Ashio whistleblowing software

Ukládání dat v EU: co GDPR a Data Act vyžadují od firem

Bezpečné serverové úložiště v datacentru v Evropě

Ano, firmy mohou svůj datový hosting zajistit tak, aby data zůstala v EU a splnila GDPR i novější unijní nařízení. Klíčové jsou tři kroky: nejprve právní inventura, tedy zjištění, jaká data zpracováváte a podle jakého předpisu, dále vynucení rezidenční podmínky ve smlouvě s poskytovatelem a nakonec technické zajištění, jako je šifrování a auditní stopa. Bez těchto tří kroků zůstává „ukládání dat v EU“ jen marketingovým sloganem na webu dodavatele.

Stručně:

  • Přenos dat mimo EU nebo ESVO je regulován přísnými podmínkami, i když je data fyzicky umístěna v evropských datových centrech.
  • Volba modelu datového ukládání ovlivňuje nejen právní rizika, ale i provozní parametry, například latenci nebo dostupnost regionálních dat.
  • Smlouva s poskytovatelem musí obsahovat konkrétní informace o místě uložených dat, době uchování a podmínkách přenosu mimo EU, nikoli jen obecné prohlášení o souladu s GDPR.
  • Technická opatření podle zásady Data Protection by Design zahrnují šifrování, auditní stopy, pseudonymizaci nebo anonymizaci dat, s jasným oddělením citlivých informací.
  • U whistleblowingových systémů je klíčové oddělit metadata od obsahu hlášení a vést kompletní audity přístupů, což Ashio splňuje s uzavřeným datem v evropských centrech.
Ashio
Chraňte citlivá hlášení v EU
Ashio nabízí bezpečný a anonymní kanál pro hlášení, s úplnou auditní stopou a dashboardem pro správu oznámení.
Zjistit více o Ashio

Obsah

Právní rámec: co vyžadují GDPR, Data Act a Data Governance Act

Datová suverenita v Evropské unii nestojí na jednom zákoně, ale na třech vrstvách, které se vzájemně doplňují.

GDPR zůstává základem. Článek 25 zavádí zásadu Data Protection by Design and by Default: ochrana osobních údajů musí být součástí návrhu systému od první chvíle, ne dodatečná záplata. Povinnosti se přitom vztahují na správce i zpracovatele, nezávisle na velikosti firmy, jak stanovuje nařízení GDPR.

Data Act (nařízení EU 2023/2854) přidává novou povinnost transparentnosti. Poskytovatelé musí uživatelům sdělit, jaký typ a objem dat ukládají, zda je ukládání lokální nebo vzdálené a za jakých podmínek k datům lze přistupovat. Konkrétní pravidla pro přístup k datům z připojených výrobků upřesňuje přímo text nařízení.

Data Governance Act míří jinam, na budování důvěry ve sdílení dat. Podporuje vznik společných evropských datových prostorů a mechanismy, které zvyšují dostupnost dat napříč členskými státy, popisuje Evropská komise.

Pro firmu to v praxi znamená tři různé otázky k jednomu poskytovateli:

  • Chrání architekturu svého systému už při návrhu (GDPR)?
  • Řekne vám přesně, kde a jak jsou data uložena (Data Act)?
  • Umožňuje bezpečné sdílení dat s partnery bez rizika úniku (Data Governance Act)?

Modely ukládání dat a jejich provozní dopady

„Data uložená v EU“ a „data zpracovávaná v EU“ nejsou totéž. První pojem popisuje fyzické umístění disků, druhý místo, odkud k datům přistupuje aplikace, podpora nebo administrátor. Poskytovatel může mít datové centrum v Frankfurtu a přitom podporu i administrátorský přístup řešit z týmu mimo EU nebo ESVO, a formálně přitom neporuší žádnou smlouvu, pokud jste si klauzuli o zpracování nevynutili sami.

Firmy si dnes vybírají mezi čtyřmi modely:

  1. EU datacentra od globálních poskytovatelů – fyzické uložení v Evropě, ale mateřská firma může podléhat právu třetí země (typicky USA), což otevírá otázku exteritoriálního přístupu k datům.
  2. Suverénní cloud – provoz i vlastnická struktura zůstávají v EU, správa klíčů i podpora jsou vedeny evropským subjektem bez závislosti na zahraniční mateřské společnosti.
  3. Hybridní model – citlivá data (mzdy, whistleblowing hlášení, zdravotní záznamy) běží na suverénní infrastruktuře, běžná provozní data zůstávají u standardního cloudu.
  4. On-premise – nejvyšší kontrola, ale i nejvyšší náklady na správu, zálohování a bezpečnostní záplaty.

