RODO nie zakazuje przetwarzania danych osobowych poza Polską - zakazuje (a właściwie znacząco utrudnia) przekazywania ich poza Europejski Obszar Gospodarczy. Dopóki dane zostają w UE/EOG, nie musisz się martwić dodatkowymi mechanizmami transferu, klauzulami standardowymi czy oceną prawa państwa trzeciego. To dlatego pytanie „gdzie fizycznie stoi serwer" ma realne znaczenie prawne, nie tylko marketingowe.

Dlaczego lokalizacja serwera ma znaczenie prawne

Rozdział V RODO reguluje przekazywanie danych osobowych do państw trzecich (poza UE/EOG). Transfer poza ten obszar wymaga dodatkowego mechanizmu - decyzji Komisji Europejskiej o odpowiednim poziomie ochrony, standardowych klauzul umownych, albo innej podstawy z art. 46-49 RODO. To dodatkowa warstwa dokumentacji i ryzyka, której po prostu nie musisz zarządzać, jeśli dane fizycznie nie opuszczają UE/EOG.

Dla fotografa oznacza to: zanim wybierzesz narzędzie do przechowywania zdjęć dzieci, warto sprawdzić nie tylko, czy dostawca „jest zgodny z RODO" (to za mało konkretne), ale gdzie fizycznie stoją jego serwery. To pytanie ma sens niezależnie od tego, czy w danej sytuacji jesteś administratorem czy podmiotem przetwarzającym - patrz artykuł o tej różnicy - bo obowiązek dobrego wyboru dostawcy spoczywa na administratorze niezależnie od tego, kto nim jest w danej sesji.

Jak to wygląda w ShareMoments

Aplikacja i baza danych działają na serwerach w Polsce. Same pliki zdjęć - oryginały przesyłane przez fotografa - trzymane są osobno, w innym kraju Unii Europejskiej. Obie lokalizacje są w UE, więc dane nie opuszczają EOG na żadnym etapie - nie ma tu przekazywania do państwa trzeciego, którym trzeba by zarządzać dodatkowymi klauzulami.

Nie twierdzimy, że „wszystko stoi w Polsce" - to by było nieprecyzyjne, bo storage zdjęć fizycznie jest gdzie indziej w UE. Ale to, co naprawdę ma znaczenie prawne, to że całość zostaje w Unii Europejskiej - nie transatlantycka chmura, nie serwer poza EOG.

Jak to sprawdzić, zanim zaufasz deklaracji

Sama odpowiedź „tak, jesteśmy zgodni z RODO" niczego nie potwierdza w kwestii lokalizacji - to standardowe zdanie, które można powiedzieć niezależnie od tego, gdzie faktycznie stoją serwery. Warto zapytać wprost i oczekiwać konkretnej odpowiedzi: nazwy regionu (np. „UE-zachód" czy nazwa konkretnego kraju), a najlepiej pisemnego potwierdzenia w umowie powierzenia lub jej załączniku - to dokument, w którym poważny dostawca i tak musi wymienić, gdzie i przez kogo dane są przetwarzane (podprzetwarzający, subprocesorzy).

Jeśli dostawca unika konkretnej odpowiedzi albo odsyła wyłącznie do ogólnego oświadczenia marketingowego bez wskazania regionu, to sam w sobie sygnał ostrzegawczy - nie dlatego, że na pewno coś jest nie tak, ale dlatego że poważny dostawca zwykle wie i chętnie mówi, gdzie trzyma dane, bo to dla niego argument sprzedażowy, nie tajemnica.

Na co zwrócić uwagę, wybierając narzędzie do przechowywania zdjęć

Najczęstsze pytania

Czy przechowywanie danych w UE, ale poza Polską, jest gorsze niż w Polsce?

Nie z punktu widzenia RODO - kluczowa granica prawna to UE/EOG, nie granica państwowa wewnątrz Unii. Dane w innym kraju UE podlegają temu samemu reżimowi RODO co dane w Polsce.

Co z popularnymi narzędziami typu Google Drive czy Dropbox do przesyłania zdjęć?

To zależy od konkretnego planu i regionu, który wybierzesz przy koncie - część globalnych usług chmurowych oferuje regiony w UE, część domyślnie korzysta z infrastruktury poza EOG. Warto to sprawdzić w ustawieniach konta, nie zakładać z góry.

Czy mogę poprosić dostawcę o pisemne potwierdzenie lokalizacji serwerów?

Tak, i warto - poważny dostawca powinien być w stanie to potwierdzić, najlepiej jako część umowy powierzenia, nie tylko ustnej deklaracji.

Chcesz wiedzieć dokładnie, gdzie trafiają zdjęcia z Twoich sesji? Zgłoś się do pilotażu ShareMoments.