Dwie różne obietnice sprzedawane jako jedno słowo
Termin chmura suwerenna jest używany do opisania co najmniej dwóch niepowiązanych ze sobą gwarancji, a ta niejednoznaczność wykonuje sporą część sprzedaży za dostawcę: gdzie fizycznie znajdują się Twoje dane oraz sądy którego kraju mogą zmusić dostawcę do ich wydania. To nie są te same pytania, a produkt może dobrze odpowiadać na pierwsze z nich, pozostawiając drugie całkowicie otwarte.
Rezydencja danych to fakt dotyczący lokalizacji. Jurysdykcja prawna to pytanie o to, jaki rząd, jego sądy i agencje, ma władzę nad firmą obsługującą serwery, niezależnie od tego, gdzie te serwery się znajdują. Region chmury fizycznie zlokalizowany we Frankfurcie czy Paryżu sam w sobie w ogóle nie odpowiada na pytanie o jurysdykcję.
Co naprawdę mówi ustawa CLOUD Act
Amerykańska ustawa CLOUD Act z 2018 roku rozstrzygnęła kwestię jurysdykcji dla każdego dostawcy z siedzibą w Stanach Zjednoczonych lub prowadzącego tam wystarczającą działalność. Jej przepis wykonawczy, skodyfikowany w 18 U.S.C. 2713, nakłada na objętego ustawą dostawcę obowiązek zastosowania się do żądania prawnego o zachowanie, wykonanie kopii zapasowej lub ujawnienie danych 'niezależnie od tego, czy taka komunikacja, zapis lub inna informacja znajduje się wewnątrz, czy poza terytorium Stanów Zjednoczonych'.
Własny opis Microsoftu dotyczący zobowiązań EU Data Boundary szczegółowo omawia rezydencję danych i lokalizację przetwarzania, ale nigdzie w tym opisie nie odnosi się do ekspozycji na CLOUD Act. Ta luka ujawniła się wprost pod przysięgą: w czerwcu 2025 roku dyrektor prawny Microsoft France, Anton Carniaux, powiedział komisji francuskiego Senatu badającej suwerenność zamówień publicznych, że nie może zagwarantować, iż dane klientów hostowane w UE nigdy nie trafią do władz USA, dodając jedynie, że jak dotąd się to nie zdarzyło.
Tylko niektóre systemy suwerenności dotykają rzeczywistej kwestii jurysdykcji
Trzy europejskie nazwy certyfikacji są używane niemal zamiennie, a tylko jedna z nich faktycznie ogranicza to, kto może zostać prawnie zmuszony do wydania Twoich danych.
Francuski SecNumCloud, prowadzony przez agencję cyberbezpieczeństwa ANSSI, wymaga, by udziałowcy spoza UE pozostawali w mniejszości w spółce operacyjnej, i wprost określa swój cel: ochronę operatora przed nakazem wydanym przez państwo spoza UE, tak by firma odpowiadała wyłącznie przed prawem UE. Niemiecki katalog C5, prowadzony przez BSI (Federalny Urząd Bezpieczeństwa Informacji), to zupełnie inny rodzaj systemu: poświadczenie mechanizmów kontroli bezpieczeństwa, przy czym BSI wprost przyznaje, że nawet nie weryfikuje audytorów wydających raporty C5, i nigdzie w jego kryteriach nie ma wymogu dotyczącego własności czy jurysdykcji. Ogólnounijny system, który miał stanąć ponad obydwoma, EUCS, pozostaje formalnie nieprzyjęty według stanu na sierpień 2026 roku. Krajowe organy certyfikujące, w tym holenderski NCCA, potwierdzają, że w jego ramach nie są wydawane żadne certyfikaty.
| System | Gwarancja jurysdykcji | Status, sierpień 2026 |
|---|---|---|
| SecNumCloud (Francja, ANSSI) | Tak, udziałowcy spoza UE ograniczeni, nakazy prawne spoza UE zablokowane | Aktywny, wydaje kwalifikacje |
| C5 (Niemcy, BSI) | Nie, wyłącznie poświadczenie kontroli bezpieczeństwa | Aktywny, wydaje raporty |
| EUCS (ogólnounijny) | Sporny, zależałby od ostatecznego poziomu zapewnienia | Jeszcze nieprzyjęty |
Co to oznacza dla Ciebie
Odpowiedź compliance w stylu 'korzystamy z chmury suwerennej' nie jest pełną odpowiedzią, dopóki nie wiesz, którą z dwóch gwarancji faktycznie kupujesz.
Zapytaj dostawcę wprost, czy spółka operacyjna jest prawnie odporna na jurysdykcję spoza UE, czyli model SecNumCloud, czy jedynie audytowana pod kątem kontroli bezpieczeństwa przy danych przechowywanych w regionie, czyli model C5, do którego zbliżona jest większość ofert 'regionu UE' globalnych dostawców. Jeśli Twoim rzeczywistym wymogiem jest utrzymanie danych poza zasięgiem obcego rządu, a nie tylko spełnienie punktu dotyczącego rezydencji danych, tylko struktura odporna na obcą jurysdykcję to spełnia.
Nie przyjmuj samego sformułowania 'EU data boundary' jako dowodu odporności na jurysdykcję. Zadaj własnemu działowi prawnemu dostawcy to samo pytanie, które francuski Senat zadał prawnikowi Microsoftu, i oczekuj tak samo szczerej odpowiedzi, jeśli struktura się nie zmieniła.
Czytaj dalej: Europa zbudowała chmurę cyfrowego euro bez USA | Francja przenosi bazę danych zdrowotnych z Azure
