Duomenų suverenitetas

Kam gali būti įsakyta perduoti jūsų autentifikacijos duomenis

Dauguma daugiafaktorės autentifikacijos sprendimų yra JAV bendrovių valdomos debesijos paslaugos, o JAV teisė gali įpareigoti JAV bendrovę atskleisti duomenis, kad ir kur ji juos saugotų. Šiame puslapyje paaiškiname, kas tame įstatyme pasakyta, ko jame nėra, kokius duomenis apie jūsų naudotojus laiko įprastos MFA paslaugos ir ką tiksliai atskleidžia kiekvienas Notakey diegimo modelis, įskaitant ir tai, kas mums nėra palanku.

Kas pasakyta CLOUD Act

2018 m. priimtas „Clarifying Lawful Overseas Use of Data Act“ į JAV teisę įtraukė vieną čia svarbų sakinį: paslaugų teikėjas privalo išsaugoti arba atskleisti įrašus, esančius jo „possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States“ (turimus, saugomus ar kontroliuojamus, nepriklausomai nuo to, ar tie pranešimai, įrašai ar kita informacija yra Jungtinėse Valstijose, ar už jų ribų). Įstatymo aprėptį lemia duomenų kontrolė ir JAV jurisdikcija bendrovės atžvilgiu, o ne serverio vieta. JAV teisingumo departamentas nurodo, kad JAV bendrovės ES patronuojamoji įmonė savaime neatsiduria už šio įstatymo aprėpties.

ES duomenų apsaugos institucijos 2019 m. išsakė savo poziciją: jei tarptautinis susitarimas nenumato, kad toks įsakymas yra vykdytinas, ES teisei pavaldus paslaugų teikėjas negali teisėtai juo grįsti duomenų atskleidimo. Tokio susitarimo su Jungtinėmis Valstijomis ES neturi. Todėl JAV teikėjui, turinčiam klientų ES, gali būti įsakyta daryti tai, ką ES teisė jam daryti draudžia. 2025 m. birželį Prancūzijos Senato komiteto posėdyje prisiekęs „Microsoft France“ teisės direktorius, paklaustas, ar gali garantuoti, kad Prancūzijos viešojo sektoriaus duomenys niekada nebus perduoti JAV institucijoms be Prancūzijos sutikimo, atsakė: „Non, je ne peux pas le garantir.“ („Ne, to garantuoti negaliu.“)

Ko šis įstatymas nedaro

CLOUD Act nesukuria naujos rūšies teismo orderio ir neleidžia masinio duomenų rinkimo. Norint gauti turinį, vis dar reikia teisėjo orderio, išduodamo esant pagrįstam įtarimui dėl konkretaus nusikaltimo, o šifravimo atžvilgiu įstatymas aiškiai neutralus: jis nesuteikia jokių naujų galių priversti iššifruoti duomenis. „Microsoft“ tame pačiame posėdyje nurodė, kad nuo tada, kai pradėjo skelbti skaidrumo ataskaitas, nė vienas Europos verslo ar viešojo sektoriaus klientas nebuvo paveiktas.

Taigi realus pavojus yra teisinis, o ne operacinis. Baimintis reikia ne to, kad kas nors reguliariai skaito jūsų autentifikacijos žurnalus. Klausimas, kurį kelia reguliuotojas, auditorius ar NIS2 rizikos vertinimas, yra siauresnis: kas gali būti įpareigotas, pagal kokią teisę ir ar jūsų tiekėjas gali duoti garantiją. JAV debesijos paslaugos atveju sąžiningas atsakymas į paskutinę dalį yra „ne“.

Dauguma MFA yra JAV debesijos paslauga

Tai ne priekaištas tiekėjams – tai parašyta jų pačių dokumentacijoje. „Cisco Duo“ yra debesijos paslauga, talpinama „Amazon Web Services“ infrastruktūroje su galimais ES regionais, o jos vietinis „Authentication Proxy“ persiunčia užklausas į tą debesį. Jos privatumo duomenų lape kaip paslaugoje laikomi duomenys nurodyti naudotojų vardai, telefono numeriai, įrenginių identifikatoriai, galutinių naudotojų IP adresai ir autentifikacijos žurnalai. „Okta“ veikia tik debesyje; jos ES segmentas klientų duomenis saugo Vokietijoje ir Airijoje, tačiau pagalbinių duomenų tvarkytojų sąraše SMS ir el. pašto siuntimui įvardyti JAV teikėjai. „Microsoft“ ES duomenų ribos (EU Data Boundary) dokumentacijoje nurodyta, kad „Authenticator“ push pranešimai ir telefonu grindžiami prisijungimai gali būti tvarkomi už šios ribos, o su sukčiavimu susieti IP adresai skelbiami visame pasaulyje.

Europos tiekėjas, veikiantis JAV hiperskalerio infrastruktūroje, turi panašią riziką vienu sluoksniu žemiau, nes infrastruktūrą kontroliuoja hiperskaleris. Tai galioja ir mums, kai renkatės mūsų debesį, todėl toliau tai ir pasakome.

