Πέρα από την ιδιωτικότητα: διαθεσιμότητα, εξάρτηση και κόστος

Ενότητα 1: Γιατί ένα ευρωπαϊκό cloud; · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε ότι η ψηφιακή κυριαρχία αφορά επίσης τη διαθεσιμότητα, την εξάρτηση και τον έλεγχο, θα γνωρίζετε τα νέα ευρωπαϊκά δικαιώματα αλλαγής παρόχου από την Data Act, και θα μπορείτε να σταθμίσετε τους κινδύνους της δικής σας κατάστασης.

Βασικές έννοιες: ψηφιακή κυριαρχία, κίνδυνος διαθεσιμότητας, κυρώσεις, μονομερής τροποποίηση όρων, εξάρτηση από προμηθευτή (vendor lock-in), κίνδυνος συγκέντρωσης, EU Data Act, δικαίωμα αλλαγής παρόχου, κόστος αλλαγής παρόχου, NIS2, στάθμιση (πιθανότητα και αντίκτυπος)

Η κυριαρχία είναι κάτι περισσότερο από «ποιος μπορεί να διαβάζει μαζί σας»

Τα προηγούμενα μαθήματα αφορούσαν την εμπιστευτικότητα: ποιος μπορεί να δει τα δεδομένα σας. Υπάρχουν όμως δύο ακόμη ερωτήματα εξίσου σημαντικά για έναν οργανισμό:

1. Μπορείτε να έχετε πρόσβαση όταν τα χρειάζεστε; (διαθεσιμότητα)
2. Μπορείτε να αποφασίζετε μόνοι σας, ακόμη και αν ο πάροχος θέλει κάτι διαφορετικό; (έλεγχος)

Μαζί, αυτό ονομάζεται ψηφιακή κυριαρχία: ο βαθμός στον οποίο εσείς (ή η χώρα σας, ή η Ευρώπη) διατηρείτε τον έλεγχο των ψηφιακών σας δεδομένων και υπηρεσιών. Η λέξη ακούγεται μεγαλοπρεπής, αλλά για το Αρτοποιείο De Korrel είναι εντελώς πρακτική: αν η Sanne δεν μπορεί να ανοίξει τις διαδρομές παράδοσης τη Δευτέρα στις έξι το πρωί, δώδεκα άνθρωποι περιμένουν.

Αυτό είναι επεξηγηματικό υλικό, όχι νομική συμβουλή.

Κίνδυνος 1: ο λογαριασμός σας μπορεί να κλείσει

Μια υπηρεσία cloud μπορεί να περιορίσει ή να διακόψει την πρόσβασή σας. Συνήθως για συνηθισμένους λόγους: ένα απλήρωτο τιμολόγιο, μια υποψία κατάχρησης, ένα αυτόματο σύστημα που εκτιμά κάτι λανθασμένα. Όποιος είχε ποτέ μπλοκαρισμένο λογαριασμό σε μια μεγάλη υπηρεσία γνωρίζει πόσο δύσκολο είναι να μιλήσει με έναν άνθρωπο εκεί.

Υπάρχει και μια γεωπολιτική παραλλαγή. Μια εταιρεία πρέπει να τηρεί τις κυρώσεις της χώρας στη δικαιοδοσία της οποίας υπάγεται. Τον Φεβρουάριο του 2025 η αμερικανική κυβέρνηση επέβαλε κυρώσεις στον επικεφαλής εισαγγελέα του Διεθνούς Ποινικού Δικαστηρίου (ΔΠΔ) στη Χάγη. Τον Μάιο του 2025 το πρακτορείο ειδήσεων AP ανέφερε ότι δεν είχε πλέον πρόσβαση στο εργασιακό του email στη Microsoft. Η Microsoft δήλωσε ότι ποτέ δεν διέκοψε τις υπηρεσίες της προς το ΔΠΔ· σύμφωνα με μεταγενέστερα δημοσιεύματα, το ίδιο το ΔΠΔ, υπό την πίεση των κυρώσεων, δεν απελευθέρωνε πλέον το γραμματοκιβώτιο. Πώς ακριβώς εξελίχθηκε η υπόθεση παραμένει αντικείμενο συζήτησης. Το παράδειγμα όμως δείχνει ότι η διαθεσιμότητα μιας υπηρεσίας εξαρτάται από την πολιτική της χώρας του παρόχου, όχι μόνο από την τεχνολογία.

