GDPR とクラウド ホスティング: EU 地域だけでは不十分

クラウド プロバイダーのリージョン セレクターは、通常、プライマリ データベースがファイルを保存する地理的エリアという特定のものを変更します。 eu-west-1の AWS RDS、 europe-west1の Cloud SQL、または BaaS の同等物: この設定により、通常の運用でテーブルとインデックスをホストするデータセンターが決まります。これは本物の検証可能な情報ですが、個人データの処理チェーンの一部のみをカバーしています。

Postgres プロジェクトは、クエリ ログ、モニタリング メトリクス、デバッグ トレース、アプリケーション キャッシュ、バックアップなど、メイン テーブル以外の場所にデータを生成します。これらの各フローは、プライマリ データベースとは異なる場所ポリシーに従うことができ、個別に構成され、場合によってはコンソールに専用画面がなくてもデフォルトで構成されます。地域設定はそれらを自動的にカバーしません。

ダッシュボードに表示されるリージョンの名前だけでなく、データ アーキテクチャの正確な図をプロバイダーに問い合わせることをお勧めします。真剣なサプライヤーがこのアーキテクチャを文書化しています。検証可能な技術的な詳細を示さずに「当社は GDPR に準拠しています」とだけ応答するサプライヤーは、疑問の余地を残すことになります。

データベースとバックアップが物理的に EU 内にある場合でも、プロバイダーを運営する会社が米国に合法的に拠点を置くとすぐに、プロバイダーは引き続き米国クラウド法の対象となります。この法律はデータセンターではなく法人を対象としています。義務を引き起こすのは企業の国籍であり、ハードドライブの場所ではありません。

This mechanism is detailed in our analysis why the CLOUD Act changes the choice of your BaaS and in our article dedicated to the nationality of the provider. This section is limited to the quick check method.

事前の法的アドバイスなしにこの点を確認するには、プロバイダーのプライバシー ポリシーおよび一般条件の適用法の条項で「データ管理者」または「データ管理者」という言葉を探してください。サイトに表示されているブランド名に関係なく、これら 2 行は通常、実際の契約主体を識別するのに十分です。

マネージド Postgres データベースは通常、耐久性と災害復旧計画の理由から、プライマリ マシンとは別のオブジェクト ストレージにバックアップをレプリケートします。このストレージは独自のネットワーク構成 (エンドポイント、バケット、場合によってはリージョン) に従いますが、これはメイン コンソール セレクターに自動的に表示されるものではありません。

Aurabase デプロイメントリポジトリ (values.hetzner.yaml) で確認: CloudNativePG バックアップをストレージ オブジェクトにポイントする変数は、他の場所にあるサードパーティ バケットではなく、プライマリ クラスタと同じドイツの境界にある Falkenstein の Hetzner エンドポイントである fsn1.your-objectstorage.comを読み取ります。これはまさに、署名する前にベンダーに尋ねるべきタイプの設定行です。「バックアップは安全かどうか」ではなく、「バックアップがどのエンドポイント URL を指しているか」を確認します。

ベンダーがこの特定の質問に答えられない場合、または一般的なマーケティング ページへのリンクしかない場合、その答えは安心させるものではなく、未検証のものとして扱います。

バックエンドが孤立したサービスになることはほとんどありません。顧客サポート ツール、トランザクション電子メール送信サービス、分析またはエラー追跡プラットフォームなどの下請け業者に依存しています。これらの各ツールは、データベース用に選択されたリージョンに関係なく、アプリケーションを通過するデータを独自の場所で、たとえ短時間であっても処理できます。

GDPR では、データ管理者がこの文字列を知る必要があります (第 28 条および第 30 条)。重要なサプライヤーは、自社のサブプロセッサーのリストを、その役割と所在地とともに公開しています。リストが欠落している、または廃止されている場合は、クライアントが課したコンプライアンス監査の後ではなく、署名する前に質問する必要があります。このタイプのドキュメントの例については、DPA Aurabase ページを参照してください。

これは、このガイドで引用されている事実を検証するために使用される方法であり、事前の法的アドバイスなしに、あらゆるクラウドまたは BaaS プロバイダーに 1 時間以内に適用できます。

これら 6 つの回答を集めると、通常は 1 ページに収まります。保管しておいてください。コンプライアンス監査や DPO によるレビューの際の証拠としても役立ちます。

処理活動の登録 (GDPR 第 30 条) では、下請け業者ごとに、その所在地と適用される譲渡保証を文書化することが求められます。バックアップ、ログ、および後続の下請業者の詳細を指定せずに地域ボックスにチェックを入れると、この登録が不完全なままになります。この点は、通常、監査人または外部 DPO による最初の訪問で指摘されます。

高リスクの処理、健康データ、生体認証、大規模プロファイリングについては、データ保護影響分析 (DPIA、第 35 条) が必須となります。前のチェックリストの 6 つの回答は、この分析の直接の基礎を提供します。これらは、データが実際にどこに送信され、どのような権限の下にあるのかという中心的な質問に答えます。

完全な GDPR フレームワークとセルフホスティングとソブリン BaaS の仲裁については、GDPR 準拠および EU ソブリンガイドを参照してください。 Aurabase のコンプライアンスに関するドキュメントについては、「 GDPR」を参照してください。