Jak działa rezydencja danych?
O rezydencji danych decydują wybory infrastrukturalne: w którym regionie chmury uruchamiasz wdrożenie, gdzie dostawca bazy danych utrzymuje swoje klastry, gdzie trafiają kopie zapasowe i repliki do odczytu. Łatwo stracić to z oczu – wielodostępny SaaS może replikować rekordy klientów między regionami, a każdy podmiot podprzetwarzający w łańcuchu dodaje kolejną możliwą lokalizację. Jeśli nie potrafisz wymienić krajów, przez które przechodzą Twoje dane, nie znasz swojej rezydencji danych.
Czy RODO wymaga przechowywania danych w UE?
Nie. RODO nie nakazuje, żeby dane osobowe pozostawały w UE. Rozdział V (art. 44–50) reguluje przekazywanie danych do państw trzecich i przewiduje legalne drogi – decyzje stwierdzające odpowiedni stopień ochrony, standardowe klauzule umowne, wiążące reguły korporacyjne. Z drugiej strony serwer w UE sam w sobie nie oznacza zgodności z przepisami: dostawca, którego spółka matka podlega zagranicznym przepisom o ujawnianiu danych, może skomplikować obraz nawet przy rezydencji w UE. Rezydencja to jedna ze zmiennych w ocenie zgodności z RODO, a nie werdykt.
Jak self-hosting zmienia rezydencję danych?
Zamienia rezydencję z przedmiotu negocjacji z dostawcą w decyzję wdrożeniową. Gdy prowadzisz platformę samodzielnie, wybierasz kraj, dostawcę i miejsce kopii zapasowych – rezydencja danych staje się linijką w konfiguracji Twojej infrastruktury. Ta kontrola to duża część argumentów za self-hostingiem w świetle RODO i szerzej za posiadaniem własnych danych klientów.
Dlaczego rezydencja danych ma znaczenie dla małego zespołu?
Bo kupujący o nią pytają. Kwestionariusze bezpieczeństwa, procesy zakupowe w dużych firmach i rynki wrażliwe na prywatność oczekują odpowiedzi w jednym zdaniu na pytanie „gdzie są przechowywane nasze dane?”. Mały zespół, który potrafi odpowiedzieć nazwą konkretnego regionu – zamiast przesyłać listę podmiotów podprzetwarzających – szybciej zamyka takie rozmowy. Wybór rezydencji na wczesnym etapie jest też tani; migracja produkcyjnej bazy danych między jurysdykcjami później już nie.