Suverenita
Európsky a americký cloud sa líšia predovšetkým spoločnosťou, ktorá službu ovláda, potom právom, ktoré sa na túto spoločnosť vzťahuje, a až potom krajinou, v ktorej sú servery. Dve rovnaké serverovne vo Frankfurte môžu podliehať dvom rôznym právnym poriadkom.
Často sa porovnávajú mapy dátových centier: Paríž, Dublin, Frankfurt. Je to jednoduché a odpovedá to na vedľajšiu otázku. Ak chcete vedieť, koho možno prinútiť vydať vaše dáta, musíte sa pozrieť na spoločnosť, ktorá ich má, a na právo, ktorému sa zodpovedá. Užitočné porovnanie stavia proti sebe dve právne pozície, nie dve krajiny, a neurčuje víťaza: správna voľba závisí od toho, ako firma nástroje používa. Pojem suverenity je vysvetlený v časti čo je suverénny cloud a nákupná hodnotiaca tabuľka v časti definícia, kritériá a obmedzenia. Táto stránka porovnáva.
Microsoft a Google sú spoločnosti založené podľa amerického práva. Ich európske zmluvy, dcérske spoločnosti a dátové centrá v Únii na tom nič nemenia. Keď sa na ne obráti americký orgán podľa amerického práva, otázka znie: má spoločnosť dáta v držbe alebo pod kontrolou, aj keď sú disky v Európe?
CLOUD Act, americký zákon z roku 2018, na to odpovedá pre poskytovateľov podliehajúcich jurisdikcii Spojených štátov: platný príkaz sa môže vzťahovať na dáta, ktoré má poskytovateľ v držbe, bez ohľadu na miesto uloženia. Nejde o trvalý prístup. Ide o procesný postup. Praktický bod pre kupujúceho je inde: európske umiestnenie disku amerického poskytovateľa z tohto postupu nevyníma.
Tieto spoločnosti ponúkajú skutočné mechanizmy lokalizácie. Microsoft opisuje európsku hranicu dát (EU Data Boundary) pre oprávnené služby: zákaznícke dáta a pseudonymizované osobné údaje uložené a spracúvané v EÚ alebo EZVO, dáta profesionálnych služieb uložené v pokoji, so zdokumentovanými výnimkami (vzdialený prístup podpory, niektoré eskalácie, voliteľné funkcie, klienti Multi-Geo mimo rozsahu). Google ponúka dátové regióny pre pokrytý obsah podľa edície a kontrolu prístupu podpory (Access Management) vyhradenú pre konkrétne edície a možnosti. Tieto mechanizmy znižujú toky dát. Národnosť výrobcu softvéru však nemenia.
Americký výrobca softvéru, ktorý obsluhuje európskych klientov, sa ocitá medzi dvoma právnymi poriadkami. Americké právo mu môže uložiť vydať dáta, ktoré má pod kontrolou. GDPR (všeobecné nariadenie o ochrane údajov) v článku 48 stanovuje, že rozhodnutie súdu alebo orgánu tretej krajiny, ktoré vyžaduje prenos alebo poskytnutie osobných údajov, možno uznať alebo vykonať len vtedy, ak je založené na medzinárodnej dohode, napríklad na zmluve o vzájomnej právnej pomoci, platnej medzi touto krajinou a Úniou alebo členským štátom. Text nehovorí, ako výrobca softvéru tieto dve požiadavky v konkrétnom prípade zosúladí: je na poskytovateľovi, aby svoju prax vysvetlil, a na klientovi, aby sa naň opýtal.
Americké právo upravuje opravný prostriedok. Podľa 18 U.S.C. § 2703(h) môže poskytovateľ do 14 dní od doručenia príkazu požiadať o jeho zrušenie alebo zmenu, ak sa domnieva, že klient nie je „United States person“, nemá bydlisko v Spojených štátoch a vydanie by ho vystavilo vážnemu riziku porušenia práva „kvalifikovanej zahraničnej vlády“. Ide o štát, ktorý so Spojenými štátmi spája vykonávacia dohoda, ktorá nadobudla platnosť. Americké ministerstvo spravodlivosti zverejňuje dohody so Spojeným kráľovstvom (podpísaná 3. októbra 2019) a s Austráliou (podpísaná 15. decembra 2021). S Európskou úniou nie je v platnosti žiadna dohoda; rokovania EÚ – Spojené štáty o elektronických dôkazoch sa obnovili v roku 2023; stránka ministerstva neuvádza žiadnu dohodu s Francúzskom. Tento osobitný mechanizmus napadnutia pritom takúto dohodu predpokladá.
