Kurš patiesībā kontrolē jūsu uzņēmuma datus?

2026. gada 18. jūnijā Francijas Senāta uzklausīšanā Microsoft France pārstāvim zvēresta priekšā uzdeva vienkāršu jautājumu: Vai varat garantēt, ka Eiropas dati nekad netiks pieprasīti no ASV iestādēm?

Atbilde bija skaidra: Nē. Šādu garantiju sniegt nevar.

Runa bija par produktu, kas Francijā tika tirgots kā "suverēns": dati glabājas Francijā, tos pārvalda Francijas partneris un tie tiek apstrādāti saskaņā ar Francijas noteikumiem. Taču servera atrašanās vieta neko nemainīja.

Datu suverenitāte nav jautājums par to, kur atrodas serveris. Tas ir jautājums par to, kuras valsts likumi nosaka, kurš drīkst pieprasīt piekļuvi datiem. Un ir vēl viens jautājums, ko daudzi uzņēmumi nemaz neuzdod: vai kāds tehniski var izlasīt šos datus brīdī, kad tie tiek apstrādāti?

Kāpēc datu atrašanās vieta neko negarantē?

ASV CLOUD Act ļauj ASV iestādēm pieprasīt datus no jebkura ASV uzņēmuma, kam ir piekļuve tiem, neatkarīgi no tā, kurā valstī serveris fiziski atrodas. Frankfurte, Parīze vai "ES reģions" neko negarantē, ja pakalpojuma sniedzēja mātesuzņēmums ir reģistrēts ASV. Jurisdikcija seko uzņēmumam, nevis servera adresei.

Tieši tāpēc uzņēmums, kas paraksta mākoņpakalpojuma līgumu ar solījumu "dati paliek ES", ir atbildējis tikai uz pusi jautājuma. Otrs paliek neatbildēts: kurš drīkst šos datus pieprasīt?

Kas notiek, kad divu valstu likumi prasa pretējo?

Eiropas Savienības atbilde uz šo problēmu ir pakāpeniski attīstījusies. ES Datu akta VII nodaļa, kas piemērojama kopš 2025. gada septembra, paredz, ka mākoņpakalpojumu sniedzējiem ir jāapstrīd nelikumīgi trešo valstu pieprasījumi par datiem, kas glabājas Eiropas Savienībā. Ar to vien nepietiek.

2026. gada jūnijā Eiropas Komisija piedāvāja nākamo soli - regulējumu, kas publiskā sektora iepirkumos ievieš četrus datu suverenitātes līmeņus. Komisija atzina, ka augstāko līmeni ASV uzņēmumiem sasniegt būs gandrīz neiespējami, jo jurisdikcijas konfliktu nevar atrisināt tikai ar līguma nosacījumiem.

Taču pat tad, ja juridiskie jautājumi tiek atrisināti, paliek vēl viens - tehniskais.

Ko atrisina confidential computing, ko šifrēšana vien neatrisina?

Dati eksistē trīs stāvokļos:

• glabāšanas laikā,
• pārsūtīšanas laikā,
• un apstrādes laikā.

Pirmos divus šifrēšana aizsargā ļoti labi. Trešais ir sarežģītāks. Lai serveris varētu datus apstrādāt, tie uz īsu brīdi parasti tiek atšifrēti operatīvajā atmiņā. Tieši šajā brīdī administrators, kompromitēta virtualizācijas vide vai cita priviliģēta piekļuve teorētiski var šos datus sasniegt.

Confidential computing ir radīts tieši šīs problēmas risināšanai. Tas nodrošina, ka dati tiek apstrādāti aparatūras aizsargātā vidē, kurai nevar piekļūt pat servera administrators. Šādu pieeju izmanto tādas tehnoloģijas kā Intel SGX, Intel TDX, AMD SEV-SNP un ARM TrustZone.

Gartner confidential computing min kā vienu no tehnoloģijām, kas tuvāko gadu laikā būtiski mainīs uzņēmumu infrastruktūru, prognozējot, ka līdz 2029. gadam vairāk nekā 75% datu apstrādes neuzticamā infrastruktūrā būs aizsargāti šādā veidā.

Apvienojumā ar šifrēšanas atslēgām, kas paliek klienta, nevis pakalpojuma sniedzēja kontrolē, tas būtiski maina situāciju. Pat ja pakalpojuma sniedzējs saņem likumīgu pieprasījumu izsniegt datus, tam nav pieejama informācija, ko iespējams izlasīt.

Tātad - vai uzņēmuma dati patiešām pieder jums?

Uzņēmuma dati jums nepieder tikai tāpēc, ka jūs tos esat radījuši vai par tiem maksājat. Par tiem patiešām var teikt, ka tie pieder jums tikai tad, ja jūs kontrolējat, kurš tos drīkst pieprasīt un kurš tos tehniski var izlasīt.

Lielākā daļa uzņēmumu ir pārbaudījuši tikai vienu jautājumu - kur dati tiek glabāti. Daudz retāk tiek izvērtēts, kam šie dati ir juridiski pieejami un vai tos iespējams izlasīt arī apstrādes brīdī.

Nākamreiz, izvēloties mākoņpakalpojumu vai datu apstrādes platformu, pajautājiet nevis: "Kur glabājas mani dati?"

bet gan: "Kurš tos var pieprasīt un kurš tos var izlasīt?"