Πέντε ερωτήσεις που καθορίζουν πόσο ευρωπαϊκή είναι μια υπηρεσία

Ενότητα 2: Τι είναι πραγματικά ένα ευρωπαϊκό cloud; · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε, με πέντε ερωτήσεις, να διαπιστώνετε υπό ποιο δίκαιο υπάγεται μια cloud υπηρεσία και να εξηγείτε γιατί ένα datacenter στην Ευρώπη από μόνο του δεν αρκεί για αυτό.

Βασικές έννοιες: έδρα (καταστατική έδρα), τελικός ιδιοκτήτης, τοποθεσία datacenter, υπεργολάβος επεξεργασίας (subverwerker), εξ αποστάσεως πρόσβαση, διαχείριση κλειδιών, ΕΕ, ΕΟΧ, απόφαση επάρκειας, "sovereign cloud"

"Τα δεδομένα μας βρίσκονται στην Ευρώπη." Και λοιπόν;

Σχεδόν κάθε μεγάλη cloud υπηρεσία το λέει πλέον: τα δεδομένα σας βρίσκονται σε ένα datacenter στη Φρανκφούρτη, το Άμστερνταμ ή το Δουβλίνο. Αυτό ακούγεται καθησυχαστικό, αλλά απαντά μόνο σε μία από τις ερωτήσεις που έχουν σημασία. Στην ενότητα 1 είδατε ότι ο αμερικανικός CLOUD Act δεν εξετάζει τη θέση του server, αλλά την εταιρεία που έχει τα δεδομένα στην κατοχή, τη φύλαξη ή υπό τον έλεγχό της ("possession, custody, or control"). Ένας server στη Φρανκφούρτη που ανήκει σε μια εταιρεία που τελικά είναι αμερικανική μπορεί επομένως να υπαχθεί σε αμερικανική εντολή.

Γι' αυτό δεν εξετάζετε ένα μόνο χαρακτηριστικό, αλλά πέντε. Ο Αρτοποιία Κόκκος (Bakkerij De Korrel) από το παράδειγμά μας (12 εργαζόμενοι, domain example.com) χρησιμοποιεί τώρα ένα αμερικανικό πακέτο γραφείου και θέλει να μάθει ποιες εναλλακτικές είναι πραγματικά ευρωπαϊκές. Με αυτές τις πέντε ερωτήσεις διαχωρίζει το μάρκετινγκ από τα γεγονότα.

Ερώτηση 1: πού είναι εγκατεστημένη η εταιρεία;

Η έδρα είναι η χώρα στην οποία είναι νομικά καταχωρισμένη η εταιρεία που υπογράφει τη σύμβασή σας: η καταστατική έδρα. Αυτή η χώρα καθορίζει ποιο δίκαιο εφαρμόζεται κατ' αρχήν στην εταιρεία, ποιο δικαστήριο είναι αρμόδιο και ποια αρχή ασκεί εποπτεία.

Μην εξετάζετε για αυτό την ιστοσελίδα, αλλά το αντισυμβαλλόμενο μέρος: το όνομα στο τέλος των γενικών όρων, της σύμβασης επεξεργασίας δεδομένων και του τιμολογίου. Αν εκεί αναγράφεται "Example Cloud Ireland Ltd.", τότε το αντισυμβαλλόμενο μέρος σας είναι ιρλανδικό, ακόμη και αν η επωνυμία είναι αμερικανική. Αυτό είναι καλή αρχή, αλλά δεν αποτελεί ακόμη απάντηση. Για αυτό χρειάζεστε την ερώτηση 2.

Ερώτηση 2: ποιος είναι ο τελικός ιδιοκτήτης;

Ο τελικός ιδιοκτήτης είναι η εταιρεία ή το πρόσωπο που βρίσκεται στην κορυφή της αλυσίδας μετόχων. Μια ευρωπαϊκή θυγατρική μιας αμερικανικής μητρικής εταιρείας είναι νομικά μια ευρωπαϊκή εταιρεία, αλλά η μητρική εταιρεία ασκεί έλεγχο. Σύμφωνα με τον CLOUD Act, ένας αμερικανικός δικαστής μπορεί να υποχρεώσει τη μητρική εταιρεία να παραδώσει δεδομένα που βρίσκονται σε μια θυγατρική, εφόσον η μητρική εταιρεία ασκεί στην πράξη "control" επ' αυτών. Το αν αυτό ισχύει σε μια συγκεκριμένη περίπτωση εξαρτάται από τον τρόπο οργάνωσης της εταιρείας. Οι νομικοί δεν συμφωνούν μεταξύ τους. Αυτός είναι ακριβώς ο λόγος που πρόκειται για κίνδυνο και όχι για βεβαιότητα.

