Pět otázek, které určují, jak evropská je daná služba

Modul 2: Co evropský cloud skutečně znamená? · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete pomocí pěti otázek určit, pod jaké právo cloudová služba spadá, a vysvětlit, proč datacentrum v Evropě k tomu samo o sobě nestačí.

Klíčové pojmy: sídlo (statutární sídlo), konečný vlastník, umístění datacentra, subdodavatel zpracování, vzdálený přístup, správa šifrovacích klíčů, EU, EHP, rozhodnutí o odpovídající ochraně, „sovereign cloud“

„Naše data jsou v Evropě.“ A co dál?

Dnes to tvrdí téměř každá velká cloudová služba: Vaše data se nacházejí v datacentru ve Frankfurtu, Amsterdamu nebo Dublinu. Zní to uklidňujícě, ale odpovídá to jen na jednu z otázek, na kterých skutečně záleží. V modulu 1 jste se dozvěděli, že americký CLOUD Act se nedívá na to, kde stojí server, ale na to, které společnosti má data ve svém držení, úschově nebo pod kontrolou („possession, custody, or control“). Server ve Frankfurtu patřící společnosti, která je nakonec americká, tak přesto může spadat pod americký příkaz.

Proto se nedíváme na jeden znak, ale na pět. Bakkerij De Korrel z našeho příkladu (12 zaměstnanců, doména example.com) nyní používá americký kancelářský balík a chce vědět, které alternativy jsou skutečně evropské. S těmito pěti otázkami oddělí marketing od faktů.

Otázka 1: kde má společnost sídlo?

Sídlo je země, kde je společnost, s níž podepisujete smlouvu, právně zapsána: statutární sídlo. Tato země primárně určuje, jaké právo se na společnost vztahuje, který soud je příslušný a který dozorový úřad nad ní dohlíží.

Nedívejte se přitom na webové stránky, ale na smluvní stranu: na název uvedený dole ve všeobecných obchodních podmínkách, ve zpracovatelské smlouvě a na faktuře. Pokud tam stojí „Example Cloud Ireland Ltd.“, je Vaší smluvní stranou irská společnost, i když je značka americká. To je dobrý začátek, ale ještě ne odpověď. K té potřebujete otázku 2.

Otázka 2: kdo je konečným vlastníkem?

Konečný vlastník je společnost nebo osoba, která stojí na vrcholu řetězce akcionářů. Evropská dceřiná společnost amerického mateřského podniku je právně evropskou společností, ale mateřská společnost má nad ní kontrolu. Podle CLOUD Act může americký soud přimět mateřskou společnost, aby vydala data, která se nacházejí u dceřiné společnosti, pokud nad nimi mateřská společnost fakticky má „control“. Zda tomu tak v konkrétním případě je, závisí na tom, jak je společnost organizačně uspořádaná. Právníci se na tom neshodnou. Právě proto jde o riziko, nikoli o jistotu.

Může to fungovat i naopak: společnost, která je dnes evropská, může být zítra převzata. V Nizozemí se to v letech 2025 a 2026 odehrálo kolem společnosti Solvinity, firmy stojící za infrastrukturou systému DigiD. Americká společnost Kyndryl ji chtěla převzít; nizozemská vláda převzetí v květnu 2026 zakázala po doporučení Úřadu pro prověřování investic (Bureau Toetsing Investeringen). Zeptejte se tedy poskytovatele i na to: co se stane s mou smlouvou v případě převzetí? Mohu pak smlouvu bezplatně vypovědět?

Kde vlastníka najdete? V obchodním rejstříku (v Nizozemí KVK, v Německu Handelsregister), ve výroční zprávě nebo na stránce „O nás“ či „Impressum“. U společností kótovaných na burze to najdete ve výročních finančních výkazech.

Otázka 3: kde se nacházejí data a jejich zálohy?

