Dlaczego hosting w UE ma znaczenie dla zespołów SaaS i AI: RODO, Schrems II i CLOUD Act

RODO ma zastosowanie, gdy przetwarzasz dane osobowe w związku z działalnością jednostki organizacyjnej w UE (art. 3 ust. 1), a jeśli nie masz jednostki organizacyjnej w UE, także do przetwarzania danych osobowych osób przebywających w UE, gdy wiąże się ono z oferowaniem im towarów lub usług albo z monitorowaniem ich zachowania na terenie UE (art. 3 ust. 2). To, gdzie te dane są hostowane i która firma je hostuje, decyduje następnie, w jakim stopniu w grę wchodzą międzynarodowe przekazywanie danych i dostęp zagranicznych organów. RODO ogranicza przekazywanie danych osobowych poza EOG, prawo USA może zobowiązać amerykańskich dostawców usług chmurowych i komunikacyjnych do wydania danych przechowywanych za granicą, a prompty AI często są pełne danych osobowych.

Ten artykuł wyjaśnia zasady prostym językiem i kończy się listą kontrolną do wyboru dostawcy. To nie jest porada prawna: w swojej konkretnej sprawie zapytaj inspektora ochrony danych lub prawnika.

Zasada RODO dotycząca przekazywania danych

Rozdział V RODO (art. 44-50) dotyczy „przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych”. Państwo trzecie to każde państwo spoza UE i Europejskiego Obszaru Gospodarczego. Art. 44 ustanawia zasadę: dane osobowe mogą opuścić ten obszar tylko wtedy, gdy spełnione są warunki tego rozdziału. Są trzy główne drogi:

• Decyzja stwierdzająca odpowiedni stopień ochrony (art. 45): Komisja Europejska stwierdza, że państwo chroni dane osobowe na poziomie zasadniczo równoważnym poziomowi w UE. Dane mogą wtedy trafiać do tego państwa bez dodatkowych zabezpieczeń.
• Odpowiednie zabezpieczenia (art. 46): na przykład standardowe klauzule umowne przyjęte przez Komisję w decyzji wykonawczej (UE) 2021/914 albo wiążące reguły korporacyjne w grupie przedsiębiorstw (art. 47).
• Wyjątki (art. 49): wąskie wyjątki dla szczególnych sytuacji, a nie podstawa dla rutynowego hostingu.

Naruszenie tych zasad podlega najwyższemu progowi kar w RODO: do 20 milionów euro lub 4% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa (art. 83 ust. 5).

Schrems II: dlaczego sama umowa nie wystarczała

16 lipca 2020 Trybunał Sprawiedliwości UE rozstrzygnął sprawę C-311/18, znaną jako Schrems II. Uznał za nieważną Tarczę Prywatności UE-USA (EU-US Privacy Shield), ówczesną decyzję stwierdzającą odpowiedni stopień ochrony dla Stanów Zjednoczonych. Trybunał stwierdził, że amerykańskie programy nadzoru nie były ograniczone do tego, co ściśle niezbędne, a osoby, których dane były przekazywane, nie miały możliwości wniesienia sprawy do niezależnego organu dającego gwarancje równoważne prawu UE.

Standardowe klauzule umowne przetrwały, ale z zastrzeżeniem. Ochrona musi być zasadniczo równoważna ochronie w UE, a ocena musi uwzględniać istotne elementy systemu prawnego państwa docelowego, w szczególności dostęp organów publicznych. Eksporter i odbiorca muszą to sprawdzić przed przekazaniem. Jeśli klauzul nie da się przestrzegać, przekazywanie trzeba zawiesić lub zakończyć.

Dla zespołów samo podpisanie umowy przestało wystarczać: zanim oprzesz się na klauzulach, musisz sprawdzić prawo państwa, do którego trafiają Twoje dane.