Táto otázka bola vo Francúzsku položená verejne. Dňa 10. júna 2025 sa pred vyšetrovacou komisiou Senátu pre verejné obstarávanie riaditeľa pre verejné a právne záležitosti Microsoft France pýtali, či môže pod prísahou zaručiť, že dáta francúzskych občanov zverené spoločnosti Microsoft prostredníctvom Ugap nebudú nikdy na základe príkazu americkej vlády odovzdané bez výslovného súhlasu francúzskych orgánov. Odpovedal: „Nie, nemôžem to zaručiť, ale, opäť, ešte sa to nikdy nestalo.“ Odpoveď obsahuje oba prvky debaty: záruku, ktorú spoločnosť nemôže dať, a prípad, ktorý podľa nej nenastal.
Európsky cloud v užitočnom zmysle slova prevádzkuje spoločnosť založená podľa európskeho práva, ktorá nezávisí od skupiny podliehajúcej americkej povinnosti vydať dáta. OVHcloud je francúzska spoločnosť. Nextcloud GmbH je nemecká spoločnosť: vydáva softvér, ktorý prevádzkuje klient alebo poskytovateľ hostingu. BlueMind je francúzska spoločnosť pôsobiaca v oblasti e-mailových služieb. Infomaniak je švajčiarska spoločnosť: Švajčiarsko leží v Európe, mimo Európskej únie, a vzťahuje sa naň rozhodnutie Komisie o primeranosti. Zaradiť ju medzi „americké“ by bolo nesprávne. Zaradiť ju do „Európskej únie“ by bolo tiež nesprávne.
Európske právo nie je jednotný štít. Francúzsky operátor sa zodpovedá francúzskemu právu, nemecký operátor nemeckému. Žiadosti orgánov existujú. Prechádzajú cez súd a pravidlá krajiny operátora.
Európsky charakter sa môže stratiť aj pri využívaní sprostredkovateľov: európsky operátor služby, ktorý zverí zálohy, filtrovanie alebo podporu americkému poskytovateľovi, znovu zavádza presne to, čomu sa chcel kupujúci vyhnúť. Stránka ochrana firmy pred CLOUD Act tento bod podrobne rozoberá.
| Otázka | Cloud amerického výrobcu softvéru, dáta v Európe | Cloud prevádzkovaný európskou spoločnosťou |
|---|---|---|
| Kde sú disky? | Často podľa voľby, v regióne EÚ, s písomnými výnimkami | Podľa zmluvy: Francúzsko, Nemecko, iná krajina EÚ alebo u klienta |
| Koho možno v Spojených štátoch predvolať, aby vydal dáta, ktoré má pod kontrolou? | Amerického výrobcu softvéru, ak ich má v držbe alebo pod kontrolou | Európskeho operátora služby v zásade nie, pokiaľ nezávisí od skupiny alebo sprostredkovateľa, ktorý mu podlieha |
| Ktorý súd pri miestnej žiadosti? | Právo zmluvy, často doplnené americkým právom výrobcu softvéru | Právo krajiny operátora služby |
| Pokročilé kancelárske funkcie | Veľmi široké (Office, Excel, Teams alebo Docs a vyhľadávanie Google) | Rôzne podľa produktu. Zriedka rovnocenné v pokročilom Exceli, Power BI alebo ekosystéme Teams |
| Odchod s dátami | Skutočné nástroje na export, história chatu a automatizácií často len čiastočne | Treba posúdiť ponuku po ponuke. Export e-mailov (IMAP) je spravidla najjednoduchší |
Žiadny stĺpec nevyhráva všade: americký výrobca softvéru vedie v rozsahu funkcií, európsky operátor služby v právnej pozícii. Rozhodnúť znamená vedieť, ktorý riadok má pre vašu firmu najväčšiu váhu.
Aj keď sú dáta uložené v Európe, služba amerického výrobcu softvéru zahŕňa prenosy (prístup podpory, eskalácie, voliteľné funkcie), ktoré musia mať právny základ podľa GDPR.
Predchádzajúci rámec, Privacy Shield (rozhodnutie 2016/1250), zrušil Súdny dvor Európskej únie 16. júla 2020 (vec C-311/18, tzv. Schrems II), najmä pre rozsah amerických programov sledovania a absenciu účinného opravného prostriedku. Štandardné zmluvné doložky zostávajú platné, ale vyžadujú posúdenie v každom jednotlivom prípade.
K 5. októbru 2026 sa prenosy do certifikovaných amerických organizácií môžu opierať o rozhodnutie o primeranosti (EÚ) 2023/1795, tzv. Data Privacy Framework. Je v platnosti. Je napadnuté, ako uvádzajú advokátske kancelárie DAC Beachcroft a WilmerHale. Podľa druhej z nich Všeobecný súd Európskej únie 3. septembra 2025 zamietol žalobu o neplatnosť a 31. októbra 2025 bolo na Súdny dvor podané odvolanie. Obozretná firma tento právny základ zdokumentuje vo svojich záznamoch a pripraví si postup pre prípad, že padne.
