फ़ाइल ट्रांसफर सेवाओं के लिए EU होस्टिंग आवश्यकताएँ 2026

2026 में EU होस्टिंग आवश्यकताएँ एक-दूसरे पर कई नियमों की परतें हैं — और DPDP Act 2023 के तहत भारतीय संगठन जो EU ग्राहकों की सेवा करते हैं या EU-आधारित विक्रेताओं का उपयोग करते हैं, वे इन आवश्यकताओं से सीधे प्रभावित होते हैं। GDPR अध्याय IV और V प्रोसेसर दायित्वों और अंतर्राष्ट्रीय ट्रांसफर के लिए आधार रेखा निर्धारित करते हैं। Data Act (Regulation 2023/2854), सितंबर 12, 2025 से लागू, स्विचिंग और इंटरऑपरेबिलिटी अधिकार जोड़ता है। Cybersecurity Act के तहत मसौदा EUCS योजना क्लाउड प्रमाणन स्तरों में संप्रभुता को शामिल करती है। NIS2 साइबर सुरक्षा कर्तव्यों की परत जोड़ता है। व्यावहारिक परिणाम: EU ग्राहकों की सेवा करने वाले फ़ाइल ट्रांसफर विक्रेताओं को EU-स्थित इंफ्रास्ट्रक्चर, EU-कानून प्रोसेसिंग अनुबंध, और गैर-EU मजबूरी के खिलाफ दस्तावेज़ीकृत सुरक्षा की आवश्यकता है।

सर्वर स्थान पूरी कहानी नहीं है

कई प्रदाता "EU होस्टिंग" का विज्ञापन करते हैं जबकि फ्रैंकफर्ट या डबलिन में US-मूल क्लाउड क्षेत्र पर निर्भर करते हैं। वह स्थान GDPR डेटा निवास को आंशिक रूप से ही संतुष्ट करता है। CJEU का Schrems II निर्णय (C-311/18) स्पष्ट करता है कि बाइट्स की भूगोल नहीं, प्रदाता का कानूनी जोखिम महत्वपूर्ण है। US-मूल कंपनी वाले फ्रैंकफर्ट क्षेत्र को US CLOUD Act के तहत अभी भी बाध्य किया जा सकता है। European Data Protection Board Recommendations 01/2020: उस देश के कानून का मूल्यांकन करें जहाँ प्रदाता को कानूनी रूप से बाध्य किया जा सकता है, न कि केवल सर्वर कहाँ है। यही सिद्धांत DPDP Act 2023 के तहत भारतीय नागरिकों के डेटा के क्रॉस-बॉर्डर ट्रांसफर पर भी लागू होता है।

GDPR अनुच्छेद 28 और प्रोसेसर अनुबंध

EU नियंत्रक के लिए व्यक्तिगत डेटा प्रोसेस करने वाले किसी भी फ़ाइल ट्रांसफर विक्रेता को अनुच्छेद 28(3) को पूरा करने वाला Data Processing Agreement (DPA) हस्ताक्षरित करना होगा। DPA में विषय वस्तु और अवधि, प्रकृति और उद्देश्य, व्यक्तिगत डेटा के प्रकार, और नियंत्रक के दायित्व और अधिकार निर्दिष्ट होने चाहिए। इसमें प्रोसेसर को नामित शर्तों के लिए प्रतिबद्ध करना चाहिए: केवल निर्देशों पर कार्य करें, कर्मचारियों की गोपनीयता सुनिश्चित करें, अनुच्छेद 32 सुरक्षा उपाय लागू करें, ऑडिट का समर्थन करें, समाप्ति पर डेटा वापस करें या हटाएँ, और उप-प्रोसेसर पूर्व प्राधिकरण के साथ प्रबंधित करें। कमज़ोर DPA 2024-2025 में CNIL और अन्य पर्यवेक्षी प्राधिकरण ऑडिट में सबसे सामान्य निष्कर्ष हैं।

Schrems II के बाद क्रॉस-बॉर्डर ट्रांसफर

जुलाई 2023 से, EU-US Data Privacy Framework स्व-प्रमाणित US डेटा आयातकों के लिए एक वैध पर्याप्तता मार्ग प्रदान करता है। लेकिन Framework कानूनी चुनौतियों का सामना कर रहा है, और इतिहास एक और Schrems निर्णय की संभावना सुझाता है। EEA के बाहर डेटा रूट करने वाले फ़ाइल ट्रांसफर प्रदाताओं के लिए सबसे सुरक्षित पाथ बहु-परत है: Framework पर भरोसा करें जहाँ लागू हो, 2021 Standard Contractual Clauses के साथ बैक करें, और Transfer Impact Assessment करें। कई फ़ाइल ट्रांसफर खरीदार 2026 में विश्लेषण से बचने के लिए बस EU-केवल डेटा पाथ की आवश्यकता रखते हैं।

Data Act के स्विचिंग नियम

Data Act, सितंबर 12, 2025 से लागू, EU ग्राहकों को क्लाउड प्रदाताओं को स्विच करने और अपना डेटा साथ ले जाने के प्रवर्तनीय अधिकार देता है। अनुच्छेद 23-31 विशेष रूप से डेटा प्रोसेसिंग सेवाओं को संबोधित करते हैं, प्रदाताओं को स्विचिंग बाधाएँ हटाने, शुल्क सीमित करने (जनवरी 12, 2027 से शून्य तक घटते), और संरचित, आमतौर पर उपयोग किए जाने वाले, मशीन-पठनीय प्रारूपों में डेटा पोर्टेबिलिटी का समर्थन करने की आवश्यकता है। ग्राहक आर्काइव या किरायेदार डेटा रखने वाली फ़ाइल ट्रांसफर सेवाओं के लिए: खाता मेटाडेटा, अपलोड की गई फ़ाइलें, और ZIP, JSON, और CSV जैसे प्रारूपों में कॉन्फ़िगरेशन का निर्यात सक्षम करें। बिना कार्यात्मक निर्यात टूल के विक्रेताओं को प्रवर्तन कार्रवाई का जोखिम है।

