Kanadyjski VPS a rezydencja danych: jak to sprawdzić

Co w praktyce oznacza rezydencja danych dla kanadyjskiego VPS

Rezydencja danych w kontekście kanadyjskiego serwera VPS to dwa pytania ukryte pod jedną nazwą. Pierwsze dotyczy fizycznej lokalizacji bajtów, a drugie tego, który rząd może nakazać ich wydanie. Serwer w centrum danych w Toronto odpowiada na pierwsze pytanie. Na drugie odpowiada jedynie częściowo, ponieważ firma obsługująca maszynę i przechowująca kopie zapasowe może podlegać prawu innego kraju.

Niniejszy przewodnik stanowi tło dla decyzji technicznych. Nie jest poradą prawną. W miejscach, gdzie istotne są przepisy, wskazano odpowiednie ustawy lub organy regulacyjne, aby umożliwić weryfikację źródeł w odniesieniu do własnej sytuacji.

Wybór kanadyjskiego dostawcy pod kątem ceny i sieci to odrębne zagadnienie, które opisano w co faktycznie ma znaczenie przy zakupie kanadyjskiego hostingu VPS. Ten artykuł skupia się na drugiej kwestii: gdzie dane przebywają prawnie i kto ma do nich dostęp.

Rezydencja, suwerenność i lokalizacja danych to pojęcia rozłączne

Terminy te bywają używane zamiennie. Każdy z nich prowadzi do odmiennych decyzji, dlatego należy je rozróżniać.

Rezydencja danych (data residency) to kwestia geograficzna. Dysk przechowujący bazę danych znajduje się w budynku w Ontario. Jest to fakt w sensie fizycznym, trudny do zweryfikowania z zewnątrz, dlatego istnieją dwie ostatnie sekcje tego przewodnika.

Suwerenność danych (data sovereignty) to kwestia prawna. Odnosi się do tego, sądy i organy ścigania którego państwa mogą zgodnie z prawem nakazać udostępnienie danych. Podlega ona jurysdykcji osób i firm kontrolujących dane w stopniu co najmniej tak dużym, jak fizyczna lokalizacja sprzętu.

Lokalizacja danych (data localisation) to wymóg prawny. Jest to przepis nakazujący przechowywanie określonych danych wewnątrz granic państwa. Kanada nie posiada ogólnego wymogu lokalizacji danych dla firm prywatnych, posiada natomiast bardziej szczegółowe przepisy obejmujące wybrane sektory.

Termin „suwerenna chmura” (sovereign cloud) pojawia się w materiałach dostawców i nie posiada w Kanadzie definicji prawnej. Należy traktować go jako termin marketingowy, dopóki dostawca nie wskaże podmiotu obsługującego infrastrukturę oraz prawa, któremu ten podmiot podlega.

Wymogi kanadyjskiego prawa ochrony prywatności dotyczące przechowywania danych w Kanadzie

Federalna ustawa dotycząca sektora prywatnego to PIPEDA (Personal Information Protection and Electronic Documents Act). Nie wymaga ona, aby dane osobowe pozostawały w Kanadzie. Urząd Komisarza ds. Ochrony Prywatności Kanady (OPC) stwierdza to jednoznacznie w wytycznych dotyczących przetwarzania danych osobowych poza granicami kraju, opublikowanych w styczniu 2009 roku: „PIPEDA nie zabrania organizacjom w Kanadzie przekazywania danych osobowych do organizacji w innej jurysdykcji w celu ich przetwarzania”.

Prawo wymaga natomiast odpowiedzialności, która podąża za danymi. Zgodnie z zasadą odpowiedzialności zawartą w PIPEDA, organizacja pozostaje odpowiedzialna za dane osobowe przekazane stronie trzeciej w celu przetwarzania i musi użyć „środków umownych lub innych”, aby zapewnić tym danym „porównywalny poziom ochrony”, gdy znajdują się one u strony trzeciej. Te same wytyczne OPC dodają obowiązek przejrzystości. Organizacja powinna jasno poinformować osoby, których dane dotyczą – w zrozumiałym języku i najlepiej w momencie zbierania danych – że ich informacje mogą być przetwarzane w obcym kraju i mogą być dostępne dla organów ścigania oraz służb bezpieczeństwa narodowego tego państwa.

