Begin met drie afzonderlijke vragen
Een hostinglocatie vertelt je waar een machine bedoeld is te draaien. Het beschrijft niet elke partij die een account, back-up of supportverzoek verwerkt. De exploitant, infrastructuursuppliers en de klant kunnen verschillende juridische verantwoordelijkheden hebben. Een nuttige beoordeling volgt de volledige dienst in plaats van een landlabel te behandelen als het antwoord op elke juridische vraag.
- Exploitant: wie levert de dienst en sluit de overeenkomst?
- Locatie: waar bevinden zich het primaire systeem, opgeslagen kopieën en operationele registraties?
- Toegang: welke partijen kunnen de dienst beheren of data ontvangen?
De service-operator is KoalaVPS
KoalaVPS is de operator die voor deze dienst wordt genoemd. De voorwaarden leggen de dienstrelatie uit; het privacybeleid legt de omgang met account- en operationele informatie uit. Het kiezen van een regio betreft de plaatsing van infrastructuur. Dat specificeert op zichzelf niet het statutaire adres van een bedrijf en bepaalt niet alle verplichtingen die kunnen gelden voor de operator, klant of workload.
Vier regio's, elk met hun eigen nationale context
De catalogus bevat Stockholm, Helsinki, Oslo en Reykjavík. Zweden en Finland zijn EU-lidstaten. Noorwegen en IJsland nemen via EFTA deel aan de Europese Economische Ruimte. De AVG is opgenomen in de EER-overeenkomst, dus een EER-EFTA-locatie kiezen haalt het Europese kader voor gegevensbescherming niet weg. Nationaal recht en nationale procedures vragen in elk land nog steeds aandacht.
- STO / Stockholm / Zweden / EU
- HEL / Helsinki / Finland / EU
- OSL / Oslo / Noorwegen / EER EVA
- RKV / Reykjavík / IJsland / EER EVA
Officiële documentatie: EFTA: de Europese Economische Ruimte · EFTA: GDPR-opname en juridische status
Stockholm: de Zweedse regio
Stockholm is de Zweedse locatieoptie. Zweden is lid van de EU en de nationale gegevensbeschermingsautoriteit is Integritetsskyddsmyndigheten, meestal IMY genoemd. Beoordeel voor een bestelling in deze regio de gekozen dienst, de opgeslagen kopieën en de partijen met toegang in samenhang met het Zweedse en toepasselijke Europese kader. De stad alleen bepaalt niet waar elk accountrecord of elke externe applicatieafhankelijkheid zich bevindt.
- Regiocode: STO
- Land: Zweden
- Europees kader: EU-lidstaat
- Nationale autoriteit voor gegevensbescherming: IMY
Officiële documentatie: Europese Unie: Zweden · EDPB: nationale toezichthoudende autoriteiten
Helsinki: de Finse regio
Helsinki duidt de Finse plaatsingsoptie aan. Finland is lid van de EU en de nationale toezichthoudende autoriteit is het Bureau van de Gegevensbeschermingsombudsman. Neem databasereplica's, back-upbestemmingen en administratieve toegang mee in een beslissing over Finse plaatsing. Als een applicatie informatie naar een afzonderlijke dienst stuurt, moet die aanvullende verwerking op eigen voorwaarden worden beoordeeld.
- Regiocode: HEL
- Land: Finland
- Europees kader: EU-lidstaat
- Nationale gegevensbeschermingsautoriteit: Bureau van de Ombudsman voor Gegevensbescherming
Officiële documentatie: Europese Unie: Finland · EDPB: nationale toezichthoudende autoriteiten
Oslo: de Noorse regio
Oslo is de Noorse catalogusregio. Noorwegen is een EER-EVA-staat buiten de EU, en Datatilsynet is de nationale autoriteit voor gegevensbescherming. EER-deelname en GDPR-opname zijn relevante onderdelen van de beoordeling. Ze betekenen niet dat elk EU-instrument of elke nationale juridische procedure identiek is in de vier regio's.
- Regiocode: OSL
- Land: Noorwegen
- Europees kader: EER EVA
- Nationale autoriteit voor gegevensbescherming: Datatilsynet
Officiële documentatie: EFTA: EER-deelname en -bereik · EDPB: nationale toezichthoudende autoriteiten
Reykjavík: de IJslandse regio
Reykjavík duidt de IJslandse plaatsingsoptie aan. IJsland neemt via EFTA deel aan de EER en Persónuvernd is de nationale autoriteit voor gegevensbescherming. De fysieke scheiding van het Europese vasteland is een geografisch feit; juridische reikwijdte, toegangsregelingen en de plaatsing van herstelkopieën vereisen een eigen beoordeling. De gekozen dienst en de werkelijke gegevensstromen blijven het nuttige uitgangspunt.