EU-US Data Privacy Framework

10 lipca 2023 Komisja przyjęła decyzję wykonawczą (UE) 2023/1795, nową decyzję stwierdzającą odpowiedni stopień ochrony dla EU-US Data Privacy Framework (DPF, ramy ochrony danych UE-USA). Dane osobowe mogą trafiać bez dodatkowych zabezpieczeń do firm z USA, które uczestniczą w DPF. Firmy przystępują do niego, zobowiązując się do przestrzegania zestawu obowiązków w zakresie prywatności; Departament Handlu USA zarządza DPF, a Federalna Komisja Handlu (FTC) lub Departament Transportu, zależnie od organizacji, egzekwuje te zobowiązania. Po stronie rządowej DPF ogranicza dostęp amerykańskich służb wywiadowczych do tego, co niezbędne i proporcjonalne, i utworzył Data Protection Review Court (sąd do spraw kontroli ochrony danych), który rozpatruje skargi osób z UE.

Warto pamiętać o dwóch rzeczach:

• DPF obejmuje tylko uczestniczące firmy. Dostawca z USA, który nie ma certyfikacji, potrzebuje innej drogi, np. standardowych klauzul umownych.
• DPF został zaskarżony. Sąd Unii Europejskiej oddalił skargę o stwierdzenie nieważności 3 września 2025 (sprawa T-553/23), a skarżący wniósł odwołanie do Trybunału Sprawiedliwości (sprawa C-703/25 P); w chwili pisania tego artykułu odwołanie wciąż było w toku. Obie wcześniejsze ramy dla USA, Safe Harbour i Privacy Shield, ten Trybunał uznał za nieważne.

Amerykański CLOUD Act: lokalizacja to nie wszystko

Clarifying Lawful Overseas Use of Data Act został uchwalony 23 marca 2018 jako część ustawy Consolidated Appropriations Act, 2018. Dodał przepis 18 U.S.C. 2713: dostawcy usług łączności elektronicznej lub usług zdalnego przetwarzania danych muszą wypełniać obowiązki wynikające z tego rozdziału (rozdział 121 tytułu 18) w zakresie zachowania, wykonania kopii zapasowej lub ujawnienia komunikacji i danych klientów, które są w ich „possession, custody, or control” (w ich posiadaniu, pod ich pieczą lub kontrolą), w ramach właściwej procedury prawnej, niezależnie od tego, czy dane te znajdują się w Stanach Zjednoczonych, czy poza nimi.

W praktyce dostawca z USA z centrum danych we Frankfurcie może otrzymać amerykański nakaz obejmujący przechowywane tam dane. RODO działa w przeciwnym kierunku: zgodnie z art. 48 wyrok sądu lub decyzja organu państwa trzeciego, które wymagają przekazania lub ujawnienia danych, mogą zostać uznane lub wykonane w UE tylko wtedy, gdy opierają się na umowie międzynarodowej, takiej jak umowa o wzajemnej pomocy prawnej. Nie wyklucza to każdego ujawnienia, ponieważ art. 48 obowiązuje „bez uszczerbku dla innych podstaw przekazania”, ale każde ujawnienie nadal wymaga podstawy prawnej z art. 6 i podstawy przekazania z rozdziału V. Dostawca musi rozwiązać ten konflikt, a Twoje dane są w samym jego środku.

W przypadku odbiorcy z USA certyfikowanego w ramach DPF decyzja stwierdzająca odpowiedni stopień ochrony obejmuje samo przekazanie: według EROD nie wymaga ono osobnego narzędzia przekazywania ani środków uzupełniających. Sprawdź, czy odbiorca jest obecnie na liście DPF (DPF List), i nadal wypełniaj pozostałe obowiązki wynikające z RODO. Sam region w UE nie zmienia natomiast tego, prawu którego państwa podlega dostawca.

Dlaczego AI sprawia, że to pilniejsze

RODO definiuje dane osobowe jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie, na przykład na podstawie imienia i nazwiska, numeru identyfikacyjnego, danych o lokalizacji lub identyfikatora internetowego (art. 4 pkt 1). Zobacz, co zwykle przetwarzają funkcje AI:

• zgłoszenia do supportu i historie czatów z imionami i nazwiskami, adresami e-mail i numerami zamówień,
• CV, umowy, faktury i dokumentacja medyczna przesyłane do streszczenia lub ekstrakcji danych,
• transkrypcje rozmów i notatki ze spotkań,
• całe repozytoria dokumentów zindeksowane na potrzeby retrieval-augmented generation (RAG).