Warto wyjaśnić jedno dawne nieporozumienie. W 2019 roku OPC przeprowadził konsultacje, w których rozważano traktowanie przekazania danych w celu przetwarzania jako ujawnienia, co wymagałoby zgody na każde takie przekazanie. OPC nie przyjął tego stanowiska. Zakończył konsultacje, potwierdzając, że przekazanie danych w celu przetwarzania jest użyciem, a nie ujawnieniem, więc samo przekazanie nie wymaga odrębnej zgody.

Prowincjonalne przepisy dotyczące sektora prywatnego nakładają dodatkowe obowiązki bez wprowadzania ograniczeń granicznych. Artykuł 13.1 ustawy PIPA w Albercie wymaga, aby organizacja korzystająca z usługodawcy spoza Kanady powiadomiła o tym osoby, których dane dotyczą, wskazała kraje, których to dotyczy, oraz podała dane kontaktowe osoby mogącej odpowiedzieć na pytania dotyczące tego porozumienia. Ustawa 25 w Quebecu jest bardziej rygorystyczna. Przed przekazaniem danych osobowych poza Quebec, firma musi przeprowadzić ocenę skutków dla ochrony prywatności, obejmującą wrażliwość danych, cel ich wykorzystania, zabezpieczenia oraz reżim prawny kraju docelowego. Przekazanie może nastąpić tylko wtedy, gdy ochrona w danym miejscu jest odpowiednia. Ten obowiązek wszedł w życie 22 września 2023 roku.

Według stanu na sierpień 2026 roku, ustawą federalną pozostaje PIPEDA. Projekt ustawy Bill C-27, który miał zastąpić ją ustawą Consumer Privacy Protection Act, przepadł w porządku obrad po zawieszeniu parlamentu w styczniu 2025 roku i od tego czasu nie uchwalono żadnego następcy. Należy projektować systemy zgodnie z prawem obowiązującym obecnie.

Gdzie mają zastosowanie rzeczywiste zasady lokalizacji

Nova Scotia stanowi rygorystyczny przypadek. Ustawa PIIDPA (Personal Information International Disclosure Protection Act) wymaga, aby organy publiczne, gminy oraz ich usługodawcy przechowywali dane osobowe w Kanadzie i zezwalali na dostęp do nich wyłącznie z terytorium Kanady. Istnieją wąskie wyjątki, które wymagają autoryzacji kierownika organu publicznego oraz zgłoszenia do Ministra Sprawiedliwości. Nowa ustawa o wolności informacji i ochronie prywatności (Freedom of Information and Protection of Privacy Act), uchwalona w 2025 roku, uchyla PIIDPA i przenosi ograniczenia dotyczące transgranicznego przepływu danych do własnych przepisów, które wejdą w życie w kwietniu 2027 roku. Według stanu na sierpień 2026 roku przepisy te nie zostały opublikowane, więc wszelkie cytowanie ich treści jest spekulacją.

Kolumbia Brytyjska przyjęła odmienne podejście. Ustawa FIPPA zawierała niegdyś sekcję 30.1, która wymagała od organów publicznych przechowywania danych osobowych w Kanadzie i zezwalała na dostęp do nich wyłącznie z terytorium Kanady. Ustawa Bill 22 uchyliła tę sekcję w listopadzie 2021 roku. Obecna sekcja 33.1 zezwala na ujawnianie danych poza Kanadą zgodnie z regulacjami, a rozporządzenie Personal Information Disclosure for Storage Outside of Canada Regulation wymaga przeprowadzenia oceny skutków dla prywatności (privacy impact assessment), jeśli wrażliwe dane osobowe mają być przechowywane poza Kanadą. Zakaz został zastąpiony procesem weryfikacji.

