Резидентность данных для канадского VPS

Что на самом деле означает локализация данных для канадского VPS

Локализация данных для канадского VPS — это два разных вопроса под одним названием. Где физически находятся байты и какое правительство может принудить владельца передать их. Сервер в дата-центре Торонто отвечает на первый вопрос. На второй он отвечает лишь частично, так как компания, управляющая оборудованием и хранящая ваши резервные копии, сама может подпадать под юрисдикцию другой страны.

Это руководство является справочным материалом для принятия технических решений. Оно не является юридической консультацией. Если здесь упоминается правило, то указывается закон или регулирующий орган, чтобы вы могли ознакомиться с первоисточником и сопоставить его с вашей ситуацией.

Выбор канадского провайдера на основе цены и сети — это отдельная задача, и на что на самом деле стоит обращать внимание при покупке канадского VPS-хостинга рассматривает именно её. В этой статье рассматривается вторая сторона вопроса: где юридически находятся данные и кто может получить к ним доступ.

Резидентность, суверенитет и локализация — это не взаимозаменяемые понятия

Эти термины часто используют как синонимы. Каждый из них ведет к разным управленческим решениям, поэтому их следует различать.

Резидентность данных — это утверждение о географии. Диск, на котором хранится ваша база данных, находится в здании в Онтарио. В принципе, это факт, но его сложно доказать, находясь вне этого здания, поэтому существуют два последних раздела этого руководства.

Суверенитет данных — это утверждение о праве. Оно определяет, суды и полиция какого государства могут на законных основаниях затребовать данные. Это понятие следует за людьми и компаниями, контролирующими данные, как минимум так же тесно, как и за аппаратным обеспечением.

Локализация данных — это правило. Это законодательное требование о том, чтобы определенные данные хранились внутри страны. В Канаде нет общего правила локализации для частных компаний, но существуют более узкие нормы, затрагивающие конкретные секторы экономики.

Термин "Sovereign cloud" встречается в рекламных материалах поставщиков и не имеет юридического определения в Канаде. Относитесь к нему как к маркетинговому ходу, пока поставщик не назовет организацию, управляющую инфраструктурой, и правовую систему, которой эта организация подчиняется.

Какие требования канадское законодательство о конфиденциальности устанавливает к хранению данных в Канаде

Федеральным законом для частного сектора является PIPEDA (Personal Information Protection and Electronic Documents Act). Он не требует хранить персональную информацию в Канаде. Office of the Privacy Commissioner of Canada (OPC) прямо указывает это в документе Guidelines for processing personal data across borders, опубликованном в январе 2009 года: «PIPEDA не запрещает организациям в Канаде передавать персональную информацию организации в другой юрисдикции для обработки».

Вместо этого закон требует сохранять ответственность за данные при их передаче. Согласно принципу ответственности PIPEDA, организация продолжает отвечать за персональную информацию, переданную третьей стороне для обработки, и должна использовать «договорные или иные средства», чтобы обеспечить этой информации «сопоставимый уровень защиты» на период ее хранения у третьей стороны. Те же рекомендации OPC устанавливают обязанность по обеспечению прозрачности. Организация должна ясно сообщать людям, понятным языком и желательно в момент сбора данных, что их информация может обрабатываться в другой стране и быть доступной правоохранительным органам и органам национальной безопасности этой страны.

Стоит устранить одну давнюю путаницу. В 2019 году OPC провела консультацию, в рамках которой рассматривался подход, при котором передача данных для обработки считалась бы раскрытием информации. Это потребовало бы получать согласие на каждую такую передачу. OPC не приняла этот подход. По итогам консультации она подтвердила, что передача данных для обработки является использованием, а не раскрытием, поэтому сама передача не требует отдельного согласия.

