Datu suverenitāte nav tikai datu atrašanās vieta: kas patiesībā kontrolē jūsu datus un pakalpojumu?

“Datu suverenitāte” tiek lietota dažādos kontekstos, un tai nav vienas universālas definīcijas, kas visos ES tiesību aktos nozīmētu vienu un to pašu.

Šie jēdzieni pārklājas, bet nav savstarpēji aizvietojami. GDPR atbilstība pati par sevi nepierāda tehnoloģisko neatkarību. Savukārt Eiropā izvietots datu centrs pats par sevi nepierāda, ka klientam ir praktiski izpildāms iziešanas ceļš.

Eiropas Komisijas Joint Research Centre digitālo suverenitāti līdzīgi raksturo kā spēju īstenot stratēģisku neatkarību digitālajā vidē, vienlaikus paliekot atvērtam un savienotam ar globālajiem tīkliem.12 Tas ir labs pretstats idejai, ka suverenitāte automātiski nozīmētu izolāciju.

Pretējā galējība būtu apgalvot, ka ģeogrāfijai nav nozīmes. Tas arī būtu nepareizi.

Datu un apstrādes atrašanās vieta var būt nozīmīga personas datu starptautiskās nosūtīšanas režīmam, nozares regulējumam, publiskā iepirkuma prasībām, incidentu izmeklēšanai, katastrofu seku atjaunošanai, veiktspējai un konkrētām nacionālās drošības prasībām.

Tāpēc atrašanās vieta ir viens no suverenitātes slāņiem.

Eiropas Komisijas 2026. gada Cloud Sovereignty Framework to parāda praktiski. Komisija suverenitāti savā mākoņiepirkuma metodikā vērtē astoņās kategorijās: stratēģiskajā, juridiskajā un jurisdikcijas, datu un AI, operacionālajā, piegādes ķēdes, tehnoloģiskajā, drošības un atbilstības, kā arī vides ilgtspējas dimensijā.34

Ja datu centra valsts būtu pietiekams kritērijs, šāds daudzdimensionāls modelis nebūtu vajadzīgs.

Primārā datubāze ir redzamākā sistēmas daļa. Tā ne vienmēr ir vieta, kur atrodas lielākā vara pār pakalpojumu.

Identitātes

Organizācija var formāli būt visu savu datu īpašniece un tomēr būt pilnīgi atkarīga no viena ārēja identitātes slāņa.

Jāzina, kas var izveidot vai atjaunot privileģētu administratora kontu, kas notiek primārā identitātes pakalpojuma atteices gadījumā, vai eksistē kontrolēts avārijas piekļuves ceļš un kā tiek auditēta piegādātāja atbalsta personāla piekļuve.

Ja šo procesu organizācija nespēj pārbaudīt, datu glabāšanas reģions neatrisina administratīvās kontroles risku.

Šifrēšanas atslēgas

“Customer-managed keys” var būt nozīmīgs kontroles mehānisms, taču arī te jāskatās uz konkrēto arhitektūru.

Svarīgi ir ne tikai tas, kurš redz KMS konsoli, bet arī kur atslēga tiek radīta un glabāta, kas var mainīt tās politiku, kā notiek rotācija un atjaunošana, kā tiek šifrētas rezerves kopijas un vai konkrētajā pakalpojuma modelī piegādātājam tomēr ir tehnisks ceļš līdz atšifrētam saturam.

Atslēgu kontrole ir spēcīgs pierādījums tikai kopā ar pārējo sistēmas modeli.

Vadības plakne

Mākoņpakalpojumos dažkārt svarīgāks par datu atrašanās vietu ir control plane — slānis, kas nosaka, kas drīkst izveidot un dzēst resursus, mainīt tīkla konfigurāciju un piekļuves politiku, aktivizēt atbalsta piekļuvi, veidot rezerves kopijas vai palaist atjaunošanu.

