Recht en facturatie
Dataresidentie en jurisdictie
Waar data fysiek wordt opgeslagen is één vraag; wiens recht erbij kan is een andere. De tweede hangt af van de provider, niet van het rack.
Dataresidentie is de eis, uit een wet, een contract of een beleid, dat bepaalde data binnen een land of regio blijft. Die data in een datacenter daar hosten voldoet aan de letter daarvan. De AVG zelf kent geen residentieregel voor de EU; ze beperkt doorgiften naar buiten de EU en de EER.
Jurisdictie is de andere vraag: welke rechtbanken en autoriteiten de provider kunnen bevelen data af te geven. Dat volgt de bedrijfsketen van de provider, niet de locatie van de server. Een bedrijf met een moederbedrijf buiten de EU valt onder de bevelen van dat land, waar de server ook staat; artikel 32 van de EU Data Act vraagt providers om dat te melden en maatregelen tegen zulke toegang te nemen.
Dus als een aanbestedingsformulier vraagt waar de data staat, bestaat het volledige antwoord uit drie delen: het datacenter, het bedrijf dat de systemen beheert plus elke subverwerker, en het recht dat op het contract van toepassing is. Een provider die alle drie met één land en één bedrijf kan beantwoorden is het eenvoudige geval.