(P) Suveranitatea datelor: de ce contează locația serverelor

O companie poate folosi zilnic aplicații și servicii cloud fără să știe în ce țară sunt stocate datele sale, unde se află copiile de siguranță sau din ce locații pot fi administrate. Aceste detalii influențează regulile juridice aplicabile, accesul la informații, performanța aplicațiilor, dar și modul în care datele pot fi recuperate după un incident. Suveranitatea datelor înseamnă că informațiile sunt supuse legilor și autorităților din jurisdicțiile relevante pentru stocarea și prelucrarea lor. Locația serverelor este o parte importantă a acestei ecuații, iar evaluarea trebuie să includă furnizorul, entitățile sale juridice, subcontractorii, accesul de la distanță și traseul copiilor de siguranță.

Ce înseamnă suveranitatea datelor?

Suveranitatea datelor descrie controlul juridic și operațional exercitat asupra informațiilor. Pentru o companie, acest control presupune să știe unde se află datele, cine le poate accesa, ce legi se aplică și cum pot fi mutate sau șterse. Termenul este apropiat de alte două concepte, însă este bine să știi că acestea nu au același sens:

MESAJ Vice-Ambasadorul Israelului în România: Astăzi, unul dintre cele mai mari atacuri teroriste din istorie a fost oprit

19:34

ACTUALITATE Ales pe listele POT, deputatul Călin-Florin Groza a semnat cu PSD Maramureș

19:26

• Rezidența datelor indică țara sau regiunea în care informațiile sunt stocate ori prelucrate.
• Localizarea datelor reprezintă cerința ca anumite informații să rămână într-un teritoriu stabilit.
• Suveranitatea datelor privește legile și autoritățile care pot avea competență asupra lor.

Un contract poate solicita ca datele să fie păstrate în Uniunea Europeană. Pentru unele organizații sau categorii de informații pot exista cerințe suplimentare stabilite prin legislație, reguli sectoriale, contracte sau politici interne.

De ce contează țara în care sunt găzduite serverele?

Locația fizică determină ce reguli trebuie respectate pentru stocare, acces și transfer. În cazul datelor cu caracter personal, Regulamentul general privind protecția datelor, cunoscut drept GDPR, nu interzice toate transferurile în afara Uniunii Europene. Acestea trebuie însă realizate prin mecanisme și garanții recunoscute. Comisia Europeană explică regulile pentru transferurile internaționale, inclusiv deciziile de adecvare și clauzele contractuale standard.

Locația influențează și performanța. În general, distanța mai mică dintre utilizator și centrul de date oferă posibilitatea de a reduce timpul necesar transmiterii informațiilor. Rezultatul depinde însă și de calitatea rețelei, traseul traficului, configurația aplicației și capacitatea infrastructurii.

Pentru continuitate, proximitatea nu este singurul criteriu de care să ții cont. Păstrarea tuturor sistemelor și copiilor de siguranță în aceeași clădire sau zonă poate expune compania la același incident. Arhitectura trebuie să combine cerințele de rezidență cu separarea geografică necesară pentru recuperare.

Este suficient ca serverul să se afle în Uniunea Europeană?

Amplasarea serverului în UE poate simplifica anumite cerințe, dar nu rezolvă automat toate obligațiile privind protecția și controlul datelor. Compania trebuie să afle unde sunt păstrate copiile, cine administrează infrastructura și dacă furnizorul folosește subcontractori din alte jurisdicții.

Accesul de la distanță este, de asemenea, un element important. Dacă o echipă din altă țară poate vedea sau administra datele, analiza nu se oprește la adresa centrului de date. Contractul trebuie să precizeze locațiile de stocare și prelucrare, categoriile de persoane care au acces și condițiile în care datele pot fi transferate.

Criptarea reduce riscul accesului neautorizat, dar trebuie stabilit cine controlează cheile de criptare. Jurnalele de activitate, procedurile de răspuns la incidente și dreptul de audit completează controlul asupra informațiilor.

Cum alegi infrastructura în funcție de cerințele de control?

Decizia pornește de la clasificarea datelor: informațiile publice, documentele interne, datele personale și bazele de date esențiale pentru activitate pot avea cerințe diferite. Pentru fiecare categorie trebuie stabilite locațiile permise, nivelul de acces, perioada de păstrare și timpul necesar recuperării.

Trebuie luat în calcul și modelul de infrastructură. Într-un cloud public, resursele fizice sunt partajate între mai mulți clienți. Un cloud privat folosește resurse dedicate unei singure organizații și poate oferi mai mult control asupra configurației și accesului. O arhitectură hibridă permite păstrarea datelor sensibile într-un mediu controlat și folosirea altor resurse pentru aplicațiile cu cerințe diferite.

Pentru organizațiile care aleg să păstreze infrastructura în România, există două centre de date în București conforme cu Tier III (nivel de clasificare a centrelor de date care indică o infrastructură redundantă și posibilitatea efectuării lucrărilor planificate de mentenanță fără oprirea serviciilor). În aceste locații sunt disponibile servicii de colocare, servere dedicate și cloud privat, alături de măsuri de securitate fizică și conectivitate redundantă. Alegerea trebuie să țină cont de tipul datelor, amplasarea copiilor și persoanele care pot administra sistemele.

Ce trebuie să verifici cu furnizorul?

Dacă primești răspunsul că datele sunt păstrate în Europa, ține cont de faptul că o astfel de afirmație este prea generală pentru o decizie. Compania ta ar trebui să obțină răspunsuri clare și bine documentate la câteva întrebări:

• În ce țară și în ce centru de date sunt stocate informațiile principale?
• Unde se află copiile de siguranță și mediul de recuperare?
• Datele pot fi mutate automat în altă regiune?
• Ce entitate juridică semnează contractul și ce subcontractori sunt implicați?
• Din ce țări poate fi oferit suportul tehnic cu acces la sisteme?
• Cine controlează cheile de criptare și drepturile de administrare?
• Cum sunt exportate datele la încetarea contractului și când sunt șterse copiile rămase?
• Ce dovezi, rapoarte și certificări poate furniza compania pentru audit?

Răspunsurile trebuie reflectate în contract, în acordul privind prelucrarea datelor și în procedurile interne. O opțiune bifată într-o interfață nu înlocuiește obligațiile contractuale.

Locația serverelor trebuie aleasă doar după criterii juridice?

Conformitatea este esențială, dar decizia trebuie să includă performanța, costul, disponibilitatea și posibilitatea de extindere. O locație apropiată poate îmbunătăți timpul de răspuns, iar o infrastructură cloud distribuită în mai multe regiuni poate menține serviciile disponibile atunci când locația principală este afectată.

Formatul în care pot fi exportate datele, durata transferului și costurile asociate trebuie analizate înainte de semnarea contractului. Regulamentul european privind datele, aplicabil din 12 septembrie 2025, include reguli care urmăresc facilitarea schimbării furnizorilor de servicii de prelucrare a datelor.

Suveranitatea datelor înseamnă cunoașterea locațiilor, jurisdicțiilor și persoanelor care pot controla datele pe întregul lor traseu. Alegerea serverelor trebuie să țină cont de cerințele legale și contractuale, dar și de performanță, continuitate și capacitatea de a muta informațiile atunci când nevoile companiei se schimbă.