Suverenost
Europski i američki oblak razlikuju se prije svega po društvu koje kontrolira uslugu, zatim po pravu koje se primjenjuje na to društvo, a tek onda po državi u kojoj su poslužitelji. Dvije identične dvorane u Frankfurtu mogu biti podložne dvama različitim pravima.
Često se uspoređuju karte podatkovnih centara: Pariz, Dublin, Frankfurt. To je jednostavno i odgovara na sporedno pitanje. Da biste znali tko može biti prisiljen predati Vaše podatke, treba pogledati društvo koje ih drži i pravo kojem ono odgovara. Korisna usporedba suprotstavlja dva pravna položaja, a ne dvije države, i ne proglašava pobjednika: pravi izbor ovisi o načinima korištenja u tvrtki. Pojam suverenosti objašnjen je u članku što je suvereni oblak, a tablica kriterija za nabavu u članku definicija, kriteriji i ograničenja. Ova stranica uspoređuje.
Microsoft i Google društva su američkog prava. Njihovi europski ugovori, podružnice i podatkovni centri u Uniji ne mijenjaju tu činjenicu. Kada im se američko tijelo vlasti obrati u skladu s američkim pravom, pitanje postaje: drži li društvo podatke ili ima li kontrolu nad njima, uključujući kada su diskovi u Europi?
CLOUD Act, američki zakon iz 2018., daje odgovor za pružatelje usluga podložne jurisdikciji Sjedinjenih Država: valjani nalog može se odnositi na podatke koje drži pružatelj usluge, bez obzira na mjesto pohrane. To nije trajni pristup. To je postupak. Praktična poanta za kupca je drugdje: europska lokacija diska ne izuzima američkog pružatelja usluge iz tog postupka.
Ta društva nude stvarne mehanizme lokalizacije. Microsoft opisuje europsku granicu podataka (EU Data Boundary) za prihvatljive usluge: podaci klijenata i pseudonimizirani osobni podaci pohranjeni i obrađeni u EU-u ili EFTA-i, podaci profesionalnih usluga pohranjeni u mirovanju, uz dokumentirane iznimke (udaljeni pristup podrške, određene eskalacije, opcionalne funkcije, klijenti Multi-Geo izvan opsega). Google nudi regije podataka za obuhvaćeni sadržaj, ovisno o izdanju, i kontrolu pristupa podrške (Access Management) rezerviranu za određena izdanja i opcije. Ti mehanizmi smanjuju tokove podataka. Ali ne mijenjaju nacionalnost proizvođača softvera.
Američki proizvođač softvera koji služi europskim klijentima nalazi se između dvaju prava. Američko pravo može mu naložiti predaju podataka koje kontrolira. GDPR (Opća uredba o zaštiti podataka) u svojem članku 48 predviđa da se odluka suda ili tijela treće zemlje kojom se zahtijeva prijenos ili otkrivanje osobnih podataka može priznati ili izvršiti samo ako se temelji na međunarodnom sporazumu, primjerice ugovoru o uzajamnoj pravnoj pomoći, koji je na snazi između te zemlje i Unije ili države članice. Tekst ne govori kako proizvođač softvera usklađuje ta dva zahtjeva u konkretnom slučaju: na pružatelju usluge je da objasni svoju praksu, a na klijentu da je zatraži.
Američko pravo predviđa pravni lijek. Prema 18 U.S.C. § 2703(h), pružatelj usluge može zatražiti poništenje ili izmjenu naloga u roku od 14 dana od njegove dostave ako smatra da klijent nije „United States person”, ne boravi u Sjedinjenim Državama i da bi ga dostavljanje izložilo ozbiljnom riziku kršenja prava „kvalificirane strane vlade”. Riječ je o državi povezanoj sa Sjedinjenim Državama izvršnim sporazumom koji je stupio na snagu. Američko ministarstvo pravosuđa objavljuje sporazume s Ujedinjenim Kraljevstvom (potpisan 3. listopada 2019.) i Australijom (potpisan 15. prosinca 2021.). Nijedan sporazum nije na snazi s Europskom unijom; pregovori EU-a i SAD-a o elektroničkim dokazima nastavljeni su 2023.; stranica ministarstva ne spominje nikakav sporazum s Francuskom. A taj specifični mehanizam osporavanja pretpostavlja takav sporazum.