Każdy prompt z taką treścią to przetwarzanie danych osobowych, a jeśli model działa w państwie trzecim, może to być przekazanie danych. Dlatego dla każdego komponentu AI zadaj te same pytania co dla bazy danych: gdzie działa inferencja, czy prompty i odpowiedzi modelu są przechowywane lub logowane i jak długo, czy są używane do trenowania i który dostawca modelu stoi za API jako dalszy podmiot przetwarzający?

Lista kontrolna: wybór dostawcy

1. Siedziba i właściciele. Gdzie dostawca jest zarejestrowany i do kogo należy? CLOUD Act dotyczy danych w posiadaniu, pod pieczą lub kontrolą dostawcy, więc firma stojąca za usługą liczy się tak samo jak centrum danych.
2. Region danych. Czy możesz wybrać region w UE dla aplikacji, baz danych, backupów i logów i czy dane zostają tam, dopóki sam ich nie przeniesiesz? Gdzie działają dashboard, API i dane konta?
3. Dostęp zdalny i dalsze przekazywanie. Kto ma dostęp do danych i skąd? Dostęp własnych pracowników dostawcy z zagranicy wymaga odpowiednich zabezpieczeń. Udostępnienie danych odrębnej firmie spoza EOG, np. dalszemu podmiotowi przetwarzającemu, wymaga podstawy przekazania z rozdziału V, którą eksporter musi ocenić i udokumentować. Serwery we Frankfurcie same tego nie rozstrzygają.
4. Dalsze podmioty przetwarzające. Poproś o listę z krajem każdej firmy. Zgodnie z art. 28 ust. 2 podmiot przetwarzający nie może korzystać z usług innego podmiotu przetwarzającego bez Twojej uprzedniej pisemnej zgody, szczegółowej lub ogólnej. Sprawdź, jak dowiesz się o zmianach.
5. Umowa powierzenia przetwarzania danych (DPA). Art. 28 ust. 3 wymaga umowy (lub innego instrumentu prawnego) z Twoim podmiotem przetwarzającym. Sprawdź, czy możesz ją podpisać bez umowy enterprise i na jakiej podstawie przekazania się opiera, jeśli dane opuszczają UE.
6. Certyfikaty. Raporty ISO 27001 lub SOC 2 dostawcy i jego centrów danych pokazują, że mechanizmy kontroli bezpieczeństwa są audytowane. Nie mówią nic o tym, prawo którego państwa ma zastosowanie, więc czytaj je razem z punktami 1 i 2.
7. Specyfika AI. Lokalizacja inferencji, przechowywanie promptów i odpowiedzi, wykorzystanie do trenowania i dostawca modelu za API.

Jak robi to Nodion

Za Nodion stoi Nodion GmbH, niemiecka firma z siedzibą w Stuttgarcie. API i warstwa sterowania (control plane) Nodion są hostowane w Niemczech. Region EU Central znajduje się we Frankfurcie nad Menem; według dokumentacji regionów jego centrum danych ma certyfikaty ISO 27001, ISO 9001, ISO 14001 i ISO 50001, spełnia wymagania PCI DSS i ma raport SOC 2, a dostawca infrastruktury ma certyfikat ISO 27001, spełnia wymagania PCI DSS i ma raport SOC 1.

Region wybierasz podczas tworzenia usługi i później się on nie zmienia. Aplikacje, bazy danych, wolumeny, buckety, rejestr, logi i metryki tej usługi zostają w wybranym regionie. Dostawcy infrastruktury w poszczególnych regionach są wymienieni jako dalsze podmioty przetwarzające w dokumentacji regionów, a umowę DPA zawierasz samodzielnie. Nodion ma też regiony w USA, więc wybierz EU Central, gdy tworzysz usługę, która ma działać w UE.