Suverenost
Evropski in ameriški oblak se razlikujeta najprej po družbi, ki obvladuje storitev, nato po pravu, ki velja za to družbo, in šele nato po državi, v kateri so strežniki. Dve enaki dvorani v Frankfurtu lahko spadata pod dve različni pravi.
Pogosto se primerjajo zemljevidi podatkovnih centrov: Pariz, Dublin, Frankfurt. To je preprosto in odgovarja na drugotno vprašanje. Da bi vedeli, koga je mogoče prisiliti, da izroči vaše podatke, morate pogledati družbo, ki jih hrani, in pravo, ki mu je podvržena. Koristna primerjava postavlja nasproti dva pravna položaja, ne dveh držav, in ne razglasi zmagovalca: prava izbira je odvisna od načinov uporabe v podjetju. Pojem suverenosti je pojasnjen na strani kaj je suvereni oblak, nabavna ocenjevalna tabela pa na strani opredelitev, merila in omejitve. Ta stran primerja.
Microsoft in Google sta družbi ameriškega prava. Njune evropske pogodbe, hčerinske družbe in podatkovni centri v Uniji tega dejstva ne odpravijo. Ko se nanju obrne ameriški organ po ameriškem pravu, se postavi vprašanje: ali ima družba podatke v posesti ali pod nadzorom, tudi kadar so diski v Evropi?
CLOUD Act, ameriški zakon iz leta 2018, na to odgovarja za ponudnike pod pristojnostjo Združenih držav: veljaven nalog se lahko nanaša na podatke, ki jih hrani ponudnik, ne glede na kraj shranjevanja. To ni stalen dostop. Je postopek. Praktična točka za kupca je drugje: evropska lokacija diska ameriškega ponudnika ne izvzame iz tega postopka.
Te družbe ponujajo dejanske mehanizme lokalizacije. Microsoft opisuje evropsko mejo podatkov (EU Data Boundary) za upravičene storitve: podatki strank in psevdonimizirani osebni podatki, shranjeni in obdelani v EU ali EFTA, podatki strokovnih storitev, shranjeni v mirovanju, z dokumentiranimi izjemami (oddaljeni dostop podpore, nekatere eskalacije, izbirne funkcije, stranke Multi-Geo zunaj obsega). Google ponuja podatkovne regije za zajete vsebine, odvisno od izdaje, in nadzor dostopa podpore (Access Management), ki je na voljo samo za določene izdaje in možnosti. Ti mehanizmi zmanjšujejo tokove podatkov. Ne spremenijo pa državljanstva proizvajalca programske opreme.
Ameriški proizvajalec programske opreme, ki služi evropskim strankam, se znajde med dvema pravnima redoma. Ameriško pravo mu lahko naloži, da izroči podatke, ki jih nadzoruje. GDPR (Splošna uredba o varstvu podatkov) v členu 48 določa, da se odločba sodišča ali organa tretje države, ki zahteva prenos ali razkritje osebnih podatkov, lahko prizna ali izvrši le, če temelji na mednarodnem sporazumu, na primer pogodbi o medsebojni pravni pomoči, ki velja med to državo in Unijo ali državo članico. Besedilo ne pove, kako proizvajalec v konkretnem primeru uskladi ti dve zahtevi: ponudnik mora pojasniti svojo prakso, stranka pa ga mora za to vprašati.
Ameriško pravo predvideva pravno sredstvo. V skladu z 18 U.S.C. § 2703(h) lahko ponudnik v 14 dneh po vročitvi naloga zahteva njegovo razveljavitev ali spremembo, če meni, da stranka ni „United States person“, ne prebiva v Združenih državah in da bi ga razkritje izpostavilo resnemu tveganju kršitve prava „kvalificirane tuje vlade“. Gre za državo, ki je z Združenimi državami povezana z izvršilnim sporazumom, ki je začel veljati. Ameriško ministrstvo za pravosodje objavlja sporazuma z Združenim kraljestvom (podpisan 3. oktobra 2019) in Avstralijo (podpisan 15. decembra 2021). Z Evropsko unijo ne velja noben sporazum; pogajanja med EU in ZDA o elektronskih dokazih so se nadaljevala leta 2023; stran ministrstva ne omenja nobenega sporazuma s Francijo. Ta posebni mehanizem izpodbijanja pa tak sporazum predpostavlja.