To je pitanje javno postavljeno u Francuskoj. Dana 10. lipnja 2025., pred istražnim povjerenstvom francuskog Senata za javnu nabavu, direktor za javne i pravne poslove Microsofta Francuska upitan je može li pod prisegom jamčiti da podaci francuskih građana povjereni Microsoftu putem Ugapa nikada neće biti preneseni, na temelju naloga američke vlade, bez izričite suglasnosti francuskih vlasti. Odgovorio je: „Ne, ne mogu to jamčiti, ali, ponavljam, to se još nikada nije dogodilo.” Odgovor sadrži oba elementa rasprave: jamstvo koje društvo ne može dati i slučaj koji se, prema njegovim riječima, nije dogodio.
Europskim oblakom, u korisnom smislu pojma, upravlja društvo europskog prava koje ne ovisi o grupi podložnoj američkoj obvezi predaje podataka. OVHcloud je francusko društvo. Nextcloud GmbH je njemačko društvo: izdaje softver kojim upravlja klijent ili pružatelj hostinga. BlueMind je francusko društvo za uslugu e-pošte. Infomaniak je švicarsko društvo: Švicarska je u Europi, izvan Europske unije, i za nju postoji odluka Komisije o primjerenosti. Svrstati ga u „američke” bilo bi pogrešno. Svrstati ga u „Europsku uniju” također bi bilo pogrešno.
Europsko pravo nije jedinstveni štit. Francuski operater odgovara francuskom pravu, njemački operater njemačkom pravu. Zahtjevi tijela vlasti postoje. Oni prolaze kroz suca i pravila zemlje operatera.
Europski karakter može se izgubiti i kroz podugovaranje: europski operater usluge koji sigurnosne kopije, filtriranje ili podršku povjeri američkom pružatelju usluge ponovno uvodi upravo ono što je kupac želio izbjeći. Stranica zaštita tvrtke od CLOUD Acta detaljno obrađuje tu točku.
| Pitanje | Oblak američkog proizvođača softvera, podaci u Europi | Oblak kojim upravlja europsko društvo |
|---|---|---|
| Gdje su diskovi? | Često po izboru, u regiji EU-a, uz pisane iznimke | Prema ugovoru: Francuska, Njemačka, druga država EU-a ili kod klijenta |
| Tko može biti pozvan u Sjedinjenim Državama da preda podatke koje kontrolira? | Američki proizvođač softvera, ako drži podatke ili ima kontrolu nad njima | Europski operater usluge u načelu ne, osim ako ovisi o grupi ili izvršitelju obrade koji to jest |
| Koji sud za lokalni zahtjev? | Pravo ugovora, često dopunjeno američkim pravom proizvođača softvera | Pravo zemlje operatera usluge |
| Napredne uredske funkcije | Vrlo široke (Office, Excel, Teams ili Docs i Google pretraživanje) | Različite ovisno o proizvodu. Rijetko jednakovrijedne za napredni Excel, Power BI ili ekosustav Teams |
| Izlazak podataka | Stvarni alati za izvoz, povijest razgovora i automatizacija često djelomični | Treba provjeriti ponudu po ponudu. Izvoz e-pošte (IMAP) obično je najjednostavniji |
Nijedan stupac ne pobjeđuje svugdje: američki proizvođač softvera prednjači u opsegu funkcija, europski operater usluge u pravnom položaju. Odlučiti znači znati koji redak ima najveću težinu za Vašu tvrtku.
Čak i kad su podaci pohranjeni u Europi, usluga američkog proizvođača softvera uključuje prijenose (pristup podrške, eskalacije, opcionalne funkcije), koji se moraju temeljiti na pravnoj osnovi iz GDPR-a.
Prethodni okvir, Privacy Shield (odluka 2016/1250), poništio je Sud Europske unije 16. srpnja 2020. (predmet C-311/18, poznat kao Schrems II), osobito zbog opsega američkih programa nadzora i nepostojanja djelotvornog pravnog lijeka. Standardne ugovorne klauzule ostaju valjane, ali zahtijevaju procjenu od slučaja do slučaja.
Na dan 5. listopada 2026. prijenosi certificiranim američkim organizacijama mogu se temeljiti na odluci o primjerenosti (EU) 2023/1795, poznatoj kao Data Privacy Framework. Ona je na snazi. Osporava se, kako ističu odvjetnička društva DAC Beachcroft i WilmerHale. Prema potonjem, Opći sud Europske unije odbio je 3. rujna 2025. tužbu za poništenje, a 31. listopada 2025. podnesena je žalba Sudu. Oprezna tvrtka dokumentira tu osnovu u svojoj evidenciji i predviđa što učiniti ako ona otpadne.
Ostaje prikladan kada se poslovanje oslanja na napredni Excel, Power BI, dodatke za Office, Teams kao standard u sektoru ili desetke integracija koje su već u produkciji. Promijeniti alat iz pravnih razloga, a zatim izgubiti način rada koji pokreće tvrtku, loša je računica. Stranica Microsoft 365 nasuprot suverenom rješenju detaljno opisuje taj prag.
