GIODO: chmury są tanie i wygodne, ale można stracić kontrolę nad danymi

Czym jest cloud computing?

Wojciech R. Wiewiórowski: Przetwarzanie danych w chmurach, nazywane też "przetwarzaniem w chmurach obliczeniowych" jest nowym modelem biznesowym, który od kilku lat zdobywa coraz większą popularność. Polega na tym, że zarówno dane i infrastruktura ich przetwarzania, jak i różnego rodzaju oprogramowanie, z którego korzystamy, nie jest umieszczone na naszym komputerze czy na naszym serwerze, lecz jest przechowywane u dostarczyciela usług. Często nie mamy pojęcia, gdzie te dane i oprogramowanie się znajdują, ponieważ wykupujemy tak naprawdę usługę dostępu do danych albo usługę dostępu do oprogramowania.

Mówimy o danych, ale co się pod tym kryje?

W.R.W: Mogą to być bardzo różne dane, począwszy od tych, które przechowujemy w poczcie internetowej albo w dostępnych przez pocztę zasobach - wszystkie one znajdują się w tzw. chmurze. Przykładem jest serwis gmail - każdy, kto z niego korzysta, powinien zdawać sobie sprawę z tego, że jego dane są przechowywane w chmurach obliczeniowych. Innym przykładem, dużo bardziej skomplikowanym, są duże bazy danych prowadzone przez instytucje publiczne albo prywatne. Instytucje te oddają zgromadzone przez siebie dane do serwisu chmurowego, gdy nie chcą kupować własnego serwera, a jedynie usługę dostępu do danych.

Jakie zatem są korzyści z cloud computingu?

W.R.W: Z jednej strony nie musimy składować danych na własnym serwerze, co w szczególności w przypadku dużych baz danych ma ogromne znaczenie. Nie musimy też kupować oprogramowania, które trzeba byłoby instalować na naszych stacjach roboczych. No i - co chyba najważniejsze - mamy dostęp do tych danych z dowolnego komputera, z dowolnego miejsca na świecie. Cloud computing jest więc tani i wygodny.

Na czym więc polega problem?

W.R.W: Pojawia się on w momencie, gdy zaczynamy zastanawiać się, na ile dane, z których na co dzień korzystamy, są bezpieczne, skoro nie mamy kontroli na tym, gdzie są one przechowywane: w Polsce, Rosji, Stanach Zjednoczonych, a może na Seszelach. Nie wiemy też, w jaki sposób są one przetwarzane i czy podmiot, któremu przekazaliśmy dane, nie powierzył ich przetwarzania innemu podmiotowi na świecie. To zresztą nie tylko kwestia ochrony danych osobowych, ale i tajemnic prawnie chronionych. Mówimy tu nie tylko o tajemnicy państwowej czy danych dotyczących bezpieczeństwa państwa, ale też o tajemnicy lekarskiej, adwokackiej, radcowskiej itd. To też są dane, których przechowywanie w serwisach chmurowych wywołuje wątpliwości.

Czy mógłby pan podać przykład korzystania z cloud computingu przez urzędy i instytucje władzy publicznej?

W.R.W: Nie jest mi znany żaden serwis administracji publicznej Polsce, który byłby umieszczony w chmurach, ale wiem, że trwają przygotowania do wprowadzenia takich rozwiązań. W niektórych przypadkach wydaje mi się to zresztą jak najbardziej logiczne. Na przykład Ministerstwo Administracji i Cyfryzacji tworzy w tej chwili Centralne Repozytorium Informacji Publicznej. Nie widzę powodu, dla którego nie miałoby ono być umieszczone w serwisach chmurowych, skoro chodzi o informację publiczną, która i tak jest wszystkim udostępniana.

A w innych krajach?

W.R.W: W przypadku administracji publicznej najczęściej przyjmowane są rozwiązania dotyczące tzw. prywatnej chmury. Jest to więc wprawdzie rozwiązanie chmurowe, ale dokładnie i jednoznacznie jest określone, gdzie dane są przechowywane i które centra je przetwarzają. Jednocześnie taka chmura prywatna używana przez administrację jest odizolowana od zasobów i infrastruktury udostępnianej innym podmiotom. Przykładem jest baza dotycząca podatków federalnych w Stanach Zjednoczonych. Została ona umieszczona w systemie chmurowym, ale pieczę nad nim sprawuje administracja federalna, która nie pozwala, by dane te były przechowywane w jakichkolwiek innych centrach obliczeniowych.

