Bilo jednom u Nizozemskoj: Propast Amazonovog "evropskog clouda"

Spor između Nizozemske i Amazona ogolio je ključnu slabost evropske IT infrastrukture i dokazao da je geografska lokacija servera nebitna ako Washington ima pravni ključ od podataka. Američki CLOUD Act pretvorio je Amazonov "evropski cloud" u pravnu zamku, što je navelo Centralnu banku Nizozemske na radikalan korak — prekid saradnje sa američkim gigantom i prelazak na platformu StackIT u vlasništvu njemačke Schwarz Grupe, matične kompanije trgovačkog lanca Lidl.

Kada razgovaramo o digitalnom suverenitetu Evrope i njenom bijegu od američkih tehnoloških giganata, rasprave se najčešće vode na nivou Brisela – kroz proglase, regulative, pakete zakona i astronomske kazne koje Evropska komisija s vremena na vrijeme odere kompanijama poput Googlea ili Metae.

O ovoj temi i razlozima zašto Evropa bježi od američkog Big Tech-a detaljno sam pisao početkom februara u članku Digitalni suverenitet EU: Zašto Evropa bježi od američkih tech giganata i koje su alternative?, kada su u fokusu bile političke najave i zakonski okviri. Međutim, u proteklih nekoliko mjeseci, situacija se sa papira munjevito preselila na sam teren. Prava bitka za suverenitet ne vodi se više u udobnim foteljama evropskih regulatora, već u hladnim serverskim sobama, na tenderima za javne nabavke i unutar institucija koje upravljaju najosjetljivijim podacima građana.

Upravo se na tom terenu, u trouglu između Nizozemske, njemačkog trgovačkog giganta i američkog Amazona, nedavno odigrao tehnološki triler koji je jednom za svagda ogolio veliku geopolitičku varku: koncept "podataka pohranjenih u Evropi" (data residency) je najobičnija iluzija.

Da bismo razumjeli kako je došlo do ovog tektonskog poremećaja i zašto je Centralna banka Nizozemske radije izabrala infrastrukturu vlasnika trgovačkog lanca Lidl nego američkog AWS-a, moramo se vratiti na korijen problema – američki zakon pod nazivom CLOUD Act.

CLOUD Act: Zakon koji je proglasio globalni digitalni suverenitet SAD-a

Godinama su američki cloud giganti (Amazon AWS, Microsoft Azure, Google Cloud) umirivali evropske vlade i kompanije jednostavnim argumentom: "Izgradit ćemo data-centre na evropskom tlu (npr. u Frankfurtu, Dublinu ili Amsterdamu), vaši podaci nikada neće napustiti kontinent, i samim tim ste potpuno sigurni i usklađeni sa GDPR-om."

(GDPR je rigorozna evropska uredba o zaštiti privatnosti koja strogo zabranjuje iznošenje i pohranjivanje ličnih podataka građana Evropske unije izvan njenih granica, osim pod ekstremno sigurnim pravnim uslovima. Ako kompanija preda te podatke stranim službama bez odobrenja EU, rizikuje kazne koje se mjere u milijardama dolara.) 

Evropa je godinama gutala ovu priču, sve dok 2018. godine u SAD-u nije izglasan CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Ovaj savezni zakon iz korijena je promijenio pravila digitalne jurisdikcije.

Najjednostavnije rečeno, CLOUD Act je uveo princip "vlasništvo iznad geografske lokacije".

Zakon daje američkim pravosudnim i obavještajnim organima (poput FBI-ja) pravo da nalože bilo kojoj tehnološkoj kompaniji sa sjedištem u SAD-u da preda podatke svojih korisnika, bez obzira na to gdje se ti podaci fizički nalaze na planeti.

To stvara pravni apsurd i direktan sukob sa evropskim GDPR-om:

• Ako američka kompanija po nalogu iz Washingtona preda podatke evropskog građanina, ona direktno krši GDPR i suočava se sa drakonskim kaznama u Evropi.

• Ako odbije predati podatke, krši savezni zakon SAD-u i suočava se sa krivičnom odgovornošću na domaćem terenu.

Ovaj zakon je tiho sjedio u pozadini sve dok velike evropske institucije nisu počele masovno prelaziti na cloud. Tada je teorija udarila o zid surove prakse.

Slučaj Nizozemske: Kako je Amazon ponudio lažni suverenitet

Nizozemska ministarstva, javne ustanove i Centralna banka Nizozemske (DNB) krenule su u veliku modernizaciju IT sistema. Budući da upravljaju poreskim podacima, vojnim tajnama i finansijskim tokovima države, tražili su maksimalnu sigurnost.

