Strona główna›Poradniki›Suwerenność
Suwerenność
Chmurę europejską od amerykańskiej odróżnia przede wszystkim spółka kontrolująca usługę, następnie prawo, któremu ta spółka podlega, a dopiero w dalszej kolejności państwo, w którym stoją serwery. Dwie identyczne serwerownie we Frankfurcie mogą podlegać dwóm różnym porządkom prawnym.
Często porównuje się mapy centrów danych: Paryż, Dublin, Frankfurt. To łatwe, ale odpowiada na pytanie drugorzędne. Aby wiedzieć, kogo można zmusić do wydania Państwa danych, trzeba przyjrzeć się spółce, która je przechowuje, i prawu, któremu podlega. Użyteczne porównanie zestawia dwie pozycje prawne, a nie dwa państwa, i nie wskazuje zwycięzcy: właściwy wybór zależy od sposobu pracy firmy. Pojęcie suwerenności wyjaśniono w artykule czym jest suwerenna chmura, a tabelę ocen do zakupów w artykule definicja, kryteria i ograniczenia. Ta strona porównuje.
Microsoft i Google to spółki prawa amerykańskiego. Ich europejskie umowy, spółki zależne i centra danych w Unii nie zmieniają tego faktu. Gdy amerykański organ zwraca się do nich na podstawie prawa amerykańskiego, pytanie brzmi: czy spółka ma dane w posiadaniu lub pod kontrolą, także wtedy, gdy dyski znajdują się w Europie?
CLOUD Act, amerykańska ustawa z 2018 roku, odpowiada na to w odniesieniu do dostawców podlegających jurysdykcji Stanów Zjednoczonych: ważny nakaz może dotyczyć danych będących w posiadaniu dostawcy, niezależnie od miejsca ich przechowywania. Nie jest to stały dostęp. To procedura. Praktyczna kwestia dla kupującego leży gdzie indziej: europejska lokalizacja dysku nie wyłącza amerykańskiego dostawcy z tej procedury.
Spółki te oferują rzeczywiste mechanizmy lokalizacji danych. Microsoft opisuje europejską granicę danych (EU Data Boundary) dla kwalifikujących się usług: dane klienta i spseudonimizowane dane osobowe przechowywane i przetwarzane w UE lub EFTA, dane usług profesjonalnych przechowywane w spoczynku, z udokumentowanymi wyjątkami (zdalny dostęp wsparcia, niektóre eskalacje, funkcje opcjonalne, klienci Multi-Geo poza zakresem). Google oferuje regiony danych dla objętych nimi treści, w zależności od edycji, oraz kontrolę dostępu wsparcia (Access Management) zastrzeżoną dla określonych edycji i opcji. Mechanizmy te ograniczają przepływy danych. Nie zmieniają narodowości producenta oprogramowania.
Amerykański producent oprogramowania obsługujący klientów europejskich znajduje się między dwoma porządkami prawnymi. Prawo amerykańskie może nakazać mu wydanie danych, które kontroluje. RODO (ogólne rozporządzenie o ochronie danych) w art. 48 stanowi, że wyrok sądu lub decyzja organu państwa trzeciego wymagające przekazania lub ujawnienia danych osobowych mogą zostać uznane lub być wykonalne wyłącznie na podstawie umowy międzynarodowej, na przykład umowy o wzajemnej pomocy prawnej, obowiązującej między tym państwem a Unią lub państwem członkowskim. Przepis nie mówi, jak producent oprogramowania godzi te dwa wymogi w konkretnej sprawie: to dostawca powinien wyjaśnić swoją praktykę, a klient powinien o nią zapytać.
Prawo amerykańskie przewiduje środek odwoławczy. Zgodnie z 18 U.S.C. § 2703(h) dostawca może w ciągu 14 dni od doręczenia nakazu wnieść o jego uchylenie lub zmianę, jeśli uważa, że klient nie jest „United States person”, nie przebywa w Stanach Zjednoczonych, a ujawnienie narażałoby dostawcę na poważne ryzyko naruszenia prawa „kwalifikowanego rządu zagranicznego”. Chodzi o państwo związane ze Stanami Zjednoczonymi umową wykonawczą, która weszła w życie. Amerykański Departament Sprawiedliwości publikuje umowy z Wielką Brytanią (podpisaną 3 października 2019) i Australią (podpisaną 15 grudnia 2021). Żadna umowa z Unią Europejską nie obowiązuje; negocjacje UE–USA w sprawie dowodów elektronicznych wznowiono w 2023 roku; strona Departamentu nie wymienia żadnej umowy z Francją. Tymczasem ten szczególny mechanizm zaskarżenia zakłada istnienie takiej umowy.