Ostaje prikladan i kada pravna analiza prijenosa, DPA i opcije rezidentnosti podataka odgovaraju stvarnim potrebama evidencije. Mnoge europske tvrtke koriste Microsoft 365 ili Google Workspace u tom okviru. Reći to dio je poštene usporedbe. Provjere koje treba provesti opisane su u člancima GDPR i Microsoft 365 i GDPR i Google Workspace.
Postaje prikladan kada uprava želi da društvo koje drži e-poštu i datoteke bude europsko, da podrška bude dostupna u tom okviru i da se načini korištenja svode na e-poštu, datoteke i njihovo uređivanje na mreži, videokonferencije, CRM i telefoniju. Prikladan je i za implementaciju kod klijenta, kada tvrtka uopće ne želi oblak.
Te se dvije mogućnosti međusobno ne isključuju. Tvrtka može zadržati američki paket za radna mjesta koja o njemu ovise, a ostalo povjeriti europskom operateru usluge. Takav ustroj zahtijeva više administracije; opravdan je kada je razdvajanje načina korištenja jasno.
Vodič Europske alternative za Microsoft 365 daje pregled Microsoft 365, Google Workspacea, OVHclouda, Nextclouda, Infomaniaka, drugih aktera i Klytica, uz slučaj korištenja za svakoga od njih.
Hipotetski slučaj. Industrijsko MSP ima dvije lokacije. Projektni ured radi u naprednom Excelu i s naručiteljima komunicira putem Teamsa. Radionica, nabava i administracija uglavnom koriste e-poštu i dijeljene mape u kojima se nalaze nacrti.
Naručitelj traži da njegove nacrte drži europsko društvo. Za projektni ured napuštanje naprednog Excela i Teamsa poremetilo bi rad s klijentima: američki paket ostaje opravdan, uz dokumentiranu analizu prijenosa. Za nacrte i e-poštu ostalih službi europski operater usluge odgovara na zahtjev bez gubitka funkcionalnosti. Odluka slijedi retke tablice, a ne načelo.
Ne. CLOUD Act odnosi se na podatke koje pružatelj usluge podložan američkom pravu drži ili kontrolira, bez obzira na mjesto pohrane. Europska regija smanjuje prijenose. Ali ne mijenja društvo koje drži podatke.
Da, ako ovisi o grupi podložnoj tom pravu ili ako podatke povjerava izvršitelju obrade koji mu je podložan. Zato treba provjeriti matično društvo i popis izvršitelja obrade, a ne samo naziv operatera usluge.
Pruža pravnu osnovu za prijenose certificiranim američkim organizacijama u smislu GDPR-a. Na snazi je i osporava se. Ne mijenja ni nacionalnost proizvođača softvera ni doseg naloga predviđenog američkim pravom.
Klytic se svrstava u drugi stupac tablice. Njime upravlja Dedicace Software, francusko društvo. Hosting je moguć u svakoj geografskoj zoni koja odgovara mjerodavnoj jurisdikciji, pod uvjetom dostupnosti potrebnih usluga, primjerice u Europi ili na Mauricijusu, ili na poslužiteljima klijenta.
Usluga e-pošte temelji se na Zimbri, koju izdaje Synacor u Sjedinjenim Državama, a kojom upravlja Klytic. Dokumenti se temelje na zasebnoj instanci Nextclouda za svakog klijenta. Klytic nije kvalificiran prema SecNumCloudu i ne zamjenjuje napredni Excel, Power BI ni Teams. Usluge se kupuju zasebno: tvrtka može zadržati Microsoft 365 i dodati samo filtriranje Klytic MTA, postavljeno ispred njezine usluge e-pošte. Pojedinosti o hostingu nalaze se na stranici hosting i suverenost.
Ova stranica opisuje opći okvir. Ona ne zamjenjuje analizu Vašeg ugovora.
Pravno stanje na dan 5. listopada 2026. Ovaj tekst ne zamjenjuje pregled ugovora. Odluka o primjerenosti EU–SAD (EU) 2023/1795 na snazi je. Predmet je osporavanja. Za SecNumCloud mjerodavan je katalog ANSSI-ja.
Pristupljeno u listopadu 2026.
E-pošta, dokumenti, videokonferencije, CRM i telefonija, smješteni u zoni koja odgovara Vašoj jurisdikciji, primjerice u Europi ili na Mauricijusu, ili u Vašim prostorima.
Ponuda dobrodošlice
Probna ponuda bez obveze. Savjetnik će Vas nazvati kako bi razumio Vaše potrebe i pripremio Vaš Klytic prostor.