Instytucje federalne podlegają odrębnym wymogom. Wytyczne Rady Skarbu (Treasury Board Direction for Electronic Data Residency) wymagają, aby informacje o poziomie ochrony Protected B, Protected C oraz dane niejawne były przechowywane w zatwierdzonym obiekcie na terenie Kanady lub w placówkach rządu kanadyjskiego za granicą. W przypadku świadczenia usług hostingowych dla departamentu federalnego, to te wytyczne, a nie PIPEDA, określają wymagania.

Informacje zdrowotne podlegają odrębnej grupie ustaw. Podmioty zarządzające danymi (custodians) na mocy prowincjonalnych ustaw o ochronie prywatności w służbie zdrowia podlegają zasadom dotyczącym pełnomocników, zabezpieczeń oraz niekiedy lokalizacji, które w ogóle nie występują w ustawie PIPEDA. W przypadku hostingu danych klinicznych należy zapoznać się z prowincjonalną ustawą zdrowotną, a nie z ustawą ogólną.

Istnieje również zasada, z którą większość osób spotyka się w praktyce, a która nie wynika z żadnej ustawy. Bank, szpital, kuratorium oświaty lub klient korporacyjny może wymagać przechowywania danych w Kanadzie w warunkach zamówienia, nawet jeśli prawo tego nie nakazuje. Taka klauzula wiąże wykonawcę na mocy prawa umów, dlatego należy ją przeczytać przed wyborem regionu. Jeśli rozważasz to samo pytanie w innym kontekście, uruchomienie VPS w Brazylii umieszcza dane w innym systemie prawnym, co prowadzi do odmiennych wniosków.

Centrum danych w Toronto nie rozstrzyga o właściwości prawa

Geografia i jurysdykcja rozdzielają się, gdy operator jest podmiotem zagranicznym. Najwyraźniejszym przykładem jest amerykańska ustawa CLOUD Act (Clarifying Lawful Overseas Use of Data Act) z 2018 roku. Znowelizowała ona ustawę Stored Communications Act w taki sposób, że objęty nią dostawca musi udostępnić dane znajdujące się w jego „posiadaniu, pieczy lub pod kontrolą” na mocy zgodnego z prawem amerykańskim nakazu, niezależnie od tego, czy dane te znajdują się na terenie Stanów Zjednoczonych, czy poza nimi. Kongres przyjął tę ustawę po tym, jak Microsoft odmówił wykonania nakazu dotyczącego poczty elektronicznej przechowywanej w centrum danych w Irlandii. Lokalizacja dysku stanowiła główny argument, jednak nie przesądziła o wyniku sprawy.

Tym, co sprawia, że dostawca podlega takiemu zasięgowi, jest relacja, a nie granica państwowa: amerykańska jurysdykcja osobista nad dostawcą. Kanadyjska spółka zależna amerykańskiej spółki matki może podlegać tym przepisom. Podobnie jak kanadyjski obiekt zarządzany przez amerykański podmiot kontraktujący lub amerykańska firma odsprzedająca kanadyjskie zasoby. Żaden pomiar sieciowy nie wykaże takich zależności. Wskazuje na to rejestr przedsiębiorstw.

Nie jest to powód, by zakładać najgorsze w przypadku każdego obiektu należącego do podmiotu zagranicznego. Władze kanadyjskie wydają własne nakazy udostępnienia danych, a kanadyjska firma odpowiada przed nimi. Kwestia jest węższa. Prawo kraju pochodzenia operatora podąża za operatorem, dlatego należy sprawdzić, który podmiot prawny podpisuje umowę i kto jest jego ostatecznym właścicielem.