Czy są jakieś przepisy, które regulują przetwarzanie danych w chmurze?

W.R.W: Nie ma specjalnego prawa dotyczącego cloud computingu, ale nie wydaje mi się, by sensowne było tworzenie tego typu rozwiązań prawnych. Nie ma natomiast wątpliwości, że obowiązujące już dziś przepisy prawne oddziałują na taki model przetwarzania danych, przykładem choćby ustawa o ochronie danych osobowych.

Polska ustawa o ochronie danych osobowych nie ma jednak zastosowania do podmiotu przetwarzającego dane w Stanach Zjednoczonych.

W.R.W: To prawda, należy jednak pamiętać, że administratorem danych osobowych, czyli tym, kto faktycznie odpowiada za cel i sposób przetwarzania danych, jest z reguły podmiot, który znajduje się na terenie Polski. W modelu chmurowym użytkownik przekazujący dane do chmury z reguły pozostaje nadal administratorem danych osobowych, zaś ten, komu te dane są przekazywane, jest tylko podmiotem przetwarzającym i musi w tym celu posiadać odpowiednie umocowanie umowne. Podmiot ten może pochodzić z innego kraju europejskiego i przetwarzać dane na terenie Unii Europejskiej, albo z dowolnego miejsca na świecie. To oczywiście powoduje pytania o transfer danych z Polski do innego kraju unijnego lub innego kraju, tzw. kraju trzeciego, który nie zapewnia wystarczających gwarancji ochrony danych.

Jak zatem przetwarzanie danych jest uregulowane w Unii Europejskiej?

W.R.W: W Unii Europejskiej obowiązuje dyrektywa z 1995 r. o ochronie danych osobowych, a ustawy tworzone w poszczególnych państwach członkowskich, muszą być z nią, oczywiście, zgodne. Zasady przetwarzania danych we wszystkich krajach europejskich są więc bardzo zbliżone, jeśli nie takie same, jak w Polsce. Jeśli zatem otrzymujemy ofertę dotyczącą przetwarzania naszych danych w modelu cloud computing od instytucji, która zapewnia, że dane te będą przetwarzane jedynie na terenie Unii Europejskiej bądź w innych krajach lub terytoriach uznanych oficjalne przez Komisję Europejską za zapewniające adekwatną ochronę danych, to możemy się spodziewać, że będą one chronione podobnie jak w Polsce. Musimy mieć więc odpowiednią umowę, musimy mieć możliwość kontroli przetwarzania naszych danych, mamy zapewnione, że dane te nie trafią do tzw. kraju trzeciego.

A jak to wygląda poza Unią?

W.R.W: Gdy nasze dane są przetwarzane w serwisach chmurowych, które obejmują centra przetwarzania danych poza terenem Unii Europejskiej, sytuacja jest bardziej skomplikowana. Pojawia się problem, na ile mamy wpływ na bezpieczeństwo przetwarzania danych.

Najlepiej byłoby chyba, żeby informacja o tym, gdzie, przez kogo i w jaki sposób nasze dane są przetwarzane, była zapisana w regulaminie korzystania z usług danego serwera?

W.R.W: To prawda, ale musimy pamiętać, że na przykład amerykańscy dostarczyciele usług komputerowych nie są zobowiązani do ujawnienia tego typu informacji w swoich regulaminach.

We wtorek 29 maja odbędzie się w Warszawie konferencja naukowa "Cloud computing -przetwarzanie w chmurze". Jaki jest cel tej konferencji?

W.R.W: Będzie ona poświęcona bardzo różnym aspektom cloud computingu, nie tylko prawnym, ale i socjologicznym, etycznym, ekonomicznym, a także technologicznym. Uczestnikami konferencji będą prawnicy i informatycy, a także ludzie bliżej związani z naukami ekonomicznymi oraz przedstawiciele administracji publicznej. Współorganizują ją Uniwersytet Kardynała Stefana Wyszyńskiego, Generalny Inspektor Ochrony Danych Osobowych, Szef Agencji Bezpieczeństwa Wewnętrznego oraz Naukowe Centrum Prawno - Informatyczne.

Wszystkie zmiany prawa w jednym miejscu > www.zmianyprawa.infor.pl