Η αποθήκευση δεδομένων στην Ευρώπη δεν είναι το ίδιο με τον έλεγχό τους
Η κυριαρχία των δεδομένων αντιμετωπίζεται συχνά ως ζήτημα γεωγραφίας. Στην πράξη, αφορά εξίσου τη νομική εμβέλεια και τον επιχειρησιακό έλεγχο.
Η Eurojust, ο οργανισμός της ΕΕ που υποστηρίζει τη δικαστική συνεργασία σε ποινικές υποθέσεις, εξήγησε ότι ο νόμος CLOUD Act των ΗΠΑ κατέστησε σαφές ότι οι πάροχοι υπηρεσιών των ΗΠΑ μπορούν να υποχρεούνται να διατηρούν και να προσκομίζουν τα δεδομένα που ελέγχουν, ανεξάρτητα από τον τόπο αποθήκευσης των δεδομένων αυτών.
Σε απλή γλώσσα: Ο πάροχος εξακολουθεί να υπόκειται στη δικαιοδοσία των ΗΠΑ.
Για τους οργανισμούς που χειρίζονται βίντεο που φέρουν τα σώματα, αυτή η διάκριση έχει σημασία. Αυτά τα συστήματα συχνά επεξεργάζονται ευαίσθητο υλικό, αφορούν περιστατικά που απευθύνονται στο κοινό και βρίσκονται σε περιβάλλοντα όπου η λογοδοσία και η αλυσίδα φύλαξης έχουν σημασία.
Ο κίνδυνος γίνεται πιο σοβαρός όταν:
- ο πάροχος υπόκειται στη δικαιοδοσία των ΗΠΑ λόγω ιδιοκτησίας, ελέγχου ή επιχειρησιακής σχέσης
- η υποστήριξη ή η διοίκηση μπορεί να έχει πρόσβαση σε δεδομένα εκτός του ΕΟΧ (Ευρωπαϊκός Οικονομικός Χώρος)
- οι υπο-επεξεργαστές βρίσκονται σε τρίτες χώρες ή οι βασικές υπηρεσίες βασίζονται σε οντότητες εκτός ΕΟΧ
Η απόφαση Schrems II του ΔΕΕ υπογράμμισε γιατί αυτό έχει σημασία. Το δίκαιο της ΕΕ απαιτεί ουσιαστικά ισοδύναμη προστασία όταν τα δεδομένα προσωπικού χαρακτήρα εκτίθενται στην πρόσβαση των δημόσιων αρχών τρίτων χωρών.
Εκεί που αρχίζει η ένταση: ΗΠΑ έναντι των κανόνων της ΕΕ για την προστασία των δεδομένων
Ο ΓΚΠΔ δεν είναι η πηγή του προβλήματος. Το πραγματικό πρόβλημα είναι ότι η νομοθεσία των ΗΠΑ μπορεί να υποχρεώσει ορισμένους παρόχους να αποκαλύψουν δεδομένα που βρίσκονται υπό τον έλεγχό τους, ενώ η νομοθεσία της ΕΕ για την προστασία των δεδομένων θέτει αυστηρά όρια για το πότε μπορούν να κοινοποιηθούν ή να μεταφερθούν προσωπικά δεδομένα.
Αυτό δημιουργεί μια άμεση ένταση για τους οργανισμούς που χειρίζονται ευαίσθητα βίντεο που φοριούνται από το σώμα. Ακόμη και αν τα δεδομένα αποθηκεύονται στην ΕΕ, η έκθεση σε έναν πάροχο που υπάγεται στη δικαιοδοσία των ΗΠΑ μπορεί να εγείρει ζητήματα κυριαρχίας και συμμόρφωσης.
Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων διευκρίνισε ότι μια εντολή αλλοδαπής κυβέρνησης δεν δημιουργεί αυτομάτως νόμιμη βάση σύμφωνα με τον ΓΚΠΔ για τη γνωστοποίηση ή τη διαβίβαση. Με άλλα λόγια, η λήψη μιας εντολής δεν είναι το ίδιο με το να επιτρέπεται η συμμόρφωσή της σύμφωνα με το δίκαιο της ΕΕ.
Για τις νομικές ομάδες και τους επικεφαλής των προμηθειών, αυτό σημαίνει ότι η αξιολόγηση των προμηθευτών θα πρέπει να υπερβαίνει μόνο τη θέση αποθήκευσης.
