Локализация данных для VPS в Канаде: правовые аспекты

Что на самом деле означает локализация данных для канадского VPS

Локализация данных для канадского VPS — это два разных вопроса под одним названием. Где физически находятся байты и какое правительство может принудить владельца передать их. Сервер в дата-центре Торонто отвечает на первый вопрос. На второй он отвечает лишь частично, так как компания, управляющая оборудованием и хранящая ваши резервные копии, сама может подпадать под юрисдикцию другой страны.

Это руководство является справочным материалом для принятия технических решений. Оно не является юридической консультацией. Если здесь упоминается правило, то указывается закон или регулирующий орган, чтобы вы могли ознакомиться с первоисточником и сопоставить его с вашей ситуацией.

Выбор канадского провайдера на основе цены и сети — это отдельная задача, и на что на самом деле стоит обращать внимание при покупке канадского VPS-хостинга рассматривает именно её. В этой статье рассматривается вторая сторона вопроса: где юридически находятся данные и кто может получить к ним доступ.

Резидентность, суверенитет и локализация — это не взаимозаменяемые понятия

Эти термины часто используют как синонимы. Каждый из них ведет к разным управленческим решениям, поэтому их следует различать.

Резидентность данных — это утверждение о географии. Диск, на котором хранится ваша база данных, находится в здании в Онтарио. В принципе, это факт, но его сложно доказать, находясь вне этого здания, поэтому существуют два последних раздела этого руководства.

Суверенитет данных — это утверждение о праве. Оно определяет, суды и полиция какого государства могут на законных основаниях затребовать данные. Это понятие следует за людьми и компаниями, контролирующими данные, как минимум так же тесно, как и за аппаратным обеспечением.

Локализация данных — это правило. Это законодательное требование о том, чтобы определенные данные хранились внутри страны. В Канаде нет общего правила локализации для частных компаний, но существуют более узкие нормы, затрагивающие конкретные секторы экономики.

Термин "Sovereign cloud" встречается в рекламных материалах поставщиков и не имеет юридического определения в Канаде. Относитесь к нему как к маркетинговому ходу, пока поставщик не назовет организацию, управляющую инфраструктурой, и правовую систему, которой эта организация подчиняется.

Требования канадского законодательства о конфиденциальности в отношении хранения данных в Канаде

Федеральным законом о частном секторе является PIPEDA (Закон о защите личной информации и электронных документах). Он не требует, чтобы личная информация хранилась исключительно в Канаде. Управление комиссара по вопросам конфиденциальности Канады (OPC) прямо заявляет об этом в своих «Руководящих принципах обработки личных данных через границы», опубликованных в январе 2009 года: «PIPEDA не запрещает организациям в Канаде передавать личную информацию организации в другой юрисдикции для обработки».

Вместо этого закон требует обеспечения подотчетности, которая сохраняется при перемещении данных. Согласно принципу подотчетности PIPEDA, организация несет ответственность за личную информацию, переданную третьей стороне для обработки, и обязана использовать «договорные или иные средства» для обеспечения «сопоставимого уровня защиты» этой информации, пока она находится у третьей стороны. Те же руководящие принципы OPC добавляют требование прозрачности. Организация должна четко и понятным языком, желательно в момент сбора данных, информировать людей о том, что их информация может обрабатываться в другой стране и может быть доступна правоохранительным органам и органам национальной безопасности этой страны.

Стоит прояснить одно старое заблуждение. В 2019 году OPC провел консультации, в ходе которых рассматривалась возможность приравнивания передачи данных для обработки к их раскрытию, что потребовало бы получения согласия на каждую такую передачу. OPC не принял эту позицию. Консультации завершились подтверждением того, что передача для обработки является использованием, а не раскрытием, поэтому сама по себе передача не требует отдельного согласия.

Провинциальные законы о частном секторе добавляют обязанности, не вводя при этом территориальных ограничений. Статья 13.1 закона PIPA провинции Альберта требует, чтобы организация, использующая поставщика услуг за пределами Канады, уведомляла об этом физических лиц и указывала страны, в которых осуществляется обработка, а также контактное лицо, способное ответить на вопросы об этой схеме. Закон 25 провинции Квебек является более строгим. Перед передачей личной информации за пределы Квебека компания обязана провести оценку воздействия на конфиденциальность, охватывающую чувствительность информации, цели ее использования, меры защиты и правовой режим страны назначения. Передача возможна только в том случае, если уровень защиты в этой стране является адекватным. Это обязательство вступило в силу 22 сентября 2023 года.

По состоянию на август 2026 года федеральным законом остается PIPEDA. Законопроект C-27, который должен был заменить его на Закон о защите конфиденциальности потребителей, был исключен из повестки дня после роспуска парламента в январе 2025 года, и с тех пор никакой преемник не был принят. Проектируйте системы в соответствии с действующим законодательством.