Notakey jūsų infrastruktūroje: nieko, ką mums būtų galima įsakyti pateikti

Notakey įrenginys yra virtuali mašina, kurią paleidžiate savo pačių infrastruktūroje. Autentifikacijos serveris, jo ryšys su jūsų Active Directory, LDAP ar RADIUS, užregistruotų įrenginių sertifikatai ir visi patvirtinimų įrašai lieka ten. Notakey prieigos prie įrenginio neturi, nebent ją suteikiate konkrečiam palaikymo atvejui, todėl mūsų žinioje, saugoje ar kontrolėje nėra nieko, ką galėtume perduoti. Įsakymas dėl tų duomenų turėtų būti adresuotas jums, pagal jums taikomą teisę.

Kiekvieno naudotojo privatusis raktas sugeneruojamas telefono saugos luste ir jo niekada nepalieka, todėl jo kopijos niekur kitur, įskaitant Notakey įrenginį, nėra. Vienintelis išorinis sąlyčio taškas patvirtinimo metu yra push pranešimas. Jame yra tas pats skaitomas tekstas, kaip ir patvirtinimo kortelėje programėlėje, pavyzdžiui, paslaugos pavadinimas, paskyra ir šaltinio adresas, pagal šabloną, kurį valdo jūsų administratoriai, ir nieko daugiau: nei raktų, nei galimybės patvirtinti. „Apple“ ir „Google“ push paslaugos šį tekstą tik perduoda. Palietus pranešimą atsidaro programėlė, kuri per HTTPS parsisiunčia užklausą iš jūsų Notakey įrenginio, patikrina, ar ji atitinka pranešimą, ir tik tada pasirašo patvirtinimą.

Notakey debesis: sąžininga versija

Notakey Latvia, SIA yra Latvijos bendrovė, veikianti pagal Latvijos teisę ir neturinti patronuojančiosios įmonės JAV. Mūsų debesijos paslauga notakey.cloud veikia „Oracle Cloud Infrastructure“ Frankfurto regione. „Oracle“ yra JAV bendrovė, todėl turėtumėte laikyti, kad mūsų debesies talpinimo sluoksnis yra JAV teisinių procedūrų pasiekiamas, kaip ir bet kuri Europos paslauga AWS, Azure ar Google Cloud infrastruktūroje. Savo debesijos pasiūlymo suvereniu nevadiname, nes jis toks nėra.

Ką laiko debesijos egzempliorius: jūsų pasirinktus naudotojų vardus ar identifikatorius, užregistruotų įrenginių viešuosius raktus ir sertifikatus, push žetonus ir pasirašytus patvirtinimų įrašus. Niekada – privačiųjų raktų, o slaptažodžius tik tada, kai vietoj savo katalogo prijungimo kuriate vietinius naudotojus valdymo skydelyje. Jei talpinimo sluoksnio rizika jums svarbi, įrenginys jūsų infrastruktūroje yra tas pats produktas su ta pačia mobiliąja programėle, ir vienam naudotojui jis kainuoja mažiau.

Trys klausimai bet kuriam tiekėjui

Žodis „suverenus“ šiandien klijuojamas prie daugybės produktų. Klausimai, kurie leidžia prasibrauti pro šią etiketę, mums ir visiems kitiems yra tie patys.

Pagal kokią teisę veikia duomenis laikanti bendrovė ir ar ji turi patronuojančiąją įmonę kitur?
Kas valdo serverius ir pagal kokią teisę veikia ta bendrovė?
Kas keliauja į „Apple“ ir „Google“, kai dalyvauja telefonas, ir ar tai apima užklausos turinį?

Kas palieka jūsų tinklą

Trys stulpeliai aprašo Notakey įrenginį jūsų duomenų centre, Notakey debesijos egzempliorių ir tipišką JAV valdomą MFA debesijos paslaugą, tokią kaip Duo, Okta ar Microsoft Entra, kaip ji aprašyta pačių tiekėjų puslapiuose.