Pytanie to padło publicznie we Francji. 10 czerwca 2025 roku, przed senacką komisją śledczą ds. zamówień publicznych, dyrektora ds. publicznych i prawnych Microsoft France zapytano, czy może zagwarantować pod przysięgą, że dane obywateli francuskich powierzone Microsoft za pośrednictwem Ugap nigdy nie zostaną przekazane, w następstwie nakazu rządu amerykańskiego, bez wyraźnej zgody władz francuskich. Odpowiedział: „Nie, nie mogę tego zagwarantować, ale, powtarzam, to się jeszcze nigdy nie zdarzyło.” Odpowiedź zawiera oba elementy debaty: gwarancję, której spółka nie może dać, oraz przypadek, który według niej nie wystąpił.
Chmura europejska, w użytecznym znaczeniu tego słowa, jest obsługiwana przez spółkę prawa europejskiego, która nie zależy od grupy podlegającej amerykańskiemu obowiązkowi wydania danych. OVHcloud to spółka francuska. Nextcloud GmbH to spółka niemiecka: produkuje oprogramowanie, którego operatorem jest klient lub dostawca hostingu. BlueMind to francuska spółka oferująca pocztę e-mail. Infomaniak to spółka szwajcarska: Szwajcaria leży w Europie, poza Unią Europejską, i korzysta z decyzji Komisji stwierdzającej odpowiedni stopień ochrony. Zaliczenie jej do „amerykańskich” byłoby błędne. Zaliczenie jej do „unijnych” również.
Prawo europejskie nie jest jednolitą tarczą. Francuski operator podlega prawu francuskiemu, niemiecki – prawu niemieckiemu. Żądania organów istnieją. Przechodzą przez sąd i reguły państwa operatora.
Europejski charakter można też utracić przez podwykonawstwo: europejski operator, który powierza kopie zapasowe, filtrowanie lub wsparcie amerykańskiemu dostawcy, przywraca to, czego kupujący chciał uniknąć. Strona ochrona firmy przed CLOUD Act szczegółowo omawia tę kwestię.
| Pytanie | Chmura amerykańskiego producenta, dane w Europie | Chmura obsługiwana przez spółkę europejską |
|---|---|---|
| Gdzie są dyski? | Często do wyboru, w regionie UE, z pisemnymi wyjątkami | Zgodnie z umową: Francja, Niemcy, inne państwo UE lub u klienta |
| Kogo można wezwać w Stanach Zjednoczonych do wydania danych, które kontroluje? | Amerykańskiego producenta, jeśli ma dane w posiadaniu lub pod kontrolą | Co do zasady nie europejskiego operatora, chyba że zależy od grupy lub podwykonawcy, którzy temu podlegają |
| Jaki sąd w przypadku żądania lokalnego? | Prawo umowy, często uzupełnione amerykańskim prawem producenta | Prawo państwa operatora |
| Zaawansowane funkcje biurowe | Bardzo szerokie (Office, Excel, Teams albo Docs i wyszukiwarka Google) | Zależne od produktu. Rzadko równoważne w zakresie zaawansowanego Excela, Power BI czy ekosystemu Teams |
| Odzyskanie danych | Rzeczywiste narzędzia eksportu, historie czatów i automatyzacji często częściowe | Do sprawdzenia oferta po ofercie. Eksport poczty (IMAP) jest zazwyczaj najprostszy |
Żadna kolumna nie wygrywa wszędzie: amerykański producent wygrywa zakresem funkcji, europejski operator pozycją prawną. Podjąć decyzję to wiedzieć, który wiersz waży najwięcej dla Państwa firmy.
Nawet gdy dane są przechowywane w Europie, usługa amerykańskiego producenta wiąże się z przekazywaniem danych (dostęp wsparcia, eskalacje, funkcje opcjonalne), które musi opierać się na podstawie przewidzianej w RODO.
Poprzednie ramy, Privacy Shield (decyzja 2016/1250), zostały unieważnione przez Trybunał Sprawiedliwości Unii Europejskiej 16 lipca 2020 roku (sprawa C-311/18, tzw. Schrems II), w szczególności ze względu na zakres amerykańskich programów inwigilacji i brak skutecznego środka prawnego. Standardowe klauzule umowne pozostają ważne, ale wymagają oceny w każdym przypadku z osobna.
Według stanu na 5 października 2026 roku przekazywanie danych do certyfikowanych organizacji amerykańskich może opierać się na decyzji stwierdzającej odpowiedni stopień ochrony (UE) 2023/1795, tzw. Data Privacy Framework. Decyzja obowiązuje. Jest kwestionowana, na co zwracają uwagę kancelarie DAC Beachcroft i WilmerHale. Według tej ostatniej Sąd Unii Europejskiej oddalił 3 września 2025 roku skargę o stwierdzenie nieważności, a 31 października 2025 roku wniesiono odwołanie do Trybunału Sprawiedliwości. Ostrożna firma dokumentuje tę podstawę w swoim rejestrze i przewiduje, co zrobi, jeśli ona upadnie.
Pozostaje odpowiednia, gdy działalność opiera się na zaawansowanym Excelu, Power BI, dodatkach do Office, Teams jako standardzie branżowym lub dziesiątkach integracji działających już produkcyjnie. Zmiana narzędzia z powodów prawnych, a następnie utrata tego, co napędza firmę, to zły rachunek. Strona Microsoft 365 a rozwiązanie suwerenne szczegółowo omawia ten próg.