Провинциальные законы о частном секторе добавляют обязанности, но не устанавливают общий запрет на передачу данных за границу. Раздел 13.1 закона Alberta PIPA требует, чтобы организация, использующая поставщика услуг за пределами Канады, до сбора или передачи информации либо в момент этого уведомляла физических лиц о том, как они могут получить письменную информацию о ее политиках и практиках в отношении поставщиков услуг за пределами Канады, а также указывала лицо, которое может ответить на их вопросы об этой схеме. Указание стран является отдельной обязанностью по разделу 6(2): в этих письменных политиках должно быть указано, в каких странах за пределами Канады осуществляется или может осуществляться сбор, использование, раскрытие или хранение информации, а организация должна предоставлять эти политики по запросу. Закон Quebec Law 25 устанавливает более строгие требования. До передачи персональной информации за пределы Quebec компания должна провести оценку воздействия на конфиденциальность. Она должна охватывать чувствительность информации, цель ее использования, предусмотренные меры защиты и правовой режим в стране назначения. Передача допускается только при условии, что уровень защиты там является достаточным. Это требование вступило в силу 22 сентября 2023 года.

По состоянию на October 2026 федеральным законом по-прежнему является PIPEDA. Bill C-27, который должен был заменить его законом Consumer Privacy Protection Act, прекратил продвижение на Order Paper после приостановки работы Parliament в январе 2025 года. Его преемник, Bill C-36, предусматривающий принятие закона Protecting Privacy and Consumer Data Act, был внесен 15 июня 2026 года и прошел только первое чтение в House of Commons. Проектируйте систему с учетом действующего сегодня закона и рассчитывайте на изменение законопроекта до его принятия.

Случаи, когда применяются реальные правила локализации

Nova Scotia — это строгий пример. Закон PIIDPA (Personal Information International Disclosure Protection Act) требует, чтобы государственные органы, муниципалитеты и их поставщики услуг хранили персональные данные в Канаде и разрешали доступ к ним только с территории Канады. Существуют узкие исключения, которые должны быть одобрены руководителем государственного органа и доведены до сведения министра юстиции. Новый закон Freedom of Information and Protection of Privacy Act, принятый в 2025 году, отменяет PIIDPA и переносит ограничения на трансграничную передачу данных в свой текст. Эти положения вступят в силу в апреле 2027 года при условии принятия соответствующих нормативных актов. По состоянию на август 2026 года эти акты не опубликованы, поэтому любые утверждения об их содержании являются догадками.

British Columbia пошла по другому пути. Ранее закон FIPPA содержал раздел 30.1, который требовал от государственных органов хранить персональные данные в Канаде и разрешать доступ к ним только изнутри страны. Законопроект Bill 22 отменил этот раздел в ноябре 2021 года. Раздел 33.1 теперь разрешает раскрытие данных за пределами Канады в соответствии с нормативными актами. Постановление Personal Information Disclosure for Storage Outside of Canada Regulation требует проведения оценки воздействия на конфиденциальность в случаях, когда конфиденциальные персональные данные будут храниться за пределами Канады. Запрет превратился в процедуру.

Для федеральных учреждений установлены свои базовые требования. Директива Treasury Board Direction for Electronic Data Residency требует, чтобы информация уровней Protected B, Protected C и Classified хранилась в одобренном центре обработки данных на территории Канады или в помещениях канадских государственных органов за рубежом. Если вы предоставляете хостинг для федерального ведомства, ваши требования определяются этой директивой, а не PIPEDA.

Медицинская информация регулируется отдельной группой законов. Лица, ответственные за хранение данных в соответствии с провинциальными законами о конфиденциальности медицинской информации, сталкиваются с правилами в отношении агентов, мер защиты и иногда местоположения данных, которых нет в PIPEDA. Если вы размещаете клинические данные, изучите провинциальный закон о здравоохранении, а не общий закон.