Μπορεί να συμβεί και το αντίστροφο: μια εταιρεία που σήμερα είναι ευρωπαϊκή μπορεί αύριο να εξαγοραστεί. Στην Ολλανδία αυτό συνέβη το 2025 και το 2026 γύρω από την εταιρεία Solvinity, την εταιρεία πίσω από την υποδομή του DigiD. Η αμερικανική Kyndryl ήθελε να την εξαγοράσει· η κυβέρνηση απαγόρευσε την εξαγορά τον Μάιο του 2026 κατόπιν γνωμοδότησης του Bureau Toetsing Investeringen (Γραφείο Ελέγχου Επενδύσεων). Ρωτήστε λοιπόν έναν πάροχο και: τι συμβαίνει με τη σύμβασή μου σε περίπτωση εξαγοράς; Μπορώ τότε να καταγγείλω τη σύμβαση χωρίς κόστος;

Πού βρίσκετε τον ιδιοκτήτη; Στο εμπορικό μητρώο (στην Ολλανδία το KVK, στη Γερμανία το Handelsregister), στην ετήσια έκθεση, ή στη σελίδα "Σχετικά με εμάς" ή "Impressum". Σε εισηγμένες εταιρείες, αυτό αναγράφεται στις ετήσιες οικονομικές καταστάσεις.

Ερώτηση 3: πού βρίσκονται τα δεδομένα και τα αντίγραφα ασφαλείας;

Η τοποθεσία του datacenter παραμένει σημαντική. Αν τα δεδομένα σας βρίσκονται στην ΕΕ, τότε δεν υπάρχει διαβίβαση εκτός ΕΟΧ κατά την έννοια του ΓΚΠΔ, εφόσον κανείς από έξω δεν έχει πρόσβαση. Ρωτήστε για όλες τις τοποθεσίες: το κύριο datacenter, το εφεδρικό datacenter και τα αντίγραφα ασφαλείας. Ένας πάροχος με servers στην Ολλανδία και αντίγραφα ασφαλείας στις Ηνωμένες Πολιτείες πράγματι πραγματοποιεί διαβίβαση.

Προσέξτε εδώ τρεις έννοιες που συχνά συγχέονται:

Η Ελβετία και το Ηνωμένο Βασίλειο δεν ανήκουν επομένως στην ΕΕ, αλλά μια υπηρεσία εκεί επιτρέπεται να τη χρησιμοποιείτε βάσει του ΓΚΠΔ χωρίς πρόσθετες συμβατικές ρήτρες. Η απόφαση για την Ελβετία χρονολογείται από το 2000 και επιβεβαιώθηκε τον Ιανουάριο του 2024 μετά από επανεξέταση. Η απόφαση για το Ηνωμένο Βασίλειο παρατάθηκε στις 19 Δεκεμβρίου 2025 έως τις 27 Δεκεμβρίου 2031. Μια απόφαση επάρκειας μπορεί ωστόσο να αναθεωρηθεί ή να ακυρωθεί από το Δικαστήριο της Ευρωπαϊκής Ένωσης: αυτό συνέβη δύο φορές με τις συμφωνίες με τις ΗΠΑ (ενότητα 1, μάθημα 1.4). Για τις Ηνωμένες Πολιτείες ισχύει τώρα το Data Privacy Framework, αλλά μόνο για αμερικανικές εταιρείες που έχουν προσχωρήσει σε αυτό, και με την αβεβαιότητα που είδατε στο μάθημα 1.4.

Ερώτηση 4: ποιος άλλος έχει πρόσβαση; Υπεργολάβοι επεξεργασίας και εξ αποστάσεως πρόσβαση

Ένας υπεργολάβος επεξεργασίας (subverwerker) είναι μια άλλη εταιρεία που χρησιμοποιεί ο πάροχος και η οποία επεξεργάζεται ή μπορεί να δει τα δεδομένα σας: το datacenter, μια υπηρεσία αντιγράφων ασφαλείας, μια εταιρεία παράδοσης email, ένα τμήμα υποστήριξης σε άλλη χώρα, μια υπηρεσία AI που συνοψίζει email. Ο ΓΚΠΔ απαιτεί από τον πάροχο να σας ενημερώνει εκ των προτέρων ποιους υπεργολάβους επεξεργασίας χρησιμοποιεί και να σας επιτρέπει να αντιτάσσεστε σε νέους (άρθρο 28 ΓΚΠΔ, μάθημα 9.2).