V Franciji je bilo vprašanje postavljeno javno. Dne 10. junija 2025 so pred preiskovalno komisijo senata o javnem naročanju direktorja za javne in pravne zadeve družbe Microsoft France vprašali, ali lahko pod prisego jamči, da podatki francoskih državljanov, zaupani Microsoftu prek Ugap, na podlagi naloga ameriške vlade nikoli ne bodo posredovani brez izrecnega soglasja francoskih organov. Odgovoril je: „Ne, tega ne morem zagotoviti, vendar, ponavljam, to se še nikoli ni zgodilo.“ Odgovor vsebuje oba elementa razprave: jamstvo, ki ga družba ne more dati, in primer, ki se po njenih besedah ni zgodil.
Evropski oblak v koristnem pomenu besede upravlja družba evropskega prava, ki ni odvisna od skupine, za katero velja ameriška obveznost izročitve podatkov. OVHcloud je francoska družba. Nextcloud GmbH je nemška družba: izdaja programsko opremo, ki jo upravlja stranka ali ponudnik gostovanja. BlueMind je francoska družba za e-pošto. Infomaniak je švicarska družba: Švica je v Evropi, zunaj Evropske unije, in zanjo velja sklep Komisije o ustreznosti. Uvrstiti jo med „ameriške“ bi bilo napačno. Uvrstiti jo v „Evropsko unijo“ bi bilo prav tako napačno.
Evropsko pravo ni enoten ščit. Za francoskega operaterja velja francosko pravo, za nemškega nemško. Zahteve organov obstajajo. Gredo prek sodišča in pravil države operaterja storitve.
Evropski značaj se lahko izgubi tudi pri podizvajanju: evropski operater storitve, ki varnostne kopije, filtriranje ali podporo zaupa ameriškemu ponudniku, znova uvede tisto, čemur se je kupec želel izogniti. Stran zaščita podjetja pred CLOUD Act to točko podrobno opisuje.
| Vprašanje | Oblak ameriškega proizvajalca, podatki v Evropi | Oblak, ki ga upravlja evropska družba |
|---|---|---|
| Kje so diski? | Pogosto po izbiri, v regiji EU, s pisnimi izjemami | Glede na pogodbo: Francija, Nemčija, druga država EU ali pri stranki |
| Koga je mogoče v Združenih državah pozvati, da izroči podatke, ki jih nadzoruje? | Ameriškega proizvajalca, če ima podatke v posesti ali pod nadzorom | Evropskega operaterja storitve načeloma ne, razen če je odvisen od skupine ali obdelovalca, ki ga je mogoče pozvati |
| Katero sodišče za domačo zahtevo? | Pravo pogodbe, pogosto dopolnjeno z ameriškim pravom proizvajalca | Pravo države operaterja storitve |
| Napredne pisarniške funkcije | Zelo obsežne (Office, Excel, Teams ali Docs in iskanje Google) | Različne, odvisno od izdelka. Redko enakovredne pri naprednem Excelu, Power BI ali ekosistemu Teams |
| Izstop s podatki | Dejanska orodja za izvoz, zgodovine klepetov in avtomatizacij pogosto delne | Treba je preveriti ponudbo za ponudbo. Izvoz e-pošte (IMAP) je praviloma najpreprostejši |
Noben stolpec ne zmaga povsod: ameriški proizvajalec prevlada pri obsegu funkcij, evropski operater storitve pri pravnem položaju. Odločiti se pomeni vedeti, katera vrstica je za vaše podjetje najpomembnejša.
Tudi kadar so podatki shranjeni v Evropi, storitev ameriškega proizvajalca vključuje prenose (dostop podpore, eskalacije, izbirne funkcije), ki morajo temeljiti na pravni podlagi iz GDPR.
Prejšnji okvir, Privacy Shield (sklep 2016/1250), je Sodišče Evropske unije razveljavilo 16. julija 2020 (zadeva C-311/18, imenovana Schrems II), med drugim zaradi obsega ameriških programov nadzora in odsotnosti učinkovitega pravnega sredstva. Standardne pogodbene klavzule ostajajo veljavne, vendar zahtevajo presojo za vsak primer posebej.
Na dan 5. oktobra 2026 se lahko prenosi certificiranim ameriškim organizacijam opirajo na sklep o ustreznosti (EU) 2023/1795, imenovan Data Privacy Framework. Sklep velja. Je izpodbijan, kot ugotavljata odvetniški pisarni DAC Beachcroft in WilmerHale. Po navedbah slednje je Splošno sodišče Evropske unije 3. septembra 2025 zavrnilo ničnostno tožbo, 31. oktobra 2025 pa je bila na Sodišče vložena pritožba. Previdno podjetje to podlago dokumentira v svoji evidenci in predvidi, kaj bo storilo, če podlaga pade.