EUCS और संप्रभुता स्तर

Cloud Services के लिए European Cybersecurity Certification Scheme (EUCS) को 2020 से ENISA के समन्वय में तैयार किया गया है और 2026 में अपनाए जाने की उम्मीद है। यह चार आश्वासन स्तर परिभाषित करता है: Basic, Substantial, High, और संभावित रूप से High+ जिसमें SecNumCloud की प्रतिरक्षा आवश्यकताओं को दर्शाने वाले संप्रभुता मानदंड हैं। सार्वजनिक क्षेत्र या विनियमित खरीदारों को लक्षित करने वाली फ़ाइल ट्रांसफर सेवाओं के लिए, EUCS High के साथ प्रारंभिक संरेखण एक प्रतिस्पर्धी आवश्यकता होगी। CERT-In और MeitY के दृष्टिकोण से, भारतीय संगठनों को भी इसी तरह के प्रमाणन ढाँचे की दिशा में देखना चाहिए।

विशिष्ट क्षेत्रों के लिए डेटा स्थानीयकरण

क्षैतिज नियमों से परे, कई क्षेत्र स्थानीयकरण लागू करते हैं। स्वास्थ्य डेटा के लिए फ्रांस का HDS। जर्मनी के BSI स्वास्थ्य डेटा और कुछ संघीय कार्यभार के लिए C5-प्रमाणित इंफ्रास्ट्रक्चर मांगते हैं। इटली का AgID ढाँचा वर्गीकृत और संवेदनशील डेटा के लिए इतालवी या EU स्थानीयकरण अनिवार्य करता है। बहु-देशीय खरीदारों की सेवा करने वाले फ़ाइल ट्रांसफर विक्रेताओं के लिए, प्रतिबंधात्मक क्षेत्रीय नियम आर्किटेक्चर निर्धारित करते हैं। सबसे सस्ता रास्ता अक्सर ग्राहक-प्रति भूगोल विभाजित करने के बजाय सख्त EU अनुबंधों के तहत फ्रांस या जर्मनी में सब कुछ होस्ट करना है।

होस्टिंग प्रदाताओं के लिए NIS2 दायित्व

NIS2 क्लाउड कंप्यूटिंग सेवाओं और डेटा केंद्र सेवाओं को महत्वपूर्ण डिजिटल इंफ्रास्ट्रक्चर के रूप में वर्गीकृत करता है। इन श्रेणियों में आने वाले फ़ाइल ट्रांसफर विक्रेताओं को अनुच्छेद 21 साइबर सुरक्षा उपाय लागू करने, राष्ट्रीय CSIRT को 24 घंटे में घटनाओं की रिपोर्ट करने, और आपूर्ति श्रृंखला कर्तव्यों को पूरा करने की आवश्यकता है। विक्रेता गैर-अनुपालन होस्टिंग बैकएंड पर चल रही सेवाएँ अंतराल विरासत में लेती हैं।

लॉगिंग, ऑडिट और घटना अधिसूचना

2026 में EU होस्टिंग अपेक्षाओं में GDPR अनुच्छेद 33 72-घंटे उल्लंघन अधिसूचनाओं का समर्थन करने के लिए पर्याप्त समय के लिए विस्तृत ऑडिट लॉग शामिल हैं। फ़ाइल ट्रांसफर के लिए न्यूनतम लॉग में अपलोड, डाउनलोड, लिंक निर्माण, लिंक समाप्ति, और एडमिन कार्रवाई शामिल हैं। छह महीने के लिए लॉग का भंडारण सामान्य है; वित्तीय या स्वास्थ्य ग्राहकों के लिए लंबी अवधि की आवश्यकता हो सकती है। लॉग स्वयं व्यक्तिगत डेटा (IPs, उपयोगकर्ता पहचानकर्ता) शामिल करते हैं, इसलिए उनका रिटेंशन और एक्सेस नियंत्रण GDPR आनुपातिकता के अंतर्गत आते हैं।

HexaTransfer EU इंफ्रास्ट्रक्चर पर चलता है जहाँ AES-256-GCM एन्क्रिप्शन अपलोड से पहले ब्राउज़र में लागू होती है, जिसका अर्थ है कि सर्वर पर सिफरटेक्स्ट लिंक फ्रैगमेंट के बिना दुर्गम है। इसे आज़माएँ https://hexatransfer.com पर — मुफ़्त, बिना खाते के, अधिकतम 10 GB।

2026 में EU होस्टिंग एक नियम नहीं बल्कि उनकी जाली है। सर्वर स्थान महत्वपूर्ण है। प्रदाता अधिकार क्षेत्र महत्वपूर्ण है। अनुबंध शर्तें महत्वपूर्ण हैं। प्रमाणन महत्वपूर्ण है। जो विक्रेता आगे रहते हैं वे प्रत्येक नियम को ठोस तकनीकी और संविदात्मक उपायों में मैप करते हैं और एक ट्रस्ट पेज प्रकाशित करते हैं। खरीदार, बदले में, केवल "हम EU-होस्टेड हैं" को पूरा उत्तर के रूप में स्वीकार करने के बजाय विशिष्ट प्रश्न पूछते हैं।