Více než soukromí: dostupnost, závislost a náklady

Modul 1: Proč evropský cloud? · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete vysvětlit, že digitální suverenita se netýká jen důvěrnosti, ale také dostupnosti a rozhodovací pravomoci, znáte nová evropská práva na přechod podle Data Act a umíte zvážit rizika vlastní situace.

Klíčové pojmy: digitální suverenita, riziko dostupnosti, sankce, jednostranná změna podmínek, závislost na dodavateli (vendor lock-in), riziko koncentrace, EU Data Act, právo na přechod, náklady na přechod, NIS2, zvážení (pravděpodobnost a dopad)

Suverenita je víc než jen otázka "kdo si to může přečíst"

Předchozí lekce se týkaly důvěrnosti: kdo může nahlížet do Vašich dat. Existují ale ještě dvě otázky, které jsou pro organizaci přinejmenším stejně důležité:

1. Dostanete se ke svým datům, když je potřebujete? (dostupnost)
2. Můžete se sami rozhodovat, i když poskytovatel chce něco jiného? (rozhodovací pravomoc)

Společně se tomu říká digitální suverenita: míra, do jaké Vy (nebo Vaše země, nebo Evropa) sami držíte kontrolu nad svými digitálními daty a službami. Slovo zní velkolepě, ale pro pekárnu Bakkerij De Korrel je to velmi praktická věc: pokud Sanne v pondělí ráno v šest hodin nemůže otevřít rozvozové trasy, čeká dvanáct lidí.

Toto je výklad, nikoli právní poradenství.

Riziko 1: Váš účet může být zablokován

Cloudová služba může omezit nebo zrušit Váš přístup. Většinou z běžných důvodů: nezaplacená faktura, podezření na zneužití, automatický systém, který něco vyhodnotí špatně. Kdo už někdy měl zablokovaný účet u velké služby, ví, jak těžké je tam sehnat živého člověka.

Existuje i geopolitická varianta. Firma se musí řídit sankcemi země, pod jejíž jurisdikci spadá. V únoru 2025 uvalila americká vláda sankce na hlavního žalobce Mezinárodního trestního soudu (ICC) v Haagu. V květnu 2025 agentura AP oznámila, že žalobce ztratil přístup ke své pracovní poště u Microsoftu. Microsoft prohlásil, že svou službu ICC nikdy nepřerušil; podle pozdějších zpráv sám ICC, pod tlakem sankcí, přístup ke schránce dál neuvolnil. Jak přesně k tomu došlo, je stále předmětem diskuse. Příklad ale ukazuje, že dostupnost služby závisí i na politice země, ve které poskytovatel sídlí, nejen na technice.

Pekárna se se sankcemi hned tak nesetká. Jde ale o obecnější poznatek: jste závislí na pravidlech, na která nemáte vliv.

Riziko 2: podmínky a ceny se mění jednostranně

Cloudové služby fungují na základě předplatného a všeobecných podmínek, které může poskytovatel měnit. Balíčky se slučují, funkce mizí do dražšího balíčku, nebo přibude nová funkce (například AI), která zvýší cenu nebo jinak využívá Vaše data. Obvykle máte na výběr jen: přijmout, nebo odejít. A odejít je obtížné, pokud už je v tom všechna Vaše práce. Tomu se říká závislost na dodavateli, anglicky vendor lock-in (lekce 2.3).

Riziko 3: vše u jednoho poskytovatele

Pokud máte poštu, kalendář, soubory, chat, hesla a přihlašování k dalším službám ("přihlásit se přes Google nebo Microsoft") u jednoho poskytovatele, stačí jeden výpadek, jeden zablokovaný účet nebo jedno uniklé heslo a přijdete o všechno najednou. Tomu se říká riziko koncentrace. Platí to pro každého poskytovatele, i pro evropského. Pomáhá rozložení a vlastní záloha (modul 8).

Totéž se odehrává i na úrovni státu. V Nizozemí vznikla v letech 2025 a 2026 diskuse o firmě Solvinity, která dodává infrastrukturu pro DigiD a MijnOverheid. Americká firma Kyndryl ji chtěla koupit. Po stanovisku Úřadu pro prověřování investic (Bureau Toetsing Investeringen) nizozemský státní tajemník v květnu 2026 akvizici zakázal na ochranu veřejného zájmu; jednou z obav bylo, že by americká vláda mohla prostřednictvím CLOUD Act získat přístup. Příklad ukazuje, že i vlastník evropského poskytovatele se může změnit. Dnešní evropská služba může mít zítra americkou mateřskou firmu. Proto je exitní plán (lekce 8.2) součástí každé volby.