Volba modelu ovlivňuje i běžný provoz. Suverénní cloud v EU obvykle znamená nižší latenci pro evropské uživatele, ale menší výběr regionů pro zálohování než globální poskytovatelé s desítkami datacenter. Microsoft například u vlastních služeb výslovně uvádí, že některé funkce mohou dočasně nebo trvale přesouvat podmnožinu dat mimo EU, jak popisuje dokumentace k Microsoft Entra ID. Přesně proto nestačí věřit marketingovému tvrzení „hostováno v EU“ a je nutné si vyžádat konkrétní dokumentaci.

Co vyžadovat od poskytovatele ve smlouvě

Smlouva s poskytovatelem musí obsahovat konkrétní, ověřitelné závazky, ne obecná prohlášení o „souladu s GDPR“.

Do smlouvy patří minimálně tyto body:

  • přesné místo uložení dat a jasně definovaná doba uchování,
  • popsaný postup vymazání dat po skončení smlouvy, včetně lhůty,
  • klauzule omezující přenos dat mimo EU nebo ESVO, s výslovným výčtem výjimek,
  • SLA pro reakci na bezpečnostní incident,
  • právo na auditní přístup k logům a zálohovacím mechanismům.

Veřejný sektor má navíc přísnější rámec. Vyhláška č. 316/2021 Sb. a její doplňky stanovují konkrétní požadavky na trvalé uložení a zpracování provozních údajů v EU nebo ESVO pro orgány veřejné správy, jak shrnuje Sagit. Pokud vaše firma dodává služby veřejné správě, tato pravidla se týkají i vás jako subdodavatele.

Profesionální tip: Nežádejte poskytovatele o obecné potvrzení „splňujeme GDPR“. Vyžádejte konkrétní dokument, kde je vypsáno, ve kterém konkrétním datacentru (název a lokalita) vaše data leží, kdo k nim má administrátorský přístup a jak dlouho trvá výmaz po ukončení smlouvy.

Technická opatření podle zásady Data Protection by Design

Smlouva bez technického zajištění je jen kus papíru. Zásada Data Protection by Design z článku 25 GDPR vyžaduje, aby ochranu dat firma řešila už při návrhu systému, ne až po incidentu.

V praxi to znamená implementovat:

  • šifrování dat na disku i při přenosu, ideálně se split-key modelem, kde klíč nemá k dispozici sám poskytovatel,
  • jasné oddělení pseudonymizace (data lze zpětně přiřadit s doplňujícím klíčem) od anonymizace (přiřazení už není možné), podle citlivosti konkrétního případu,
  • kompletní auditní stopu, která zaznamenává každý přístup k datům, ne jen jejich úpravu,
  • pravidelné penetrační testy a kontrolu přístupových oprávnění, ne jen jednorázový audit při nasazení.

Pseudonymizace se hodí tam, kde potřebujete zpětnou vazbu k osobě (například HR případ), anonymizace tam, kde stačí statistický přehled bez možnosti identifikace. Záměna těchto dvou přístupů je jedna z nejčastějších chyb, kterou firmy dělají při nastavování interních systémů pro citlivá data.

Kolik stojí a jak dlouho trvá zavedení datové rezidence

Náklady na přechod k EU rezidenci dat se skládají ze čtyř položek: poplatek za rezidenční tarif u poskytovatele (obvykle vyšší než standardní cloudový tarif), jednorázová migrace dat, běžný provoz a pravidelné bezpečnostní audity.

  1. Analýza a výběr poskytovatele trvá typicky několik týdnů, hlavně kvůli ověřování smluvních podmínek a technické dokumentace.
  2. Pilotní migrace jedné citlivé kategorie dat, například mzdových údajů nebo hlášení whistleblowerů, je rychlejší způsob ověření dodavatele než plná migrace najednou.
  3. Plné nasazení pak následuje po vyhodnocení pilotu, s postupným přechodem dalších datových sad.

Testování na úzké kategorii dat před plnou migrací umožňuje odhadnout skutečné náklady a odhalit slabá místa dodavatele dřív, než jsou v sázce všechna firemní data, potvrzuje i průzkum SAP mezi českými firmami.