Ένας κατάλογος ελέγχου για τις νομικές υποθέσεις και τις προμήθειες
Κατά την αξιολόγηση ενός παρόχου, οι βασικές ερωτήσεις είναι απλές:
- Ποιος είναι ο νόμιμος αντισυμβαλλόμενος και ποια δικαιοδοσία τον διέπει;
- Ποιος μπορεί να έχει τεχνική πρόσβαση στα δεδομένα, συμπεριλαμβανομένης της υποστήριξης και της αντιμετώπισης περιστατικών;
- Ποια είναι η τεκμηριωμένη διαδικασία για τα αιτήματα τρίτων χωρών, συμπεριλαμβανομένης της αμφισβήτησης, της κοινοποίησης και της υποβολής εκθέσεων διαφάνειας;
- Ποιος ελέγχει τα κλειδιά κρυπτογράφησης και μπορεί ο πάροχος να έχει πρόσβαση σε αυτά;
Οι συστάσεις 01/2020 του EDPB εξηγούν επίσης γιατί συμπληρωματικά μέτρα, συμπεριλαμβανομένης της ισχυρής κρυπτογράφησης και των οργανωτικών ελέγχων, μπορεί να είναι απαραίτητα όταν τα εργαλεία μεταφοράς από μόνα τους δεν παρέχουν ισοδύναμη προστασία της ΕΕ.
Τι σημαίνει αυτό στην πράξη
Για πολλούς οργανισμούς, το πρακτικό μάθημα είναι απλό: Η αποθήκευση δεδομένων στην ΕΕ από μόνη της δεν είναι αρκετή. Εάν τα ευαίσθητα δεδομένα βίντεο μπορεί να εξακολουθούν να είναι προσβάσιμα μέσω της δικαιοδοσίας των ΗΠΑ, τότε η πραγματική αξιολόγηση πρέπει να περιλαμβάνει τη δομή του παρόχου, τη λειτουργική πρόσβαση, τους υποεπεξεργαστές και τη διακυβέρνηση.
Αυτό είναι ιδιαίτερα σημαντικό για την αστυνομία, την επιβολή της νομοθεσίας, την επιθεώρηση και άλλα πλαίσια του δημόσιου τομέα, όπου το καταγεγραμμένο υλικό μπορεί να περιέχει προσωπικά δεδομένα, αποδεικτικά στοιχεία ή νομικά ευαίσθητο υλικό.
Πού ταιριάζει το ZEPCAM
Για τους οργανισμούς που θέλουν να μειώσουν την πιθανή έκθεση στη δικαιοδοσία των ΗΠΑ, ένας πιο δομικός μετριασμός είναι να επιλέξουν έναν πάροχο βίντεο που φέρει το σώμα τους, του οποίου η ιδιοκτησία, το μοντέλο φιλοξενίας και η λειτουργική ρύθμιση έχουν σχεδιαστεί για να ελαχιστοποιήσουν την έκθεση αυτή όσο το δυνατόν περισσότερο.
Η ZEPCAM είναι ένας ευρωπαϊκός πάροχος βίντεο που φοριέται στο σώμα, με έδρα τις Κάτω Χώρες, με ολλανδική νομική και επιχειρησιακή βάση. Προσφέρει επιλογές ανάπτυξης που μπορούν να υποστηρίξουν ισχυρότερο τοπικό έλεγχο των ευαίσθητων δεδομένων βίντεο, συμπεριλαμβανομένης της φιλοξενίας υπό τη διαχείριση της ZEPCAM σε επιλεγμένες δικαιοδοσίες και της υποδομής που ελέγχεται από τον πελάτη, όπου αυτό είναι δυνατόν. και επιτόπια εγκατάσταση.
Η ZEPCAM επισημαίνει επίσης αναγνωρισμένες πιστοποιήσεις για την ασφάλεια των πληροφοριών, την ασφάλεια του cloud και τους ελέγχους απορρήτου, συμπεριλαμβανομένων των ISO 27001, ISO 27017 και ISO 27018, όπου αυτό ισχύει στο πλαίσιο του μοντέλου υπηρεσιών της.
Αυτό δεν αίρει κάθε υποχρέωση συμμόρφωσης, αλλά μπορεί να βοηθήσει τους οργανισμούς να μειώσουν τη νομική και λειτουργική έκθεση σε σύγκριση με τα μοντέλα παρόχων που παραμένουν πιο στενά συνδεδεμένα με τη δικαιοδοσία τρίτων χωρών.
Τελική σκέψη
Εάν το βίντεο που φέρει το σώμα αποτελεί μέρος της επιχειρησιακής ή νομικής ροής εργασίας σας, το σωστό ερώτημα δεν είναι μόνο πού αποθηκεύονται τα δεδομένα σας. Το πιο σημαντικό ερώτημα είναι ποιος μπορεί τελικά να υποχρεωθεί να έχει πρόσβαση σε αυτά.
Εδώ είναι που η διαφορά μεταξύ αποθήκευσης και κυριαρχίας γίνεται πολύ πραγματική.