Ostaja primeren, kadar poslovanje temelji na naprednem Excelu, Power BI, dodatkih za Office, Teams kot panožnem standardu ali na desetinah integracij, ki že delujejo v produkciji. Zamenjati orodje iz pravnih razlogov in nato izgubiti način uporabe, ki poganja podjetje, je slab izračun. Stran Microsoft 365 v primerjavi s suvereno rešitvijo ta prag podrobno opisuje.
Primeren ostaja tudi, kadar pravna analiza prenosa, DPA in možnosti rezidentnosti podatkov ustrezajo dejanski potrebi evidence. Veliko evropskih podjetij v tem okviru uporablja Microsoft 365 ali Google Workspace. To povedati je del poštene primerjave. Preverjanja, ki jih je treba opraviti, so opisana na straneh GDPR in Microsoft 365 ter GDPR in Google Workspace.
Primeren postane, kadar vodstvo želi, da je družba, ki hrani e-pošto in datoteke, evropska družba, da je podpora dosegljiva v tem okviru in da načini uporabe ostanejo v okviru e-pošte, datotek in njihovega spletnega urejanja, videokonferenc, CRM in telefonije. Primeren postane tudi za namestitev pri stranki, kadar podjetje oblaka sploh ne želi.
Možnosti se med seboj ne izključujeta. Podjetje lahko ohrani ameriški paket za delovna mesta, ki so od njega odvisna, preostalo pa zaupa evropskemu operaterju storitve. Takšna ureditev zahteva več upravljanja; upravičena je, kadar je ločitev načinov uporabe jasna.
Vodnik Evropske alternative za Microsoft 365 pregleda Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, druge ponudnike in Klytic, s primerom uporabe za vsakega.
Hipotetični primer. Industrijsko MSP ima dve lokaciji. Projektni biro dela v naprednem Excelu in z naročniki komunicira prek Teams. Delavnica, nabava in administracija uporabljajo predvsem e-pošto in skupne mape, v katerih so načrti.
Naročnik zahteva, da njegove načrte hrani evropska družba. Za projektni biro bi opustitev naprednega Excela in Teams zmotila delo s strankami: ameriški paket ostaja upravičen, z dokumentirano analizo prenosa. Za načrte in e-pošto drugih oddelkov evropski operater storitve izpolni zahtevo brez izgube načinov uporabe. Odločitev sledi vrsticam tabele, ne načelu.
Ne. CLOUD Act se nanaša na podatke, ki jih ponudnik, za katerega velja ameriško pravo, hrani ali nadzoruje, ne glede na kraj shranjevanja. Evropska regija zmanjša prenose. Ne spremeni pa družbe, ki hrani podatke.
Da, če je odvisen od skupine, za katero velja to pravo, ali če podatke zaupa obdelovalcu, za katerega velja. Zato je treba preveriti matično družbo in seznam obdelovalcev, ne le imena operaterja storitve.
Zagotavlja podlago za prenose certificiranim ameriškim organizacijam z vidika GDPR. Velja in je izpodbijan. Ne spremeni niti državljanstva proizvajalca programske opreme niti dosega naloga, ki ga predvideva ameriško pravo.
Klytic sodi v drugi stolpec tabele. Upravlja ga Dedicace Software, francoska družba. Gostovanje je mogoče na katerem koli geografskem območju, ki ustreza veljavni pristojnosti, pod pogojem, da so potrebne storitve na voljo, na primer v Evropi ali na Mavriciju, ali na strežnikih stranke.
E-pošta temelji na Zimbri, ki jo izdaja Synacor v Združenih državah, upravlja pa Klytic. Dokumenti temeljijo na namenski instanci Nextcloud za vsako stranko. Klytic nima kvalifikacije SecNumCloud in ne nadomešča naprednega Excela, Power BI ali Teams. Storitve se kupujejo ločeno: podjetje lahko obdrži Microsoft 365 in doda le filtriranje Klytic MTA, postavljeno pred svojo e-pošto. Podrobnosti o gostovanju so na strani gostovanje in suverenost.
Ta stran opisuje splošni okvir. Ne nadomešča analize vaše pogodbe.
Pravno stanje na dan 5. oktobra 2026. To besedilo ne nadomešča pregleda pogodbe. Sklep o ustreznosti EU–ZDA (EU) 2023/1795 je v veljavi. Je predmet izpodbijanja. Za SecNumCloud je merodajen katalog ANSSI.
Dostopano oktobra 2026.
E-pošta, dokumenti, videokonference, CRM in telefonija, gostovani na območju, ki ustreza vaši pristojnosti, na primer v Evropi ali na Mavriciju, ali v vaših prostorih.
Pozdravna ponudba
Preizkus brez obveznosti. Svetovalec vas pokliče, da spozna vaše potrebe in pripravi vaše okolje Klytic.
