Ко́декс поведі́нки в хма́рі (скорочено «EU Cloud CoC », також відомий під розширеною назвою «Європейський кодекс поведінки щодо захисту даних для постачальників хмарних послуг») — транснаціональний створений відповідно до статті 40 європейського Загального регламенту захисту даних (GDPR).

Кодекс визначає чіткі вимоги до постачальників хмарних послуг (CSP) щодо виконання статті 28 GDPR та всіх пов’язаних із нею статей, які охоплюють діяльність з обробки кожного типу персональних даних.

Охоплюючи всі рівні хмарних послуг (включаючи, але не обмежуючись IaaS, PaaS і SaaS), кодекс дозволяє постачальникам хмарних сервісів демонструвати відповідність GDPR у своїй ролі обробників даних, що контролюється акредитованим органом моніторингу, як цього вимагає стаття 41 GDPR.

Історія Робота над кодексом почалася в 2012 році, коли колишня віцепрезидентка Європейської комісії Нілі Крус запустила Європейську хмарну стратегію. У цьому контексті була створена спеціальна робоча група із завданням розробити хмарний кодекс поведінки відповідно до Директиви про захист даних.

Однією з головних цілей розробки такого кодексу було підвищення довіри та розширення впровадження хмарних обчислень у Європейському Союзі. Перший проєкт, розроблений робочою групою, було передано на її першу оцінку в січні 2015 року, яку потім здійснила .

Із запровадженням GDPR кодекс необхідно було відповідним чином адаптувати, і до 2017 року Європейська комісія повністю передала проєкт галузі.

Ще в 2017 році шість компаній, які вийшли з цієї робочої групи (, , IBM, Oracle, Salesforce і SAP), заснували генеральну асамблею EU Cloud CoC і призначили SCOPE Europe її органом моніторингу та секретаріатом.

Після кількох обмінів інформацією з наглядовими органами та відповідних переглядів, остаточну версію кодексу було подано до Бельгійського органу із захисту даних для затвердження в 2019 році. Відповідно до часових позначок версій кодексу, опублікованих на вебсайті ініціативи, кодекс розвивався далі після подання та до його затвердження в травні 2021 року. Очікується така продовжена розробка кодексів поведінки відповідно до Рекомендацій 1/2019 Європейської ради із захисту даних щодо кодексів поведінки та органів моніторингу відповідно до Регламенту 2016/679.

Кодекс було схвалено Бельгійським органом із захисту даних 20 травня 2021 р. після позитивного висновку, виданого Європейською радою із захисту даних.

Обсяг і структура Кодекс дозволяє CSP доводити та демонструвати відповідність у межах статті 28 GDPR та всіх пов’язаних із нею статей. Таким чином, цей кодекс включає зобов’язання CSP щодо захисту даних під час обробки будь-яких персональних даних, і його вимоги застосовуються до всіх хмарних пропозицій(включаючи, але не обмежуючись IaaS, PaaS, SaaS).

Є п’ять розділів, які разом складають основну структуру кодекс, а саме: Сфера застосування, Захист даних, Вимоги безпеки, Моніторинг і відповідність і Внутрішнє управління.

Крім основного тексту, кодекс супроводжується каталогом засобів контролю, який був розроблений для відображення вимог кодексу до елементів, які підлягають перевірці, «Контролю» та до всіх відповідних положень GDPR. Крім того, каталог елементів керування також забезпечує відповідність відповідним міжнародним стандартам (таким як ISO 27001, ISO 27017, SOC 2 і BSI C5).

Організаційна структура Організаційна структура кодексу описана в розділі внутрішнього управління, який описує правила та процедури, що застосовуються для управління кодексом. Згаданий розділ викладає організаційну структуру самого кодексу, а також його органів, а саме Генеральної асамблеї, Наглядової ради та Секретаріату.

Спеціальний моніторинговий орган Загальний регламент про захист даних вимагає незалежного моніторингового органу, щоб гарантувати належне впровадження його положень.

У травні 2021 року SCOPE Europe був офіційно акредитований Бельгійським органом із захисту даних як спеціальний моніторинговий орган цього кодексу.

Відповідно до GDPR, моніторинговий орган несе відповідальність за проведення постійної належної перевірки. Згідно з цим кодексом, окрім початкової оцінки для відповідності кодексу, CSP щорічно переглядаються.

Додаткові оцінки також можуть бути викликані обґрунтованими скаргами, повідомленнями в ЗМІ, новими законодавчими актами, публікаціями та рекомендаціями органів із захисту даних та будь-якими іншими відповідними подіями, які потенційно можуть вплинути на дотримання кодексу.

Постачальник послуг може обрати три рівні відповідності, заявивши про прихильність до цього кодексу. Ці рівні стосуються виключно типу доказів, які підлягають розгляду контролюючим органом. Тим не менш, кожен із цих рівнів вимагає дотримання всіх вимог кодексу.

Членство та прихильники Членство в кодексі відкрите для будь-якого CSP, якщо він погоджується з підходом і принципами, встановленими в кодексі. У зв’язку з цим цей кодекс пропонує два основні варіанти членства: перший призначений для CSP, а другий охоплює будь-яку організацію, яка не є CSP і бажає приєднатися до ініціативи як прихильник.

У рамках членства в CSP існує спеціальна схема ціноутворення, яка враховує потреби компаній різних розмірів, що забезпечує доступність для малих і середніх підприємств (МСП).

Сьогодні Генеральна асамблея кодексу представляє значну частку європейського ринку хмарної індустрії, а станом на серпень 2021 року її членами є , , Arcules, Cisco, Dropbox, Epignosis, , Google Cloud, IBM, , Microsoft, Okta, Inc., Oracle, Qompium (Extra Horizon), Salesforce, SAP, Schellman, SecureAppbox, Timelex, і Workday, Inc..

Ініціатива трансферу в третю країну Після рішення Суду ЄС у справі Schrems II, Генеральна асамблея кодексу хмарних технологій ЄС розпочала роботу над ефективним і водночас доступним заходом захисту для передач у треті країни у форматі додаткового модуля до кодексу.

Так званий Модуль передачі даних до третіх країн повинен охоплювати правові вимоги до передачі даних до третіх країн, викладені в Главі V GDPR, і оскільки будь-який додатковий модуль не є окремою ініціативою, передбачає, що попередньою умовою є дотримання Кодексу поведінки в хмарних сервісах ЄС.

Див. також Загальний регламент про захист даних

Примітки

Посилання

Вебсайт EU Cloud CoC Список прихильників хмарних служб, включаючи публічні звіти Моніторинговий орган ЄС Cloud CoC