Lühidalt: Digitaalne suveräänsus ei otsustu andmete repatrieerimisel, vaid juba pilvelepingu allkirjastamisel – kontrollistruktuuri, kolmandate riikide juurdepääsu ja pakkuja tehniliste juurdepääsuvõimaluste kaudu.
Kes ei selgita õiguskorda, käitaja juurdepääsu ega väljumisvõimalusi enne pilveteenuse pakkujaga lepingu sõlmimist, peab hiljemalt andmete repatrieerimisel läbirääkimisi nõrgast positsioonist. Küsimuste kogum näitab, millised punktid tuleks lepingusse kirjutada juba eelnevalt.
Sõltuvus pilveteenuse pakkujast kasvab aastate jooksul – liideste, patenteeritud funktsioonide, andmemahtude ja väljakujunenud tööprotsesside kaudu. Kes seab selle sõltuvuse kahtluse alla alles väljumisel, see tähendab andmete ja töökoormuste repatrieerimisel, sellel jääb läbirääkimisruumi napilt. Seevastu lepingu sõlmimisel või pikendamisel on veel palju kujundamisruumi. ISO 27001 sertifikaadiga ettevõtetele on see alates 2022. aastast koguni kohustuslik: standard nõuab pilveteenustele esitatavate turvanõuete kindlaksmääramist enne teenuse kasutuselevõtmist. Artiklis tuuakse välja kuus küsimust, mis tuleks selleks juba varakult selgeks teha.
Esiteks: kes kontrollib teenusepakkujat? Serveri asukoht iseenesest ei ütle palju – otsustav on, millisele kontsernile ja millisele õiguskorrale pakkuja allub. Ka Euroopa pakkujad, kes käitavad oma platvormi AWS-i, Azure’i või Google Cloudi peal, võivad tarneahela kaudu tuua majja USA õiguse alusel tekkiva sõltuvuse. Probleemseks muutub see, kui kontrollistruktuur muutub tagantjärele, näiteks kui USA kontsern võtab üle Euroopa pakkuja: andmed jäävad paika, kuid kontroll rändab välja. Ilma lepingulise teavitamiskohustuseta kontrollistruktuuri muutuste korral puuduvad kliendil kriisiolukorras reageerimisvõimalused.
Teiseks: kuidas käsitleb pakkuja kolmandatest riikidest tulevat juurdepääsu? Kui tugimeeskonnad kolmandates riikides tegelevad tehniliste tõrgete lahendamisega, tuleks avalikustada, millised rollid millistele andmetele juurde pääsevad, kuidas seda logitakse ja kas piirdumine Euroopa asukohtadega on lepinguliselt kokkuleppitav. Kaugemale ulatub juhtum, kus välisriigi ametiasutus nõuab kliendiandmeid: USA CLOUD Act võib kohustada USA jurisdiktsiooni alla kuuluvaid pakkujaid andmeid välja andma, isegi kui andmed asuvad Euroopa serverites – samal ajal kui isikuandmete kaitse üldmäärus (GDPR) ei luba andmete edastamist üksnes sellise korralduse alusel. Kuna vastutus andmekaitsenõuetele vastava kasutamise eest jääb kliendiettevõttele, peaks leping kohustama pakkujat teavitama, niivõrd kui see on lubatud, samuti piirama väljaandmist vajaliku ulatusega ja kasutama olemasolevaid õiguskaitsevahendeid.
Kolmandaks: kas pakkujal on tehniline võimalus andmetele juurde pääseda? Artiklis eristatakse lubadust „me ei pääse juurde“ tehnilisest seisundist „me ei saa juurde pääseda“. Ainult siis, kui pakkuja ei suuda ei lugeda selgeteksti-andmeid ega kasutada krüpteerimisvõtmeid, ei suuda ta ka ametliku korralduse korral loetavat sisu välja anda. Kui aga tehniline juurdepääsutee on olemas, otsustab üksnes leping ja pakkuja sisemised protsessid selle üle, kas ja kuidas seda kasutatakse.
CISOde jaoks pakub küsimuste kogum alust lepinguläbirääkimisteks ja hoolsuskohustuse kontrollimiseks pilveteenuste hankimisel, samuti dokumenteerimiseks ISO 27001 auditite raames. Nimetatud punktid – kontrollistruktuur, kolmandate riikide juurdepääs ja tehnilised juurdepääsuvõimalused – on üle võetavad kontrollkriteeriumitena olemasolevatesse pakkujahindamistesse ja lepingumallidesse enne pikaajalise sõltuvuse tekkimist.
Allikas: www.it-daily.net · Avaldatud 14. august 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.