Случаи, когда применяются реальные правила локализации

Nova Scotia — это строгий пример. Закон PIIDPA (Personal Information International Disclosure Protection Act) требует, чтобы государственные органы, муниципалитеты и их поставщики услуг хранили персональные данные в Канаде и разрешали доступ к ним только с территории Канады. Существуют узкие исключения, которые должны быть одобрены руководителем государственного органа и доведены до сведения министра юстиции. Новый закон Freedom of Information and Protection of Privacy Act, принятый в 2025 году, отменяет PIIDPA и переносит ограничения на трансграничную передачу данных в свой текст. Эти положения вступят в силу в апреле 2027 года при условии принятия соответствующих нормативных актов. По состоянию на август 2026 года эти акты не опубликованы, поэтому любые утверждения об их содержании являются догадками.

British Columbia пошла по другому пути. Ранее закон FIPPA содержал раздел 30.1, который требовал от государственных органов хранить персональные данные в Канаде и разрешать доступ к ним только изнутри страны. Законопроект Bill 22 отменил этот раздел в ноябре 2021 года. Раздел 33.1 теперь разрешает раскрытие данных за пределами Канады в соответствии с нормативными актами. Постановление Personal Information Disclosure for Storage Outside of Canada Regulation требует проведения оценки воздействия на конфиденциальность в случаях, когда конфиденциальные персональные данные будут храниться за пределами Канады. Запрет превратился в процедуру.

Для федеральных учреждений установлены свои базовые требования. Директива Treasury Board Direction for Electronic Data Residency требует, чтобы информация уровней Protected B, Protected C и Classified хранилась в одобренном центре обработки данных на территории Канады или в помещениях канадских государственных органов за рубежом. Если вы предоставляете хостинг для федерального ведомства, ваши требования определяются этой директивой, а не PIPEDA.

Медицинская информация регулируется отдельной группой законов. Лица, ответственные за хранение данных в соответствии с провинциальными законами о конфиденциальности медицинской информации, сталкиваются с правилами в отношении агентов, мер защиты и иногда местоположения данных, которых нет в PIPEDA. Если вы размещаете клинические данные, изучите провинциальный закон о здравоохранении, а не общий закон.

Затем следует правило, с которым сталкивается большинство людей и которое вообще не является законом. Банк, больница, школьный совет или корпоративный заказчик могут потребовать хранения данных в Канаде в условиях закупки, даже если закон этого не требует. Этот пункт связывает вас договорным правом, поэтому прочитайте его перед выбором региона. Если вы рассматриваете аналогичный вопрос в другом контексте, аренда VPS в Brazil помещает вас в другую правовую систему с иным ответом.

Дата-центр в Торонто не определяет применимое право

География и юрисдикция перестают совпадать, как только оператор оказывается иностранной компанией. Самый наглядный пример — закон США CLOUD Act (Clarifying Lawful Overseas Use of Data Act) от 2018 года. Он внес изменения в Stored Communications Act, согласно которым провайдер обязан предоставить данные, находящиеся в его «владении, распоряжении или под контролем», по законному требованию властей США, независимо от того, где физически хранятся эти данные. Конгресс принял этот закон после того, как Microsoft отказалась выполнить ордер на доступ к электронной почте, хранящейся в дата-центре в Ирландии. Местоположение диска было ключевым аргументом, но оно не стало решающим фактором в деле.

Провайдер попадает под действие этого закона не из-за границ, а из-за отношений: наличия у США персональной юрисдикции над провайдером. Под это определение может подпадать канадская дочерняя компания американской материнской структуры. Также это касается канадских объектов, управляемых американским юридическим лицом, или американских компаний, перепродающих канадские мощности. Никакие сетевые измерения не покажут вам этих связей. Это можно узнать только из корпоративного реестра.

Это не повод заранее ожидать худшего от любого объекта с иностранным владельцем. Канадские власти выпускают собственные предписания о предоставлении данных, и канадская компания подчиняется именно им. Суть вопроса более узкая. Право страны происхождения оператора следует за самим оператором, поэтому уточняйте, какое юридическое лицо подписывает ваш контракт и кто является его конечным владельцем.

Важно знать об одном практическом различии. По состоянию на август 2026 года между Канадой и США не действует исполнительное соглашение в рамках CLOUD Act. Переговоры были анонсированы в марте 2022 года, и на данный момент единственное действующее соглашение такого рода заключено только с Великобританией. При отсутствии такого соглашения власти США, запрашивающие данные у чисто канадской компании, используют процедуру договора о взаимной правовой помощи (MLAT), которая проходит через канадские органы власти и суды. Именно в этой процедурной разнице заключается основная ценность канадского оператора.