Tāpēc suverenitātes kartē vajag redzēt gan data plane, gan control plane. Pretējā gadījumā var iegūt precīzu atbildi uz jautājumu “kur glabājas dati?”, bet ļoti vāju atbildi uz jautājumu “kas var mainīt sistēmas stāvokli?”.

Drošības žurnāli var saturēt lietotāju identifikatorus, IP adreses, piekļuves notikumus un incidenta pierādījumus. APM vai observability platformās var nonākt pieprasījumu metadati vai saturs. Atbalsta sistēmās mēdz būt diagnostikas eksporti un ekrānattēli. Rezerves kopijas var dzīvot citā reģionā nekā primārais pakalpojums.

Tāpēc datu kartē jāredz ne tikai primārie ieraksti, bet arī replikas, backups, žurnāli, telemetrija, atbalsta dati, eksporti un dzēšanas kopijas.

Tas pats attiecas uz piegādātāju ķēdi. Uzņēmums, kura nosaukums ir līgumā, var būt atkarīgs no cita mākoņpakalpojuma, CDN, identitātes risinājuma, DNS, telemetrijas platformas, programmatūras ražotāja vai specializēta apakšuzņēmēja.

NIS2 tās tvērumā esošajām būtiskajām un svarīgajām vienībām piegādes ķēdes drošību un attiecības ar tiešajiem piegādātājiem jau iekļauj kiberdrošības riska pārvaldības pasākumos.5 Tas nav vispārējs datu suverenitātes regulējums, bet princips ir noderīgs arī šeit: kritiska ārēja atkarība ir daļa no sistēmas, pat ja tā nepieder organizācijai.

Daudzi pakalpojumi piedāvā datu eksportu. Tas vēl nenozīmē, ka pakalpojumu var pārcelt.

Praktiskai migrācijai var būt vajadzīgi dati, shēmas, identitāšu un lomu kartējums, konfigurācija, infrastruktūras definīcijas, sertifikātu un atslēgu nomaiņas plāns, integrāciju saraksts, rindās palikušie notikumi, audita pierādījumi un pietiekami ilgs pārejas periods.

ES Data Act šajā ziņā ir būtisks. Tā VI nodaļa uzliek datu apstrādes pakalpojumu sniedzējiem pienākumus novērst komerciālus, tehniskus, līgumiskus un organizatoriskus šķēršļus klienta pārejai pie cita pakalpojumu sniedzēja vai uz lokālu infrastruktūru un paredz konkrētus switching un portabilitātes pienākumus.6

Tas ir nozīmīgs juridisks pamats. Taču sarežģīts SaaS vai PaaS risinājums nekļūst vienkārši pārnesams tikai tāpēc, ka klientam ir tiesības eksportēt datus.

Exit tests ir vērtīgāks par exit dokumentu

Papīra plānā var ierakstīt: “nepieciešamības gadījumā pāriesim pie cita piegādātāja”.

Tests parāda, vai var eksportēt reprezentatīvu datu kopu, vai to var atjaunot citā vidē, vai formāti ir pilnīgi un izmantojami, vai iespējams rekonstruēt piekļuves tiesības un auditācijas pēdu un cik ilgi process patiesībā aizņem.

Finanšu sektorā DORA šo jautājumu risina tiešāk: kritisku vai svarīgu funkciju atbalstošu IKT trešo pušu pakalpojumiem finanšu vienībām jāizstrādā izejas stratēģijas, bet izejas plāni ir pietiekami jāpārbauda un periodiski jāpārskata.7

Tas ir sektorspecifisks pienākums. Taču no arhitektūras viedokļa ideja ir universāli saprotama: līguma punkts vēl nav operacionāla spēja.

Atjaunošana ir vēl stingrāks tests

Pieņemsim, ka piegādātājs kļūst nepieejams. Organizācijai ir datu eksports un rezerves kopijas. Vai tā spēj atjaunot autoritatīvu pakalpojumu?

Rezerves kopija, kas pieejama tikai caur to pašu bojāto vadības plakni, var būt nepietiekama. Arī dati bez identitātēm, atslēgām, konfigurācijas, programmatūras, licencēm vai nepieciešamās kompetences var nebūt pietiekami.