Nová evropská pravidla: Data Act

EU vytvořila pravidla, která mají usnadnit přechod mezi cloudovými službami, v podobě Data Act (nařízení (EU) 2023/2854). Nařízení platí od 12. září 2025. Pro cloudové služby (zákon používá pojem "služby zpracování dat") jsou pravidla uvedena v kapitole VI (články 23 až 31). Stručně:

• Poskytovatel Vám nesmí bránit v přechodu k jinému poskytovateli nebo na vlastní servery a musí při tom spolupracovat.
• Smlouva musí mimo jiné umožňovat výpovědní lhůtu nejvýše dva měsíce, přechodné období v zásadě nejvýše třicet dní a lhůtu nejméně třicet dní na vyzvednutí Vašich dat.
• Poskytovatelé musí předem jasně informovat o nákladech.
• Náklady na přechod, včetně nákladů na odeslání Vašich dat (egress), bylo od začátku možné účtovat jen za pořizovací cenu, a od 12. ledna 2027 zcela zanikají (článek 29). Běžné poplatky za předplatné a sankce za předčasné ukončení smlouvy s pevnou dobou trvání zůstávají možné i nadále.

To pomáhá, ale neřeší to všechno. Zákon říká, že si smíte vzít svá data s sebou, ne že budou u nového poskytovatele fungovat úplně stejně. Přenést dokument z Google nebo historii chatu z Teams do jiného prostředí zůstává náročné (moduly 5, 6 a 7).

NIS2 v jednom odstavci

Evropská směrnice NIS2 (směrnice (EU) 2022/2555) zavazuje střední a velké organizace v důležitých odvětvích k tomu, aby měly v pořádku kybernetickou bezpečnost, a to i u svých dodavatelů. Malá pekárna pod ni nespadá, ale dodavatel takové organizace může dostat dotazy ohledně svých vlastních cloudových služeb. NIS2 neříká nic o tom, zda má jít o evropskou, nebo neevropskou službu, ale vyžaduje, abyste znali rizika ve svém dodavatelském řetězci.

Zvažování: ne všechno je stejně důležité

Nemusíte zítra přesunout všechno. Pomůže Vám střízlivé zvážení po jednotlivých částech. U každého rizika se díváte na pravděpodobnost, že nastane, a dopad, pokud nastane:

Taková tabulka ukazuje, kde začít. Personální složka je malá a citlivá: lze ji rychle přesunout s velkým ziskem. Pošta je důležitá, ale vyžaduje pečlivý plán (modul 4). Historii chatu možná nepřenesete, ale archivujete ji.

Čestná protiváha: velké americké služby jsou spolehlivé, technicky vyspělé a Vaši zaměstnanci si na ně zvykli. Přechod stojí čas a vyžaduje přivyknutí. Otázka nezní "správně, nebo špatně", ale jaká rizika vědomě přijímáte.

V praxi: jak to vypadá u poskytovatele

U každého poskytovatele, i evropského, se zeptejte: jak dostanu svá data ven, v jakých formátech a jak dlouho se k nim po ukončení smlouvy ještě dostanu? U WebOké je například v návodu k Nextcloud popsáno, jak přenést data mezi instancemi Nextcloud, a Nextcloud pracuje s otevřenými standardy jako WebDAV, CalDAV a CardDAV, takže můžete přejít i k jinému poskytovateli. Jiní poskytovatelé mají podobné exportní funkce; ověřte, zda fungují bez pomoci podpory.

Shrnutí

• Digitální suverenita se týká důvěrnosti, dostupnosti a rozhodovací pravomoci.
• Účet může být zablokován kvůli chybě, platbě nebo sankcím; případ ICC (2025) ukazuje, že svou roli hraje i politika.
• Podmínky a ceny se mohou měnit jednostranně; vše u jedné firmy přináší riziko koncentrace.
• Data Act (platný od 12. září 2025) dává práva na přechod; náklady na přechod zanikají od 12. ledna 2027.
• Zvažte u každé části pravděpodobnost a dopad a začněte tam, kde je zisk největší.

Kvíz

Úkol

Úkol A1.5: Vaše vlastní hodnocení rizik. Vyplňte pro svou organizaci u každé součásti (pošta, kalendář, kontakty, soubory, dokumenty, chat, hesla, zálohy), jak důvěrná je, jak závažný je výpadek a jak obtížný je přechod. Program zkontroluje, zda je Vaše hodnocení úplné a konzistentní, a seřadí součásti do pořadí.

Úkol E1.5: Vaše úvaha v pěti větách. Napište, proč Vaše organizace chce, nebo nechce (zčásti) přejít, jaká rizika vědomě přijímáte a jaký je nejdůležitější argument pro Vaše kolegy.

Další čtení

Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k Nextcloud 1.1: Co je Nextcloud a co je WebOké Nextcloud?
• Příručka k Nextcloud 13.1: Příprava: co si vzít s sebou a v jakém pořadí
• Příručka k Nextcloud 6.6: Zálohování u WebOké: co uchováváme my a co můžete udělat sami
• Nařízení (EU) 2023/2854 (Data Act), kapitola VI, články 23 až 31, na EUR-Lex
• Směrnice (EU) 2022/2555 (NIS2), na EUR-Lex