Zostáva vhodný, ak činnosť firmy stojí na pokročilom Exceli, Power BI, doplnkoch Office, Teams ako štandarde odvetvia alebo na desiatkach integrácií, ktoré sú už v produkcii. Zmeniť nástroj z právneho dôvodu a potom prísť o spôsob použitia, ktorý firmu poháňa, je zlý výpočet. Stránka Microsoft 365 verzus suverénne riešenie tento prah podrobne opisuje.
Zostáva vhodný aj vtedy, keď právna analýza prenosu, DPA a možnosti rezidencie dát zodpovedajú skutočnej potrebe záznamov o spracovateľských činnostiach. Mnoho európskych firiem používa Microsoft 365 alebo Google Workspace v tomto rámci. Povedať to patrí k poctivému porovnaniu. Potrebné overenia sú opísané v častiach GDPR a Microsoft 365 a GDPR a Google Workspace.
Je vhodný, ak vedenie chce, aby spoločnosť, ktorá má e-maily a súbory, bola európska, aby podpora bola dostupná v tomto rámci a aby sa spôsoby použitia zmestili do e-mailovej služby, súborov a ich online úprav, videokonferencií, CRM a telefónie. Je vhodný aj pre nasadenie u klienta, ak firma cloud vôbec nechce.
Tieto dve možnosti sa navzájom nevylučujú. Firma si môže ponechať americký balík pre pracovné miesta, ktoré od neho závisia, a zvyšok zveriť európskemu operátorovi služby. Takéto usporiadanie si vyžaduje viac správy; je opodstatnené, ak je rozdelenie spôsobov použitia jasné.
Sprievodca Európske alternatívy k Microsoft 365 prechádza Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, ďalších hráčov a Klytic, s prípadom použitia pre každého z nich.
Hypotetický prípad. Priemyselný MSP má dve prevádzky. Konštrukčná kancelária pracuje v pokročilom Exceli a s odberateľmi komunikuje cez Teams. Dielňa, nákup a administratíva používajú najmä e-mailovú službu a zdieľané priečinky, v ktorých sú výkresy.
Jeden odberateľ požaduje, aby jeho výkresy mala európska spoločnosť. Pre konštrukčnú kanceláriu by opustenie pokročilého Excelu a Teams narušilo prácu s klientmi: americký balík zostáva opodstatnený, so zdokumentovanou analýzou prenosu. Pre výkresy a e-mailovú službu ostatných oddelení vyhovie požiadavke európsky operátor služby bez straty funkčnosti. Rozhodnutie sleduje riadky tabuľky, nie princíp.
Nie. CLOUD Act sa vzťahuje na dáta, ktoré má poskytovateľ podliehajúci americkému právu v držbe alebo pod kontrolou, bez ohľadu na miesto uloženia. Európsky región znižuje prenosy. Nemení spoločnosť, ktorá dáta má.
Áno, ak závisí od skupiny podliehajúcej tomuto právu alebo ak zverí dáta sprostredkovateľovi, ktorý mu podlieha. Preto treba preveriť materskú spoločnosť a zoznam sprostredkovateľov, nielen názov operátora služby.
Poskytuje právny základ pre prenosy do certifikovaných amerických organizácií z hľadiska GDPR. Je v platnosti a je napadnutý. Nemení ani národnosť výrobcu softvéru, ani dosah príkazu podľa amerického práva.
Klytic patrí do druhého stĺpca tabuľky. Prevádzkuje ho Dedicace Software, francúzska spoločnosť. Hosting je možný v ktorejkoľvek geografickej zóne zodpovedajúcej príslušnej jurisdikcii, ak sú dostupné požadované služby, napríklad v Európe alebo na Mauríciu, alebo na serveroch klienta.
E-mailová služba je založená na Zimbra, ktorú vydáva Synacor v Spojených štátoch a prevádzkuje Klytic. Dokumenty sú založené na vyhradenej inštancii Nextcloud pre každého klienta. Klytic nemá kvalifikáciu SecNumCloud a nenahrádza pokročilý Excel, Power BI ani Teams. Služby sa nakupujú samostatne: firma si môže ponechať Microsoft 365 a pridať len filtrovanie Klytic MTA umiestnené pred jej e-mailovou službou. Podrobnosti o hostingu nájdete na stránke hosting a suverenita.
Táto stránka opisuje všeobecný rámec. Nenahrádza analýzu vašej zmluvy.
Právny stav ku dňu 5. októbra 2026. Tento text nenahrádza analýzu zmluvy. Rozhodnutie o primeranosti ochrany medzi EÚ a USA (EÚ) 2023/1795 je v platnosti. Je napadnuté. Pre SecNumCloud je smerodajný katalóg ANSSI.
Overené v októbri 2026.
E-mail, dokumenty, videokonferencie, CRM a telefónia, hostované v zóne zodpovedajúcej vašej jurisdikcii, napríklad v Európe alebo na Mauríciu, alebo vo vašich priestoroch.
Uvítacia ponuka
Skúšobná ponuka bez záväzkov. Poradca vám zavolá, aby pochopil vaše potreby a pripravil vaše prostredie Klytic.
