tym, że wiesz, czyje prawo się stosuje – i że jest to to samo prawo, w którym na co dzień porusza się Twoja firma i Twój prawnik.

Dlaczego lokalizacja serwerowni wpływa na szybkość działania aplikacji?

Jest też argument, którego nie zmieni żadna regulacja, bo wynika z fizyki. Sygnał w światłowodzie porusza się z grubsza z dwiema trzecimi prędkości światła; przyjmuje się, że każde ~100 km trasy dokłada około milisekundy opóźnienia w obie strony – a trasa kabli rzadko biegnie w linii prostej. Do tego protokoły sieciowe wymieniają wiele rund komunikatów (nawiązanie szyfrowanego połączenia, uzgodnienie sesji, potwierdzenia), więc każda runda mnoży dystans.

Dla nocnej kopii zapasowej to bez znaczenia. Ale są obciążenia, w których odległość widać gołym okiem: pulpity zdalne i VDI, interaktywne aplikacje biznesowe, synchronizacja plików, bazy danych odpytywane przez aplikację z biura. Serwerownia po drugiej stronie kontynentu potrafi zamienić płynną pracę w irytujące „przycinanie się” interfejsu.

Celowo nie podajemy tu tabelki z milisekundami „u nas”, bo wynik zależy od Twojej lokalizacji i operatora sieci. Zachęcamy do czegoś lepszego niż deklaracje: zmierz. Zwykły ping i traceroute z Twojego biura do endpointu dostawcy powiedzą więcej niż dowolny slajd marketingowy.

Umowa po polsku, faktura w złotówkach: proza, która robi różnicę

Część korzyści z lokalnego dostawcy nie ma nic wspólnego z serwerami:

• Wsparcie w Twoim języku i strefie czasowej. Awaria o 9:00 w poniedziałek to nie jest moment na tłumaczenie problemu na angielski w formularzu globalnego helpdesku. Rozmowa z inżynierem, który pracuje w tej samej strefie czasowej i zna realia polskich firm, skraca drogę od zgłoszenia do rozwiązania.
• Rozliczenia w złotówkach. Cennik w PLN i zwykła polska faktura VAT to brak ryzyka kursowego, brak prowizji za przewalutowanie i księgowość bez akrobacji. W chmurach rozliczanych w dolarach koszt potrafi urosnąć bez żadnej zmiany zużycia – wyłącznie na kursie waluty. Więcej o przewidywalności kosztów piszemy w artykule o rozsądnej cenie chmury publicznej.
• Dokumenty pisane pod polski porządek prawny. Umowa powierzenia danych, kontakt w sprawach ochrony danych, dokumentacja RODO – po polsku i pod polskie oraz unijne realia, a nie tłumaczone z szablonu spod innej jurysdykcji.

To argumenty prozaiczne – i właśnie dlatego ważne: z fakturą i umową pracujesz co miesiąc, z pytaniami audytora co rok, a z poważną awarią (oby) raz na lata.

Czego lokalizacja danych NIE gwarantuje?

Gdyby „dane w Polsce” były gwarancją bezpieczeństwa, ten artykuł byłby krótszy. Nie są – i warto to powiedzieć wprost:

• Nie zastąpi szyfrowania i kontroli dostępu. Wyciek przez skradzione hasło albo błędnie nadane uprawnienia działa tak samo w Warszawie, jak we Frankfurcie. O tym, jak działa szyfrowanie po stronie serwera w naszym magazynie obiektowym, piszemy w artykule o szyfrowaniu w S3.
• Nie zastąpi kopii zapasowych. Ransomware, błąd człowieka i awaria sprzętu nie sprawdzają adresu serwerowni. Reguła 3-2-1 i regularny test odtworzenia obowiązują u każdego dostawcy – pisaliśmy o tym w tekście o backupie w chmurze.
• Nie gwarantuje jakości operacyjnej. Polski dostawca może działać znakomicie albo słabo – dokładnie tak samo jak globalny. Oceniaj praktykę: przejrzystość statusu usług, komunikację przy awariach, jakość dokumentacji, realny kontakt z inżynierami.
• Nie zawsze jest jedyną słuszną odpowiedzią. Jeśli Twoja aplikacja obsługuje użytkowników na trzech kontynentach albo stoi na wyspecjalizowanych usługach zarządzanych konkretnego globalnego dostawcy, chmura globalna może być lepszym wyborem – a architektura hybrydowa pozwala łączyć jedno z drugim.

Lokalizacja i jurysdykcja porządkują ryzyko prawne i skracają drogę pakietów. Cała reszta bezpieczeństwa i jakości to praca do wykonania niezależnie od geografii.

