Suverenita
Evropský a americký cloud se liší především společností, která službu ovládá, dále právem, které se na tuto společnost vztahuje, a teprve potom zemí, kde stojí servery. Dva identické sály ve Frankfurtu mohou podléhat dvěma různým právním řádům.
Často se porovnávají mapy datacenter: Paříž, Dublin, Frankfurt. Je to snadné a odpovídá to na vedlejší otázku. Chcete-li vědět, kdo může být donucen vydat vaše data, musíte se podívat na společnost, která je drží, a na právo, jemuž odpovídá. Užitečné srovnání staví proti sobě dvě právní pozice, ne dvě země, a nevyhlašuje vítěze: správná volba závisí na tom, jak firma nástroje používá. Pojem suverenity vysvětluje článek co je suverénní cloud a nákupní hodnoticí tabulku článek definice, kritéria a limity. Tato stránka srovnává.
Microsoft a Google jsou společnosti podle amerického práva. Jejich evropské smlouvy, dceřiné společnosti a datacentra v Unii tuto skutečnost neruší. Když se na ně obrátí americký úřad podle amerického práva, otázka zní: má společnost data v držení nebo pod kontrolou, i když jsou disky v Evropě?
CLOUD Act, americký zákon z roku 2018, na to odpovídá pro poskytovatele podléhající jurisdikci Spojených států: platný příkaz se může vztahovat na data, která poskytovatel drží, bez ohledu na místo uložení. Nejde o trvalý přístup. Jde o řízení. Praktický bod pro kupujícího je jinde: evropské umístění disku nevyjímá amerického poskytovatele z tohoto řízení.
Tyto společnosti nabízejí skutečné mechanismy lokalizace. Microsoft popisuje evropskou hranici dat (EU Data Boundary) pro způsobilé služby: zákaznická data a pseudonymizované osobní údaje ukládané a zpracovávané v EU nebo ESVO, data profesionálních služeb ukládaná v klidovém stavu, s doloženými výjimkami (vzdálený přístup podpory, některé eskalace, volitelné funkce, zákazníci Multi-Geo mimo rozsah). Google nabízí datové regiony pro pokrytý obsah podle edice a kontrolu přístupu podpory (Access Management) vyhrazenou pro konkrétní edice a možnosti. Tyto mechanismy omezují toky dat. Státní příslušnost výrobce softwaru nemění.
Americký výrobce softwaru, který obsluhuje evropské zákazníky, se ocitá mezi dvěma právními řády. Americké právo mu může uložit vydat data, která kontroluje. GDPR (obecné nařízení o ochraně osobních údajů) v článku 48 stanoví, že rozhodnutí soudu nebo orgánu třetí země, které vyžaduje předání nebo zpřístupnění osobních údajů, může být uznáno nebo vykonáno pouze tehdy, je-li založeno na mezinárodní dohodě, například smlouvě o vzájemné právní pomoci, platné mezi touto zemí a Unií nebo členským státem. Text neříká, jak výrobce softwaru tyto dva požadavky v konkrétním případě sladí: je na dodavateli, aby svou praxi vysvětlil, a na zákazníkovi, aby se na ni zeptal.
Americké právo upravuje opravný prostředek. Podle 18 U.S.C. § 2703(h) může poskytovatel do 14 dnů od doručení příkazu požádat o jeho zrušení nebo změnu, pokud se domnívá, že zákazník není „United States person“, nemá bydliště ve Spojených státech a vydání by ho vystavilo vážnému riziku porušení práva „kvalifikované zahraniční vlády“. Jde o stát, který je se Spojenými státy vázán výkonnou dohodou, jež vstoupila v platnost. Americké ministerstvo spravedlnosti zveřejňuje dohody se Spojeným královstvím (podepsána 3. října 2019) a s Austrálií (podepsána 15. prosince 2021). S Evropskou unií žádná dohoda v platnosti není; jednání mezi EU a Spojenými státy o elektronických důkazech byla obnovena v roce 2023; stránka ministerstva neuvádí žádnou dohodu s Francií. Tento specifický mechanismus napadení přitom takovou dohodu předpokládá.