Umístění datacentra zůstává důležité. Pokud se Vaše data nacházejí v EU, nejde o předání mimo EHP ve smyslu GDPR, pokud k nim nemá přístup nikdo zvenčí. Zeptejte se na všechna místa: primární datacentrum, záložní datacentrum a zálohy. Poskytovatel se servery v Nizozemí a zálohami ve Spojených státech skutečně provádí předání dat do třetí země.

Dávejte si pozor na tři pojmy, které se často zaměňují:

Švýcarsko a Spojené království tedy nejsou EU, ale službu tam provozovanou můžete podle GDPR používat i bez dalších smluvních doložek. Rozhodnutí pro Švýcarsko pochází z roku 2000 a bylo při přehodnocení v lednu 2024 potvrzeno. Rozhodnutí pro Spojené království bylo 19. prosince 2025 prodlouženo do 27. prosince 2031. Rozhodnutí o odpovídající ochraně však může být přezkoumáno nebo zrušeno Soudním dvorem Evropské unie: to se stalo dvakrát v případě dohod se Spojenými státy (modul 1, lekce 1.4). Pro Spojené státy nyní platí Data Privacy Framework, ale pouze pro americké společnosti, které se k němu připojily, a s nejistotou, kterou jste viděli v lekci 1.4.

Otázka 4: kdo ještě má přístup? Subdodavatelé zpracování a vzdálený přístup

Subdodavatel zpracování je jiná společnost, kterou poskytovatel zapojuje a která při tom Vaše data zpracovává nebo je může vidět: datacentrum, záložní služba, společnost zajišťující doručování e-mailů, podpůrné oddělení v jiné zemi, AI služba, která shrnuje e-maily. GDPR vyžaduje, aby Vám poskytovatel předem sdělil, které subdodavatele zpracování využívá, a umožnil Vám vznést námitku proti novým (článek 28 GDPR, lekce 9.2).

Zvlášť si dávejte pozor na vzdálený přístup. Podle evropských dozorových úřadů se za předání dat považují i data, která se nacházejí v Amsterdamu, ale ke kterým má přístup pracovník podpory v zemi mimo EHP, aby mohl vyřešit poruchu. Datacentrum v Evropě s helpdeskem, který nad daty dohlíží 24 hodin denně odkudkoli na světě, je tedy méně evropské, než se zdá.

Kde seznam subdodavatelů najdete? Obvykle jako přílohu zpracovatelské smlouvy nebo na samostatné stránce „subzpracovatelé“ či „sub-processors“. Pokud tento seznam chybí nebo je vágní („spolupracujeme s pečlivě vybranými partnery“), jde o varovný signál.

Otázka 5: kdo má šifrovací klíč?

Šifrování chrání před ostatními pouze tehdy, pokud klíč nemají. U většiny cloudových služeb jsou Vaše data šifrována při přenosu (https) a v klidu (na disku), ale klíč má poskytovatel. Pokud musí poskytovatel data vydat, může je dešifrovat. Při end-to-end šifrování nebo šifrování klíčem, který spravujete pouze Vy, to poskytovatel udělat nemůže. To chrání lépe, ale má to svou cenu: vyhledávání, společné úpravy v prohlížeči a obnova zapomenutého hesla pak často nefungují nebo fungují jen omezeně. Zeptejte se tedy: které části jsou šifrovány end-to-end a co pak už nebudu moci dělat?