Jak to wygląda w WebDisk

Na koniec nasza własna odpowiedź – w układzie trzech pytań z początku artykułu:

• Geografia. Infrastruktura, na której świadczymy usługi, znajduje się na terytorium Polski – tak deklaruje nasza Polityka prywatności. Dane, które przechowujesz w naszych usługach, pozostają w Europie. Wyjątki – dane analityczne i rozliczeniowe przetwarzane przez dostawców spoza EOG na podstawie standardowych klauzul umownych – opisuje ten sam dokument.
• Jurysdykcja. Jesteśmy polską spółką i podlegamy prawu polskiemu oraz unijnemu. Kontakt w sprawach ochrony danych (iod@webdisk.io) znajdziesz w Polityce prywatności, a umowę powierzenia (DPA) – wraz z listą podwykonawców – udostępniamy klientom na życzenie.
• Łańcuch i wyjście. Platformę budujemy na otwartych technologiach – Apache CloudStack, Ceph i magazynie obiektowym zgodnym z S3 – a klastry Kubernetes uruchomisz u nas jako usługę. To, co u nas postawisz, przeniesiesz standardowymi narzędziami, bez autorskich formatów. Dlaczego to ważne, tłumaczymy w artykule o vendor lock-in.

Do tego dochodzi opisana wyżej proza życia: publiczny cennik w złotówkach, model biznesowy z miesięczną fakturą za wykupioną pulę zasobów – bez niespodzianek na fakturze, a w usługach obliczeniowych bez osobnych opłat za transfer – i wsparcie po polsku.

Częste pytania

Czy RODO wymaga, żeby dane były przechowywane w Polsce? Nie. RODO wymaga, by dane osobowe nie opuszczały EOG bez podstawy prawnej – a Polska jest jednym z krajów EOG, tak samo jak Niemcy czy Holandia. Wymóg „konkretnie w Polsce” pochodzi zwykle z przetargów, polityk wewnętrznych lub regulacji sektorowych, nie z samego rozporządzenia.

Czy korzystanie z chmury dostawcy spoza UE narusza RODO? Nie automatycznie. Wymaga poprawnie udokumentowanego mechanizmu transferu i oceny ryzyka – czyli dodatkowej pracy i wrażliwości na zmiany prawa. Dane przechowywane w EOG u europejskiego dostawcy ograniczają tę pracę do minimum – o ile lista podwykonawców nie wskazuje państw trzecich.

Czym jest CLOUD Act i czy dotyczy danych przechowywanych w Europie? CLOUD Act to amerykańska ustawa z 2018 roku, która pozwala organom USA żądać danych od dostawców podlegających amerykańskiej jurysdykcji – niezależnie od tego, gdzie te dane fizycznie leżą. Serwer w Warszawie czy we Frankfurcie niczego nie zmienia, jeśli operator podlega prawu Stanów Zjednoczonych. Dotyczy on żądań w konkretnych postępowaniach, nie masowego dostępu do plików – ale jeśli Twoje kontrakty wymagają, by dane nie podlegały prawu państw trzecich, sama możliwość takiego dostępu wyklucza dostawcę z krótkiej listy.

Czy polska chmura nie jest technologicznie w tyle za globalną? W podstawie – moc obliczeniowa, magazyn obiektowy S3, Kubernetes, kopie zapasowe – różnicy nie ma: to te same otwarte standardy. Globalni dostawcy mają natomiast szerszy katalog wyspecjalizowanych usług zarządzanych; jeśli Twoja architektura na nich stoi, uwzględnij to w rachunku – także w rachunku uzależnienia od dostawcy.

Czy odległość serwerowni ma wpływ na szybkość działania aplikacji? Tak. Każde ~100 km trasy światłowodu dokłada około milisekundy opóźnienia w obie strony, a protokoły sieciowe wymieniają wiele rund komunikatów, więc każda runda mnoży dystans. Dla nocnej kopii zapasowej nie ma to znaczenia, ale w pulpitach zdalnych, interaktywnych aplikacjach biznesowych i synchronizacji plików odległość widać gołym okiem. Zamiast polegać na deklaracjach, zmierz opóźnienie zwykłym ping i traceroute z własnego biura.

Skąd mam wiedzieć, że dostawca mówi prawdę o lokalizacji danych? Pytaj o dokumenty, nie o hasła: umowę powierzenia z listą podwykonawców, lokalizacje przetwarzania (w tym kopii zapasowych), kontakt do inspektora ochrony danych albo do osoby odpowiedzialnej za ten obszar. Dostawca, który traktuje temat poważnie, odpowie konkretami.

Mam już środowisko u innego dostawcy albo na własnym VMware. Da się je przenieść? Tak – migracja maszyn wirtualnych do chmury opartej na otwartych technologiach to dobrze opisany, standardowy proces. Od czego zacząć, piszemy w artykule o migracji z VMware.

Podsumowanie

„Dane w Polsce” to nie slogan ani talizman, tylko trzy konkretne właściwości usługi: geografia, jurysdykcja i łańcuch podwykonawców. Dają prostszą zgodność z RODO, przewidywalność prawną i krótszą drogę pakietów – nie zwalniają z szyfrowania, backupu i oceny dostawcy po jego codziennej praktyce. Traktuj lokalizację jak jeden z ważnych wierszy w tabeli porównawczej, a nie jak całą tabelę.

Jeśli chcesz sprawdzić, jak nasze odpowiedzi na te trzy pytania wyglądają w szczegółach – albo potrzebujesz argumentów do rozmowy z audytorem lub klientem – napisz do nas. Publiczny cennik i opis usług znajdziesz na webdisk.pl.