Προσέξτε ιδιαίτερα την εξ αποστάσεως πρόσβαση. Δεδομένα που βρίσκονται στο Άμστερνταμ, αλλά τα οποία μπορεί να δει ένας υπάλληλος υποστήριξης σε χώρα εκτός ΕΟΧ προκειμένου να επιλύσει ένα πρόβλημα, θεωρούνται επίσης διαβίβαση σύμφωνα με τις ευρωπαϊκές εποπτικές αρχές. Ένα datacenter στην Ευρώπη με ένα helpdesk που παρακολουθεί παγκοσμίως όλο το εικοσιτετράωρο είναι επομένως λιγότερο ευρωπαϊκό από όσο φαίνεται.

Πού βρίσκετε τη λίστα; Συνήθως ως παράρτημα της σύμβασης επεξεργασίας δεδομένων ή σε ξεχωριστή σελίδα "υπεργολάβοι επεξεργασίας" ή "sub-processors". Αν αυτή η λίστα λείπει ή είναι ασαφής ("συνεργαζόμαστε με προσεκτικά επιλεγμένους εταίρους"), αυτό αποτελεί κόκκινη σημαία.

Ερώτηση 5: ποιος έχει το κλειδί;

Η κρυπτογράφηση προστατεύει από τρίτους μόνο εφόσον αυτοί δεν έχουν το κλειδί. Στις περισσότερες cloud υπηρεσίες τα δεδομένα σας είναι κρυπτογραφημένα κατά τη μεταφορά (https) και σε κατάσταση ηρεμίας (στον δίσκο), αλλά ο πάροχος έχει το κλειδί. Αν ο πάροχος υποχρεωθεί να παραδώσει δεδομένα, μπορεί να τα αποκρυπτογραφήσει. Με κρυπτογράφηση από άκρο σε άκρο (end-to-end) ή κρυπτογράφηση με κλειδί που διαχειρίζεστε μόνο εσείς, ο πάροχος δεν μπορεί να το κάνει αυτό. Αυτό προστατεύει καλύτερα, αλλά έχει κόστος: η αναζήτηση, η από κοινού επεξεργασία στο πρόγραμμα περιήγησης και η ανάκτηση ενός ξεχασμένου κωδικού πρόσβασης συχνά δεν λειτουργούν ή λειτουργούν περιορισμένα. Ρωτήστε λοιπόν: ποια μέρη είναι κρυπτογραφημένα από άκρο σε άκρο, και τι δεν μπορώ πλέον να κάνω τότε;

"Sovereign cloud" από αμερικανικές εταιρείες

Οι μεγάλοι αμερικανικοί πάροχοι ανταποκρίνονται στη ζήτηση για κυριαρχία (soevereiniteit). Μερικά παραδείγματα, ώστε να αναγνωρίζετε τους όρους:

• Microsoft EU Data Boundary: η Microsoft ανακοίνωσε τον Φεβρουάριο του 2025 ότι τα δεδομένα πελατών του Microsoft 365, του Dynamics 365, του Power Platform και των περισσότερων υπηρεσιών Azure αποθηκεύονται και επεξεργάζονται εντός της ΕΕ και των χωρών ΕΖΕΣ, συμπεριλαμβανομένων των δεδομένων υποστήριξης. Η Microsoft αναφέρει η ίδια ότι σε περιορισμένες περιπτώσεις εξακολουθούν να επεξεργάζονται δεδομένα εκτός ΕΕ, για παράδειγμα για λόγους ασφάλειας. Η Microsoft παραμένει αμερικανική εταιρεία. Τον Ιούνιο του 2025, ο νομικός διευθυντής της Microsoft Γαλλίας δήλωσε υπό όρκο στη γαλλική Γερουσία ότι δεν μπορεί να εγγυηθεί ότι τα δεδομένα δεν θα δοθούν ποτέ χωρίς άδεια σε αμερικανικές αρχές.
• AWS European Sovereign Cloud: γενικά διαθέσιμο από τις 15 Ιανουαρίου 2026, με πρώτη περιοχή στο Brandenburg (Γερμανία). Διαχειρίζεται από γερμανική εταιρεία με προσωπικό εντός της ΕΕ και είναι τεχνικά διαχωρισμένο από τον υπόλοιπο AWS. Η τελική μητρική εταιρεία είναι η Amazon. Αναλυτές επισημαίνουν ότι ο κίνδυνος βάσει του CLOUD Act μπορεί έτσι να είναι μικρότερος, αλλά δεν έχει αποδεδειγμένα εξαλειφθεί.
• Μοντέλα συνεργασίας: στη Γαλλία και τη Γερμανία υπάρχουν ευρωπαϊκές εταιρείες που λειτουργούν αμερικανική τεχνολογία cloud υπό άδεια, έτσι ώστε η ευρωπαϊκή εταιρεία να έχει τον έλεγχο. Το αν αυτό λειτουργεί εξαρτάται από τις συμφωνίες σχετικά με τις ενημερώσεις, τη διαχείριση και την πρόσβαση.