Warto znać jedną praktyczną różnicę. Według stanu na sierpień 2026 roku między Kanadą a Stanami Zjednoczonymi nie obowiązuje żadna umowa wykonawcza w ramach CLOUD Act. Negocjacje ogłoszono w marcu 2022 roku, a jedyną obowiązującą umową tego typu jest ta zawarta z Wielką Brytanią. Bez takiej umowy władze amerykańskie poszukujące danych przechowywanych przez firmę czysto kanadyjską korzystają z procedury wzajemnej pomocy prawnej (MLAT), która przebiega za pośrednictwem władz i sądów kanadyjskich. Ta różnica proceduralna stanowi o dużej wartości kanadyjskiego operatora.

Twoje dane opuszczają kraj, nawet jeśli VPS tego nie robi

VPS stanowi tylko jeden z elementów systemu. Wszystko, co jest z nim powiązane, podlega odrębnym zasadom rezydencji danych, a ustawienia domyślne zazwyczaj wskazują lokalizacje poza Kanadą.

• Kopie zapasowe i migawki. Celem kopii zapasowej jest przechowywanie danych poza lokalizacją główną, a punkty końcowe pamięci obiektowej domyślnie przypisane są do regionu, w którym założono konto.
• Przesyłanie logów, metryk i śledzenie błędów. Usługi hostingowe przetwarzają zawartość logów we własnym regionie, a logi te zawierają adresy IP, adresy e-mail, a czasem całe treści żądań.
• CDN i edge caching. Sieć dostarczania treści przechowuje i serwuje kopie obiektów z punktów obecności w wielu krajach. Źródło w Toronto nie jest miejscem, z którego czytelnik pobiera bajty.
• Poczta elektroniczna. Przekaźniki wychodzące, filtrowanie przychodzące i hostowane archiwa często znajdują się w Stanach Zjednoczonych, a treść wiadomości stanowi informację osobistą.
• Autorytatywne DNS. Serwery nazw Anycast odpowiadają z węzła znajdującego się najbliżej klienta, a logi zapytań rejestrują, kto i o co pytał.
• Wsparcie i administracja. Inżynier z dostępem do konsoli lub hypervisora jest osobą przebywającą w konkretnym kraju. Zdalny dostęp z zagranicy jest traktowany jako dostęp w rozumieniu przepisów Nova Scotia oraz oceny British Columbia.
• Twoja własna stacja robocza i używane narzędzia. Wtyczka do edytora lub agent programistyczny, który odczytuje pliki, wysyła dane w różne miejsca, a wiedza o tym, co agent programistyczny faktycznie wysyła z Twojej maszyny jest istotna, zanim skierujesz go na dane produkcyjne.

Szyfrowanie zmienia to, co operator może udostępnić, ale tylko w jednym kierunku. Dane zaszyfrowane w spoczynku (at rest), do których klucze przechowywane są gdzie indziej, są bezużyteczne dla podmiotu, który przejmie dysk. Uruchomiony VPS to odrębny przypadek, ponieważ klucze gościa znajdują się w jego pamięci, a hypervisor może odczytywać pamięć gościa. Szyfrowanie w spoczynku chroni archiwum, a nie działającą maszynę. To ograniczenie oraz zaufanie do operatora, które z niego wynika, stanowią istotę szerszego pytania o to, czy hosting VPS jest bezpieczny.

Jak zweryfikować lokalizację VPS jako klient

Należy zacząć od rejestru, ponieważ jest to jedyny zapis, do którego przypisana jest nazwa podmiotu.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

W przypadku adresów kanadyjskich rejestrem jest ARIN. Pierwsze polecenie podąża za dowolnym przekierowaniem otrzymanym przez klienta whois, a drugie odpytuje ARIN bezpośrednio. Oba zwracają organizację, do której przypisano blok adresowy, jej zarejestrowany kraj oraz kontakt w sprawach nadużyć. Ten adres kontaktowy jest miejscem, do którego trafiają skargi dotyczące serwera, co stanowi punkt wyjścia dla skarg dotyczących nadużyć kierowanych do dostawcy. Należy jasno określić, co potwierdza pole kraju. Jest to deklaracja złożona przez wskazaną organizację w publicznej bazie danych. Jest to przydatne, lecz nadal stanowi deklarację, a nie wynik pomiaru.

