De aankoopdienst vroeg waar uw data staat. Zo beantwoordt u dat echt
“Onze servers staan in de EU” is geen antwoord op de vraag die een compliancebeoordelaar stelt. Dit is het verschil tussen waar data staat, wie de machine bezit, en wie erbij kan.
In short
Dataresidentie zijn drie afzonderlijke vragen: waar de data staat, wie de infrastructuur bezit, en wie er vanwaar bij kan. Een host die alleen de eerste beantwoordt, heeft de vraag niet beantwoord.
Het complianceteam van een klant stuurt u een vragenlijst. Eén regel vraagt waar persoonsgegevens die via uw website verwerkt worden, worden opgeslagen. U stuurt het door naar uw host, krijgt “onze infrastructuur bevindt zich in de Europese Unie” terug, plakt dat erin, en de beoordelaar komt terug met drie nieuwe vragen.
Dat gebeurt omdat dataresidentie niet één vraag is. Het zijn er drie, en de meeste hostingmarketing beantwoordt alleen de makkelijkste.
Vraag één: waar staat de data?
Dit is de vraag die iedereen beantwoordt, want ze heeft het vriendelijkste antwoord. Data in rust staat op een schijf, de schijf staat in een gebouw, het gebouw staat in een land. Frankfurt, Amsterdam, België — geregeld.
Het is een echte vraag en ze doet ertoe. Het is ook de vraag die een aanbieder bevestigend kan beantwoorden terwijl hij de twee moeilijkere onaangeroerd laat, en daarom stopt een beoordelaar die zijn vak kent daar nooit.
Vraag twee: wie bezit de infrastructuur?
Een host met servers in Frankfurt kan die servers bezitten, of capaciteit huren van een hyperscaler die ze bezit. Beide zijn legitiem. Voor een compliancebeoordeling zijn ze niet gelijkwaardig.
Behoort de onderliggende infrastructuur toe aan een grote cloudaanbieder, dan zit die aanbieder in uw verwerkingsketen, of hij nu in de marketing voorkomt of niet. Hij heeft fysieke toegang tot de hardware en valt onder het rechtsstelsel van zijn eigen rechtsgebied — wat voor een cloud met Amerikaanse moederonderneming de CLOUD Act omvat, ongeacht waar het datacenter staat.
De vraag die u moet stellen is rechttoe rechtaan: bezit u de servers waar mijn data op staat, of huurt u ze? Aanbieders die hun hardware bezitten antwoorden meteen. Aanbieders die huren beantwoorden meestal net een andere vraag.
Vraag drie: wie heeft er toegang toe, en vanwaar?
Dit is degene waar mensen over struikelen, en degene die het vaakst in een ernstige audit opduikt.
Onder de GDPR is persoonsgegevens toegankelijk maken voor iemand in een derde land op zich al een beperkte doorgifte. Niet kopiëren — bereikbaar maken. Een engineer buiten de EER die op een productieserver kan inloggen vormt een doorgifte onder hoofdstuk V, ook al verlaat de data nooit de schijf waarop ze begon.
Wat betekent dat een host naar waarheid kan zeggen “uw data wordt in de EU opgeslagen en verlaat ze nooit” terwijl zijn supportteam die servers vanaf om het even waar ter wereld beheert. Beide uitspraken zijn tegelijk waar. Slechts één ervan staat op de marketingpagina.
Vraag het expliciet: vanuit welke landen kan uw personeel productiesystemen bereiken, en wat is het doorgiftemechanisme? Een aanbieder met een deftig antwoord noemt de landen en verwijst naar modelcontractbepalingen in zijn verwerkersovereenkomst. Een aanbieder zonder antwoord herhaalt dat de servers in de EU staan.
Hoe wij alle drie beantwoorden
Opslag: op hardware die we zelf bezitten, in Tier III-datacenters in België en Finland. Bestanden, databases, mailboxen en back-ups worden in de EU opgeslagen en niet naar een andere regio gerepliceerd.
Eigendom: de servers zijn van ons. We verkopen geen hyperscalercapaciteit door, en daarom kunnen we de tweede vraag überhaupt beantwoorden.
Toegang: ons engineeringteam werkt vanuit ons kantoor in Lahore, Pakistan, en kan productiesystemen bereiken om support te leveren en op incidenten te reageren. Onder de GDPR is dat een beperkte doorgifte, Pakistan heeft geen adequaatheidsbesluit, en dus verloopt ze onder modelcontractbepalingen en staat ze met naam in onze verwerkersovereenkomst naast elke andere subverwerker. Een transfer impact assessment is op aanvraag beschikbaar.
We schrijven dat liever hier op dan dat een beoordelaar het ontdekt. Kan uw organisatie geen enkele beheertoegang van buiten de EER aanvaarden — een reële vereiste in sommige gereguleerde sectoren — zeg het ons dan voor u koopt, en het eerlijke antwoord is dat wij niet de juiste host voor u zijn.
Hoe een goed antwoord eruitziet
Een host die eerlijk met u is, geeft vier dingen zonder veel aandringen: een genoemde locatie voor data in rust, een duidelijke verklaring over wie de hardware bezit, een volledige lijst van subverwerkers met landen erbij, en een verwerkersovereenkomst die doorgiftes beschrijft in plaats van ernaar te gebaren.
Is de lijst van subverwerkers een categorie — “essentiële infrastructuuraanbieders” — in plaats van een lijst met bedrijven, dan is het geen lijst van subverwerkers. Zegt de doorgiftesectie dat passende waarborgen worden toegepast wanneer doorgiftes plaatsvinden, zonder te zeggen welke doorgiftes plaatsvinden, dan beschrijft ze een beleid en geen praktijk.
Die twee documenten vertellen u meer over een hostingaanbieder dan om het even hoeveel voorpaginateksten over soevereiniteit. Het zijn bovendien net de twee die een aankoopbeoordelaar sowieso zal opvragen.