Аналитика с хостингом в ЕС — это не то же самое, что аналитика, принадлежащая ЕС

Все больше аналитических инструментов рекламируют «размещение в ЕС», «резиденцию данных в ЕС» или «регион ЕС». Это звучит обнадежиюще, особенно если вы выбираете инструмент веб-аналитики из соображений конфиденциальности или соответствия GDPR.

Но размещение в ЕС не всегда означает принадлежность ЕС. И эта разница имеет значение.

Размещение в ЕС дает вам полезную информацию о месте хранения данных. Сама по себе эта характеристика не отвечает на вопрос о том, кому принадлежит компания, кто контролирует инфраструктуру и какая юрисдикция распространяется на поставщика.

Это не юридическая консультация. Это практическое руководство с вопросами, которые стоит задать при оценке поставщиков аналитики. Если ваша организация предъявляет строгие требования к GDPR, закупкам или передаче данных, привлеките свою юридическую службу или команду по защите данных.

• Что обычно означает размещение в ЕС
• Что дает принадлежность к ЕС
• Как это помогает вам принять решение
• Почему это стало более острой проблемой после дела Schrems II
• Примеры из мира аналитических инструментов
• Что Plausible понимает под аналитикой в собственности ЕС
• Что нужно спросить перед выбором инструмента аналитики

Что обычно означает размещение в ЕС

Когда поставщики говорят «размещение в ЕС», они часто имеют в виду одно из нескольких понятий:

• Ваши данные хранятся в центре обработки данных в ЕС.
• Вы можете выбрать регион ЕС при создании проекта.
• Трафик посетителей из ЕС маршрутизируется через европейскую инфраструктуру.
• Часть данных остается в ЕС, в то время как другие процессы или техническая поддержка могут осуществляться в других местах.
• Нахождение данных в ЕС доступно только на определенных тарифных планах или только при правильной настройке SDK.

Эти детали имеют значение.

Именно поэтому термин «размещение в ЕС» следует рассматривать как начало разговора, а не как его конец.

Что дает принадлежность к ЕС

Аналитика в собственности ЕС отвечает на другой круг вопросов:

• Какое юридическое лицо предоставляет услугу?
• Зарегистрирована ли компания в ЕС или ЕЭП?
• Кто владеет инфраструктурой и управляет ею?
• Используются ли облачные провайдеры или субподрядчики, принадлежащие США, которые имеют доступ к данным посетителей?
• Является ли обработка в ЕС стандартом по умолчанию или это опция настройки?
• Подлежит ли поставщик иностранной юрисдикции, например законам США о раскрытии информации?

Представьте это в виде трех уровней:

Например, инструмент может хранить аналитические данные во Франкфурте, но при этом управляться компанией, зарегистрированной в США. Другой инструмент может быть зарегистрирован в Европе, но полагаться на облачного провайдера из США для ключевых частей своего сервиса. Обе эти конфигурации могут быть вполне приемлемы для некоторых организаций, но ни одна из них не является аналогом европейского провайдера аналитики, использующего инфраструктуру в европейской собственности по умолчанию.

Эта разница носит не просто теоретический характер. 18 USC 2713 гласит, что поставщик услуг электронной связи или удаленных вычислений обязан выполнять обязательства по сохранению, резервному копированию или раскрытию охватываемой информации, находящейся в его «владении, ведении или под контролем», независимо от того, находится ли эта информация внутри или за пределами Соединенных Штатов.

Применимость этого закона к конкретному поставщику аналитики и способы его применения — вопрос юридический. Но он иллюстрирует более широкий тезис: само по себе местонахождение сервера не снимает все вопросы о юрисдикции.

Как это помогает вам принять решение

Аналитика в собственности ЕС имеет наибольший смысл, когда ваша цель — сократить количество вопросов о конфиденциальности и закупках, которые вам необходимо решить.