Τέτοιες υπηρεσίες μπορούν για ορισμένους οργανισμούς να αποτελέσουν ένα λογικό ενδιάμεσο βήμα. Θέστε τους όμως τις ίδιες πέντε ερωτήσεις. Η απάντηση στην ερώτηση 2 (ιδιοκτήτης) παραμένει σε αυτές τις υπηρεσίες διαφορετική από εκείνη μιας εταιρείας που είναι εξ ολοκλήρου ευρωπαϊκή.

Στην πράξη: έτσι μοιάζει αυτό σε έναν πάροχο

Πάρτε ένα Nextcloud της WebOké ως παράδειγμα. Έδρα και ιδιοκτήτης: μια ολλανδική bv (εταιρεία περιορισμένης ευθύνης). Datacenter: σύμφωνα με το εγχειρίδιο, δύο ολλανδικά datacenter της NorthC. Λογισμικό: Nextcloud, κατασκευασμένο από τη γερμανική εταιρεία Nextcloud GmbH, ανοικτού κώδικα. Το κλειδί της κρυπτογράφησης αποθήκευσης βρίσκεται στον πάροχο· την κρυπτογράφηση από άκρο σε άκρο μπορείτε να την ενεργοποιήσετε εσείς οι ίδιοι ανά φάκελο. Σε άλλους ευρωπαϊκούς παρόχους, όπως άλλους παρόχους Nextcloud, mailbox.org, Infomaniak ή IONOS, αναζητείτε τις ίδιες πέντε απαντήσεις στις ίδιες πηγές: σύμβαση, εμπορικό μητρώο, σύμβαση επεξεργασίας δεδομένων και λίστα υπεργολάβων επεξεργασίας.

Σύνοψη

• Ένα datacenter στην Ευρώπη απαντά μόνο σε μία από τις πέντε ερωτήσεις.
• Οι πέντε ερωτήσεις: έδρα, τελικός ιδιοκτήτης, τοποθεσία δεδομένων και αντιγράφων ασφαλείας, υπεργολάβοι επεξεργασίας και εξ αποστάσεως πρόσβαση, και ποιος έχει το κλειδί.
• Μια ευρωπαϊκή θυγατρική μιας αμερικανικής εταιρείας ενδέχεται παρ' όλα αυτά να υπάγεται στον CLOUD Act.
• Η Ελβετία και το Ηνωμένο Βασίλειο δεν ανήκουν στην ΕΕ, αλλά διαθέτουν απόφαση επάρκειας· ο ΕΟΧ είναι η ΕΕ συν τη Νορβηγία, την Ισλανδία και το Λιχτενστάιν.
• Οι υπηρεσίες "sovereign cloud" αμερικανικών εταιρειών μειώνουν τους κινδύνους, αλλά δεν αλλάζουν την απάντηση στο ερώτημα της ιδιοκτησίας.

Κουίζ

Άσκηση

Άσκηση A2.1: Ποιος λαμβάνει και στέλνει αλληλογραφία για το domain σας; Εισαγάγετε το δικό σας domain. Το πρόγραμμα αναζητά τις εγγραφές MX και αναπτύσσει πλήρως την εγγραφή SPF σας. Εσείς συμπληρώνετε ποιοι οργανισμοί λαμβάνουν την αλληλογραφία σας και ποιοι επιτρέπεται να στέλνουν αλληλογραφία εκ μέρους σας. Έτσι βλέπετε μέσα σε λίγα λεπτά ποια μέρη εμπλέκονται ήδη στην αλληλογραφία σας.

Άσκηση E2.1: Οι πέντε ερωτήσεις για τις δικές σας υπηρεσίες. Επιλέξτε δύο υπηρεσίες που χρησιμοποιείτε τώρα (για παράδειγμα το email και την αποθήκευση αρχείων σας) και έναν πιθανό ευρωπαϊκό αντικαταστάτη. Αναζητήστε και για τις τρεις τις απαντήσεις στις πέντε ερωτήσεις, μαζί με την πηγή.

Για περαιτέρω μελέτη

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες της WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Οδηγός Nextcloud 1.1: Τι είναι το Nextcloud και τι είναι ένα WebOké Nextcloud;
• Οδηγός Nextcloud 3.1: Πώς προστατεύει το WebOké το Nextcloud σας;
• Οδηγός Nextcloud 15.13: Συχνές ερωτήσεις σχετικά με την ασφάλεια και το απόρρητο
• Ευρωπαϊκή Επιτροπή, επισκόπηση αποφάσεων επάρκειας: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (δεδομένα "regardless of whether" βρίσκονται εντός ή εκτός των ΗΠΑ)