Az adatok tárolása Európában nem azonos azok ellenőrzésével
Az adatszuverenitást gyakran földrajzi kérdésként kezelik. A gyakorlatban ez ugyanúgy a jogi hatókörről és az operatív ellenőrzésről szól.
Az Eurojust, a büntetőügyekben folytatott igazságügyi együttműködést támogató uniós ügynökség kifejtette, hogy az amerikai CLOUD-törvény kifejezetten kimondta, hogy az amerikai szolgáltatókat az általuk ellenőrzött adatok megőrzésére és bemutatására lehet kötelezni, függetlenül attól, hogy az adatokat hol tárolják.
Egyszerűbben fogalmazva: Az uniós tárhelyszolgáltatás nem szünteti meg automatikusan az amerikai jogi kitettséget, ha a szolgáltató továbbra is az Egyesült Államok joghatósága alá tartozik.
A testen viselt videót kezelő szervezetek számára ez a különbségtétel fontos. Ezek a rendszerek gyakran érzékeny felvételeket dolgoznak fel, a nyilvánosságnak szóló eseményekkel kapcsolatosak, és olyan környezetben működnek, ahol az elszámoltathatóság és a felügyeleti lánc fontos.
A kockázat komolyabbá válik, ha:
- a szolgáltató az Egyesült Államok joghatósága alá tartozik a tulajdonjog, az ellenőrzés vagy a működési kapcsolat révén
- a támogatás vagy az adminisztráció az EGT-n kívülről is hozzáférhet az adatokhoz (Európai Gazdasági Térség)
- az alfeldolgozók harmadik országokban vannak, vagy a kulcsfontosságú szolgáltatások nem EGT-n kívüli szervezetekre támaszkodnak.
Az EUB Schrems II. ügyben hozott ítélete kiemelte, hogy ez miért fontos. Az uniós jog lényegében egyenértékű védelmet ír elő, ha a személyes adatok harmadik országbeli hatóságok számára hozzáférhetővé válnak.
Ahol a feszültség kezdődik: Az Egyesült Államok jogi hozzáférése kontra az EU adatvédelmi szabályai
A GDPR nem a probléma forrása. Az igazi probléma az, hogy az amerikai jog kötelezhet bizonyos szolgáltatókat az ellenőrzésük alatt álló adatok közzétételére, míg az uniós adatvédelmi jogszabályok szigorú korlátokat szabnak arra vonatkozóan, hogy mikor lehet személyes adatokat közzétenni vagy továbbítani.
Ez közvetlen feszültséget teremt az érzékeny, testen viselt videókat kezelő szervezetek számára. Még ha az adatokat az EU-ban tárolják is, az amerikai joghatóság alá tartozó szolgáltatónak való kitettség akkor is felvethet szuverenitási és megfelelési kérdéseket.
Az Európai Adatvédelmi Testület egyértelművé tette, hogy a külföldi kormányrendelet nem teremt automatikusan jogalapot a GDPR szerinti közzétételre vagy továbbításra. Más szóval, egy parancs kézhezvétele nem azonos azzal, hogy az uniós jog alapján jogosultak vagyunk annak teljesítésére.
A jogi csapatok és a beszerzési vezetők számára ez azt jelenti, hogy a szállítók értékelésének túl kell mutatnia a tárolás helyén.
Ellenőrző lista a jogi ügyek és a beszerzés számára
A szolgáltató értékelése során a legfontosabb kérdések egyszerűek:
- Ki a jogi partner, és melyik joghatóság az irányadó?
- Ki férhet hozzá technikailag az adatokhoz, beleértve a támogatást és az incidensek elhárítását?
- Milyen dokumentált eljárás vonatkozik a harmadik országok megkereséseire, beleértve a megtámadást, az értesítést és az átláthatósági jelentést?
- Ki ellenőrzi a titkosítási kulcsokat, és a szolgáltató hozzáférhet-e azokhoz?
Az EDPB 01/2020 ajánlások azt is kifejtik, hogy miért lehet szükség kiegészítő intézkedésekre, többek között erős titkosításra és szervezeti ellenőrzésre, ha az átviteli eszközök önmagukban nem nyújtanak EU-val egyenértékű védelmet.
Mit jelent ez a gyakorlatban
Sok szervezet számára a gyakorlati tanulság egyszerű: Az uniós adattárolás önmagában nem elegendő. Ha az érzékeny videoadatok továbbra is elérhetők az amerikai joghatóságon keresztül, akkor a valódi értékelésnek ki kell terjednie a szolgáltatói struktúrára, az operatív hozzáférésre, az alfeldolgozókra és az irányításra.
Ez különösen fontos a rendőrség, a bűnüldözés, az ellenőrzés és más közszektorbeli kontextusokban, ahol a rögzített felvételek személyes adatokat, bizonyítékokat vagy jogilag érzékeny anyagokat tartalmazhatnak.
Hol illik a ZEPCAM
Azoknak a szervezeteknek, amelyek csökkenteni szeretnék az amerikai joghatóságnak való esetleges kitettséget, a strukturális enyhítés az, ha olyan testen viselt videószolgáltatót választanak, amelynek tulajdonjoga, tárhelymodellje és működési felépítése úgy van kialakítva, hogy a lehető legkisebbre csökkentse ezt a kitettséget.
A ZEPCAM egy európai, testre erősített videoszolgáltató, amelynek székhelye Hollandiában található, holland jogi és működési bázissal. Olyan telepítési lehetőségeket kínál, amelyek támogatják az érzékeny videoadatok feletti erősebb helyi ellenőrzést, beleértve a ZEPCAM által kezelt tárhelyet a kiválasztott joghatóságokban és adott esetben az ügyfél által ellenőrzött infrastruktúrát. és helyszíni telepítés.
A ZEPCAM emellett kiemeli az információbiztonság, a felhőbiztonság és az adatvédelem ellenőrzésére vonatkozó elismert tanúsítványokat, köztük az ISO 27001, ISO 27017 és ISO 27018 szabványokat, ahol ez a szolgáltatási modelljén belül alkalmazható.
Ez nem szüntet meg minden megfelelési kötelezettséget, de segíthet a szervezeteknek csökkenteni a jogi és működési kockázatokat az olyan szolgáltatói modellekhez képest, amelyek szorosabban kötődnek a nem uniós joghatósághoz.
Végső gondolat
Ha a testen viselt videó az operatív vagy jogi munkafolyamat része, a helyes kérdés nem csak az, hogy hol tárolják az adatokat. A fontosabb kérdés az, hogy végül ki kényszeríthető arra, hogy hozzáférjen az adatokhoz.
Ez az a pont, ahol a tárolás és a szuverenitás közötti különbség nagyon is valóságossá válik.