Otázka byla ve Francii položena veřejně. Dne 10. června 2025 byl před vyšetřovací komisí Senátu pro veřejné zakázky ředitel pro veřejné a právní záležitosti společnosti Microsoft France dotázán, zda může pod přísahou zaručit, že data francouzských občanů svěřená společnosti Microsoft prostřednictvím Ugap nebudou nikdy na základě příkazu americké vlády předána bez výslovného souhlasu francouzských orgánů. Odpověděl: „Ne, to zaručit nemohu, ale, opakuji, to se dosud nikdy nestalo.“ Odpověď obsahuje oba prvky debaty: záruku, kterou společnost dát nemůže, a případ, který podle ní nenastal.
Evropský cloud v užitečném smyslu slova provozuje společnost podle evropského práva, která není závislá na skupině podléhající americké povinnosti vydat data. OVHcloud je francouzská společnost. Nextcloud GmbH je německá společnost: vyvíjí software, který provozuje zákazník nebo poskytovatel hostingu. BlueMind je francouzská společnost zaměřená na e-mailové služby. Infomaniak je švýcarská společnost: Švýcarsko leží v Evropě, mimo Evropskou unii, a má rozhodnutí Komise o odpovídající ochraně. Zařadit ji mezi „americké“ by bylo chybné. Zařadit ji do „Evropské unie“ by bylo rovněž chybné.
Evropské právo není jednotný štít. Francouzský provozovatel odpovídá francouzskému právu, německý provozovatel německému. Žádosti úřadů existují. Procházejí přes soud a pravidla země provozovatele.
Evropský charakter se může ztratit i u zpracovatelů: evropský provozovatel, který svěří zálohy, filtrování nebo podporu americkému dodavateli, znovu zavádí to, čemu se chtěl kupující vyhnout. Tento bod podrobně rozebírá stránka ochrana firmy před CLOUD Act.
| Otázka | Cloud amerického výrobce softwaru, data v Evropě | Cloud provozovaný evropskou společností |
|---|---|---|
| Kde jsou disky? | Často podle volby, v regionu EU, s písemnými výjimkami | Podle smlouvy: Francie, Německo, jiná země EU, nebo u zákazníka |
| Kdo může být ve Spojených státech předvolán k vydání dat, která kontroluje? | Americký výrobce softwaru, pokud data drží nebo kontroluje | Evropský provozovatel v zásadě ne, ledaže je závislý na skupině nebo zpracovateli, který předvolán být může |
| Jaký soud pro místní žádost? | Rozhodné právo smlouvy, často doplněné americkým právem výrobce softwaru | Právo země provozovatele |
| Pokročilé kancelářské funkce | Velmi široké (Office, Excel, Teams, nebo Docs a vyhledávání Google) | Podle produktu. Zřídka rovnocenné u pokročilého Excelu, Power BI nebo ekosystému Teams |
| Odchod s daty | Skutečné exportní nástroje, historie chatu a automatizací často jen částečně | Nutno posoudit nabídku po nabídce. Export e-mailu (IMAP) bývá nejjednodušší |
Žádný sloupec nevyhrává všude: americký výrobce softwaru vítězí v šíři funkcí, evropský provozovatel v právní pozici. Rozhodnout znamená vědět, který řádek má pro vaši firmu největší váhu.
I když jsou data uložena v Evropě, služba amerického výrobce softwaru zahrnuje předávání (přístup podpory, eskalace, volitelné funkce), které musí mít právní základ podle GDPR.
Předchozí rámec, Privacy Shield (rozhodnutí 2016/1250), zrušil Soudní dvůr Evropské unie dne 16. července 2020 (věc C-311/18, tzv. Schrems II), mimo jiné kvůli rozsahu amerických programů sledování a absenci účinné právní ochrany. Standardní smluvní doložky zůstávají platné, vyžadují však posouzení případ od případu.
K 5. října 2026 se předávání certifikovaným americkým organizacím může opírat o rozhodnutí o odpovídající ochraně (EU) 2023/1795, tzv. Data Privacy Framework. Je v platnosti. Je napadeno, jak uvádějí advokátní kanceláře DAC Beachcroft a WilmerHale. Podle WilmerHale Tribunál Evropské unie dne 3. září 2025 zamítl žalobu na neplatnost a dne 31. října 2025 bylo k Soudnímu dvoru podáno odvolání. Obezřetná firma tento právní základ dokumentuje ve svých záznamech o činnostech zpracování a plánuje, co udělá, pokud padne.