Если поставщик не принадлежит к ЕС или полагается на не принадлежащую ЕС инфраструктуру для работы с данными посетителей, вам, возможно, придется потратить больше времени на проверку:

• передаются ли персональные данные за пределы ЕС или ЕЭП
• какой механизм передачи применяется
• требуются ли дополнительные меры защиты
• актуальны ли законы иностранных государств о раскрытии информации
• какие субподрядчики имеют доступ к данным посетителей
• является ли хранение в ЕС стандартом по умолчанию или это функция, которую ваша команда должна настроить самостоятельно

Это не значит, что неевропейский поставщик автоматически не подходит. Это значит, что процесс проверки обычно оказывается более сложным.

Recommendations 01/2020 Европейского совета по защите данных существуют потому, что международная передача данных может потребовать специальных инструментов передачи и дополнительных мер для обеспечения уровня защиты, сопоставимого с нормами ЕС. Если вы можете выбрать поставщика аналитики, у которого компания, хостинг и инфраструктура данных посетителей полностью европейские, вы часто можете избежать значительной части этого дополнительного анализа передачи данных.

В этом заключается практическая причина, почему выбор в пользу принадлежности ЕС может быть более оправданным. Это не волшебный значок соответствия требованиям. Это более простая отправная точка с меньшими трениями для команд, которые заботятся о конфиденциальности, GDPR и рисках, связанных с поставщиками.

Почему это стало более острой проблемой после дела Schrems II

Причина, по которой люди придают этому значение, заключается вовсе не в расплывчатом предпочтении европейских вендоров. Она проистекает из многолетней юридической неопределенности вокруг передачи данных между ЕС и США.

В 2020 году Суд Европейского союза признал недействительным соглашение EU-US Privacy Shield в рамках решения Schrems II. В пресс-релизе Суда поясняется, что передача данных по стандарту GDPR в третью страну обычно требует обеспечения адекватного уровня защиты либо наличия соответствующих гарантий и подлежащих исполнению прав.

Рамки конфиденциальности данных между ЕС и США (EU-US Data Privacy Framework) представляют собой действующий в настоящее время механизм обеспечения адекватности для участвующих американских компаний. Европейская комиссия заявляет, что этот механизм был принят после внедрения новых мер защиты в США, призванных учесть замечания Суда по делу Schrems II. Сама необходимость появления такого механизма наглядно показывает, почему юрисдикция остается частью дискуссии о конфиденциальности.

Поэтому, когда поставщик рекламирует размещение в ЕС, полезно задать уточняющий вопрос: размещение в ЕС под чьим контролем?

Примеры из мира аналитических инструментов

Вы можете увидеть разницу на примере различных аналитических продуктов.

Некоторые инструменты предлагают резиденцию данных в ЕС, продолжая управляться за пределами ЕС.

В политике конфиденциальности PostHog указано, что его хостинг-услуги предоставляются компанией PostHog Inc., а сама компания имеет штаб-квартиру в США. В документации по соблюдению конфиденциальности указано, что PostHog Cloud EU — это управляемая версия с серверами во Франкфурте. Опция облака в ЕС может быть полезной для многих команд, но это не то же самое, что статус поставщика аналитики, зарегистрированного в ЕС и использующего инфраструктуру в европейской собственности.

В документации Mixpanel по резиденции данных в ЕС указано, что Mixpanel по умолчанию хранит пользовательские данные на серверах в США, предоставляя клиентам возможность обрабатывать и хранить их персональные данные в Европе в рамках своей программы резиденции данных в ЕС. Там также говорится, что новые проекты из ЕС должны отправлять данные на конечную точку в ЕС, а проекты, использующие неверное местоположение для резиденции, должны создать новый проект и выполнить миграцию данных.

Google’s Analytics documentation for EU, Switzerland and UK data указывает, что данные с устройств в этих регионах собираются через локальные домены и сервера до того, как трафик перенаправляется на сервера Analytics для обработки. Условия обработки данных Google также гласят, что Google может обрабатывать персональные данные клиентов в любой стране, где Google или его субподрядчики имеют свои мощности. Это яркий пример указанного различия: сбор данных на региональном уровне не то же самое, что обработка исключительно в ЕС или принадлежность компании к ЕС.

