Dataen lander et sted. Långiveren vil vite hvor

Personvern-ombudet hos den EU-baserte långiverens prosjekt-finansieringsteam gjennomgår produsentens foreslåtte arkitektur. Hun stiller ett spørsmål, skriftlig, til produsentens bud-team:

«Når kontrolleren sender sin kvartalsvise ytelses-oppsummering til produsentens analytikk-plattform, hva er den fysiske destinasjonen for dataene — datasenteret, byen, landet, den juridiske enheten som driver datasenteret, den juridiske enheten som holder krypterings-nøklene, og den juridiske enheten som har root-tilgang til databasen?»

Produsentens svar, flere dager senere, er beroligende i tone. Dataene er kryptert i transitt og i hvile. De holdes i et sikkert sky-miljø drevet av en tier-one sky-leverandør. Tilgang er begrenset til autorisert personell. Produsenten følger internasjonale personvern-standarder.

Personvern-ombudet skriver tilbake. «Jeg stilte seks spesifikke spørsmål. Ingen av dem ble besvart. Vennligst gi de seks informasjons-bitene som ble forespurt.»

Det andre svaret besvarer fire av de seks. Dataene er hostet i produsentens hjemjurisdiksjon. Datasenteret drives av en nasjonal sky-leverandør som produsenten har en langvarig relasjon med. Den juridiske enheten som holder dataene er produsentens lokale analytikk-datterselskap. Krypterings-nøklene håndteres av sky-leverandøren gjennom deres nøkkelhåndterings-tjeneste. De to gjenværende spørsmålene — byen og den juridiske enheten med root-tilgang — utsettes til et senere svar.

Personvern-ombudet leser svaret to ganger. Hun har, i de fire svarene, grunnlaget for å avslå å anbefale budet. Dataflyten som beskrevet overlever ikke en Schrems II-analyse. Sky-leverandøren, som opererer i produsentens hjemjurisdiksjon, er underlagt nasjonal overvåknings- og etterretningslov som Den europeiske union ikke har vurdert som tilstrekkelig. Krypterings-nøklene holdes av en enhet innenfor samme jurisdiksjon, hvilket betyr at de er tilgjengelige for den jurisdiksjonens myndigheter under nasjonal lov. Sky-leverandørens hjemregjering har lovlig tilgang til dataene, selv kryptert, under forhold som overgår hva GDPR anser som nødvendig og forholdsmessig.

Dette er det grenseoverskridende dataflyt-problemet.

Det juridiske rammeverket ble lagt fram i referansestykket om regulering tidligere i denne serien . Artiklene som er relevante for samtalen er GDPR Artikkel 44 til 49 (overføringer til tredjeland), Schrems II-dommen fra juli 2020 (overføringskonsekvens-vurderings-kravet), de oppdaterte standard kontraktsklausulene fra juni 2021 (mekanismen som krever supplerende tiltak), og EDPB-anbefalingene om supplerende tiltak (veiledningen om hvordan disse tiltakene ser ut i praksis). Den arkitektoniske samtalen som denne artikkelen omhandler er det som følger fra det juridiske rammeverket: hvor dataene faktisk må gå, og hva produsentens arkitektur må se ut som for å støtte det.

Hvilke data som faktisk blir overført

Det første trekket i enhver grenseoverskridende data-samtale er å identifisere hva dataene faktisk inneholder. Dette er vanskeligere enn det høres ut som, fordi produsenter har en tendens til å bundle data-typer sammen under etiketten «telemetri» og GDPR-analysen krever at bundlen separeres.

Et anlegg genererer flere distinkte kategorier av data. Driftstelemetri fra kontrollere — turbin-hastighet, blad-vinkel, generator-utgang, inverter-status, batteri-ladningstilstand — er, i seg selv, ikke personopplysninger. Den beskriver utstyret, ikke menneskene som driver det. Tilstandsovervåknings-data — vibrasjons-spektra, oljekvalitets-målinger, termiske profiler — faller i samme kategori. Aggregerte ytelses-data, anleggs-vidt energi-utgang, feil-rater, gjennomsnittlig tid mellom feil — også ikke personopplysninger.