Tāpēc 2026. gada Komisijas apspriešanas atbildē piedāvāju datu suverenitātes pierādījumu modelī ietvert arī recoverability: spēju atgūt autoritatīvos datus, saglabāt integritātes un audita pierādījumus, atgūt vai rotēt identitātes un atslēgas un uzturēt definētu minimālu pakalpojumu piegādātāja vai savienojamības traucējuma laikā.2

Šeit suverenitātes tests kļūst ļoti konkrēts: vai organizācija spēj atjaunoties, nepaļaujoties pilnībā uz to pašu atkarību, kuras zudumu tā mēģina izturēt?

“Trešās valsts piekļuve datiem” nav viens juridisks režīms.

Personas datiem GDPR V nodaļa nosaka starptautiskās nosūtīšanas kārtību, bet 48. pants atsevišķi regulē trešās valsts tiesas vai administratīvās iestādes lēmumus par personas datu nodošanu vai izpaušanu.8

Savukārt Data Act 32. pants attiecas uz starptautisku un trešo valstu iestāžu piekļuvi noteiktiem ES glabātiem nepersonas datiem un paredz datu apstrādes pakalpojumu sniedzējiem tehniskus, organizatoriskus un juridiskus pasākumus pret piekļuvi vai nodošanu, kas radītu konfliktu ar ES vai attiecīgās dalībvalsts tiesībām.9

Šīs normas nevajag salikt vienā vispārīgā apgalvojumā par “EU data”. Vispirms jāzina datu veids, apstrādes situācija un piemērojamais tiesiskais režīms.

Divi populāri saīsinājumi ir īpaši vilinoši.

Pirmais: EU provider = sovereign, non-EU provider = not sovereign.

Piegādātāja īpašumtiesības, jurisdikcija un trešo valstu ietekmes risks var būt ļoti nozīmīgi. Taču Komisijas pašas 2026. gada suverēnā mākoņa iepirkuma rezultāts rāda daudzslāņu pieeju. Komisija izmantoja Cloud Sovereignty Framework un assurance līmeņus un norādīja, ka noteiktā stingri kontrolētā modelī arī ne-Eiropas tehnoloģijas var sasniegt iepirkumā prasīto minimālo suverenitātes līmeni.10

Otrais saīsinājums: open source = sovereign.

Atvērts pirmkods var samazināt atkarību, dot iespēju auditēt kodu, uzturēt savu fork un pārvietot risinājumu starp infrastruktūrām. Tomēr pats open-source statuss neko nepasaka par organizācijas kompetenci, SaaS atkarībām, identitātes slāni, datu formātiem vai to, vai organizācija vispār spētu sistēmu uzturēt bez pašreizējā piegādātāja.

Tas pats attiecas uz multi-cloud. Divi mākoņi nav divas neatkarīgas spējas, ja abi balstās vienā identitātes, DNS, atslēgu vai cilvēku atkarībā.

Komisijas Cloud Sovereignty Framework tika izmantots reālā mākoņiepirkumā un ietver 48 kritērijus astoņās suverenitātes kategorijās, kā arī Sovereignty Effectiveness Assurance Levels jeb SEAL.34

2026. gada jūnijā Komisija papildus iesniedza Cloud and AI Development Act (CADA) priekšlikumu. Komisijas publiskajā skaidrojumā paredzēts vienots ES mēroga cloud/AI sovereignty framework ar četriem assurance līmeņiem. Zemākais sākas ar datu apstrādi un glabāšanu Savienībā, bet augstāki līmeņi pievieno prasības par neatkarību no trešajām valstīm, piegādes ķēdi, ES kontroli un tehnoloģisko autonomiju.11

Svarīgi: CADA šobrīd ir Komisijas priekšlikums, nevis spēkā esoša regula.

Tomēr pati līmeņu loģika ir ilustratīva. Atrašanās vieta ir sākuma punkts, ne visa suverenitātes definīcija.