Ваши данные покидают страну, даже если VPS этого не делает

VPS — это лишь часть системы. Всё, что к нему подключено, требует отдельного решения о месте хранения, и по умолчанию данные часто оказываются за пределами Канады.

• Резервные копии и снимки (snapshots). Цель резервного копирования — создание удаленных копий, а конечные точки объектных хранилищ по умолчанию привязаны к региону, в котором был открыт аккаунт.
• Отправка логов, метрик и отслеживание ошибок. Сторонний сервис обрабатывает содержимое ваших логов в своем регионе, а эти логи содержат IP-адреса, адреса электронной почты, а иногда и полные тела запросов.
• CDN и пограничное кэширование (edge caching). Сеть доставки контента хранит и отдает копии ваших объектов из точек присутствия во многих странах. Источник в Торонто — это не то место, откуда пользователь получает байты данных.
• Электронная почта. Исходящие реле, входящие фильтры и размещенные архивы часто находятся в США, а содержимое сообщений является персональными данными.
• Авторитетный DNS. Anycast-серверы имен отвечают с узла, который находится ближе всего к клиенту, а логи запросов фиксируют, кто и что запрашивал.
• Поддержка и администрирование. Инженер с доступом к консоли или гипервизору — это человек, находящийся в определенной стране. Удаленный доступ из-за границы считается доступом согласно правилам Новой Шотландии и оценкам Британской Колумбии.
• Ваша рабочая станция и инструменты. Плагин редактора или агент для написания кода, который считывает ваши файлы, отправляет данные куда-то еще, и стоит знать что именно агент для написания кода отправляет с вашей машины, прежде чем направлять его на рабочие данные.

Шифрование меняет то, что может предоставить оператор, но только в одном направлении. Данные, зашифрованные в состоянии покоя (at rest) с ключами, хранящимися в другом месте, бесполезны для того, кто изымет диск. Работающий VPS — это другой случай, так как ключи гостевой системы находятся в оперативной памяти гостя, а гипервизор может читать память гостя. Шифрование в состоянии покоя защищает архив, а не работающую машину. Это ограничение и необходимость доверять оператору — та же проблема, что лежит в основе более широкого вопроса о том, безопасен ли VPS-хостинг.

Как проверить местоположение VPS клиенту

Начните с реестра, так как это единственная запись, к которой привязано имя.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Для канадских адресов реестром является ARIN. Первая команда следует за любым перенаправлением, которое получает ваш whois-клиент, а вторая делает прямой запрос к ARIN. Оба варианта возвращают организацию, за которой закреплен блок адресов, страну регистрации и контакт для жалоб (abuse contact). Именно на этот адрес поступают жалобы на ваш сервер, с чего и начинается обработка жалоб на злоупотребления вашим провайдером. Четко понимайте, что именно доказывает поле страны. Это заявление конкретной организации в публичной базе данных. Это полезно, но все же является утверждением, а не результатом измерений.

Geofeeds работают аналогичным образом. RFC 8805 определяет формат CSV-файла, в котором оператор публикует соответствие префикса стране, региону и городу. RFC 9632, заменивший RFC 9092 в 2024 году, определяет, как потребитель находит этот файл через запись whois. Коммерческие базы данных геолокации IP-адресов в значительной степени строятся на основе этих самостоятельно публикуемых данных, поэтому фраза «IP-адрес геолоцируется в Торонто» часто означает «оператор опубликовал данные о Торонто». Обратный DNS (Reverse DNS) еще менее надежен. PTR-запись, содержащая yyz или tor, — это соглашение об именовании, введенное человеком, и оно может сохраняться даже после миграции в другой город.

Поэтому запросите информацию у провайдера в письменном виде и сохраните ответы.

• Какое юридическое лицо управляет объектом и где оно зарегистрировано?
• Каков адрес объекта и является ли это помещение собственным, арендованным или перепроданным у другого оператора?
• Какое юридическое лицо подписывает мой контракт и кто является его материнской компанией?
• Где хранятся резервные копии и их удаленные дубликаты?
• Из каких стран персонал может получить доступ к гипервизору или консоли управления (out-of-band)?
• Публикуете ли вы список субпроцессоров и будете ли вы уведомлять меня о зарубежных юридических запросах, если это допускается законом?

Включите эти ответы в контракт в качестве обязательств с уведомлением. Аудитор запрашивает документы, а не результаты traceroute. Если вы остановились на Торонто, раздел выбор VPS в Торонто охватывает рыночную сторону этого решения.