Andre kategorier er klart personopplysninger. CCTV-opptak fra kameraer i kontrollrommet, rundt transformatorstasjonen, i vedlikeholds-områder. Badge-swipes og dør-tilgangs-logger. Identifiserbare vedlikeholds-opptak — «Ingeniør X utførte oppgave Y på dato Z» er personopplysninger selv om oppgaven og datoen er ukontroversielle. Audit-loggene fra identitets- og tilgangshåndterings-plattformen er personopplysninger per definisjon.

Noen kategorier er blandede. En diagnose-data-eksport forberedt under en fjern-support-sesjon kan inkludere både driftsdataene som blir analysert og skjermopptaket av ingeniøren som utfører analysen. En vedlikeholds-arbeids-ordre kan inkludere både den tekniske feil-beskrivelsen og legitimasjonen til ingeniøren som lukket den. En tilstandsovervåkings-rapport som navngir inspektøren er personopplysninger; samme rapport anonymisert er det ikke.

Øvelsen långiverens personvern-funksjon forventer er data-klassifisering. Hver dataflyt som forlater anlegget, eller potensielt forlater anlegget, identifiseres, kategoriseres og vurderes for personopplysnings-innhold. Resultatet er en data-inventar — en liste over hver data-type, dens kilde, dens destinasjon, dens oppbevarings-periode, og dens klassifisering under GDPR.

For de fleste ikke-EU-produsentene produserer denne øvelsen overraskelser. Diagnose-data som flyter til support-skyen viser seg å inkludere identifiserbare ingeniør-handlinger. Tilstandsovervåkings-data viser seg å inkludere noen anleggs-drifts-metadata identifiserbare til drifts-teamet. Telemetri-kanaler som ingeniørteamet antok var rent operasjonelle, viser seg å bære kontekstuell metadata som under GDPR-analyse utgjør personopplysninger.

Overføringskonsekvens-vurderingen i praksis

For hver personopplysnings-flyt som krysser EØS-grensen, må den behandlingsansvarlige — den EU-baserte prosjekt-sponsoren, i serien-arketypen — gjennomføre en overføringskonsekvens-vurdering under rammeverket etablert av Schrems II.

Vurderingen har en spesifikk form. Identifiser destinasjons-landet og mottaker-enheten. Vurder det landets overvåknings- og etterretningslover — hvilken tilgang myndighetene har til data holdt av enheter i den jurisdiksjonen, under hvilken prosess, med hvilket tilsyn. Bestem om den spesifikke mottakeren er underlagt disse lovene (de fleste er, i kraft av å være etablert i jurisdiksjonen). Bestem om de supplerende tiltakene tilgjengelige — kryptering med nøkler holdt kun i EØS, pseudonymisering som forhindrer re-identifikasjon, oppdelt behandling på tvers av flere jurisdiksjoner — kan lukke gapet identifisert.

For noen destinasjons-land konkluderer vurderingen lett. Tilstrekkelighets-beslutninger eksisterer for Storbritannia, Sveits, Japan, Republikken Korea, New Zealand, Canada (kommersielle organisasjoner), Israel, Argentina, Uruguay, Færøyene, Guernsey, Isle of Man, Jersey, Andorra, og — under EU–USA Data Privacy Framework vedtatt 10. juli 2023 — USA for mottakere på DPF-listen med gyldig sertifisering; overføringer til disse jurisdiksjonene fortsetter under Artikkel 45 uten ytterligere mekanismer. For noen andre land er vurderingen gjennomførbar med supplerende tiltak — tilstrekkelighet eksisterer ikke, men landets overvåknings-rammeverk er avgrenset nok til at kryptering med EØS-holdte nøkler, eller pseudonymisering, lukker gapet.

For flere store industrielle produksjons-jurisdiksjoner er vurderingen ikke gjennomførbar i noen praktisk konfigurasjon. Landenes nasjonale sikkerhets- og etterretningslover tvinger enheter etablert i deres jurisdiksjon til å gi tilgang til data de holder, under forhold og med tilsyn som faller kort av hva EU anser som nødvendig og forholdsmessig. Ingen teknisk supplerende tiltak kortere enn å nekte overføringen helt tilfredsstiller Schrems II-testen i disse tilfellene, fordi enheten som holder dataene er juridisk tvunget til å gi tilgang uansett hvordan krypterings-arrangementene ser ut.

