Suveranitatea datelor și rezidența datelor apar frecvent împreună în ofertele de infrastructură, uneori ca și cum ar desemna același angajament. Diferența este însă importantă când evaluezi dacă un furnizor îndeplinește cerințele organizației tale și poate schimba uneori lista furnizorilor pe care îi iei în considerare.
Înainte să alegi o locație de găzduire în UE sau un serviciu promovat drept suveran, trebuie să înțelegi ce acoperă oferta în timpul funcționării obișnuite, al intervențiilor de suport și al recuperării. Acest articol te ghidează în privința a trei decizii: ce reguli se aplică datelor tale, ce model de infrastructură îndeplinește cerințele respective și ce angajamente trebuie să obții în scris de la furnizor.
Care este diferența dintre suveranitatea și rezidența datelor?
Rezidența datelor descrie țara sau regiunea în care datele sunt stocate și prelucrate fizic, în timp ce suveranitatea datelor privește legile care li se aplică și autoritățile care pot impune accesul la acestea. Adresa unui centru de date din UE răspunde la întrebarea „Unde sunt stocate datele?”, dar lasă deschisă o alta: „Ce legi se aplică și cine poate impune accesul?”.
Aceste întrebări necesită dovezi diferite. Pentru a stabili rezidența, ai nevoie de locațiile folosite de serviciu, inclusiv pentru backup și recuperare. Pentru a evalua suveranitatea, trebuie să înțelegi și structura juridică a furnizorului, cine îl deține și ce control exercită asupra datelor.
| Criteriu | Rezidența datelor | Suveranitatea datelor |
|---|---|---|
| Întrebarea la care răspunde | Unde sunt stocate datele? | Ce legi se aplică și cine poate impune accesul? |
| Natura | Geografică: locațiile de stocare și prelucrare | Juridică: jurisdicția și competențele legale de acces |
| Cine o stabilește | Tu și furnizorul alegeți locațiile, în limitele cerințelor aplicabile | Legile aplicabile, jurisdicția și situația juridică a furnizorului |
| Dovezi de solicitat | Facilitățile și țările identificate, plus o hartă a locațiilor datelor | Entitatea contractantă, proprietarul final și evaluarea legilor aplicabile privind accesul |
| Exemplu | Datele din producție și backupurile rămân în România | Proprietatea și expunerea juridică a furnizorului sunt evaluate împreună cu locația de găzduire din România |
Rezidența reprezintă adesea o alegere a locației, convenită cu furnizorul, deși un contract sau o regulă sectorială o poate transforma într-o obligație. Localizarea datelor, data localisation, desemnează în mod specific o cerință legală prin care anumite date trebuie să rămână într-o țară sau într-un teritoriu. Când există o asemenea cerință, verifică dacă se referă doar la stocare sau și la prelucrare, copii și acces din străinătate.
Locația serverelor este unul dintre elementele analizei juridice și nu stabilește în mod exclusiv toate legile care se aplică furnizorului. Structura proprietății necesită atenție suplimentară atunci când compania care operează infrastructura aparține unui grup internațional.
Datele pot fi găzduite într-o țară, dar supuse autorităților alteia?
Da, datele stocate într-o țară pot intra în sfera competențelor autorităților altei țări prin intermediul furnizorului care le controlează. Legea americană CLOUD Act, adoptată în 2018, a clarificat acest principiu în 18 U.S.C. § 2713. Un furnizor vizat de lege și supus jurisdicției SUA trebuie să răspundă solicitărilor legale care îndeplinesc condițiile aplicabile pentru datele aflate în posesia, custodia sau sub controlul său, chiar dacă acestea sunt stocate în străinătate. Această aplicare extrateritorială înseamnă că alegerea unei regiuni de stocare din UE nu elimină, de una singură, expunerea la ordinele americane de divulgare. La nivelul UE, articolul 48 din GDPR reglementează solicitările de divulgare venite de la autorități străine. Recunoașterea sau executarea lor necesită un acord internațional aplicabil, precum un tratat de asistență judiciară reciprocă, fără a exclude alte temeiuri legale de transfer prevăzute în capitolul V. Un ordin străin nu constituie, de la sine, un temei juridic și un mecanism de transfer conform GDPR.