Затем следует правило, с которым сталкивается большинство людей и которое вообще не является законом. Банк, больница, школьный совет или корпоративный заказчик могут потребовать хранения данных в Канаде в условиях закупки, даже если закон этого не требует. Этот пункт связывает вас договорным правом, поэтому прочитайте его перед выбором региона. Если вы рассматриваете аналогичный вопрос в другом контексте, аренда VPS в Brazil помещает вас в другую правовую систему с иным ответом.

Дата-центр в Toronto не определяет, чье законодательство применяется

География и юрисдикция расходятся, как только оператор принадлежит иностранной компании. Наиболее наглядный пример — закон США CLOUD Act (Clarifying Lawful Overseas Use of Data Act) от 2018 года. Он внес изменения в Stored Communications Act, согласно которым поставщик, подпадающий под действие закона, обязан предоставлять данные по законному требованию органов США, если эти данные находятся в его «владении, на хранении или под его контролем», независимо от того, расположены они в США или нет. Congress принял этот закон после того, как Microsoft отказалась исполнять ордер на электронные письма, хранившиеся в дата-центре в Ireland. Местоположение диска было главным аргументом, но именно оно не определило исход дела.

Определяющим фактором для применения этих требований к поставщику является не граница, а связь с юрисдикцией: наличие у США персональной юрисдикции в отношении поставщика. Канадская дочерняя компания американской материнской компании может подпадать под такую юрисдикцию. То же относится к канадскому объекту, которым управляет американское contracting entity, или к американской компании, перепродающей мощности в Канаде. Сетевые измерения ничего из этого не покажут. Это можно установить по корпоративному реестру.

Это не означает, что следует подозревать каждый объект с иностранным владельцем. Канадские органы власти также выдают production orders, и канадская компания обязана отвечать на них. Вывод уже: законодательство страны оператора распространяется на самого оператора. Поэтому выясните, какое legal entity подписывает ваш договор и кому оно в конечном итоге принадлежит.

Стоит знать об одном практическом различии. По состоянию на October 2026 между Канадой и США не действует соглашение об исполнении CLOUD Act. О начале переговоров было объявлено в марте 2022 года, но с тех пор соглашение не подписано. У США действуют два соглашения такого типа: одно с United Kingdom и одно с Australia, подписанное в декабре 2021 года и вступившее в силу в январе 2024 года. При отсутствии такого соглашения органы США, которым нужны данные, находящиеся у исключительно канадской компании, используют процедуру взаимной правовой помощи (mutual legal assistance treaty, MLAT). Она проходит через канадские органы власти и канадские суды. Именно это процессуальное различие во многом определяет ценность канадского оператора.

Ваши данные покидают страну, даже если VPS этого не делает

VPS — это лишь часть системы. Всё, что к нему подключено, требует отдельного решения о месте хранения, и по умолчанию данные часто оказываются за пределами Канады.

• Резервные копии и снимки (snapshots). Цель резервного копирования — создание удаленных копий, а конечные точки объектных хранилищ по умолчанию привязаны к региону, в котором был открыт аккаунт.
• Отправка логов, метрик и отслеживание ошибок. Сторонний сервис обрабатывает содержимое ваших логов в своем регионе, а эти логи содержат IP-адреса, адреса электронной почты, а иногда и полные тела запросов.
• CDN и пограничное кэширование (edge caching). Сеть доставки контента хранит и отдает копии ваших объектов из точек присутствия во многих странах. Источник в Торонто — это не то место, откуда пользователь получает байты данных.
• Электронная почта. Исходящие реле, входящие фильтры и размещенные архивы часто находятся в США, а содержимое сообщений является персональными данными.
• Авторитетный DNS. Anycast-серверы имен отвечают с узла, который находится ближе всего к клиенту, а логи запросов фиксируют, кто и что запрашивал.
• Поддержка и администрирование. Инженер с доступом к консоли или гипервизору — это человек, находящийся в определенной стране. Удаленный доступ из-за границы считается доступом согласно правилам Новой Шотландии и оценкам Британской Колумбии.
• Ваша рабочая станция и инструменты. Плагин редактора или агент для написания кода, который считывает ваши файлы, отправляет данные куда-то еще, и стоит знать что именно агент для написания кода отправляет с вашей машины, прежде чем направлять его на рабочие данные.