Ένα αρτοποιείο δύσκολα θα αντιμετωπίσει κυρώσεις. Το ζήτημα όμως είναι ευρύτερο: εξαρτάστε από κανόνες στους οποίους δεν έχετε καμία επιρροή.

Κίνδυνος 2: οι όροι και οι τιμές αλλάζουν μονομερώς

Οι υπηρεσίες cloud λειτουργούν με συνδρομές και γενικούς όρους που ο πάροχος μπορεί να τροποποιήσει. Πακέτα συγχωνεύονται, λειτουργίες μεταφέρονται σε ακριβότερο πακέτο, ή προστίθεται μια νέα λειτουργία (όπως η AI) που ανεβάζει την τιμή ή χρησιμοποιεί διαφορετικά τα δεδομένα σας. Συνήθως μπορείτε μόνο να επιλέξετε: να αποδεχτείτε ή να φύγετε. Και η αποχώρηση είναι δύσκολη όταν όλη σας η δουλειά βρίσκεται εκεί. Αυτό ονομάζεται εξάρτηση από προμηθευτή, στα αγγλικά vendor lock-in (μάθημα 2.3).

Κίνδυνος 3: όλα σε έναν πάροχο

Αν το email, το ημερολόγιο, τα αρχεία, το chat, οι κωδικοί πρόσβασης και η σύνδεση σε άλλες υπηρεσίες («σύνδεση με Google ή Microsoft») βρίσκονται όλα σε έναν πάροχο, τότε μία διακοπή, ένας μπλοκαρισμένος λογαριασμός ή ένας παραβιασμένος κωδικός πρόσβασης αρκούν για να χάσετε τα πάντα ταυτόχρονα. Αυτό ονομάζεται κίνδυνος συγκέντρωσης. Ισχύει για κάθε πάροχο, ακόμη και για έναν ευρωπαϊκό. Η διασπορά και ένα δικό σας αντίγραφο ασφαλείας (ενότητα 8) βοηθούν.

Το ίδιο ισχύει και σε επίπεδο χώρας. Στην Ολλανδία, το 2025 και το 2026, ξεκίνησε συζήτηση σχετικά με την Solvinity, την εταιρεία που παρέχει την υποδομή για το DigiD και το MijnOverheid. Η αμερικανική Kyndryl ήθελε να την εξαγοράσει. Μετά από γνωμοδότηση του Bureau Toetsing Investeringen, ο υφυπουργός απαγόρευσε την εξαγορά τον Μάιο του 2026, για την προστασία του δημόσιου συμφέροντος· μία από τις ανησυχίες ήταν ότι η αμερικανική κυβέρνηση θα μπορούσε να αποκτήσει πρόσβαση μέσω του CLOUD Act. Το παράδειγμα δείχνει ότι μπορεί να αλλάξει ακόμη και ο ιδιοκτήτης ενός ευρωπαϊκού παρόχου. Μια ευρωπαϊκή υπηρεσία σήμερα μπορεί αύριο να έχει αμερικανική μητρική εταιρεία. Γι' αυτό ένα σχέδιο εξόδου (μάθημα 8.2) αποτελεί μέρος κάθε επιλογής.