- Regiocode: RKV
- Land: IJsland
- Europees kader: EER EVA
- Nationale autoriteit voor gegevensbescherming: Persónuvernd
Officiële documentatie: EFTA: AVG in de EER · EDPB: nationale toezichthoudende autoriteiten
Een gekozen regio moet een zichtbare beslissing blijven
Het plaatsingsprincipe is om de geselecteerde regio gedurende de hele levenscyclus van de dienst expliciet te houden. Een geplande verhuizing naar een ander land moet worden beschreven voordat deze plaatsvindt en met de klant worden overeengekomen. Replicatie, herstel en noodherstel behoeven een even duidelijke behandeling in de servicevoorwaarden. De primaire regio, de bestemming van een eventuele herstelkopie en het land van een latere migratie mogen nooit stilzwijgend als uitwisselbaar worden behandeld.
- Registreer de geselecteerde regio bij de bestelling
- Bepaal de bestemming vóór een geplande grensoverschrijdende migratie
- Beschrijf elke hersteluitzondering en het bijbehorende meldingsproces
- Houd het plaatsingsrecord van de klant afgestemd op de daadwerkelijke dienst
Juridische reikwijdte kan meer omvatten dan het land van opslag
Toepasselijke regels kunnen afhangen van de vestiging van een organisatie, de verwerkingsactiviteit, de betrokken personen en het gebruikte juridische instrument. De territoriale werkingssfeer van de AVG vereist daarom meer dan een speld op een kaart. Er bestaan ook grensoverschrijdende mechanismen voor elektronisch bewijs; het EU-kader is daarvan een voorbeeld voor aanbieders en verzoeken binnen zijn werkingssfeer. Elk verzoek vereist een beoordeling van de feiten en de relevante procedure.
Officiële documentatie: EDPB: territoriale werkingssfeer van de AVG · Europese Commissie: grensoverschrijdend elektronisch bewijs
Beoordeel de bevoegdheid, beperk de reikwijdte, documenteer de reactie
Het behandelingsprincipe is om te verifiëren wie informatie opvraagt, op welke rechtsgrond een beroep wordt gedaan en welke specifieke gegevens of dienst het betreft. Een verzoek moet een vakkundige beoordeling krijgen, waarbij niet-onderbouwde of buitensporige eisen via de beschikbare procedure worden betwist. Elke openbaarmaking moet beperkt blijven tot wat wettelijk vereist of anderszins rechtmatig gerechtvaardigd is. Kennisgeving aan de klant moet de toepasselijke beperkingen respecteren.
- Verifieer de aanvrager en de rechtsgrond
- Identificeer het betrokken account, de dienst, de periode en de gegevenscategorieën
- Controleer jurisdictie, procedure en eventuele tegenstrijdige verplichtingen
- Vraag om verduidelijking of betwist waar passend een te ruime eis
- Houd een evenredig register bij en deel alleen de gerechtvaardigde scope
Buitenlandse verzoeken vereisen hun eigen overdrachtsanalyse
Een eis van een autoriteit uit een derde land is geen automatische toestemming om persoonsgegevens uit de EU openbaar te maken. De richtsnoeren van de EDPB over artikel 48 maken onderscheid tussen erkenning van een buitenlandse beslissing en de rechtmatige grondslag voor verwerking en de grond voor een internationale doorgifte. Een toepasselijke overeenkomst of een andere toegestane route moet in context worden beoordeeld; noch automatische aanvaarding noch een algehele belofte van weigering is een degelijk beleid.
Officiële documentatie: EDPB: Artikel 48 en verzoeken van autoriteiten uit derde landen
Volg de data voorbij de primaire schijf
Primaire opslag, snapshots, back-ups, logs, accountgegevens en supportbijlagen kunnen verschillende paden volgen. Een regionale keuze is alleen zinvol als die paden duidelijk zijn. Het servicerecord en de privacy-informatie moeten elke categorie onderscheiden en uitleggen welke partijen er toegang toe hebben. Extern beheer en externe verwerkers horen ook in die inventaris.
- Primaire systeem- en applicatiegegevens
- Snapshots, onafhankelijke back-ups en herstelreplica's
- Account-, facturatie-, beveiligings- en supportgegevens
- Administratieve toegang en externe dienstverleners
Bescherm regionale overdrachten net zo goed als regionale plaatsing
Replicatie en migratie moeten gebruikmaken van geauthenticeerde versleuteling, beperkte inloggegevens en gedefinieerde endpoints. Houd sleutels en toegangsrechten waar passend gescheiden van de overdrachtstaak. Bewaring en verwijdering van de vorige kopie moeten deel uitmaken van de verhuizing. Routering via een privéverbinding en het versleutelen van de gegevens zijn afzonderlijke maatregelen; noch geografie noch een netwerklabel alleen toont vertrouwelijkheid aan.