Uvidjevši da gubi tlo pod nogama zbog straha od CLOUD Act-a, Amazon je prošle godine trijumfalno lansirao novu uslugu: AWS European Sovereign Cloud. Obećali su posebne, izolovane servere u Evropi, kojima upravljaju isključivo građani EU i gdje je pristup izvana tehnički onemogućen.

Nizozemsko Ministarstvo pravosuđa i sigurnosti je u prvoj fazi bilo spremno potpisati ugovor. Međutim, domaći nezavisni IT stručnjaci, revizori i pravnici za zaštitu privatnosti podigli su uzbunu i detaljno pročešljali tehničku i pravnu arhitekturu Amazonove ponude.

Otkriće je bilo poražavajuće, ali logično: bez obzira na to što su serveri u Evropi i inženjeri Evropljani, krovni vlasnik tehnologije, softverskog koda i same kompanije je Amazon Inc. sa sjedištem u Seattleu. Prema CLOUD Act-u, to je sasvim dovoljno da američki sudovi imaju pravnu polugu nad tim podacima. Podaci u "evropskom cloudu" zapravo su bili jednako ranjivi kao da se nalaze usred Amerike.

Nakon što je ova informacija dospjela u nizozemski parlament, izbio je politički skandal. Ministarstvo je moralo povući svoje interne pozitivne procjene rizika, a ugovor sa Amazonom je praktično zamrznut na terenu.

Šamar iz Amsterdama: Centralna banka odlazi kod... vlasnika Lidla?

Najkonkretniji i najbrutalniji dokaz da Evropa više ne vjeruje američkom cloudu desio se krajem aprila u finansijskom sektoru. Centralna banka Nizozemske (DNB) u potpunosti je prekinula pregovore sa Amazonom. Umjesto njih, za svoje cloud operacije izabrali su platformu StackIT.

Ono što ovaj izbor čini fascinantnim jeste činjenica da je StackIT cloud servis u vlasništvu njemačke Schwarz Grupe – giganta koji je u svijetu najpoznatiji kao vlasnik trgovačkog lanca Lidl.

Kako je moguće da jedna centralna banka radije povjeri svoje podatke kompaniji koja se bavi trgovinom mješovite robe nego tehnološkom vladaru svijeta? Odgovor je jednostavan: Schwarz Grupa je stopostotno evropska korporacija.

Schwarz Grupa je prvobitno razvila StackIT za sopstvene potrebe, kako bi osigurala lanac snabdijevanja i podatke miliona kupaca širom Evrope, shvativši da ne smiju zavisiti od američkog softvera. Kada su shvatili šta su napravili, ponudili su to tržištu kao istinski suveren evropski cloud.

Za Centralnu banku Nizozemske, StackIT je pružio ono što Amazon pravno nikada neće moći:

1. Imunitet na CLOUD Act: Pošto krovna kompanija nema nikakve veze sa SAD-om, američki sudovi nemaju nikakav pravni osnov da traže podatke.

2. Čisti GDPR sklad: Podaci su u evropskom vlasništvu, na evropskom tlu, pod evropskim zakonom.

Lekcija za budućnost: Stvarni sef se gradi od otvorenog koda i domaće infrastrukture

Slučaj Nizozemske i Amazona je prekretnica jer je pokazao da su evropske institucije konačno shvatile razliku između lokacije podataka i jurisdikcije nad podacima.

Ovaj trend se ne dešava samo u cloudu. Pokrajina Schleswig-Holstein u Njemačkoj upravo prebacuje 30.000 računara sa Windowsa na Linux i LibreOffice, dok Francuska pokreće nacionalnu strategiju izbacivanja Microsoft alata iz ministarstava. Poučeni propašću minhenskog LiMux-a od prije desetak godina, Evropljani su shvatili da parcijalni pokušaji na nivou pojedinačnih gradova ne uspijevaju pod naletom Big Tech lobiranja. Borba se sada vodi na nivou država.

Poruka ovog spora je kristalno jasna: stvarni digitalni suverenitet i kreiranje istinskog "digitalnog sefa" nemogući su polovičnim rješenjima. Sve dok koristite zatvoreni softver i infrastrukturu kompanija čije je sjedište s druge strane Atlantika, vaši podaci nisu vaši.

Evropa je to na teži način naučila na papiru, a slučaj sa "Lidl cloudom" i Amazonom pokazuje da je ta lekcija konačno počela da se primjenjuje i na terenu.