„Sovereign cloud“ amerických společností

Velcí američtí poskytovatelé reagují na poptávku po suverenitě. Několik příkladů, abyste tyto pojmy rozpoznali:

• Microsoft EU Data Boundary: Microsoft v únoru 2025 oznámil, že zákaznická data ze služeb Microsoft 365, Dynamics 365, Power Platform a většiny služeb Azure jsou ukládána a zpracovávána v rámci EU a zemí EHP, včetně podpůrných dat. Microsoft sám uvádí, že v omezených případech jsou data stále zpracovávána i mimo EU, například z důvodu bezpečnosti. Microsoft zůstává americkou společností. V červnu 2025 právní ředitel Microsoftu Francie pod přísahou ve francouzském Senátu uvedl, že nemůže zaručit, že data nikdy nebudou bez souhlasu poskytnuta americkým úřadům.
• AWS European Sovereign Cloud: od 15. ledna 2026 obecně dostupná, s první regionem v Braniborsku (Německo). Je spravována německou společností se zaměstnanci v EU a je technicky oddělená od zbytku AWS. Konečným mateřským podnikem zůstává Amazon. Analytici upozorňují, že riziko spojené s CLOUD Act tak může být menší, ale prokazatelně nezmizí.
• Modely spolupráce: ve Francii a Německu existují evropské společnosti, které provozují americkou cloudovou technologii na základě licence tak, aby kontrolu měla evropská společnost. Zda to skutečně funguje, závisí na dohodách ohledně aktualizací, správy a přístupu.

Takové služby mohou pro některé organizace představovat rozumný mezistupeň. Položte jim ale stejných pět otázek. Odpověď na otázku 2 (vlastník) u těchto služeb zůstává jiná než u společnosti, která je zcela evropská.

V praxi: jak to vypadá u poskytovatele

Vezměme si jako příklad WebOké Nextcloud. Sídlo a vlastník: nizozemská s.r.o. (bv). Datacentrum: podle dokumentace dvě nizozemská datacentra společnosti NorthC. Software: Nextcloud, vytvořený německou společností Nextcloud GmbH, open source. Klíč k šifrování úložiště má poskytovatel; end-to-end šifrování si můžete sami zapnout pro jednotlivé složky. U jiných evropských poskytovatelů, jako jsou další poskytovatelé Nextcloud, mailbox.org, Infomaniak nebo IONOS, hledáte odpovědi na stejných pět otázek na stejných místech: smlouva, obchodní rejstřík, zpracovatelská smlouva a seznam subdodavatelů zpracování.

Shrnutí

• Datacentrum v Evropě odpovídá jen na jednu z pěti otázek.
• Pět otázek: sídlo, konečný vlastník, umístění dat a záloh, subdodavatelé zpracování a vzdálený přístup, a kdo má šifrovací klíč.
• Evropská dceřiná společnost amerického podniku může přesto spadat pod CLOUD Act.
• Švýcarsko a Spojené království nejsou EU, ale mají rozhodnutí o odpovídající ochraně; EHP je EU plus Norsko, Island a Lichtenštejnsko.
• Služby typu „sovereign cloud“ od amerických společností snižují rizika, ale nemění odpověď na otázku o vlastníkovi.

Kvíz

Úkol

Úkol A2.1: Kdo přijímá a odesílá poštu pro Vaši doménu? Zadejte svou vlastní doménu. Program vyhledá MX záznamy a kompletně rozloží Váš SPF záznam. Vy doplníte, které organizace Vaši poštu přijímají a které smí odesílat poštu jménem Vaší organizace. Během pár minut tak zjistíte, které subjekty se již podílejí na Vaší poště.

Úkol E2.1: Pět otázek pro Vaše vlastní služby. Vyberte si dvě služby, které nyní používáte (například svou poštu a úložiště souborů), a jednu možnou evropskou náhradu. U všech tří si vyhledejte odpovědi na pět otázek, včetně zdroje.

Doporučená literatura

Postupy v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k Nextcloud 1.1: Co je Nextcloud a co je WebOké Nextcloud?
• Příručka k Nextcloud 3.1: Jak WebOké zabezpečuje Váš Nextcloud?
• Příručka k Nextcloud 15.13: Často kladené otázky o zabezpečení a soukromí
• Evropská komise, přehled rozhodnutí o odpovídající ochraně: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (data „regardless of whether“, bez ohledu na to, zda se nacházejí uvnitř nebo vně USA)