Te būtiska ir nevis aizpildīta tabula, bet pierādījuma kvalitāte. Piegādātāja anketā atzīmēts “yes” un sekmīgi izpildīts restore tests nav viens pierādījumu līmenis.

Ne katrai darba slodzei vajag vienādu suverenitātes profilu.

Publiska tīmekļvietne bez sensitīva satura, iekšēja dokumentu sistēma, slimnīcas klīniskie dati un valsts mēroga kritisks pakalpojums nav viens riska objekts.

Zema kritiskuma darba slodzei var pietikt ar atrašanās vietas, līguma caurskatāmības un pamata portabilitātes kontroli. Jutīgākā sistēmā papildus būs vajadzīga skaidra identitāšu, atslēgu, žurnālu, apakšpiegādātāju un backup pārvaldība. Kritiskā darba slodzē jau ir pamatoti prasīt pārbaudītu restore vai exit, alternatīvu atkopšanas ceļu, dziļāku piegādes ķēdes analīzi un pierādāmu kontroli pār kritiskajām administrēšanas funkcijām.

Šīs nav ES normatīvās kategorijas. Tas ir praktisks riskā balstīts modelis, ne mēģinājums visiem pakalpojumiem uzlikt vienādas lokalizācijas prasības.

Eiropas Komisijas 2026. gada mērķētā apspriešana par ES datu suverenitāti bija vērsta uz starptautiskām datu plūsmām, trešo valstu piekļuves riskiem un plašākām datu atkarībām.1

FINULIO atbildē uzsvēru četrus principus.2

Pirmkārt, suverenitāti vajag vērtēt pēc demonstrējamas kontroles, ne tikai lokācijas.

Otrkārt, kritiskām datu plūsmām jābūt kartētām arī IAM, atslēgu pārvaldībā, vadības plaknē, žurnālos, backups un apakšpiegādātāju ķēdē.

Treškārt, portabilitātei un iziešanai jābūt praktiski pārbaudāmām.

Ceturtkārt, šādai pieejai jāpaliek riskā balstītai. Uzticamas starptautiskas datu plūsmas nav pretrunā suverenitātei, ja kontrole, caurskatāmība, tiesiskie aizsardzības mehānismi un atgūstamība ir pierādāmi.

Komisijas pašas konsultācijas apraksts uzsver, ka datu suverenitāte nenozīmē atteikšanos no uzticamiem partneriem vai pārrobežu datu apmaiņas.1

Tas, manuprāt, ir svarīgs līdzsvars. Pārāk vienkārša lokalizācijas politika var radīt dārgu izolāciju. Savukārt “sovereign” marķējums bez pārbaudāmas kontroles var palikt tikai mārketinga apgalvojums.

Jautājums “kur atrodas mūsu dati?” ir vajadzīgs.

Pēc tā jājautā, kas kontrolē identitātes, atslēgas un administratoru ceļus; kur dzīvo žurnāli un rezerves kopijas; no kuriem piegādātājiem pakalpojums patiesībā ir atkarīgs; ko iespējams eksportēt; un vai organizācija spēj pakalpojumu atjaunot vai pārcelt tad, kad sākotnējais piegādātājs vairs nav pieejams vai vairs nav pieņemams.

Datu suverenitāte kļūst praktiski noderīga tikai tajā brīdī, kad šīs atbildes var pierādīt.

ES tiesību un politikas avoti pārbaudīti 2026. gada 25. septembrī. Rakstā lietotais desmit jautājumu kontroles modelis ir autora analītisks ietvars, nevis ES normatīvi noteikta suverenitātes klasifikācija. Eiropas Komisijas 2026. gada Cloud and AI Development Act ir tiesību akta priekšlikums; tas šajā rakstā nav pasniegts kā spēkā esoša regula.

Šis raksts ir tehniskas, organizatoriskas un regulatīvas prakses analīze, nevis individuāla juridiska konsultācija.