Zůstává vhodný, pokud činnost firmy stojí na pokročilém Excelu, Power BI, doplňcích Office, na Teams jako oborovém standardu nebo na desítkách integrací, které už jsou v provozu. Změnit nástroj z právního důvodu a pak přijít o použití, na kterém firma stojí, je špatný počin. Stránka Microsoft 365, nebo suverénní řešení tuto hranici podrobně popisuje.
Zůstává vhodný také tehdy, když právní analýza předávání, smlouva o zpracování (DPA) a možnosti rezidence dat odpovídají skutečné potřebě záznamů o činnostech zpracování. Mnoho evropských firem používá Microsoft 365 nebo Google Workspace právě v tomto rámci. Říct to patří k poctivému srovnání. Potřebná ověření popisují články GDPR a Microsoft 365 a GDPR a Google Workspace.
Stává se vhodným, když vedení chce, aby společnost, která drží e-maily a soubory, byla evropská, aby podpora byla dostupná v tomto rámci a aby se používání vešlo do e-mailové služby, souborů a jejich online úprav, videokonferencí, CRM a telefonie. Stává se vhodným také pro nasazení u zákazníka, pokud firma nechce cloud vůbec.
Obě možnosti se nevylučují. Firma si může ponechat americký balík pro pracovní místa, která na něm závisí, a zbytek svěřit evropskému provozovateli. Takové uspořádání vyžaduje více správy; je opodstatněné, pokud je rozdělení použití jasné.
Průvodce Evropské alternativy k Microsoft 365 prochází Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, další hráče a Klytic, s typickým případem použití každého z nich.
Hypotetický případ. Malý či střední průmyslový podnik má dvě provozovny. Konstrukční oddělení pracuje v pokročilém Excelu a se svými zadavateli komunikuje přes Teams. Dílna, nákup a administrativa používají především e-mailovou službu a sdílené složky, v nichž jsou uloženy výkresy.
Jeden zadavatel požaduje, aby jeho výkresy držela evropská společnost. Pro konstrukční oddělení by odchod od pokročilého Excelu a Teams narušil práci se zákazníky: americký balík zůstává opodstatněný, s doloženou analýzou předávání. Pro výkresy a e-mailovou službu ostatních oddělení vyhoví požadavku evropský provozovatel, aniž by se cokoli z používání ztratilo. Rozhodnutí sleduje řádky tabulky, ne princip.
Ne. CLOUD Act se vztahuje na data, která poskytovatel podléhající americkému právu drží nebo kontroluje, bez ohledu na místo uložení. Evropský region omezuje předávání. Nemění společnost, která data drží.
Ano, pokud je závislý na skupině, která tomuto právu podléhá, nebo pokud svěřuje data zpracovateli, který mu podléhá. Proto je třeba prověřit mateřskou společnost a seznam zpracovatelů, nejen název provozovatele.
Poskytuje právní základ pro předávání certifikovaným americkým organizacím z pohledu GDPR. Je v platnosti a je napadán. Nemění státní příslušnost výrobce softwaru ani dosah příkazu podle amerického práva.
Klytic patří do druhého sloupce tabulky. Provozuje ho Dedicace Software, francouzská společnost. Hosting je možný v jakékoli geografické oblasti odpovídající rozhodné jurisdikci, s výhradou dostupnosti požadovaných služeb, například v Evropě nebo na Mauriciu, nebo na serverech zákazníka.
E-mailová služba stojí na Zimbra, kterou vyvíjí Synacor ve Spojených státech a provozuje Klytic. Dokumenty stojí na vyhrazené instanci Nextcloud pro každého zákazníka. Klytic nemá kvalifikaci SecNumCloud a nenahrazuje pokročilý Excel, Power BI ani Teams. Služby se kupují samostatně: firma si může ponechat Microsoft 365 a přidat pouze filtrování Klytic MTA, umístěné před její e-mailovou službu. Podrobnosti o hostingu najdete na stránce hosting a suverenita.
Tato stránka popisuje obecný rámec. Nenahrazuje analýzu vaší smlouvy.
Právní stav k 5. říjnu 2026. Tento text nenahrazuje analýzu smlouvy. Rozhodnutí o odpovídající ochraně EU–USA (EU) 2023/1795 je v platnosti. Je napadeno. Pro SecNumCloud je rozhodující katalog ANSSI.
Ověřeno v říjnu 2026.
E-mail, dokumenty, videokonference, CRM a telefonie, hostované v oblasti odpovídající vaší jurisdikci, například v Evropě nebo na Mauriciu, nebo u vás.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