Beperk verzameling zonder juridische immuniteit te beloven
Het accountmodel vermijdt routinematige verzameling van identiteitsdocumenten. Dat beperkt onnodige informatie die bij aanmelding wordt verzameld; het wist geen betalings-, beveiligings-, infrastructuur- of supportgegevens die een dienst nodig kan hebben. Bewarings- en bewaarplichten moeten worden beoordeeld volgens de toepasselijke regels. De privacy- en transparantiepagina's beschrijven die principes, terwijl het beleid voor acceptabel gebruik in elke regio van toepassing is.
Zet een locatievoorkeur om in een operationele checklist
Documenteer voordat u een gevoelige workload plaatst de servicepartijen, primaire locatie, herstelbestemmingen, toegangsmodel en contractuele vereisten. Houd het record actueel wanneer u van provider of applicatieafhankelijkheden verandert. Deze pagina legt het algemene kader uit; een specifieke gereguleerde activiteit of geschil vereist een eigen beoordeling van de feiten.
- Laat de geselecteerde regio overeenkomen met de bestelling en de servicebeschrijving
- Controleer de plaatsing van back-ups en logs in plaats van aan te nemen dat deze overeenkomt
- Controleer de privacy-, acceptabel-gebruik- en servicevoorwaarden samen
- Identificeer eventuele verwerking buiten de gekozen regio of de EER
- Gebruik de gelinkte primaire bronnen voor het juridische kader en de huidige reikwijdte ervan
Een beetje meer duidelijkheid.
Selecteert het kiezen van een serverregio het land van registratie van de operator?
Nee. De operator en de plaatsing van infrastructuur zijn afzonderlijke vragen. Een geselecteerde regio geeft de beoogde serverlocatie aan; deze specificeert op zichzelf geen geregistreerd kantoor en beslecht niet elke toepasselijke verplichting.
Liggen alle vier de landen in de Europese Unie?
Zweden en Finland zijn EU-lidstaten. Noorwegen en IJsland zijn EER-EFTA-staten buiten de EU. De opname van de AVG in de EER-overeenkomst is relevant voor alle vier locaties, terwijl nationale procedures en andere rechtsinstrumenten kunnen verschillen.
Valt een Noorse of IJslandse regio buiten het GDPR-kader?
Nee. De AVG is opgenomen in de EER-overeenkomst. Toepasselijkheid hangt nog steeds af van de verwerking en de betrokken partijen; een EER-EVA-label is geen algemene vrijstelling van gegevensbeschermingsverplichtingen.
Kan een buitenlandse autoriteit ooit gegevens bereiken die in een ander land worden bewaard?
Er bestaan grensoverschrijdende juridische mechanismen. Of een verzoek effect heeft, hangt af van het relevante recht, de procedure, de partijen en de feiten. Het land van opslag alleen kan niet aantonen dat elk buitenlands verzoek zonder effect is.
Zal een geplande verhuizing naar een ander land voor mij zichtbaar zijn?
Het plaatsingsbeginsel vereist dat de bestemming en het effect van een geplande grensoverschrijdende verhuizing worden bekendgemaakt en overeengekomen voordat de verhuizing plaatsvindt. Hersteluitzonderingen en kennisgevingsprocedures horen in de servicevoorwaarden.
Blijven back-ups automatisch in hetzelfde land als de server?
De primaire locatie bepaalt op zichzelf niet de plaatsing van back-ups. Bekijk de snapshot-, back-up- en herstelbestemmingen van de dienst afzonderlijk, inclusief retentie en toegang.
Betekent een privéverbinding tussen regio's dat de data versleuteld zijn?
Routering en versleuteling zijn afzonderlijke maatregelen. Een overdracht moet geauthenticeerde versleuteling en een expliciet toegangsbeleid gebruiken; een beschrijving van een privénetwerk alleen is geen bewijs van een van beide.
Voorkomt no-KYC dat een provider een juridisch verzoek ontvangt?
Nee. Het beschrijft het identiteitsverificatiemodel. Een provider kan nog steeds operationele gegevens en wettelijke verplichtingen hebben. Verzamelbeperkingen, bewaartermijnen en de reikwijdte van een verzoek moeten nauwkeurig worden beoordeeld.
Verandert het acceptabel-gebruikbeleid met het geselecteerde land?
Het KoalaVPS acceptabel-gebruiksbeleid geldt voor de hele catalogus. Een regiokeuze heft de eigen verplichtingen van de klant onder toepasselijk recht niet op.