Să luăm exemplul unor date găzduite într-o facilitate din UE de un furnizor cu sediul central în SUA. Locația de stocare convenită este respectată, însă furnizorul rămâne expus solicitărilor legale americane. În timpul unei audieri a Senatului francez din iunie 2025, reprezentantul unui furnizor american de cloud a recunoscut sub jurământ că nu putea garanta că datele clienților francezi nu vor fi divulgate niciodată în urma unui ordin al autorităților americane, fără aprobarea autorităților franceze. A precizat și că acest lucru nu se întâmplase în circumstanțele discutate.
Pentru reducerea acestei expuneri, merită analizate două măsuri:
- Examinează proprietatea și controlul. Alegerea unui furnizor fără o companie-mamă din afara UE, adică fără o companie care îl controlează prin lanțul de proprietate, elimină o posibilă cale de influență străină. Celelalte legături jurisdicționale ale furnizorului necesită în continuare evaluare.
- Păstrează controlul asupra cheilor de criptare. Protecția este sporită atunci când furnizorul nu poate obține cheile sau datele în formă lizibilă. O setare prin care clientul gestionează cheile nu implică de la sine această protecție, în special dacă serviciul decriptează datele în timpul prelucrării.
Reguli UE privind suveranitatea datelor: GDPR, DORA, NIS2 și Data Act
Cerințele contractuale relevante depind de datele, sectorul și serviciul tău. Folosește regulile de mai jos pentru a identifica aspectele pe care trebuie să le acopere oferta de infrastructură.
| Act normativ | Cui i se aplică | Ce verifici în infrastructură și în contract |
|---|---|---|
| GDPR | Operatorilor de date și persoanelor împuternicite care intră în domeniul său teritorial de aplicare | Condițiile din capitolul V pentru transferurile de date personale în afara Spațiului Economic European, inclusiv transferurile ulterioare și accesul relevant din străinătate |
| DORA | Entităților financiare vizate și relațiilor acestora cu furnizorii terți de servicii TIC, cu supravegherea furnizorilor desemnați drept critici | Țările sau regiunile în care se furnizează serviciile și se prelucrează și stochează datele, notificarea prealabilă a schimbării locațiilor și strategiile de ieșire pentru funcțiile critice sau importante |
| NIS2 | Entităților esențiale și importante vizate de legislația națională de transpunere | Securitatea furnizorilor, dovezile pentru evaluarea riscurilor și aprobarea și supravegherea măsurilor de securitate cibernetică de către conducere |
| Data Act | Pentru aceste prevederi, furnizorilor de servicii de prelucrare a datelor oferite clienților din UE | Garanții împotriva accesului autorităților din țări terțe la date fără caracter personal păstrate în UE, atunci când accesul contravine legislației aplicabile, plus condițiile contractuale și tehnice pentru schimbarea serviciului |
DORA se aplică din 17 ianuarie 2025. Articolul 30 alineatul (2) litera (b) impune includerea detaliilor privind locațiile în contractele pentru servicii TIC, iar articolul 28 alineatul (8) obligă entitățile financiare să pregătească strategii de ieșire pentru serviciile care susțin funcții critice sau importante. Aceste cerințe influențează atât acordul inițial, cât și condițiile pentru mutarea ulterioară a workload-urilor.
Termenul de transpunere a NIS2 a fost 17 octombrie 2024. Articolul 21 alineatul (2) litera (d) include securitatea lanțului de aprovizionare, iar articolul 20 obligă organele de conducere să aprobe și să supravegheze măsurile. Acestea pot fi trase la răspundere pentru încălcări, conform regulilor de răspundere stabilite prin legislația națională.
Data Act se aplică din 12 septembrie 2025. Articolul 32 impune măsuri de protecție atunci când accesul autorităților străine ar contraveni legislației UE sau legislației naționale relevante. Potrivit articolului 29, taxele pentru schimbarea furnizorului vor fi interzise începând cu 12 ianuarie 2027, astfel încât contractele semnate acum ar trebui să prevadă deja această tranziție.
Acest articol oferă informații generale și nu reprezintă consultanță juridică.
