ריבונות נתונים
ריבונות נתונים היא העיקרון המשפטי לפיו נתונים כפופים לחוקי המדינה בה הם נמצאים פיזית. מכיוון ששירותי ענן גרמו לזרימת נתונים חוצה גבולות ללא מאמץ, ממשלות הגיבו עם כללים המחייבים אחסון מקומי של סוגי נתונים מסוימים. התוצאה היא מפה מורכבת של אילו נתונים יכולים להגיע לאן, ומדוע אכפת לחברות באיזה אזור נמצא הענן שלהן.
גוף המאמר המלא מסופק באנגלית להלן.
ריבונות נתונים הוא העיקרון לפיו נתונים דיגיטליים כפופים לחוקים ולממשל של המדינה בה הם שוכנים. כאשר נתונים חוצים גבול, הם עשויים להיות תחת כללים שונים: חוק פרטיות, סמכויות גישה ממשלתיות, דרישות שמירה, צווי חסימה וצנזורה.
העיקרון נשמע פשוט. ההשלכות עיצבו את ארכיטקטורת הענן, מדיניות ה-VPN והאינטרנט הבינלאומי בעשור האחרון.
למה חשובה ריבונות הנתונים
אותם נתונים, מדינות שונות, כללים שונים:
- גישה ממשלתית. נתונים המאוחסנים תחת חוק ארה"ב (כולל חוק ה-CLOich) משתרע לנתונים שחברות המטה בארה"ב מחזיקות בחו"ל). לנתונים המאוחסנים באיחוד האירופי יש הגנות חזקות יותר מפני מעקב בכמות גדולה.
- חוק הפרטיות. GDPR חל על הנתונים של תושבי האיחוד האירופי גם כשהם מאוחסנים במקום אחר; PIPL חל באופן דומה בסין. העברות חוצות גבולות יכולות לדרוש אמצעי הגנה מפורשים.
- דרישות שמירה. מדינות מסוימות דורשות שנתונים מסוימים (רשומות כספיות, רישומי בריאות, נתונים ממשלתיים) יישארו בגבולותיהן.
- צנזורה וחסימה פקודות XPLZ25 יכולים לחייב מפעיל ממשלתי מקומי. יכול להיות קשה יותר לכפות על מפעיל מחוץ לתחום השיפוט.
- מנדטים להצפנה. תחומי שיפוט מסוימים אוסרים או דורשים שיטות הצפנה ספציפיות.
מסגרות רגולטוריות עיקריות
XPLZEU54XXPLZ3D פרטיות Framework - מגביל העברות של נתונים אישיים של האיחוד האירופי למדינות שלישיות ללא הגנה מספקת. מסגרות עוקבות בין ארה"ב לאיחוד האירופי (Safe Harbor, Privacy Shield, DPF) נמחקו על ידי בית הדין האירופי לצדק והוחלפו; הנוף המשפטי משתנה כל כמה שנים.ספקי ענן עיקריים בנו מבנים אזוריים כדי לעמוד בדרישות:
- EU אזורי עם תושבות נתונים של האיחוד האירופי בלבד, לעתים קרובות חברות בנות מופרדות באופן חוקי
- 71 סין, אזורי סין המופעלים באמצעות אזורי Sinnet, סין 21Vianet, ל-Google Cloud יש נוכחות מוגבלת)
- הצעות ענן ריבוניות לממשלות ותעשיות מוסדרות - בידוד מיוחד, ניהול מפתחות מקומי, גישה לאנשי אזור בלבד
- BYOK / מפתחות מנוהלים על ידי לקוחות המפתח מחזיק בחנות הנתונים, אך המצפן מחזיק את הלקוח. חששות ממתן סמכות שיפוט חלקית
The CLOUD Act
The US Clarifying Lawful Overseas Use of Data Act (2018) נותן לרשויות בארה"ב גישה לנתונים המוחזקים על ידי חברות מטה ארה"ב ללא קשר למקום שבו הנתונים מאוחסנים פיזית. זהו המתח המרכזי עם GDPR: נתונים של משתמש באיחוד האירופי ב-Microsoft Azure-Europe עדיין כפופים לצווים של ארה"ב אם ניתן לאלץ את מיקרוסופט לייצר אותם.
התגובה של האיחוד האירופי הוחמרה בהדרגה: Schrems II (2020) פסל את הנמל הבטוח הקודם; מסגרת פרטיות הנתונים הנוכחית כוללת מנגנוני פיקוח חדשים; אתגרים משפטיים מתמשכים ממשיכים.