Шифрование меняет то, что может предоставить оператор, но только в одном направлении. Данные, зашифрованные в состоянии покоя (at rest) с ключами, хранящимися в другом месте, бесполезны для того, кто изымет диск. Работающий VPS — это другой случай, так как ключи гостевой системы находятся в оперативной памяти гостя, а гипервизор может читать память гостя. Шифрование в состоянии покоя защищает архив, а не работающую машину. Это ограничение и необходимость доверять оператору — та же проблема, что лежит в основе более широкого вопроса о том, безопасен ли VPS-хостинг.

Как проверить местоположение VPS клиенту

Начните с реестра, так как это единственная запись, к которой привязано имя.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Для канадских адресов реестром является ARIN. Первая команда следует за любым перенаправлением, которое получает ваш whois-клиент, а вторая делает прямой запрос к ARIN. Оба варианта возвращают организацию, за которой закреплен блок адресов, страну регистрации и контакт для жалоб (abuse contact). Именно на этот адрес поступают жалобы на ваш сервер, с чего и начинается обработка жалоб на злоупотребления вашим провайдером. Четко понимайте, что именно доказывает поле страны. Это заявление конкретной организации в публичной базе данных. Это полезно, но все же является утверждением, а не результатом измерений.

Geofeeds работают аналогичным образом. RFC 8805 определяет формат CSV-файла, в котором оператор публикует соответствие префикса стране, региону и городу. RFC 9632, заменивший RFC 9092 в 2024 году, определяет, как потребитель находит этот файл через запись whois. Коммерческие базы данных геолокации IP-адресов в значительной степени строятся на основе этих самостоятельно публикуемых данных, поэтому фраза «IP-адрес геолоцируется в Торонто» часто означает «оператор опубликовал данные о Торонто». Обратный DNS (Reverse DNS) еще менее надежен. PTR-запись, содержащая yyz или tor, — это соглашение об именовании, введенное человеком, и оно может сохраняться даже после миграции в другой город.

Поэтому запросите информацию у провайдера в письменном виде и сохраните ответы.

• Какое юридическое лицо управляет объектом и где оно зарегистрировано?
• Каков адрес объекта и является ли это помещение собственным, арендованным или перепроданным у другого оператора?
• Какое юридическое лицо подписывает мой контракт и кто является его материнской компанией?
• Где хранятся резервные копии и их удаленные дубликаты?
• Из каких стран персонал может получить доступ к гипервизору или консоли управления (out-of-band)?
• Публикуете ли вы список субпроцессоров и будете ли вы уведомлять меня о зарубежных юридических запросах, если это допускается законом?

Включите эти ответы в контракт в качестве обязательств с уведомлением. Аудитор запрашивает документы, а не результаты traceroute. Если вы остановились на Торонто, раздел выбор VPS в Торонто охватывает рыночную сторону этого решения.

Почему traceroute — это доказательство маршрута, а не юрисдикции

Низкое время кругового обхода (RTT) ограничивает расстояние. Это всё, что оно делает. Свет в оптоволокне распространяется со скоростью около 204,000 км/с, поэтому круговой путь занимает примерно 1 мс на каждые 100 км пути, без учета задержек на коммутацию и очереди. Если перевернуть это значение, то RTT в 10 мс из центра Торонто означает, что машина находится в пределах 1,000 км от вас по оптоволоконному кабелю. Вот что попадает в этот радиус.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Каждый уровень — это расстояние по прямой, умноженное на два и деленное на 204,000 км/с. Реальные пути прокладки оптоволокна длиннее прямых линий, поэтому реальные измерения всегда выше. Важен сам рейтинг. Самый дальний город в списке, Chicago, Illinois, находится на расстоянии 700 км от Торонто по прямой, что задает минимальный порог всего в 6.9 мс. Из 6 перечисленных городов только один находится в Канаде. Пинг в одну цифру из Торонто согласуется с сервером в Мичигане, Иллинойсе, Нью-Йорке или Вирджинии.