Långiverens samsvars-team gjør ikke en politisk vurdering om disse landene når de når denne konklusjonen. De anvender en juridisk test som EU-domstolen har lagt ut og som EU-personvern-myndigheter har utdypet. Konklusjonen er et juridisk anliggende. Botemiddelet er arkitektonisk.

Hva anleggseieren og långiveren vil akseptere

Tre arkitektoniske mønstre overlever analysen.

EU-bare data-residens. All telemetri, all analytikk, alt support-verktøy, all backup og katastrofegjenoppretting — terminerer i datasentre fysisk plassert i Det europeiske økonomiske samarbeidsområdet, drevet av juridiske enheter underlagt EU-lov, med krypterings-nøkler holdt av EØS-residente enheter. Data forlater ikke EØS på noe tidspunkt i livssyklusen. Dette mønsteret er det tryggeste fra långiverens perspektiv og er det de fleste store ikke-EU-produsentene har flyttet til for sin europeiske kundebase. Det krever typisk at produsenten etablerer eller kontrakter med et EU-basert datterselskap, EU-basert sky-kapasitet, og EU-baserte ingeniør-team for enhver funksjon som berører personopplysninger.

Vertsland-data-residens. Data forblir i landet der anlegget er fysisk plassert — Egypt, i arketypen — under det landets personvernlov, med passende sikringer. Dette mønsteret fungerer når vertslandet har sitt eget troverdige personvern-rammeverk og EU-långiveren er komfortabel med det lokale regimet som et tilstrekkelig gulv. Det er i økende grad vanlig for prosjekter i Nord-Afrika, Gulf-statene og Latin-Amerika der lokale data-residens-krav ofte sammenfaller med långiverens preferanser.

Hybrid-residens med streng klassifisering. Driftsdata uten personopplysnings-innhold flyter til produsentens hjemjurisdiksjon for analytikk- og produkt-forbedrings-formål; personopplysninger og identifiserbare data forblir i EØS eller vertslandet under mønstrene over. Hybrid-modellen fungerer kun med streng data-klassifisering ved kilden, tekniske kontroller som forhindrer at personopplysninger lekker inn i drifts-kanalen, og kontinuerlig overvåkning for å bekrefte at separasjonen opprettholdes. Den er mer kompleks enn de to andre mønstrene og velges typisk av produsenter som har betydelig analytikk-investering i hjemjurisdiksjonen sin som de ennå ikke er klare til å flytte.

Mønstre som ikke overlever inkluderer enhver flyt der personopplysninger passerer gjennom en ikke-tilstrekkelighets-jurisdiksjon i transitt, enhver arkitektur der sky-leverandørens hjemregjering har tvungne-tilgangs-fullmakter over krypterings-nøklene, og ethvert arrangement der produsenten hevder samsvar uten å produsere dataflyt-diagrammet og overføringskonsekvens-vurderingen som demonstrerer det.

Dataflyt-diagrammet

En spesifikk leveranse som långiverens personvern-funksjon vil be om er et dataflyt-diagram som viser hver data-type, hver kilde, hvert transitt-punkt, hver destinasjon, hver juridisk enhet involvert. Diagrammet er artefaktet som eksponerer arkitektoniske antagelser, og det avslører typisk situasjonene prose-diskusjonen misser.

Et typisk første-cut-diagram, tegnet ærlig, viser flyter produsentens team ikke bevisst designet. Backup-flyter som speiler primær-data til ytterligere jurisdiksjoner for motstandskraft. Analytikk-flyter der data replikeres til et andre prosesserings-miljø og rekomputeres mot en annen modell. Support-arbeidsflyt der ticket-data, skjermopptak og ingeniør-logger krysser grenser som en normal del av service-organisasjonen som opererer på tvers av flere tidssoner. Katastrofegjenopprettings-arrangementer som aktiveres i en annen region enn primær. CDN-stier for programvare-nedlastinger som transitterer gjennom edge-plasseringer arkitektur-teamet ikke formelt hadde vurdert.