Νέοι ευρωπαϊκοί κανόνες: η Data Act

Η ΕΕ θέσπισε κανόνες ώστε η αλλαγή παρόχου cloud να γίνει ευκολότερη, στην πράξη για τα δεδομένα (Data Act) (Κανονισμός (ΕΕ) 2023/2854). Ο κανονισμός ισχύει από τις 12 Σεπτεμβρίου 2025. Για τις υπηρεσίες cloud (ο νόμος αναφέρει «υπηρεσίες επεξεργασίας δεδομένων») οι κανόνες βρίσκονται στο κεφάλαιο VI (άρθρα 23 έως 31). Εν συντομία:

• Ένας πάροχος δεν μπορεί να σας εμποδίσει αν θέλετε να αλλάξετε πάροχο ή να μεταβείτε σε δικούς σας servers, και πρέπει να συνεργαστεί σε αυτό.
• Η σύμβαση πρέπει μεταξύ άλλων να επιτρέπει προθεσμία καταγγελίας το πολύ δύο μηνών, μεταβατική περίοδο κατ' αρχήν το πολύ τριάντα ημερών, και περίοδο τουλάχιστον τριάντα ημερών για να ανακτήσετε τα δεδομένα σας.
• Οι πάροχοι πρέπει να είναι σαφείς εκ των προτέρων σχετικά με το κόστος.
• Το κόστος αλλαγής παρόχου, συμπεριλαμβανομένου του κόστους εξαγωγής δεδομένων (egress), επιτρεπόταν από την αρχή μόνο στο κόστος κτήσης, και καταργείται πλήρως από τις 12 Ιανουαρίου 2027 (άρθρο 29). Τα συνήθη τέλη συνδρομής και οι ποινές για πρόωρη λύση σύμβασης ορισμένου χρόνου παραμένουν εφικτά.

Αυτό βοηθάει, αλλά δεν λύνει τα πάντα. Ο νόμος λέει ότι μπορείτε να πάρετε τα δεδομένα σας μαζί σας, όχι ότι θα λειτουργούν ακριβώς το ίδιο στη νέα υπηρεσία. Η μεταφορά ενός εγγράφου Google ή ενός ιστορικού συνομιλίας Teams σε ένα άλλο περιβάλλον παραμένει δύσκολη (ενότητες 5, 6 και 7).

Η NIS2 σε μία παράγραφο

Η ευρωπαϊκή οδηγία NIS2 (Οδηγία (ΕΕ) 2022/2555) υποχρεώνει μεσαίους και μεγάλους οργανισμούς σε σημαντικούς τομείς να έχουν τάξη στην κυβερνοασφάλειά τους και σε αυτή των προμηθευτών τους. Ένα μικρό αρτοποιείο δεν εμπίπτει σε αυτήν, αλλά ένας προμηθευτής ενός τέτοιου οργανισμού μπορεί να δεχτεί ερωτήσεις σχετικά με τις δικές του υπηρεσίες cloud. Η NIS2 δεν λέει τίποτα για το αν κάτι είναι ευρωπαϊκό ή όχι, αλλά απαιτεί να γνωρίζετε τους κινδύνους στην αλυσίδα σας.

Στάθμιση: δεν είναι όλα εξίσου σημαντικά

Δεν χρειάζεται να μεταφέρετε τα πάντα αύριο. Μια νηφάλια στάθμιση ανά τμήμα βοηθάει. Για κάθε κίνδυνο εξετάζετε την πιθανότητα να συμβεί και τον αντίκτυπο αν συμβεί:

Ένας τέτοιος πίνακας δείχνει από πού ξεκινάτε. Ο φάκελος προσωπικού είναι μικρός και ευαίσθητος: μεταφέρεται γρήγορα με μεγάλο όφελος. Το email είναι σημαντικό, αλλά απαιτεί προσεκτικό σχέδιο (ενότητα 4). Το ιστορικό συνομιλιών ίσως δεν το μεταφέρετε, αλλά το αρχειοθετείτε.