Anonymní hlášení a auditní stopa v praxi

Whistleblowing je oblast, kde se právní požadavky na ukládání dat v EU protínají s nejcitlivější kategorií informací, jakou firma zpracovává. Anonymní kanál musí mít oddělené úložiště pro identifikační údaje oznamovatele od úložiště pro obsah samotného hlášení, jinak anonymita existuje jen na papíře.

Funkční návrh takového systému zahrnuje:

  • šifrované oddělení metadat oznamovatele od textu hlášení,
  • auditní stopu, která zaznamená každý přístup k případu, včetně toho, kdo změnil stav řešení,
  • řízení přístupu podle role, tedy ne každý v compliance týmu vidí identitu oznamovatele,
  • ukládání celého případu v evropském datovém centru po celou dobu vyžadovanou směrnicí o ochraně oznamovatelů.

Podrobnější technický pohled na zabezpečení dat v podnikových systémech nabízí průvodce bezpečností dat v SaaS prostředí, který se hodí jako doplňkové čtení pro IT vedoucí, kteří tato opatření navrhují sami.

Kdy je datová rezidence nutnost a kdy stačí smlouva

Datová rezidence dává smysl tam, kde zpracováváte zvlášť citlivá data, patříte do regulovaného sektoru nebo se ucházíte o veřejné zakázky s přísnými podmínkami. Pro běžnou firemní agendu často stačí silná smluvní klauzule o zpracování a prokazatelné technické záruky, bez nutnosti platit prémii za čistě suverénní infrastrukturu. Rozdíl mezi marketingovým tvrzením „hostováno v EU“ a skutečnou zárukou pozná jen nezávislý audit dodavatele, ne certifikát na webu poskytovatele.

Ashio jako řešení pro bezpečné hlášení citlivých oznámení

Whistleblowing kanál je přesně ten typ dat, kde selhání smluvní klauzule nebo chybějící auditní stopa může firmu stát mnohem víc než jen pokutu. Ashio řeší tuto konkrétní bolest: platforma běží na zabezpečeném úložišti v evropských datových centrech, oddělí identitu oznamovatele od obsahu hlášení a každý přístup k případu zaznamená do kompletní auditní stopy, přesně v duchu požadavků směrnice o ochraně oznamovatelů 2019/1937.

Ashio jako řešení pro bezpečné hlášení citlivých oznámení — overview diagram

Zaměstnanci mohou hlásit anonymně a sledovat stav svého podnětu v reálném čase, compliance týmu to dává přehledné dashboard pro správu případů od přijetí až po vyřešení, s rolemi a oprávněními podle potřeby týmu. Pokud řešíte, jak nastavit interní oznamovací kanál v souladu s EU legislativou bez měsíců vývoje na míru, podívejte se na řešení Ashio pro anonymní hlášení a zjistěte, jak vypadá pilotní nasazení pro vaši firmu.

Zdroje

Časté dotazy

Musí být data českých firem uložena přímo v EU?

GDPR nevyžaduje výhradně fyzické uložení dat v EU, ale klade přísné podmínky na jakýkoli přenos mimo EU nebo ESVO. Pro veřejný sektor už konkrétní vyhlášky trvalé uložení v EU či ESVO vyžadují přímo.

Jaký je rozdíl mezi uložením dat v EU a zpracováním dat v EU?

Uložení popisuje fyzické umístění disků a datacentra, zpracování zahrnuje i přístup administrátorů, podpory nebo dalších systémů, který může probíhat i mimo EU, pokud to smlouva výslovně nevylučuje.

Co je suverénní cloud a proč se liší od běžného EU datacentra?

Suverénní cloud znamená, že provoz, vlastnická struktura i správa klíčů zůstávají u evropského subjektu bez závislosti na zahraniční mateřské firmě, zatímco běžné EU datacentrum globálního poskytovatele může stále podléhat právu třetí země.

Jak dlouho trvá zavedení EU datové rezidence?

Analýza a výběr poskytovatele trvá typicky několik týdnů, po ní následuje pilotní migrace úzké kategorie dat a až poté plné nasazení pro zbytek firemních systémů.

Pomůže Ashio se souladem s GDPR u whistleblowing kanálu?

Ashio ukládá data v evropských datových centrech, oddělí identitu oznamovatele od obsahu hlášení a vede kompletní auditní stopu, což odpovídá požadavkům GDPR i směrnice o ochraně oznamovatelů.

Doporučené

Ukládání dat v EU: co GDPR a Data Act vyžadují od firem | Ashio