GDPR impune păstrarea datelor în UE?
Nu, GDPR nu impune o obligație generală de stocare a datelor cu caracter personal în UE. Articolul 44 cere ca transferurile internaționale să respecte condițiile din capitolul V. Printre mecanismele prevăzute se numără o decizie de adecvare, care recunoaște un nivel de protecție în esență echivalent, sau garanții precum clauzele contractuale standard, SCC, aprobate de Comisia Europeană pentru transferul datelor personale în străinătate. GDPR se aplică prelucrărilor legate de sedii din UE și, în anumite condiții, organizațiilor din afara UE care oferă bunuri sau servicii persoanelor aflate în UE ori le monitorizează comportamentul.
Pentru transferurile către organizațiile americane participante, EU-US Data Privacy Framework oferă un mecanism bazat pe o decizie de adecvare. La data de 12 octombrie 2026, registrul Curții indica faptul că recursul asociat, C-703/25 P, era în curs de soluționare. Verifică participarea destinatarului și statutul mecanismului la momentul contractării.
Încălcarea regulilor de transfer atrage amenzi maxime de 20 de milioane EUR sau, în cazul unei întreprinderi, de 4% din cifra de afaceri anuală mondială, fiind aplicată valoarea cea mai mare, conform articolului 83 alineatul (5).
Rezidența datelor în UE: când este suficientă și când ai nevoie de suveranitate
Pornește întotdeauna de la cerința pe care trebuie să o îndeplinească organizația ta, deoarece o restricție privind locația necesită alte dovezi decât una privind accesul în baza legislației străine.
Rezidența este de obicei suficientă atunci când:
- Contractul tău cere stocarea și prelucrarea într-o locație convenită din UE, fără restricții suplimentare privind proprietatea sau jurisdicția furnizorului.
- Prelucrarea obișnuită a datelor personale rămâne în regiunea convenită, iar măsurile furnizorului privind securitatea, prelucrarea și transferurile îndeplinesc celelalte cerințe GDPR.
- Documentezi locațiile în scopul respectării DORA și tratezi separat celelalte obligații contractuale și operaționale ale regulamentului.
Ai nevoie de suveranitate atunci când:
- Evaluarea riscurilor sau contractul necesită protecție împotriva anumitor forme de acces sau control exercitate de autorități din afara UE.
- Workload-urile din sectorul public, sănătate, apărare sau infrastructură critică sunt supuse unor restricții specifice privind cine operează serviciul și ce legi i se aplică.
- Secretele comerciale sau informațiile sensibile ale clienților necesită controale care depășesc locația fizică a stocării.
Înainte să accepți un angajament privind rezidența în UE, verifică întregul serviciu. Backupurile și copiile ar putea folosi altă regiune, jurnalele și telemetria ar putea ajunge într-o platformă globală de monitorizare, iar personalul de suport din străinătate ar putea accesa datele de la distanță. În timpul unei întreruperi, comutarea automată către infrastructura de rezervă, numită failover, ar putea muta și prelucrarea în afara zonei convenite. Accesul de la distanță din străinătate nu schimbă locația copiei stocate, dar ridică propriile întrebări privind prelucrarea și transferul.
Dacă vrei ca echipa de achiziții să aibă o bază justificată pentru alegerea modelului și selectarea furnizorilor eligibili, solicită echipelor juridice și de securitate să identifice cerințele fiecărui workload.
Cum alegi o infrastructură conformă în UE pentru suveranitatea datelor
Compară modelele de infrastructură cu cerințele stabilite privind locația, accesul și proprietatea. Tabelul de mai jos arată ce trebuie să demonstreze fiecare ofertă.
