CLOUD Act: ietekme un riski uzņēmumu e-pasta drošībā Eiropā

Stratēģiskā vērtība uzņēmumu e-pastā Eiropā

E-pasts joprojām ir viens no stratēģiski svarīgākajiem un jutīgākajiem informācijas līdzekļiem ikvienai organizācijai. Tas ir galvenais iekšējās un ārējās komunikācijas kanāls, satur līgumu datus, finanšu informāciju, attīstības plānus un slepenus dokumentus. Tādēļ e-pasta aizsardzība ir būtiska gan operatīvās drošības, gan personas datu aizsardzības un normatīvās atbilstības nodrošināšanai.

CLOUD Act: kas tas ir un kā tas darbojas

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), kas stājās spēkā Amerikas Savienotajās Valstīs 2018. gadā, dod amerikānas iestādēm tiesības pieprasīt datus no ASV tehnoloģiju pakalpojumu sniedzējiem, pat ja šie dati ir arhivēti ārpus valsts. Tas nozīmē, ka mākonī balstīti pakalpojumi vai e-pasts, kurus pārvalda ar Amerikas Savienotajās Valstīs bāzētas uzņēmumi, var būt spiesti nodot informāciju pēc iestāžu pieprasījuma, neatkarīgi no serveru atrašanās vietas.

Piemērošanas joma

• Pakalpojumu sniedzēji ar galvenā biroja vai filiālēm ASV
• Dati, kas tiek arhivēti visā pasaulē, tostarp Eiropā
• Juridiski pieprasījumi, arī kriminalitātes un terorisma izmeklējumiem

Eiropas uzņēmumu specifiskie riski, izmantojot pakalpojumus pakalpojumu sniegšanai ar CLOUD Act

Izvēloties ASV pakalpojumu sniedzējus vai pakalpojumus ar ASV jurisdikciju, Eiropas uzņēmumi un profesionāļi uzņemas vairākus riskus:

• Nepieciešama neautorizēta piekļuve ar ASV iestāžu starpniecību, pat bez lietotāja piekrišanas vai paziņojuma;
• Potenciāli konflikti ar Eiropas noteikumiem, piemēram, ar GDPR, kas aizsargā personas datus stingri;
• Datu konfidencialitātes pārkāpums ja uzņēmumu vai sensitīvos datus pārsūta bez skaidras pārskatāmības;
• Profesionālā noslēpuma risku regulētās jomās, piemēram, advokātiem, ārstiem vai finanšu konsultantiem, kur konfidencialitāte ir obligāta;
• Apstiprinājuma ietekme atbilstībā Eiropas standartiem un drošības prasībām, kas var novest pie sodiem vai reputācijas zaudējuma.

CLOUD Act un GDPR pretruna

GDPR prasa, lai Eiropas datu subjektiem būtu pilnīga kontrole pār viņu datiem un tie tiek droši pārvaldīti. Izpilddirektoru prasības no CLOUD Act, sniedzot datus pēc pieprasījuma, var nonākt saskarē ar šiem noteikumiem, radot situācijas, kas ir sarežģītas DPO un uzņēmumu vadībai:

• Paklupšanas neiespējamība pakalpojumu sniedzējam atteikt datus pēc ASV iestāžu pieprasījuma;
• Tiesvedības konflikti: Eiropas normatīvi var uzskatīt šo datu nodošanu vai izpaušanu par nelikumīgu;
• Grūtības nodrošināt skaidrību un kontroli interesentu un Eiropas iestāžu līmenī;
• GDPR sodi par konfidencialitātes pārkāpumiem, kas netiek laikus identificēti vai slikti izpildīti.

Kad un kā var tikt pieprasīti e-pasta informācija saskaņā ar CLOUD Act

Pieprasījumi atbilstoši CLOUD Act var attiekties uz:

• Komunikācijas detaļas: e-pasta virsraksts, sūtītājs, saņēmējs, laiki;
• Satura dati un pielikumi: dokumenti, līgumi, sensitīva informācija;
• Metadati un žurnāli: laika marķējumi, IP adreses, izmantotie ierīces;
• Informācija, kas ir arhivēta arī Eiropā ja pakalpojumu sniedzējs ietilpst ASV jurisdikcijā.

Kā izvēlēties e-pasta pakalpojumu, nodrošinot privātumu un digitālo suverenitāti

Uzņēmumiem, DPO un IT vadītājiem ir ļoti svarīgi rūpīgi izvērtēt vairākus kritērijus:

• Pakalpojuma jurisdikcija: izvēlēties Eiropas pakalpojumus vai tādus, kas atbilst GDPR un Eiropas privātuma normām;
• Datu atrašanās vieta: arhivēšana tikai Eiropā ar kontrakta garantijām;
• Pārvaldība un kontrole: datu pārvaldības iespējas ar skaidriem politikas noteikumiem par piekļuvi un apstrādi;
• Skaidrs un savlaicīgs paziņojums: politika, kas paredz informēt par piekļuvi vai pieprasījumiem;
• Digitālā suverenitāte: infrastruktūras kontrole un aizsardzība pret ārpakalpojumiem ar tehniskiem un juridiskiem pasākumiem.

Itālijas un Eiropas alternatīvas profesionālai e-pasta nodrošināšanai

Pastāv daudz Eiropā izstrādātu profesionālas e-pasta risinājumu, piemēram, MailProfessionale.com, kas apvieno:

• Arhivēšanu Eiropā
• stingru GDPR atbilstību
• Privātuma garantijas bez kompromisiem
• CLOUD Act nepiemērošanu
• Modernu rīku klāstu drošībai un uzņēmumu vadībai

Kā konkrēti samazināt riska līmeni

Uzņēmumi var ievērot vairākas labas prakses:

• Veikt auditus par esošo e-pasta pakalpojumu sniedzēju drošumu;
• Izvēlēties līgumus ar datu aizsardzības klauzulām un pārraudzības ierobežojumiem;
• Vērtēt attīstītās Eiropas vai drošas atrašanās vietas risinājumus;
• Lektoriem apmācīt darbiniekus par konfidencialitātes nozīmi un riskiem saistībā ar neatbilstošām platformām;
• Ieiet DPO un juridiskā dienesta lomas, novērojot un regulāri pārbaudot drošības politikas.

Secinājumi: uzņēmuma e-pasts nav tikai serviss, tas ir stratēģisks aktīvs

E-pasts ir daudz kas vairāk par vienkāršu darba instrumentu: tas glabā uzņēmuma informācijas sirdi un prasa atbilstošu aizsardzību visām mūsdienu globālajām izaicinājumiem. CLOUD Act liek uzmanīgi sekot līdzi, kur un kā tiek apstrādāti dati, lai nostiprinātu digitālas suverenitātes principu. Tikai tā Eiropas uzņēmumi var efektīvi aizsargāt savas intereses, ievērot atbilstību un saglabāt klientu un partneru uzticību.