Å produsere dette diagrammet ærlig tar arbeid. Mange produsenter finner at diagrammet de tror de har avviker betydelig fra arkitekturen som bygget — flyter oppdaget gjennom diagram-produksjon ingen hadde dokumentert, jurisdiksjoner berørt i transitt ingen hadde telt, juridiske enheter involvert som innkjøpsteamet ikke hadde separat vurdert.

Diagrammet har en sekundær bruk utover långiverens gjennomgang. Det er artefaktet produsentens egen personvern-funksjon bruker for å utbedre gap. Når flytene er synlige, blir de arkitektoniske endringene som kreves — å re-pointere en backup, å flytte en analytikk-arbeidsbelastning, å begrense et support-verktøys data-tilgang — spesifikke og overkommelige, snarere enn den abstrakte oppgaven «sørg for GDPR-samsvar» som er umulig å konstruere mot.

På forslagsstadiet

Et produsents bud som adresserer grenseoverskridende dataflyt eksplisitt — med et dataflyt-diagram, en klassifisering av hvilke data som er personopplysninger, en residens-forpliktelse for personopplysninger, en beskrivelse av overførings-mekanismen for driftsdata, en dokumentert overføringskonsekvens-vurdering for enhver ikke-tilstrekkelighets-destinasjon, og den juridiske enhets-strukturen som leverer arkitekturen — er et bud som har forutsett samtalen. Långiverens personvern-funksjon gjennomgår materialet, identifiserer eventuelle gjenværende bekymringer, og samtalen fortsetter.

Et bud som ikke adresserer grenseoverskridende dataflyt, eller som gestikulerer vagt mot «sikker sky-infrastruktur» og «samsvar med gjeldende personvern-regler», signaliserer et gap långiverens samsvars-team vil overflate under due diligence. Gapet kan være lukkbart gjennom arkitektonisk endring — å re-pointere telemetri-endepunkter, etablere EU-residens for personopplysninger, bygge data-klassifiseringen ved kilden. Gapet kan være mer fundamentalt, og kreve at produsenten setter opp ny infrastruktur eller nye datterselskaper for å støtte dataflytene som EU-regulering tillater. Jo nærmere gapet er produsentens kjerne-analytikk-plattform, jo mer betydelig er arbeidet med å lukke det.

Den dypere observasjonen er at data-residens er området der regulatoriske spesifikasjoner mest direkte begrenser arkitektoniske valg. Den kryptografiske grunnlinjen, oppdaterings-kontrakten, loggings-disiplinen, identitets-modellen — alle generaliserer på tvers av globale markeder, og en produsent som adopterer dem ser fordeler utover EU-samsvar. Data-residens er strukturert av EU-regulatorisk rammeverk på en måte som ikke generaliserer like rent. Produsenter som betjener EU-finansierte prosjekter ender typisk opp med EU-hostet analytikk-infrastruktur, separat fra deres hjemlands-infrastruktur, med ren arkitektonisk separasjon mellom de to. Investeringen er betydelig. For produsenter som betjener EU-finansierte prosjekter i noe volum er det også uunngåelig.

Den neste artikkelen plukker opp temaet som dataflyt-gjennomgangen overflater ved siden av personvern: sanksjons- og opprinnelses-avsløringen långiverens samsvars-team utfører mot stykklisten, leverandørene og det reelle eierskapet til produsentens leverandørkjede.

Denne artikkelen reflekterer det regulatoriske landskapet ved publisering. EUs rammeverk for internasjonale dataoverføringer fortsetter å utvikle seg, særlig rundt tilstrekkelighets-beslutninger, EU-USA dataoverførings-arrangementer, og EDPB-veiledning om supplerende tiltak. EU-domstolens rettspraksis fortsetter å utvikle seg. Spesifikke transaksjoner bør gjennomgås av kvalifisert juridisk rådgivning snarere enn mot denne artikkelen. Hvis et sitat har råtnet eller en klausul har flyttet seg, er LinkedIn veien å flagge det på.