| Model | Unde sunt găzduite datele | Legile aplicabile și cine poate impune accesul | Cine deține cheile | Pentru ce se potrivește |
|---|---|---|---|---|
| Regiune UE a unui hyperscaler american | Regiunea UE selectată, în funcție de setările serviciului și de excepții | Regulile UE se aplică alături de posibile solicitări legale americane adresate furnizorului | Furnizorul sau clientul, în funcție de configurare | Workload-uri care necesită găzduire în UE și servicii a căror expunere juridică este acceptabilă |
| Ofertă suverană a unui hyperscaler, operată prin entități și personal din UE | În limitele definite ale serviciului din UE | Depinde de structura juridică și de controlul păstrat de compania-mamă. Cere furnizorului un răspuns în scris | Variază în funcție de serviciu și de arhitectura de gestionare a cheilor | Workload-uri care necesită restricționarea accesului operațional din străinătate |
| Furnizor de cloud deținut și guvernat în UE | Locațiile UE stabilite prin contract | Autoritățile UE și cele naționale au competențele aplicabile. Verifică și celelalte legături jurisdicționale | Furnizorul sau clientul | Workload-uri care necesită proprietate și guvernanță în UE |
| Cloud privat dedicat la un furnizor din UE | Facilitatea sau facilitățile UE convenite | Depinde de proprietatea și jurisdicția furnizorului, chiar dacă echipamentele sunt dedicate | Clientul, dacă arhitectura permite | Workload-uri sensibile care necesită resurse dedicate și control administrativ |
| Colocare cu echipamente proprii într-un centru de date din UE | Facilitatea selectată, cu locațiile copiilor stabilite de echipa ta | Expunerea juridică a organizației tale și a operatorului rămâne relevantă | Echipa ta, dacă sunt păstrate în sistemele proprii | Workload-uri care necesită control direct asupra echipamentelor, software-ului și criptării |
Echipamentele dedicate îți oferă control sporit asupra mediului tehnic, însă proprietatea și jurisdicția necesită verificări separate. Același lucru este valabil pentru criptare: cheile gestionate de client îți permit să controlezi aspecte precum crearea, rotația și permisiunile, în timp ce custodia exclusivă presupune un mecanism prin care furnizorul nu le poate obține sau utiliza. Întreabă dacă administratorii sau serviciul în sine au acces la datele decriptate.
Cloudul suveran urmărește, în general, să mențină datele, operațiunile și controlul juridic într-o jurisdicție definită, însă eticheta nu garantează singură un set uniform de măsuri de protecție. În analiza sa de piață din iulie 2025, Synergy Research Group estima cota furnizorilor europeni la aproximativ 15% din piața europeană a infrastructurii cloud, față de 70% pentru cei mai mari trei furnizori globali. La 3 iunie 2026, Comisia a adoptat propunerea Cloud and AI Development Act. Aceasta propune patru niveluri de asigurare ale Uniunii pentru evaluarea suveranității cloudului, cu cerințe progresiv mai stricte. La nivelul 4, furnizorul și subcontractanții relevanți nu trebuie să fie controlați de o țară terță sau de o entitate juridică stabilită acolo. Cadrul este în stadiul de propunere, astfel încât echipa de achiziții trebuie să distingă aceste criterii de obligațiile deja aplicabile în legislația existentă.
Ce trebuie să evaluezi când achiziționezi infrastructură de date în UE?
Evaluează identitatea juridică a furnizorului, locația fiecărei copii relevante a datelor, persoanele și sistemele care le pot accesa, precum și condițiile de ieșire din serviciu. Transformă aceste verificări în solicitări scrise de dovezi, astfel încât echipele juridice, de securitate și de achiziții să analizeze aceeași implementare propusă.
- Ce entitate juridică semnează contractul și cine este proprietarul său final?
Cere datele de înregistrare ale entității, lanțul de proprietate și explicații privind controlul exercitat de o eventuală companie-mamă din afara UE asupra serviciului sau datelor. Aceste informații ajută la evaluarea expunerii jurisdicționale dincolo de adresa de găzduire. (CLOUD Act și riscul accesului autorităților străine.)
- În ce facilitate și în ce țară vor fi stocate datele principale?
Solicită identificarea locațiilor în contractul de servicii, împreună cu procedura și termenul de notificare pentru schimbări. Un angajament general de „găzduire europeană” lasă prea multe aspecte nespecificate. (DORA, articolul 30 alineatul (2) litera (b), unde se aplică.)
- Unde sunt stocate backupurile și celelalte copii?
Cere o hartă a locațiilor care să includă replicile, copiile de disaster recovery, jurnalele și telemetria. Include destinațiile folosite în timpul failover-ului și controalele care împiedică schimbarea neautorizată a regiunii. (Angajamentele privind rezidența și cerințele GDPR pentru transferuri.)
