Локация данных в ЕС: требования к хостингу файлов

Локация данных в ЕС означает, что персональные данные физически хранятся на серверах внутри Европейской экономической зоны, а резервные копии, кэши и инструменты поддержки также остаются в пределах границ ЕЭЗ. GDPR прямо не требует локальности — он требует, чтобы любая передача за пределы ЕЭЗ соответствовала условиям Главы V (решение об адекватности, SCC, BCR). Однако отраслевые правила, наложенные поверх: судебная практика Schrems II, французский SecNumCloud, немецкий C5 и правила закупок для государственного сектора — фактически принуждают к локализации данных здравоохранения, финансов и государственных файлов. Схожая логика применима в России: 242-ФЗ требует локализации баз персональных данных граждан РФ на серверах в России, а 152-ФЗ обязывает операторов обеспечивать их защиту. Вопрос не в том, важна ли локализация — а в том, на каком именно стеллаже с серверами хранятся байты.

Что «локализация» означает на уровне байтов

Локализация — это не только регион объектного хранилища. Это также то, где граничные кэши CDN хранят файл, где реплики базы данных воспроизводят записи, где спят резервные копии и где ноутбук инженера поддержки подключается при извлечении образца для отладки. AWS Frankfurt (eu-central-1) хранит объекты в Германии, но граничные серверы CloudFront в Эшберне, Вирджиния, будут их кэшировать — если вы не ограничите дистрибуцию европейскими граничными узлами. Геоизбыточное хранилище Azure реплицирует данные по парным регионам: для Западной Европы — Амстердам и Дублин — хорошо. Неправильно настройте пару — получите реплику в Великобритании или США.

Мультипликативный эффект Schrems II

Решение CJEU от июля 2020 года по делу Data Protection Commissioner против Facebook Ireland и Schrems аннулировало Privacy Shield и обязало каждую передачу данных из ЕС в США проходить оценку воздействия передачи. Практическое следствие: корпоративные покупатели начали спрашивать поставщиков «где хранятся мои данные?» вместо «соответствует ли поставщик GDPR?». Поскольку американское право (FISA 702, CLOUD Act) распространяется на американских провайдеров даже для данных, хранящихся за рубежом, локализация сама по себе не защищает европейских клиентов от судебных запросов — если только провайдер не является европейским без американских дочерних структур. Именно поэтому Gaia-X, OVH, Scaleway, Hetzner и Infomaniak выигрывают тендеры, которые проигрывают Microsoft Azure и Google Cloud — при одинаковом региональном присутствии.

Французский SecNumCloud и немецкий C5

ANSSI Франции публикует SecNumCloud — квалификацию для облачных провайдеров, обрабатывающих чувствительные данные. Версия 3.2 (март 2022) включает иммунизирующую оговорку, требующую, чтобы провайдеры не подпадали под действие неевропейского права (читай: CLOUD Act). OVH Bleu и Outscale имеют квалификацию SecNumCloud; AWS — нет. Немецкий BSI публикует Каталог критериев C5, менее строгий в части владения, но более детальный по техническим контролям — 125 критериев в 17 категориях. Покупатели из здравоохранения и оборонного сектора в обеих странах регулярно прописывают эти сертификаты в контрактах. Провайдер передачи файлов, нацеленный на эти секторы без минимальной аттестации C5 Type 2, неконкурентоспособен на рынке.

Классы хранилищ и их локализационный след

Горячее хранилище — S3 Standard, Azure Hot Blob, GCS Standard — как правило, соблюдает настроенный регион. Холодное хранилище может удивить. AWS Glacier Deep Archive обещает выбранный регион, но процесс восстановления временно размещает данные в региональных граничных локациях; для чувствительных файлов проверяйте соответствие региона восстановления. Backblaze B2 предлагает EU Central (Амстердам); Cloudflare R2 — юрисдикционные регионы ЕС с привязкой метаданных, удерживающей и байты, и метаданные внутри ЕС. Объектное хранилище OVH в Гравлине или Страсбурге даёт гарантии французской территории с договорной силой.