	Notakey jūsų infrastruktūroje	Notakey debesis	JAV debesijos MFA (tipiška)
Kur veikia autentifikacijos serveris	Jūsų infrastruktūroje	Oracle Cloud Infrastructure, Frankfurtas	Tiekėjo debesyje, galimas ES regionas
Duomenis laikanti bendrovė	Jūs	Notakey Latvia, SIA (Latvija)	JAV bendrovė arba jos ES patronuojamoji įmonė
Serverius valdanti bendrovė	Jūs	Oracle (JAV)	Tiekėjas arba jo hiperskaleris (JAV)
Katalogas ir slaptažodžiai	Lieka jūsų kataloge	Lieka jūsų kataloge, nebent valdymo skydelyje kuriate vietinius naudotojus	Naudotojų vardai sinchronizuojami į debesį; slaptažodžių tvarkymas priklauso nuo produkto
Patvirtinimų įrašai ir žurnalai	Jūsų Notakey įrenginyje	Jūsų debesijos egzemplioriuje	Tiekėjo debesyje, įskaitant galutinių naudotojų IP adresus
Naudotojų privatieji raktai	Tik telefone	Tik telefone	Priklauso nuo metodo; prieigos raktų (passkeys) ir saugos raktų atveju susieti su įrenginiu
Push pranešimas	Skaitomas užklausos tekstas (paslauga, paskyra, šaltinio adresas, kaip sukonfigūruosite) per „Apple“ ir „Google“; raktai ir pats patvirtinimas niekada nepalieka jūsų Notakey įrenginio ir telefono	Skaitomas užklausos tekstas, kaip sukonfigūruosite, per „Apple“ ir „Google“; raktai ir patvirtinimas lieka tarp telefono ir jūsų egzemplioriaus	Per „Apple“ ir „Google“; „Microsoft“ dokumentuoja, kad „Authenticator“ prisijungimai gali būti tvarkomi už ES duomenų ribos
Kam būtų įteiktas JAV įsakymas	Ne Notakey, kuri prieigos neturi; duomenis laikote jūs	Oracle – dėl talpinimo sluoksnio; Notakey Latvia, SIA – dėl viso kito, pagal Latvijos ir ES teisę	Tiekėjui, kad ir kur duomenys būtų saugomi

Faktai apie tiekėjus paimti iš toliau nurodytų tiekėjų puslapių. Tai ne teisinė konsultacija: ar konkreti bendrovė pavaldi JAV jurisdikcijai, yra klausimas teisininkams.

Klausimai, kurių mūsų klausia

Ar pakanka ES talpinimo regiono?: Ne. CLOUD Act pasiekia teikėjo kontroliuojamus duomenis, kad ir kur jie būtų saugomi, todėl regionas atsako į delsos ir BDAR duomenų perdavimo klausimą, o ne į jurisdikcijos klausimą. Prancūzijos Senato posėdis tai iliustruoja aiškiausiai: „Microsoft“ technikos direktorius patvirtino, kad Europos klientų duomenys lieka ES, o teisės direktorius tame pačiame posėdyje patvirtino, kad tai nėra garantija nuo JAV įsakymo.
Ar Notakey patvirtinimas keliauja per JAV serverius?: Push pranešimas – taip. Jame yra skaitomas užklausos tekstas, pagal numatytuosius nustatymus paslaugos pavadinimas, paskyra ir šaltinio adresas, ir šis tekstas pakeliui į telefoną keliauja per „Apple“ arba „Google“ push paslaugą. Jei kas nors iš to jums jautru, šabloną galite pakeisti. Kas per jas niekada nekeliauja: naudotojo raktas, kuris lieka telefono saugos luste, ir patvirtinimas, kurį programėlė pasirašo tik parsisiuntusi užklausą per HTTPS iš jūsų Notakey įrenginio ar debesijos egzemplioriaus ir patikrinusi, kad ji atitinka pranešimą.
Ar ES ir JAV duomenų privatumo sistema (Data Privacy Framework) vis dar galioja?: Taip, šio puslapio apačioje nurodytos datos duomenimis. ES Bendrasis Teismas ją patvirtino 2025 m. rugsėjo 3 d., apeliacija nagrinėjama Teisingumo Teisme, o 2026 m. liepą Europos duomenų apsaugos valdyba paprašė Komisijos ją iš naujo įvertinti po JAV Aukščiausiojo Teismo sprendimo dėl JAV agentūrų nepriklausomumo. Ši sistema reglamentuoja duomenų perdavimą pagal BDAR; ji nekeičia to, ką galima priverstinai išreikalauti pagal CLOUD Act.
Ar Notakey turi kokį nors sertifikatą?: Ne. Skelbiame savo duomenų tvarkymo sutartį, pagalbinių duomenų tvarkytojų sąrašą ir technines bei organizacines priemones ir atsakome į saugumo klausimynus, tačiau ISO 27001 ar SOC 2 sertifikato neturime ir neteigiame, kad turime.
Ar ES ketina to reikalauti?: Kol kas ne. 2026 m. birželio Komisijos pasiūlymas dėl Debesijos ir DI plėtros akto (Cloud and AI Development Act) viešojo sektoriaus pirkimams nustato keturis suvereniteto užtikrinimo lygius – nuo ES teritorijoje esančios infrastruktūros iki ES priklausančių teikėjų be trečiųjų šalių kišimosi, – tačiau tai tik pasiūlymas. Nacionaliniai žingsniai jį lenkia: 2026 m. gegužę Nyderlandų vyriausybė užblokavo JAV bendrovės sandorį dėl debesijos teikėjo, talpinančio nacionalinę prisijungimo paslaugą, o Nyderlandai ir Vokietija pradėjo viešojo sektoriaus debesijos sutartis skirti Europos teikėjams.

Susiję puslapiai

Šaltiniai

Teisiniai ir tiekėjų faktai patikrinti 2026 m. spalio 29 d. pagal aukščiau nurodytus šaltinius; jie gali keistis be įspėjimo. Diegimo faktai apie Notakey paimti iš mūsų duomenų tvarkymo sutarties ir privatumo politikos, o debesijos regionas – iš mūsų talpinimo konfigūracijos.