Traceroute добавляет имена узлов, а имена узлов — это PTR-записи, которые ввел сетевой инженер. Аэропортовые коды в них — это общепринятая практика, которую стоит читать и проверять. Некоторые провайдеры скрывают внутренние узлы внутри MPLS (multiprotocol label switching), поэтому видимый путь может быть короче реального пути пакета. Anycast делает сам пункт назначения неоднозначным, поскольку один адрес отвечает с того узла, который находится ближе всего к вам. Измеренная задержка — это веское доказательство маршрута в конкретный момент времени. Юрисдикция — это факт, относящийся к компаниям и судам, и ни один пакет не сообщает о ней.

Честное резюме: сетевые измерения могут опровергнуть утверждение: RTT в 90 мс из Торонто исключает наличие объекта в Торонто. Но они не могут его подтвердить. Подтверждение исходит от юридических лиц и письменных обязательств в контракте.

FAQ

Требует ли канадское законодательство, чтобы мои данные хранились в Канаде?

Как правило, нет. Федеральный закон о защите частной информации в частном секторе (PIPEDA) не запрещает передачу персональных данных в другую страну для обработки, что подтверждается в руководстве OPC по трансграничной обработке данных. PIPEDA требует, чтобы вы сохраняли ответственность за данные, обеспечивали их сопоставимую защиту с помощью договорных или иных средств и ясно уведомляли пользователей о том, что их информация может обрабатываться за рубежом и быть доступной иностранным органам власти. Реальные требования по локализации существуют в более узких областях: закон PIIDPA в Новой Шотландии для государственных органов, директива Совета казначейства по хранению электронных данных для уровня Protected B и выше, провинциальные законы о здравоохранении, а также ваши собственные контракты с клиентами. Это справочная информация, а не юридическая консультация.

Гарантирует ли дата-центр в Торонто, что мои данные недоступны для законодательства США?

Сам по себе — нет. Закон США CLOUD Act от 2018 года обязывает провайдера предоставлять данные, находящиеся в его владении, распоряжении или под контролем, в ответ на законные запросы США, независимо от того, где эти данные хранятся. Решающим фактором является наличие у судов США персональной юрисдикции над компанией, хранящей ваши данные. Поэтому канадский объект, управляемый дочерней компанией США или американским юридическим лицом, создает ситуацию, которую нельзя разрешить только географическим положением. Уточните, какое юридическое лицо подписывает ваш контракт и кто является его материнской компанией.

Как проверить, что VPS действительно находится в Канаде?

Сочетайте публичные записи с письменными запросами. Запрос whois или RDAP по IP-адресу показывает организацию, которой выделен блок, и страну её регистрации, а geofeed, опубликованный согласно RFC 8805, предоставляет данные оператора о привязке префикса к городу. Оба метода являются самодекларациями указанной стороны, что служит полезным доказательством, а не прямым измерением. Затем письменно запросите у провайдера сведения об операционной компании, адресе объекта, месте хранения резервных копий и странах, из которых сотрудники имеют доступ к консоли, и зафиксируйте эти ответы в контракте.

Что покидает Канаду, даже если мой VPS остается там?

Резервные копии и их удаленные копии, сторонние сервисы для сбора логов и отслеживания ошибок, кэши CDN, исходящие почтовые реле и входящие фильтры, логи запросов к авторитетным DNS-серверам, а также удаленный административный доступ со стороны службы поддержки, находящейся за рубежом. Каждое из этих направлений — отдельное решение со своим регионом по умолчанию, и эти настройки по умолчанию редко соответствуют Канаде. Составьте карту всех систем, подключенных к VPS, прежде чем обещать клиенту, что его данные не покидают страну.