Почему traceroute — это доказательство маршрута, а не юрисдикции

Низкое время кругового обхода (RTT) ограничивает расстояние. Это всё, что оно делает. Свет в оптоволокне распространяется со скоростью около 204,000 км/с, поэтому круговой путь занимает примерно 1 мс на каждые 100 км пути, без учета задержек на коммутацию и очереди. Если перевернуть это значение, то RTT в 10 мс из центра Торонто означает, что машина находится в пределах 1,000 км от вас по оптоволоконному кабелю. Вот что попадает в этот радиус.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Каждый уровень — это расстояние по прямой, умноженное на два и деленное на 204,000 км/с. Реальные пути прокладки оптоволокна длиннее прямых линий, поэтому реальные измерения всегда выше. Важен сам рейтинг. Самый дальний город в списке, Chicago, Illinois, находится на расстоянии 700 км от Торонто по прямой, что задает минимальный порог всего в 6.9 мс. Из 6 перечисленных городов только один находится в Канаде. Пинг в одну цифру из Торонто согласуется с сервером в Мичигане, Иллинойсе, Нью-Йорке или Вирджинии.

Traceroute добавляет имена узлов, а имена узлов — это PTR-записи, которые ввел сетевой инженер. Аэропортовые коды в них — это общепринятая практика, которую стоит читать и проверять. Некоторые провайдеры скрывают внутренние узлы внутри MPLS (multiprotocol label switching), поэтому видимый путь может быть короче реального пути пакета. Anycast делает сам пункт назначения неоднозначным, поскольку один адрес отвечает с того узла, который находится ближе всего к вам. Измеренная задержка — это веское доказательство маршрута в конкретный момент времени. Юрисдикция — это факт, относящийся к компаниям и судам, и ни один пакет не сообщает о ней.

Честное резюме: сетевые измерения могут опровергнуть утверждение: RTT в 90 мс из Торонто исключает наличие объекта в Торонто. Но они не могут его подтвердить. Подтверждение исходит от юридических лиц и письменных обязательств в контракте.

FAQ

Требует ли канадское законодательство, чтобы мои данные хранились в Канаде?

Как правило, нет. Федеральный закон о защите частной информации в частном секторе (PIPEDA) не запрещает передачу персональных данных в другую страну для обработки, что подтверждается в руководстве OPC по трансграничной обработке данных. PIPEDA требует, чтобы вы сохраняли ответственность за данные, обеспечивали их сопоставимую защиту с помощью договорных или иных средств и ясно уведомляли пользователей о том, что их информация может обрабатываться за рубежом и быть доступной иностранным органам власти. Реальные требования по локализации существуют в более узких областях: закон PIIDPA в Новой Шотландии для государственных органов, директива Совета казначейства по хранению электронных данных для уровня Protected B и выше, провинциальные законы о здравоохранении, а также ваши собственные контракты с клиентами. Это справочная информация, а не юридическая консультация.

Гарантирует ли дата-центр в Торонто, что мои данные недоступны для законодательства США?

Сам по себе — нет. Закон США CLOUD Act от 2018 года обязывает провайдера предоставлять данные, находящиеся в его владении, распоряжении или под контролем, в ответ на законные запросы США, независимо от того, где эти данные хранятся. Решающим фактором является наличие у судов США персональной юрисдикции над компанией, хранящей ваши данные. Поэтому канадский объект, управляемый дочерней компанией США или американским юридическим лицом, создает ситуацию, которую нельзя разрешить только географическим положением. Уточните, какое юридическое лицо подписывает ваш контракт и кто является его материнской компанией.

Как проверить, что VPS действительно находится в Канаде?

Сочетайте публичные записи с письменными запросами. Запрос whois или RDAP по IP-адресу показывает организацию, которой выделен блок, и страну её регистрации, а geofeed, опубликованный согласно RFC 8805, предоставляет данные оператора о привязке префикса к городу. Оба метода являются самодекларациями указанной стороны, что служит полезным доказательством, а не прямым измерением. Затем письменно запросите у провайдера сведения об операционной компании, адресе объекта, месте хранения резервных копий и странах, из которых сотрудники имеют доступ к консоли, и зафиксируйте эти ответы в контракте.

Что покидает Канаду, даже если мой VPS остается там?

Резервные копии и их удаленные копии, сторонние сервисы для сбора логов и отслеживания ошибок, кэши CDN, исходящие почтовые реле и входящие фильтры, логи запросов к авторитетным DNS-серверам, а также удаленный административный доступ со стороны службы поддержки, находящейся за рубежом. Каждое из этих направлений — отдельное решение со своим регионом по умолчанию, и эти настройки по умолчанию редко соответствуют Канаде. Составьте карту всех систем, подключенных к VPS, прежде чем обещать клиенту, что его данные не покидают страну.