- Cine are acces administrativ și de suport și din ce țări?
Obține o matrice a drepturilor de acces, procedura de aprobare și mecanismele de jurnalizare. Include și control plane, stratul administrativ prin care personalul și sistemele furnizorului gestionează mediul tău. (Accesul din străinătate și riscul asociat lanțului de aprovizionare.)
- Cine deține cheile de criptare?
Solicită o arhitectură care arată unde sunt generate și stocate cheile, cine le poate utiliza și dacă furnizorul poate decripta datele sau le poate accesa în timpul prelucrării. (Confidențialitate și riscul divulgării către autorități străine.)
- Ce subcontractanți susțin serviciul și unde sunt stabiliți?
Cere lista actualizată, rolul fiecăruia, drepturile de acces la date și procesul de notificare a schimbărilor. Include serviciile subcontractate de suport și administrare. (Obligațiile GDPR pentru persoanele împuternicite și securitatea lanțului de aprovizionare conform NIS2.)
- Cum gestionați o solicitare de divulgare venită de la o autoritate din afara UE?
Cere politica privind analiza juridică, contestarea solicitărilor, notificarea clientului unde este permisă și evaluarea obligațiilor contradictorii înainte de divulgare. (GDPR, articolul 48, și Data Act, articolul 32.)
- Cum ne recuperăm datele și cum ieșim din serviciu?
Obține formatele de export, responsabilitățile pentru migrare, termenele și o defalcare a taxelor, inclusiv modul în care vor fi tratate din ianuarie 2027. Entitățile financiare trebuie să includă aceste aspecte în strategia de ieșire. (Data Act, articolul 29, și DORA, articolul 28 alineatul (8).)
- Ce certificate și rapoarte de audit acoperă acest serviciu?
Solicită documentele, aria lor de aplicare, valabilitatea și constatările relevante. Verifică dacă acoperă locația și operațiunile propuse și folosește-le ca dovezi în evaluarea furnizorului. (NIS2, articolul 21 alineatul (2) litera (d), unde se aplică.)
Cum susține M247 rezidența datelor în UE
Îți poți găzdui workload-urile în România cu M247 Global, alegând cloud privat sau colocare în facilitățile noastre din București, M247 Europe DC1 și DC2. Pentru a îndeplini cerințele tale de rezidență a datelor în UE, contractul trebuie să precizeze unde vor fi stocate și prelucrate datele, inclusiv copiile pentru backup și recuperare. Opțiunile disponibile răspund unor nevoi diferite de control tehnic:
- Cloud privat dedicat: Infrastructura de cloud privat M247 oferă resurse dedicate și acces administrativ pentru configurarea mediului. Serviciul include și acces restricționat prin firewall și VPN, care susține aplicarea politicilor tale de acces.
- Colocare pentru echipamentele proprii: Găzduirea serverelor într-o facilitate selectată din România îi permite echipei tale să aleagă software-ul, să configureze criptarea și să gestioneze datele stocate pe echipamentele respective.
- Servicii de backup și recuperare: Poți adăuga servicii opționale de backup și disaster recovery la cloudul privat M247. Destinațiile de stocare, traseele de replicare și condițiile de acces trebuie incluse în angajamentul convenit privind rezidența.
O facilitate din UE nu stabilește un control juridic exclusiv european asupra serviciului. De aceea, ne poți cere să confirmăm entitatea contractantă, structura proprietății, locațiile echipelor de suport, subcontractanții și mecanismele de gestionare a cheilor pentru oferta ta, împreună cu locațiile tuturor copiilor de backup și recuperare.
Mai întâi, stabilește dacă fiecare workload necesită o locație de găzduire convenită, protecție suplimentară față de accesul în baza legislației străine sau ambele. Alege apoi modelul de infrastructură care îndeplinește aceste cerințe și răspunde nevoilor operaționale. Obține răspunsurile în scris și include angajamentele convenite în contract. Pentru a evalua o implementare în România, discută cu unul dintre consultanții noștri despre cloud privat sau colocare pentru infrastructura ta.