Google se pridružuje Microsoftu u njegovim pokušajima da se pozabavi s neovisnošću osobnih podataka, ali neke stručnjake za privatnost tek treba uvjeriti da su ozbiljni u namjeri.
Što oni uopće misle kada misle stvoriti neovisno ozračje i neovisno mjesto pohrane podataka?
Neovisnost se tiče mjesta na kojem se nalaze vaši podaci – problem je sve češće korištenje „oblaka“ za pohranu osobnih podataka. Pomisao da će podaci građana EU-a završiti negdje podložni američkom US Cloud Act-u, te stoga dostupni američkim zakonodavcima, izazvala je nelagodu kod lokalnih kreatora politike, ali i onih koji koriste oblake za pohranu podataka.
Ulazak u tzv. Sovereign Controls za Google Workspace, označio je pokušaj da se pokaže EU-u da njegovi alati za rad i produktivnost neće kršiti smjernice koje se tiču sigurnosti i zaštite privatnosti. Svi alati su osmišljeni za praćenje prijenosa podataka u i iz EU i bit će dostupni od kraja 2022. s dodatnim pogodnostima koje će biti isporučene tijekom 2023. Barem je takav plan.
No…Moglo bi biti malo prekasno ukoliko pitate za tu temu EU regulatore, koji su već nervozni oko toga što točno Google radi s podacima koje su unijeli korisnici ili koji su od njih dobiveni. Praksa EU regulatora već govori i ukazuje u kojem smjeru će ići njihove odluke ukoliko se nešto ne promijeni.
Kratkoročno gledano, Google se kladi na svoj pristup šifriranju kako bi se suočio s brigama oko neovisnosti i prijenosa podataka. "Google Workspace", rekla je tvrtka, "već koristi najnovije kriptografske standarde za šifriranje svih podataka u mirovanju i u prijenosu između naših objekata."
"Google nikada nema pristup ključevima ili držačima ključeva, što znači da su nam podaci nedešifrirani i da nemamo tehničku mogućnost da im pristupimo."
"Preporuke Europskog odbora za zaštitu podataka uključuju šifriranje kao dio dodatnih mjera za zaštitu podataka."
Enkripcija? Nedovoljno... Što kažu nadzorna tijela?
Nadzorna tijela su jedinstvena u stavu da samo šifriranje ne udovoljava zahtjevima neovisnosti te da dolazi do prijenosa podataka.
Značajka šifriranja tek ukoliko je na strani Googleovih klijenata znači da kupci mogu držati ključeve svojih podataka gdje god žele, čime "zadržavaju potpunu povjerljivost i kontrolu", no ostaje činjenica da točna lokacija tih podataka tijekom obrade nije uvijek jasna pa je pitanje je li to uopće validno rješenje.
Iako organizacija može uvesti enkripciju za određene korisnike ili organizacijske jedinice i stvoriti pravila za upravljanje implementacijom, samo Google disk, dokumenti, tablice i slajdovi mogu iskoristiti tu funkcionalnost, dok Gmail, Kalendar i Meet neće dobiti tu funkcionalnost do kraja 2022.
Korisnici stoga mogu kontrolirati lokaciju podataka u mirovanju putem funkcionalnosti Podatkovnih regija tvrtke. Međutim, bit će potrebno pričekati do kraja 2023. da Google uvede obradu unutar regije s kopijom podataka u zemlji koja nudi dovoljnu zaštitu i/ili je unutar EU.
Što nam obećavaju u Googleu
Odgovorne osobe Googlea nedavno su izjavile da će implementirati niz novih kontrola pristupa do kraja 2023. koje će uključivati ograničavanje korisničke podrške na osoblje za podršku sa sjedištem u EU-u, kao i osiguravanje danonoćne tehničke podrške od strane inženjerskog osoblja Googlea.
"Sovereign Controls za Google Workspace pružit će digitalnu suverenost kroz sveobuhvatan skup mogućnosti za organizacije koje rade u i diljem EU regija", rekli su iz Googlea.
"Paralelno s tim, Google Cloud će nastaviti pružati korisnicima pravne mehanizme za međunarodni prijenos podataka, što će uključivati stavljanje zaštite koje nudi novi okvir za prijenos podataka, nakon što se implementira." Ovo zvuči poput ažuriranog nasljednika izvornog Privacy Shield-a no oprezno njega još nema, pravno ne egzistira.
Dr. Michael Veale, izvanredni profesor digitalnih prava i regulacije na Pravnom fakultetu Sveučilišta u Londonu, primijetio je da: "Ako se izvrši ispravno, šifriranje na strani korisnika jedna je od mogućih metoda koja pouzdano omogućuje prijenos podataka pod europskim pravom u Sjedinjene Države koristeći 'standardne ugovorne klauzule'.
"U stvari, Sud Europske unije rekao je u Schrems II da su s obzirom na aktivnosti NSA-e, prijenosi mogući samo uz zaštitne mjere koje potkopavaju te aktivnosti – kao što je osiguranje da Google ne može, ako NSA zatraži podatke od Googlea, čak i ako je zakonski potrebno, dostaviti osobne podatke", rekao je za The Register.
"Međutim, pitanje izgradnje baze podataka kojom će se stvoriti suverenitet nad EU podacima i oni će biti samo pod kapom EU zemalja, to je nešto skroz drugačije od problematike prijenosa podataka", rekao je.
Na kraju, vrijedi napomenuti da se Google Sovereign Controls trenutačno odnosi samo na njegovu Workspace platformu. Suparnici poput Microsofta imaju svoje planove u tijeku. Tim iz Redmonda namjerava implementirati vlastitu granicu podataka EU do kraja 2022., uz obećanje da će korisnici moći pohranjivati i obrađivati svoje podatke na obalama EU.
Dakle, neizvjesno je kako će izgledati i funkcionirati ono što se najavljuje, no ostaje nam vjerovati da ćemo i dalje poslovati na način na koji smo naučili. Do tada, ne postoji drugi način doli riskirati i koristiti sve pružatelje usluge ili umanjiti rizike koji se postavljaju pred nama korištenjem nama ˝nužnih pružatelja usluga. Postoji način, pravno se sve da pokriti i vrijeme se ˝može kupiti˝.