Pozostaje odpowiednia także wtedy, gdy analiza prawna przekazywania danych, umowa powierzenia przetwarzania (DPA) i opcje rezydencji danych odpowiadają rzeczywistym potrzebom rejestru. Wiele europejskich firm korzysta z Microsoft 365 lub Google Workspace w tych ramach. Powiedzenie tego wprost jest częścią uczciwego porównania. Niezbędne weryfikacje opisano w artykułach RODO i Microsoft 365 oraz RODO i Google Workspace.
Staje się odpowiedni, gdy zarząd chce, aby spółka przechowująca e-maile i pliki była spółką europejską, aby wsparcie było osiągalne w tych ramach, a potrzeby mieściły się w poczcie e-mail, plikach i ich edycji online, wideokonferencjach, CRM i telefonii. Staje się odpowiedni również przy wdrożeniu u klienta, gdy firma w ogóle nie chce chmury.
Obie opcje się nie wykluczają. Firma może zachować amerykański pakiet dla stanowisk, które od niego zależą, a resztę powierzyć europejskiemu operatorowi. Taki układ wymaga więcej administracji; jest uzasadniony, gdy podział zastosowań jest wyraźny.
Przewodnik Europejskie alternatywy dla Microsoft 365 omawia Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, innych dostawców oraz Klytic, wraz z przypadkiem użycia każdego z nich.
Przypadek hipotetyczny. Przemysłowa firma z sektora MŚP ma dwa zakłady. Biuro projektowe pracuje w zaawansowanym Excelu i komunikuje się ze zleceniodawcami przez Teams. Warsztat, dział zakupów i administracja korzystają głównie z poczty e-mail i folderów współdzielonych, w których znajdują się rysunki techniczne.
Jeden ze zleceniodawców żąda, aby jego rysunki były przechowywane przez spółkę europejską. W przypadku biura projektowego rezygnacja z zaawansowanego Excela i Teams zdezorganizowałaby współpracę z klientami: amerykański pakiet pozostaje uzasadniony, z udokumentowaną analizą przekazywania danych. W przypadku rysunków i poczty e-mail pozostałych działów europejski operator spełnia żądanie bez utraty funkcjonalności. Decyzja wynika z wierszy tabeli, a nie z zasady.
Nie. CLOUD Act dotyczy danych, które dostawca podlegający prawu amerykańskiemu ma w posiadaniu lub pod kontrolą, niezależnie od miejsca przechowywania. Region europejski ogranicza przekazywanie danych. Nie zmienia spółki, która je przechowuje.
Tak, jeśli zależy od grupy podlegającej temu prawu lub powierza dane podwykonawcy, który mu podlega. Dlatego należy sprawdzić spółkę dominującą i listę podwykonawców, a nie tylko nazwę operatora.
Zapewnia podstawę przekazywania danych do certyfikowanych organizacji amerykańskich w świetle RODO. Obowiązuje i jest kwestionowany. Nie zmienia ani narodowości producenta oprogramowania, ani zakresu nakazu przewidzianego przez prawo amerykańskie.
Klytic mieści się w drugiej kolumnie tabeli. Jego operatorem jest Dedicace Software, spółka francuska. Hosting jest możliwy w każdej strefie geograficznej odpowiadającej właściwej jurysdykcji, z zastrzeżeniem dostępności wymaganych usług, na przykład w Europie lub na Mauritiusie, albo na serwerach klienta.
Poczta e-mail opiera się na Zimbra, którego producentem jest Synacor w Stanach Zjednoczonych, a operatorem Klytic. Dokumenty opierają się na dedykowanej instancji Nextcloud dla każdego klienta. Klytic nie posiada kwalifikacji SecNumCloud i nie zastępuje zaawansowanego Excela, Power BI ani Teams. Usługi kupuje się oddzielnie: firma może zachować Microsoft 365 i dodać jedynie filtrowanie Klytic MTA, umieszczone przed swoją pocztą. Szczegóły hostingu znajdą Państwo na stronie hosting i suwerenność.
Ta strona opisuje ogólne ramy. Nie zastępuje analizy Państwa umowy.
Stan prawny na 5 października 2026 r. Ten tekst nie zastępuje analizy umowy. Decyzja stwierdzająca odpowiedni stopień ochrony UE–USA (UE) 2023/1795 obowiązuje. Jest kwestionowana. W sprawie SecNumCloud rozstrzygający jest katalog ANSSI.
Sprawdzono w październiku 2026.
Poczta, dokumenty, wideokonferencje, CRM i telefonia, hostowane w strefie odpowiadającej Państwa jurysdykcji, na przykład w Europie lub na Mauritiusie, albo w Państwa siedzibie.
Oferta powitalna
Oferta próbna bez zobowiązań. Doradca oddzwoni do Państwa, aby poznać Państwa potrzeby i przygotować przestrzeń Klytic.