מה זה אומר עבור משתמשי VPN
בחירת סמכות השיפוט של ספק VPN היא החלטת ריבונות:
- US ספקים מבוססי כפופים לצווי איסור פרסום של NSL (National Security Letter) וצווי CLOUD Act. לחלקם יש צו-כנריות; חלקם עזבו. ספקים המבוססים על XPZ3X
- EU (שוויץ - לא באיחוד האירופי אלא תנוחת פרטיות דומה; שבדיה; הולנד) פועלים תחת הגנות פרטיות חזקות יותר, אך עדיין כפופים לכללי שימור נתונים וגישה חוקית מקומיים. CyberGhost) - תחומי שיפוט שנבחרו במיוחד עבור דרישות חלשות לשמירת נתונים. איכות ההגנה המשפטית משתנה.
סמכות השיפוט של ה-VPN חשובה פחות מהמדיניות ללא רישום, אם המדיניות מבוקרת באמת - אבל תחום השיפוט קובע את הבסיס לגבי מה שהספק יכול להיאלץ לחשוף. גם:
- לספקי דוא"ל המבוססים במדינות שונות יש חשיפה משפטית שונה
- אחסון תמונות וענן — iCloud מבוססת בארה"ב; פרוטון דרייב היא שוויצרית; מגה היא ניו זילנד
- אירוח עצמי — שרת בביתך, במדינה שלך, הוא ריבונות הנתונים החזקה ביותר
- חלופות מבוזרות — IPFS, מאסטודון (מאוחד), מטריקס — הפצת נתונים על פני מפעילים רבים PL3ZXXXX3, ולא 5 PLZZ7 מפעילים רבים. מגמת פיצול
האינטרנט תוכנן ללא גבולות. 25 שנים של רגולציה דחפה אותה לעבר הבלקניזציה האזורית. חומת האש הגדולה של סין היא גרסת האקסטרים; המתיחות בנתוני האיחוד האירופי-ארה"ב היא מתונה יותר. העשור הבא כנראה יראה יותר, לא פחות, פיצול, כאשר ממשלות יגיבו לדאגות מעקב, בינה מלאכותית וכוח פלטפורמה. עבור המשתמשים, משמעות הדבר היא תשומת לב רבה יותר היכן מבוססים השירותים ואילו חוקים חלים.
שאלות נפוצות
- איפה הנתונים שלי מאוחסנים בפועל?
- תלוי בשירות. נתוני אפל נמצאים בדרך כלל באזור המשתמש (או עבור שירותי פרימיום, מבוזרים). גוגל, מיקרוסופט, אמזון הפיצו נתונים על פני אזורים לכל שירות. קרא את התיעוד של כל ספק. שירותים מסוימים מאפשרים לך לבחור אזור; רבים לא.
- האם השימוש ב-VPN משנה את ריבונות הנתונים שלי?
- VPN יכול לשנות איזו תחום שיפוט רואה את התנועה שלך במעבר ומאיפה מגיע מקור הבקשות לכאורה. זה לא משנה היכן שירות היעד מאחסן את הנתונים שלך - לענן שאליו אתה מתחבר יש אותו מקום מגורים ללא קשר לאופן שבו הגעת לשם.
- האם עלי להימנע משירותים מבוססי ארה"ב?
- תלוי במודל האיום שלך. עבור רוב המשתמשים, שירותים מבוססי ארה"ב עם רישומי פרטיות חזקים הם בסדר. עבור תרחישים בעלי סיכון גבוה (עיתונות, אקטיביזם במדינות סמכותיות), בחירת שירותים מחוץ לטווח המשפטי של ארה"ב יכולה להיות חשובה. הסיכון-תגמול אינו תשובה חד-משמעית.
- מהו CLOUD Act ומדוע הוא מפחיד לקוחות באיחוד האירופי?
- חוק CLOUD מאפשר לרשויות בארה"ב לזמן חברות אמריקאיות על נתונים שבידיהן, ללא קשר למיקום הפיזי. ללקוחות האיחוד האירופי המשתמשים בספקי ענן בארה"ב (AWS, Azure, GCP) יש נתונים הכפופים מבחינה טכנית הן לחוק האיחוד האירופי והן לצווים של ארה"ב בו זמנית. תגובת האיחוד האירופי הייתה לדרוש אמצעי הגנה חוזיים ולדחוף לחלופות מטה האיחוד האירופי.
- האם ריבונות נתונים היא ערובה לפרטיות?
- לא בפני עצמו. איפה הנתונים חיים משפיע על החוקים החלים, אבל הנתונים הם פרטיים רק כפי שהמפעיל בוחר. קריפטוגרפיה חזקה (הצפנה בצד הלקוח, מפתחות בניהול לקוח) מספקת הגנה ללא תלות בסמכות השיפוט. ריבונות נתונים היא רובד אחד; הצפנה מקצה לקצה היא חזקה יותר.