Geofeedy działają w ten sam sposób. RFC 8805 definiuje plik CSV, w którym operator publikuje mapowanie prefiksu na kraj, region i miasto. RFC 9632, który w 2024 roku zastąpił RFC 9092, definiuje sposób, w jaki odbiorca odnajduje ten plik na podstawie rekordu whois. Komercyjne bazy danych geolokalizacji IP są budowane w dużej mierze na podstawie tych samodzielnie publikowanych danych, więc stwierdzenie „adres IP geolokalizuje się do Toronto” często oznacza w praktyce „operator opublikował informację o Toronto”. Reverse DNS jest jeszcze słabszym dowodem. Rekord PTR zawierający yyz lub tor to konwencja nazewnictwa wprowadzona przez człowieka, która może pozostać niezmieniona nawet po migracji do innego miasta.

Dlatego należy zapytać dostawcę na piśmie i zachować odpowiedzi.

• Który podmiot prawny obsługuje obiekt i gdzie jest on zarejestrowany?
• Jaki jest adres obiektu i czy przestrzeń jest własnością operatora, dzierżawiona, czy odsprzedawana od innego operatora?
• Który podmiot podpisuje umowę i kto jest jego spółką macierzystą?
• Gdzie przechowywane są kopie zapasowe oraz ich kopie zewnętrzne?
• Z jakich krajów personel może uzyskać dostęp do hypervisora lub konsoli out-of-band?
• Czy publikowana jest lista podprocesorów i czy dostawca powiadomi o zagranicznym żądaniu prawnym, jeśli prawo na to pozwala?

Należy zawrzeć te odpowiedzi w umowie jako zobowiązania z obowiązkami informacyjnymi. Audytor wymaga dokumentów, a nie wyników traceroute. Jeśli celem jest Toronto, artykuł wybór VPS w Toronto omawia rynkowy aspekt tej samej decyzji.

Dlaczego traceroute jest dowodem trasy, a nie jurysdykcji

Niski czas odpowiedzi (RTT) ogranicza dystans. To jedyna informacja, jaką dostarcza. Światło w rdzeniu światłowodu przemieszcza się z prędkością około 204 000 km na sekundę, więc każdy pełny obieg (round trip) kosztuje około 1 ms na każde 100 km trasy, jeszcze przed uwzględnieniem przełączania czy kolejkowania. Odwracając tę zależność, czas 10 ms z centrum Toronto oznacza, że maszyna znajduje się w promieniu około 1000 km od punktu pomiarowego wzdłuż światłowodu. Poniżej przedstawiono, co mieści się w tym obszarze.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Każde piętro to odległość w linii prostej pomnożona przez dwa i podzielona przez 204 000 km na sekundę. Rzeczywiste trasy światłowodowe są dłuższe niż linie proste, więc realne pomiary są zawsze wyższe. Istotny jest ranking. Najdalsze miasto w zestawieniu, Chicago, Illinois, znajduje się 700 km od Toronto w linii prostej, co wyznacza dolną granicę wynoszącą zaledwie 6.9 ms. Spośród 6 wymienionych miast, jedno znajduje się w Kanadzie. Jednocyfrowy wynik ping z Toronto jest spójny z serwerem zlokalizowanym w Michigan, Illinois, Nowym Jorku lub Wirginii.

Traceroute dodaje nazwy przeskoków (hop), a nazwy te są rekordami PTR wprowadzonymi przez inżyniera sieci. Kody lotnisk zawarte w nazwach to konwencja, którą warto odczytywać i weryfikować. Niektórzy operatorzy ukrywają wewnętrzne przeskoki wewnątrz MPLS (multiprotocol label switching), więc widoczna trasa może być krótsza niż rzeczywista droga pakietu. Anycast sprawia, że sam cel jest niejednoznaczny, ponieważ jeden adres odpowiada z węzła, który jest najbliżej użytkownika. Zmierzona latencja jest dobrym dowodem na trasę w danym momencie. Jurysdykcja jest faktem dotyczącym firm i sądów, a żaden pakiet jej nie raportuje.