Matomo — хорошее напоминание о том, что не все примеры за пределами ЕС одинаковы. В его политике конфиденциальности Cloud указано, что персональные данные в экземпляре Matomo Cloud клиента и резервные копии хранятся в Европе, в то время как компания InnoCraft, стоящая за Matomo, базируется в Новой Зеландии. Matomo также отмечает, что в отношении Новой Зеландии действует решение ЕС о надлежащем уровне защиты, которое Европейская комиссия приводит в списке своих решений о достаточности. Это иное правовое положение по сравнению с провайдером, управляемым из США, но оно всё равно показывает, почему «где хранятся данные» и «кто управляет сервисом» — это разные вопросы.

Это различие теперь проявляется и в исследованиях SaaS-поставщиков. Например, База данных юрисдикций SaaS в ЕС от FoundersDeck разделяет юридическое лицо, хостинг, резидентство в ЕС и подверженность закону CLOUD Act, вместо того чтобы рассматривать фразу «доступен регион ЕС» как исчерпывающий ответ. Такие базы данных могут быть полезными отправными точками, однако вам всё равно следует сверять юридическое лицо, инфраструктуру и субподрядчиков каждого поставщика с его собственной документацией.

Важно не делать предположений на основе значка или фразы на целевой странице. Проверяйте юридическое лицо, инфраструктуру и субподрядчиков.

Что Plausible подразумевает под аналитикой под управлением ЕС

В Plausible хостинг в ЕС — это не галочка в чекбоксе и не корпоративное дополнение.

Компания Plausible зарегистрирована в Эстонии, создана командой, базирующейся в ЕС, и размещена на инфраструктуре, принадлежащей европейским компаниям. Данные посетителей обрабатываются и хранятся в ЕС. Они не передаются в Соединенные Штаты или любую другую страну за пределами ЕС.

На практике это означает:

• Данные посетителей обрабатываются и хранятся в ЕС.
• Мы храним данные посетителей на серверах компании Hetzner (Германия) в Фалькенштайне, Германия.
• Мы используем UpCloud — финскую компанию — для хостинга баз данных и хранения экспортированных данных.
• Мы используем Bunny — словенскую компанию — в качестве нашего CDN, в то время как обработка и хранение аналитики остаются на нашей инфраструктуре в ЕС.
• Это всего лишь три провайдера, которые имеют доступ к данным посетителей, и все три принадлежат европейским владельцам.
• Мы не используем облачные провайдеры США, такие как AWS, Google Cloud или Microsoft Azure, для хранения или обработки данных посетителей.
• Мы не продаем данные посетителей, не передаем их рекламным компаниям и не используем их для построения профилей на разных сайтах.

Это не региональный переключатель, добавленный нами в целях соблюдения требований. Это осознанное инфраструктурное решение. Это владение со стороны ЕС по своей сути.

Полную версию, включая ссылки для юридических отделов и отделов закупок, можно найти на нашей странице аналитики с хостингом в ЕС, а также в политике работы с данными, политике конфиденциальности и соглашении об обработке данных (DPA).

Такая структура владения и инфраструктуры — лишь одна из составляющих конфиденциальности. Plausible также разработана для простого измерения охвата без использования файлов cookie, межсайтового отслеживания или рекламных профилей. Что касается аспектов согласия и минимизации данных, ознакомьтесь с этой независимой юридической оценкой Plausible на соответствие GDPR и Директиве о конфиденциальности электронных средств связи, написанной Штеффеном Гроссом (Steffen Gross), экспертом по защите данных и юристом.

В этом и заключается разница между утверждением «ваши данные могут размещаться в Европе» и утверждением «ваша аналитика по умолчанию работает под европейским управлением и на европейской инфраструктуре».

Что следует спросить перед выбором инструмента аналитики

Если вы выбираете аналитику по соображениям конфиденциальности, GDPR или закупок, не ограничивайтесь утверждением о хостинге. Задайте три простых вопроса:

• Где обрабатываются и хранятся данные посетителей?
• Кому принадлежат компания, инфраструктура и задействованные субподрядчики?
• Является ли обработка в ЕС стандартом по умолчанию, и может ли поставщик документально это подтвердить?