Datová suverenita a CLOUD Act: kde mít data v EU

Uložit data do datacentra ve Frankfurtu ještě neznamená, že jsou mimo dosah cizí jurisdikce. Jádrem celé debaty o datové suverenitě je rozdíl mezi tím, kde data fyzicky leží, a tím, kdo k nim může ze zákona sáhnout. A pro české firmy je to čím dál praktičtější otázka, kterou navíc vyžadují posoudit NIS2 i DORA.

Rezidence dat není totéž co suverenita

Rezidence dat je o místě: vaše data leží na serverech v EU. Suverenita je o jurisdikci: čí právo na ně dosáhne. Ten rozdíl vytvořil hlavně americký CLOUD Act z roku 2018. Ten dovoluje americkým úřadům vyžádat si data od americké firmy bez ohledu na to, kde data leží. Protože AWS, Azure i Google Cloud provozují americké společnosti, jejich evropská datacentra tenhle dosah samy o sobě neruší.

Rozdíl mezi rezidencí a suverenitou dat. Rezidence: kde data fyzicky leží, evropský region, vyřešíte konfigurací. Suverenita: čí jurisdikci data podléhají, dosah amerického CLOUD Act, řeší se volbou poskytovatele. — Data uložená v EU a data mimo dosah cizí jurisdikce nejsou totéž.

Co s tím dělají hyperscaleři

Poskytovatelé na to reagují sovereign programy. AWS spustil na začátku roku 2026 European Sovereign Cloud, samostatnou evropskou infrastrukturu s evropskými zaměstnanci a právnickými osobami. Azure nabízí EU Data Boundary, který drží data i jejich zpracování v EU. Obojí výrazně zlepšuje rezidenci a snižuje riziko, ale úplně ho neodstraní: dokud je provozovatel dceřinou společností americké firmy, formálně pod CLOUD Act spadá. Je poctivé to říct rovnou.

Kdy to řešit a jak

Neznamená to utíkat z hyperscalerů. Znamená to zvolit ochranu podle citlivosti dat.

Běžná provozní data. Evropský region a sovereign program poskytovatele bohatě stačí. Přidejte šifrování s klíči, které držíte vy (BYOK), a i teoretický přístup je bez vašich klíčů k ničemu.
Citlivá nebo silně regulovaná data. Tady zvažte evropského poskytovatele mimo dosah CLOUD Act. Z těch, se kterými pracujeme, sem patří třeba Hetzner. Suverenitu tím řešíte přímo na úrovni jurisdikce.
Vždy. Zmapujte, jaká data kde jsou a proč. Bez téhle mapy nedoložíte NIS2 ani DORA, ať máte data kdekoli.

Ochrana dat podle jejich citlivosti: běžná provozní data zvládne evropský region se sovereign programem a šifrováním s vlastními klíči (BYOK), citlivá a regulovaná data patří k evropskému poskytovateli mimo dosah CLOUD Act, například Hetzneru, a mapa toho, jaká data kde leží, je potřeba vždy. — Každá kategorie dat si žádá jinou míru ochrany.

Nejčastěji to skončí u zdravé kombinace: hyperscaler pro provoz, evropský poskytovatel nebo přísné šifrování pro to nejcitlivější. Rozhoduje citlivost dat, ne marketingový štítek „sovereign“.

Nejdřív mapa, potom nástroje. S přehledem o tom, jaká data kde leží a proč, se ochrana i poskytovatel vybírají snadno. S tím vám poradíme. Napište si o konzultaci.

Časté dotazy

Jaký je rozdíl mezi rezidencí a suverenitou dat?

Rezidence dat říká, kde data fyzicky leží, třeba na serverech v EU. Suverenita dat říká, čí jurisdikci podléhají a kdo k nim může ze zákona sáhnout. Data ve Frankfurtu na infrastruktuře americké firmy jsou rezidenčně v EU, ale kvůli CLOUD Act nejsou plně mimo dosah USA.

Co je americký CLOUD Act a proč se nás týká?

Zákon z roku 2018, který umožňuje americkým úřadům vyžádat si data od amerických firem bez ohledu na to, kde data fyzicky leží. Dopadá tedy i na evropské pobočky amerických hyperscalerů. Pro NIS2 i DORA je to riziko dodavatelského řetězce, které máte posoudit a zdokumentovat.

Musíme kvůli suverenitě opustit AWS nebo Azure?

Většinou ne. Pro běžná data stačí evropský region, sovereign programy poskytovatelů a hlavně šifrování s klíči, které držíte vy. Teprve u nejcitlivějších nebo silně regulovaných dat dává smysl zvážit evropského poskytovatele. Rozhoduje citlivost konkrétních dat.