Μια ειλικρινής αντίρρηση: οι μεγάλες αμερικανικές υπηρεσίες είναι αξιόπιστες, τεχνικά ισχυρές και οικείες στους συναδέλφους σας. Μια αλλαγή κοστίζει χρόνο και συνήθεια. Το ερώτημα δεν είναι «σωστό ή λάθος», αλλά ποιους κινδύνους αποδέχεστε συνειδητά.

Στην πράξη: έτσι μοιάζει σε έναν πάροχο

Ρωτήστε κάθε πάροχο, ακόμη και έναν ευρωπαϊκό: πώς βγάζω τα δεδομένα μου, σε ποιες μορφές, και πόσο καιρό μετά την καταγγελία έχω ακόμη πρόσβαση; Στο WebOké, για παράδειγμα, στον οδηγό Nextcloud αναφέρεται πώς μεταφέρετε δεδομένα μεταξύ Nextcloud, και το Nextcloud λειτουργεί με ανοικτά πρότυπα όπως WebDAV, CalDAV και CardDAV, ώστε να μπορείτε να μεταβείτε και σε άλλον πάροχο. Άλλοι πάροχοι διαθέτουν παρόμοιες λειτουργίες εξαγωγής· ελέγξτε αν λειτουργούν χωρίς βοήθεια από την υποστήριξη.

Σύνοψη

• Η ψηφιακή κυριαρχία αφορά την εμπιστευτικότητα, τη διαθεσιμότητα και τον έλεγχο.
• Ένας λογαριασμός μπορεί να κλείσει, λόγω λάθους, πληρωμής ή κυρώσεων· η υπόθεση του ΔΠΔ (2025) δείχνει ότι η πολιτική παίζει ρόλο.
• Οι όροι και οι τιμές μπορούν να αλλάξουν μονομερώς· όλα σε έναν πάροχο δημιουργούν κίνδυνο συγκέντρωσης.
• Η Data Act (ισχύει από τις 12 Σεπτεμβρίου 2025) παρέχει δικαιώματα αλλαγής παρόχου· το κόστος αλλαγής παρόχου καταργείται από τις 12 Ιανουαρίου 2027.
• Σταθμίστε ανά τμήμα την πιθανότητα και τον αντίκτυπο και ξεκινήστε εκεί όπου το όφελος είναι μεγαλύτερο.

Κουίζ

Άσκηση

Άσκηση A1.5: Η δική σας στάθμιση κινδύνου. Συμπληρώστε για τον δικό σας οργανισμό, ανά τμήμα (email, ημερολόγιο, επαφές, αρχεία, έγγραφα, chat, κωδικοί πρόσβασης, αντίγραφα ασφαλείας), πόσο εμπιστευτικό είναι, πόσο σοβαρή είναι η διακοπή και πόσο δύσκολη είναι η αποχώρηση. Το πρόγραμμα ελέγχει αν η στάθμισή σας είναι πλήρης και συνεπής και τοποθετεί τα τμήματα σε μια σειρά.

Άσκηση E1.5: Η στάθμισή σας σε πέντε προτάσεις. Γράψτε γιατί ο οργανισμός σας θέλει ή δεν θέλει (εν μέρει) να αλλάξει πάροχο, ποιους κινδύνους αποδέχεστε συνειδητά και ποιο είναι το σημαντικότερο επιχείρημα για τους συναδέλφους σας.

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.

• Οδηγός Nextcloud 1.1: Τι είναι το Nextcloud και τι είναι ένα WebOké Nextcloud;
• Οδηγός Nextcloud 13.1: Προετοιμασία: τι μεταφέρετε και με ποια σειρά
• Οδηγός Nextcloud 6.6: Αντίγραφα ασφαλείας στη WebOké: τι διατηρούμε εμείς και τι μπορείτε να κάνετε εσείς
• Κανονισμός (ΕΕ) 2023/2854 (Data Act), κεφάλαιο VI, άρθρα 23 έως 31, στο EUR-Lex
• Οδηγία (ΕΕ) 2022/2555 (NIS2), στο EUR-Lex