Unde locuiesc datele tale: suveranitatea cloud ca decizie de infrastructură, nu bifă legală

Ați semnat Clauzele Contractuale Standard cu furnizorul de hosting. Politica de confidențialitate e la punct. Contractul de procesare a datelor (DPA) e semnat. Din punct de vedere juridic, sunteți acoperiți. Dar dacă serverul pe care rulează baza voastră de date e operat de o companie americană, indiferent unde e amplasat fizic data center-ul, acea companie poate fi obligată prin lege (CLOUD Act) să ofere acces autorităților americane. Hârtia nu schimbă acest fapt tehnic.

1. Problema pe care hârtia nu o rezolvă

Majoritatea companiilor din Moldova și România rulează pe AWS, Azure sau Google Cloud. Motivul e simplu: scalabilitate, prețuri competitive, integrări gata făcute. Dar toate trei sunt companii americane, iar CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) obligă furnizorii americani să răspundă cererilor autorităților SUA pentru date, chiar dacă acele date sunt stocate fizic pe servere din Frankfurt sau Dublin. Semnarea unor SCC nu anulează această obligație legală a furnizorului față de propriul guvern. E un instrument util pentru conformitatea GDPR privind transferul de date, dar nu schimbă cine, din punct de vedere tehnic și juridic, poate cere acces la infrastructura fizică.

2. De ce a devenit relevant acum

Trei factori converg în 2026: EU Data Act intră tot mai ferm în aplicare, punând presiune pe portabilitatea și controlul datelor în cadrul UE. Tensiunile geopolitice cresc, iar tot mai multe companii europene, în special din sectoare reglementate (fintech, sănătate, sector public), pun întrebarea ce se întâmplă cu datele lor dacă relația dintre UE și un furnizor non-UE se deteriorează brusc. Riscul reputațional și de business crește: clienți enterprise întreabă tot mai des, în procesul de due diligence, unde sunt stocate datele și cine le poate accesa.

3. Ce este suveranitatea cloud? Patru criterii verificabile

Suveranitatea cloud înseamnă control real, verificabil tehnic, asupra jurisdicției, locației și accesului la datele voastre, nu doar respectarea unor clauze contractuale. Termenul e folosit adesea comercial, fără conținut real. Patru criterii verificabile fac diferența:

1. Jurisdicția operatorului: sub ce lege operează compania care deține infrastructura? O filială europeană a unei companii americane rămâne, în ultimă instanță, supusă legii americane pentru anumite tipuri de solicitări.
2. Locația fizică: unde sunt fizic discurile și backup-urile, inclusiv replicile și snapshot-urile?
3. Accesul tehnic real: cine are credențiale de acces la nivel de infrastructură (nu doar aplicație)? Există logging al acestui acces? Poate fi auditat?
4. Portabilitatea reală: cât timp și cât efort ar necesita o migrare completă, fără vendor lock-in la formate proprietare sau API-uri închise?

4. Un chec-list tehnic, nu juridic, pentru infrastructura actuală

Spre deosebire de chec-list-ul de conformitate GDPR (documente, DPO, registre), acesta e un chec-list de infrastructură:

• Cine, în afara echipei voastre, are acces SSH sau la consola de administrare a serverelor?
• Există autentificare cu doi factori pentru toate conturile administrative, inclusiv cele ale furnizorului?
• Logurile de acces sunt centralizate și protejate împotriva modificării?
• Backup-urile sunt criptate, iar cheile de criptare sunt sub controlul vostru, nu al furnizorului?
• Puteți exporta integral infrastructura (configurare, date, cod) în mai puțin de o săptămână, dacă ar fi nevoie?
• Știți exact în ce țară și sub ce jurisdicție se află fiecare copie a datelor voastre, inclusiv replicile de disaster recovery?

Dacă nu puteți răspunde cu certitudine la majoritatea acestor întrebări, suveranitatea datelor voastre e, în acest moment, teoretică.

5. Primul pas practic: nu migrarea, ci controlul accesului

Cel mai realist punct de plecare pentru majoritatea companiilor nu e o migrare complexă către o infrastructură complet suverană, ci verificarea și securizarea a ceea ce aveți deja. SSH hardening, dezactivarea accesului implicit al furnizorului, logging de audit protejat împotriva modificării și politici stricte de acces sunt măsuri concrete, implementabile în câteva zile, care răspund direct la întrebarea cine poate ajunge azi la datele voastre.

SECURITATE · SECURIZARE SERVERE

Cine are azi acces la serverele tale?

Securizăm accesul la infrastructura ta existentă: SSH hardening, firewall configurat conform standardelor CIS, patch-uri automate de securitate și audit logging protejat împotriva modificării. Control tehnic verificabil asupra cine ajunge la datele tale, indiferent unde sunt găzduite serverele.

5 ZILE

LIVRARE COMPLETĂ

Securizează serverele →

Cum ajută echipa WebDirect

Echipa WebDirect ajută companiile din Moldova, România și UE să treacă de la suveranitate cloud ca slogan la control tehnic verificabil: de la hardening de servere și audit logging, până la migrări complete către infrastructură EU-nativă, atunci când are sens pentru business. Dacă vreți să știți exact cine are acces la infrastructura voastră astăzi, scrieți-ne.

Surse

• Clarifying Lawful Overseas Use of Data Act (CLOUD Act), SUA, 2018.
• Regulamentul (UE) 2023/2854 (EU Data Act).
• Regulamentul (UE) 2016/679 (GDPR), privind transferurile internaționale de date.

Materialul are caracter informativ și nu reprezintă consultanță juridică.

Întrebări frecvente

Ce este suveranitatea cloud (suveranitatea datelor)?
Suveranitatea cloud înseamnă că datele unei companii sunt supuse legilor și controlului jurisdicției proprii, nu legilor țării de origine a furnizorului de cloud. Se verifică prin patru criterii tehnice: jurisdicția operatorului, locația fizică, cine are acces real și cât de ușor puteți exporta datele.Ce este CLOUD Act și de ce contează pentru companiile din Moldova sau România?
CLOUD Act e o lege americană din 2018 care obligă furnizorii de cloud cu prezență legală în SUA (AWS, Azure, Google Cloud) să răspundă cererilor autorităților americane pentru date, indiferent dacă acele date sunt stocate fizic în UE.SCC-urile nu sunt suficiente pentru a proteja datele de accesul străin?
SCC-urile rezolvă conformitatea legală privind transferul de date în cadrul GDPR, dar nu elimină obligația legală a unui furnizor american de a răspunde solicitărilor autorităților SUA, conform CLOUD Act, indiferent de clauzele contractuale.Trebuie să migrăm complet de la AWS sau Azure?
Nu neapărat. Pentru multe companii, primul pas eficient e securizarea accesului tehnic la infrastructura existentă. Migrarea completă e o decizie separată, bazată pe profilul de risc și industrie.Cât costă o verificare de bază a securității serverelor?
Serviciul de securizare servere Linux (SSH hardening, firewall, audit logging) pornește de la 600 EUR, cu livrare în 5 zile lucrătoare.