Метаданные против содержимого файла

Люди зациклены на содержимом файла и игнорируют метаданные, которые раскрывают не меньше. Имя файла, электронная почта отправителя, электронная почта получателя, IP-адрес, временная метка и размер файла вместе достаточны для восстановления деловых отношений. Сервис передачи, шифрующий содержимое на стороне клиента, но отправляющий имена файлов и адреса электронной почты на американскую аналитическую платформу, провалил локализацию. Проверяйте политику конфиденциальности каждого стороннего субобработчика: ведение журналов ошибок (Sentry, Datadog), аналитика (Mixpanel, Amplitude), доставка электронной почты (SendGrid, Postmark). Если любой из них проходит через инфраструктуру США, метаданные покидают ЕЭЗ, даже когда полезная нагрузка — нет.

Отраслевые требования к локализации

Данные здравоохранения согласно национальным реализациям GDPR плюс местным правилам: французская сертификация HDS (Hébergeur de Données de Santé) требует французского или европейского хостинга для медицинских записей. Немецкий §203 StGB и §75b SGB V требуют эквивалентной защиты. Финансовые услуги в рамках DORA (Регламент 2022/2554, действует с января 2025) устанавливают требования к управлению ICT-рисками с явным картированием сторонних концентраций и субподрядчиков. Государственные закупки в национальных рамках — французская «Доктрина Cloud au Centre», итальянский ACN Cloud — требуют квалифицированных ENISA провайдеров уровня EUCS High для чувствительных классификаций.

Цепочки субобработчиков и прозрачность

Ваш провайдер может располагаться во Франкфурте, но использовать CDN-вендора, маршрутизирующего через Cloudflare (глобальный anycast), платформу поддержки на Zendesk (США) и поисковый индекс на Algolia (Франция/США). Каждое звено этой цепочки — потенциальный разрыв локализации. Статья 28(4) делает контролёра ответственным за соответствие субобработчиков. Требуйте полный список с уведомлениями об изменениях — 30-дневное предупреждение о существенных изменениях является рыночным стандартом. Авторитетные европейские провайдеры публикуют это на своих страницах доверия: Tresorit, Proton, Infomaniak и HexaTransfer ведут публичные реестры субобработчиков.

Проверка заявлений о локализации

Маркетинговые страницы говорят «хостинг в ЕС». Договоры говорят меньше. Страницы доверия говорят больше всего. Запрашивайте три артефакта перед подписанием: (1) соглашение об обработке данных с указанием конкретного города дата-центра, а не только страны или региона; (2) отчёт об объёме ISO 27001 или SOC 2 Type 2 с перечислением охватываемых локаций; (3) реестр субобработчиков с юрисдикциями и назначением. Проводите собственные DNS-запросы к конечным точкам загрузки и скачивания — если A-запись разрешается в Cloudflare или Fastly anycast, спрашивайте, какую граничную локацию получают ваши пользователи. Тестируйте загрузки из браузера с европейским IP и проверяйте заголовки ответов; большинство CDN указывают POP в x-amz-cf-pop или cf-ray.

Стоимость и компромиссы производительности

Хостинг только в ЕС обходится на 10–20% дороже многорегиональных аналогов из-за меньшего масштаба и более высоких цен на электроэнергию. Задержка улучшается для пользователей из ЕС (Париж–Франкфурт ~20 мс) и ухудшается для американских пользователей (Париж–Нью-Йорк ~75 мс). Если ваша аудитория на 80% европейская — компромисс очевиден. Для обслуживания глобальных подрядчиков гибридная схема — локализация ЕС для европейских клиентов с чёткими правилами маршрутизации — лучше, чем принуждение всех к единому региону. Провайдеры вроде HexaTransfer хранят все файлы в инфраструктуре ЕС, тогда как шифрование на стороне клиента означает, что получатели через границы никогда не раскрывают открытый текст иностранным серверам.

Выбирайте локализацию так же, как страховку: точно соответствующую риску. Попробуйте на hexatransfer.com — бесплатно, без регистрации, до 10 ГБ.