Uczciwe podsumowanie brzmi: pomiar sieci może obalić twierdzenie – czas 90 ms z Toronto wyklucza lokalizację w Toronto. Nie może jednak jej potwierdzić. Potwierdzenie wynika z nazw podmiotów i pisemnych zobowiązań zawartych w umowie.

FAQ

Czy prawo kanadyjskie wymaga, aby moje dane pozostały w Kanadzie?

Co do zasady, nie. PIPEDA, federalna ustawa dotycząca sektora prywatnego, nie zabrania przekazywania danych osobowych do innego kraju w celu ich przetwarzania, co potwierdza OPC w swoich wytycznych dotyczących transgranicznego przetwarzania danych osobowych. PIPEDA wymaga natomiast zachowania odpowiedzialności za dane, stosowania środków umownych lub innych w celu zapewnienia im porównywalnej ochrony oraz jasnego informowania osób, że ich dane mogą być przetwarzane za granicą i mogą być dostępne dla zagranicznych organów. Rzeczywiste wymogi lokalizacji danych istnieją w węższych zakresach: ustawa PIIDPA w Nowej Szkocji dla organów publicznych, wytyczne Treasury Board Direction for Electronic Data Residency dla danych o klasyfikacji Protected B i wyższych, prowincjonalne ustawy o ochronie zdrowia oraz własne umowy z klientami. Powyższe informacje stanowią tło, a nie poradę prawną.

Czy centrum danych w Toronto sprawia, że moje dane są poza zasięgiem prawa USA?

Samo w sobie nie. Amerykańska ustawa CLOUD Act z 2018 roku wymaga od objętego nią dostawcy udostępnienia danych znajdujących się w jego posiadaniu, pieczy lub pod jego kontrolą w odpowiedzi na zgodny z prawem proces amerykański, niezależnie od tego, gdzie dane te są przechowywane. O rozstrzygnięciu kwestii decyduje to, czy sądy USA mają jurysdykcję osobistą nad firmą przechowującą dane, dlatego kanadyjski obiekt obsługiwany przez amerykańską spółkę zależną lub amerykański podmiot kontraktowy rodzi pytania, na które sama geografia nie odpowiada. Należy sprawdzić, który podmiot prawny podpisuje umowę i kto jest jego spółką macierzystą.

Jak zweryfikować, czy VPS faktycznie znajduje się w Kanadzie?

Należy połączyć publiczne rejestry z pisemnymi zapytaniami. Zapytanie whois lub RDAP dotyczące adresu zwraca organizację, której przypisano blok adresowy oraz jej kraj rejestracji, a plik geofeed opublikowany zgodnie z RFC 8805 dostarcza mapowanie operatora z prefiksu na miasto. Oba źródła są deklaracjami własnymi wskazanej strony, co stanowi użyteczny dowód, a nie pomiar. Następnie należy pisemnie zapytać dostawcę o podmiot operacyjny, adres obiektu, lokalizację kopii zapasowych oraz kraje, z których personel może uzyskać dostęp do konsoli, a odpowiedzi zawrzeć w umowie.

Co opuszcza Kanadę, nawet jeśli mój VPS tego nie robi?

Kopie zapasowe i ich kopie zewnętrzne, hostowane usługi logowania i śledzenia błędów, pamięci podręczne CDN, przekaźniki poczty wychodzącej i filtrowanie przychodzącej, logi zapytań autorytatywnych DNS oraz zdalny dostęp administracyjny personelu wsparcia znajdującego się za granicą. Każdy z tych elementów jest odrębną decyzją z własnym domyślnym regionem, a te domyślne ustawienia rzadko są kanadyjskie. Przed złożeniem klientowi obietnicy, że jego dane pozostają w kraju, należy zmapować każdy system podłączony do VPS.