Ha nagyon hatásvadász címet akartunk volna adni, az mondjuk ilyesmi lehetne: Nyugalom, marad a Facebook, a Google és a többiek. Bár pecsét még nincs a megegyezésen, de az Atlanti-óceán két oldala egyértelművé tette adatharmonizációs szándékait.
Közel egy éve megsemmisült egy pajzs. Persze nem valódi, de annál fontosabb: az Európai Unió olyan bírósági döntést hozott, amely érvénytelenítette az EU és az Egyesült Államok közötti úgynevezett Privacy Shield, magyarul Adatvédelmi Pajzs néven ismert egyezményt. Ez pedig nagy baj egy csomó olyan internetes és felhő alapú szolgáltatás működésével kapcsolatban, amelyet nap mint nap használunk a magánszférában és az üzleti életben egyaránt. Nézzük meg gyorsan, mit jelentett ez a döntés, aztán pedig rákanyarodunk a most előrevetített megoldásra.
Különböző szinten védett adatok
Amióta az Európai Unió területén érvénybe lépett a GDPR, tehát a személyes adatok kezelését minden eddiginél szigorúbban szabályozó törvénycsomag, kiemelt hangsúlyt kapott az, hogy az unió polgáraitól származó adatokat ki, hol, hogyan kezelheti, beleértve azt is, hogy például milyen kötelező köröket kell egyáltalán ahhoz lefutni, hogy bármilyen adatot begyűjtsön valaki. Ennek következményei például a weboldalakon lépten-nyomon felugró ablakok, amelyek a sütik használatához kérnek engedélyt, de persze ez csak a számunkra leginkább látható (és talán kissé idegesítő, de alapvetően hasznos) része az új szabályozásnak. Többek között az is szerepel ugyanis a csomagban, hogy európai felhasználók adatait csak olyan országokban lehet tárolni és kezelni, amelyek teljesítik a GDPR által megszabott feltételeket.
Persze az Egyesült Államokban is léteznek adatvédelmi szabályozások, de ezek egyrészt több téren lazábbak és megengedőbbek az európainál, ráadásul egyes pontokban még a tagállamok között is vannak különbségek. Miért gond ez? Vegyünk egy egyszerű, személyes felhasználókat érintő példát: a Facebookot. A ma már Meta néven működő anyacégnek ugyan világszerte vannak szerverei, de ez egyáltalán nem azt jelenti, hogy egy európai Facebook-júzer adatai csak egy európai szerveren tárolódnak. A vállalat bonyolult háttér-struktúrája sokfelé tükröz például adatokat épp azért, hogy ha valahol egy helyi probléma miatt ideiglenesen elhasal a szolgáltatás, attól a felhasználói infók biztonságban megmaradjanak máshol. De ugye az egész szolgáltatás arról szól, hogy világszerte kapcsolatba léphessenek egymással az emberek, azt pedig nehéz úgy megoldani, ha egy adott személyről szóló adatok megállnak valamelyik határon.
Ugyanez sokkal nagyobb szinten is tetten érhető, hiszen manapság már kisvállalkozásoktól nagyvállalatokig használnak olyan felhőszolgáltatásokat, amelyeknél szintén épp az a lényeg, hogy nem fontos az adatok fizikai helyszíne, a működéshez épp az kell, hogy a több helyre is tükrözött adatok, távoli virtuális szoftverek, szolgáltatások, platformok mindenkor és mindenhol rendelkezésre álljanak a munkatársak számára. Ez még kiélezettebb akkor, ha országokon átívelő multicégekről beszélünk, ahol esetleg más és más szabályozások vonatkoznak az egyes részlegekre illetve leányvállalatokra, miközben nekik szorosan, egy virtuális egységként kéne dolgozniuk.
Namármost, az EU bíróságának 2020. július 16-i döntése szerint az unió és az Egyesült Államok között elvben “elvágták az adat-drótot”, ami nagyjából annyit tesz, hogy európai felhasználók adatait nem kezelhetik amerikai szervereken, egész egyszerűen azért, mert ott nem garantálható például, hogy az NSA, a CIA és egyéb állami szervezetek bizonyos okokból nem nézhetnek bele azokba. A döntés első körben csak jogi szinten okozott bizonytalankodásokat, de aztán olyan konkrét végzéseket is kiadtak az európai adatvédelmi hatóságok, amelyek nyomán már a teljes kivonulást fontolgatták olyan szolgáltatások, mint a Google Analytics (ami nagyjából a teljes európai webes reklám- és marketingpiacot lőtte volna lábon), a Google Fonts (amely bedöntött volna egy csomó erre épülő weboldalt), vagy az online fizetéseket kezelő Stripe. Ha pedig így folytatódott volna a szabályozatlan helyzet, akár a webes szolgáltatások egyik fontos alapjául szolgáló Amazon Web Services, vagy a Microsoft felhőplatformja, az Azure is megkapta volna a maga tiltásait, tehát végső soron Európa teljes online világának legalsó tégláját sikerült volna kirúgni.
Jön a felmentő sereg
Március legvégén szerencsére felvillant a fény az alagút végén: az Európai Unió (pontosabban Ursula von der Leyen, az Európai Bizottság elnöke) bejelentette, hogy megállapodásra jutottak Joe Biden amerikai elnökkel a témában. Ez persze még csak elvi szintű, de határozott és egyértelmű: kidolgoznak egy olyan új adatvédelmi szabályozást, amely “kiszámítható és megbízható adatáramlást biztosít az EU és az USA között, amely védi a magánéletet és a polgári szabadságjogokat”.
A megkönnyebbülést kiváltó bejelentés persze nem tér ki a részletekre, tehát azt nem tudni, pontosan milyen módon hangolják össze a két fél adatkezelési szabályozásait, és mikortól lesz érvényes mindez, tehát egyelőre inkább amolyan politikai megállapodásnak tekinthető, de arra minden bizonnyal elég lesz, hogy a már “megfenyített” szolgáltatások haladékot kapjanak. Tehát egyelőre megnyugodhat mindenki mikro- és makro-szinten is: továbbra is cseveghetünk Messengeren az amerikába szakadt rokonokkal, a cég pedig szintén dolgozhat a cloudban. Közben pedig bizonyára okos jogászok húzogatnak vonalakat a két eltérő jogrendszer paragrafusai között, és remélhetőleg hamar átlátják a káoszt.
