Liability in the Cloud The Legal Framework for Using SaaS Platforms to Manage Sensitive Corporate Matters

Právní rámec pro používání SaaS platforem při správě citlivých podnikových záležitostí

Základem pro pochopení odpovědnosti v cloudu je koncept sdílené odpovědnosti. Tento model není vynucen jednotným právním rámcem, ale vychází z toho, jak cloud poskytovatelé své služby strukturují. Při používání cloudových služeb Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) nebo Software-as-a-Service (SaaS) se odpovědnost za bezpečnost a správu dat dělí mezi poskytovatele a zákazníka.

U SaaS aplikací, které jsou nejčastěji používány pro správu citlivých podnikových informací, je odpovědnost rozvrstvena do tří hlavních kategorií. Poskytovatel cloud služby je odpovědný za fyzickou bezpečnost datových center, síťovou infrastrukturu, hypervisory a základní platformu. Vy jako zákazník máte odpovědnost za svá data, identity uživatelů, správu přístupu, aplikační konfiguraci a bezpečnost koncových zařízení, která se připojují k vašim cloudovým systémům.

V praxi se toto rozdělení často zdá jasné v tabulkách a dokumentaci poskytovatele, avšak v reálných situacích vznikají nejasnosti. Když dojde k narušení bezpečnosti nebo úniku dat, není často okamžitě zřejmé, kdo za to nese právní odpovědnost.

Poskytovatel tvrdí, že chyba byla na vaší straně — třeba v slabém hesle nebo nesprávné konfiguraci přístupů. Vy pak hájíte, že poskytovatel nedostatečně monitoroval anomální aktivity nebo neposkytl dostatečné bezpečnostní nástroje. Právě zde se ukazuje, proč je důležité mít jasně sepsanou smlouvu a strukturovaný přístup k správě těchto rizik od samého začátku, a to s ohledem na potenciální přeshraniční dopady.

MicroFAQ: základy sdílené odpovědnosti

1. Jsem odpovědný za veškerá data v cloudu, i když je tam uložím přes SaaS aplikaci?

Ano, odpovídáte za klasifikaci, ochranu, šifrování a správu přístupu k vašim datům, bez ohledu na to, kde se fyzicky nachází. Poskytovatel zajišťuje bezpečnost infrastruktury, ale vy zůstáváte vlastníkem a správcem dat.

2. Co se stane, když je narušena bezpečnost poskytovatele cloud služby?

Závisí na tom, zda k narušení došlo vinou poskytovatele (a tedy nese odpovědnost) nebo vinou konfigurací na vaší straně. Vaše smlouva s poskytovatelem by měla jasně definovat, kdy se jedná o chybu poskytovatele a kdy o vaši chybu, což se může lišit podle konkrétní jurisdikce a povahy případu.

3. Mohu poskytovatele cloud služby posoudit za nedostatečnou bezpečnost?

V zásadě ano, pokud je jasně prokázáno, že poskytovatel porušil své smluvní povinnosti, nebo pokud selhal ve splnění vládních bezpečnostních standardů. Právní rámec se však liší podle jurisdikce a typu údajů, které zpracováváte, a ovlivňují ho i mezinárodní dohody.

Limitace odpovědnosti: jaké jsou skutečné limity vaší ochrany?

Jedním z nejkritičtějších prvků, který firmy často podceňují, je klauzule limitace odpovědnosti. Skoro všechny smlouvy SaaS obsahují ustanovení, které omezuje maximální částku, kterou vám poskytovatel zaplatí v případě, že selže v poskytování služby nebo dojde k úniku dat.

Typicky se toto omezení pohybuje v rozmezí šesti až dvanácti měsíců poplatků, často s maximální hranicí ve výši celkových poplatků zaplacených za předchozích 12 měsíců. Pokud vaše organizace platí poskytovateli 200 000 eur ročně a smlouva limituje odpovědnost na tři měsíce poplatků, vaše maximum náhrady je pouhých 50 000 eur.

To je velmi nízká částka, pokud byste museli řešit rozsáhlý únik dat osobních údajů klientů a následné regulační pokuty podle Nařízení GDPR.

Zvláště v Evropě se situace mění. Nová směrnice o odpovědnosti za produkty (EU) 2024/2853 a Nařízení GDPR vytvářejí novou právní realitu. Podle těchto pravidel, software, AI systémy a digitální služby nyní spadají do tradičního rámce odpovědnosti za produkty, což znamená, že poskytovatele nelze snadno zbavit odpovědnosti za chyby, které způsobují újmu.

V praxi však mnohé smlouvy obsahují tzv. „carve-out“ – výjimky z limitace. Když je porušení bezpečnosti způsobeno hrubou nedbalostí nebo úmyslným zaviněním poskytovatele, může být limitace odpovědnosti obejita.

Kontaktujte nás přes Anywhere.legal a získejte právní poradenství na míru pro vaše přeshraniční cloudové smlouvy.

Zde je příklad typické situace z praxe: vaše právní oddělení používá SaaS aplikaci na správu spisů a smluv. Smlouva s poskytovatelem omezuje jeho odpovědnost na tři měsíce poplatků. Dojde k narušení bezpečnosti, během kterého jsou kompromitovány důvěrné právní dokumenty a osobní údaje klientů z různých zemí.

Regulátor vám hrozí pokutou podle GDPR do výše 20 milionů eur nebo 4 % celosvětových tržeb. Snažíte se dosáhnout na poskytovatele, aby vám alespoň částečně zaplatil náklady na šetření, oznámení dotčeným osobám a právní zastoupení. Poskytovatel se však odvolá na limitaci odpovědnosti a nabízí vám pouze částku dle smlouvy — a to i v případě, že selhání byla způsobena jeho systémy.

Bez jistého pojištění a bez jasně vyjednaných výjimek z limitace odpovědnosti zůstáváte s prázdnýma rukama. V takových situacích si firmy uvědomují, že smlouva, kterou podepsaly bez důkladnější analýzy, je nedostatečná. A právě tady je důležité mít strukturovaný přístup — od počátečního mapování rizik přes vyjednávání lepších podmínek až po pravidelný monitoring souladu se smlouvou, ideálně s koordinací odborníků z relevantních jurisdikcí.

Odpovědnost podle GDPR: kdy jsou datové procesory odpovědní?

Pokud zpracováváte osobní údaje osob v EU pomocí SaaS aplikace, automaticky se na vás vztahuje Nařízení GDPR — bez ohledu na to, kde je vaše společnost založena nebo kde se nacházejí servery. V rámci GDPR se odpovědnost za zpracování údajů dělí mezi správce údajů (data controller) — tedy vás nebo vaši firmu — a zpracovatele údajů (data processor) — poskytovatele cloud služby.

Správce má primární odpovědnost za zákonnost, spravedlivost a transparentnost zpracování. Zpracovatel pak musí zajistit, že údaje zpracovává pouze podle pokynů správce, že má zavedeny vhodné technické a organizační opatření, a že pomáhá správci v plnění jeho povinností vůči subjektům údajů.

Co je však kritické: Podle článku 82 GDPR mohou být oba — správce i zpracovatel — společně a několikrát odpovědni za škodu způsobenou porušením.

To znamená, že pokud váš cloud poskytovatel, který hraje roli zpracovatele, selže v bezpečnosti údajů a dojde k porušení, můžete být vy (jako správce) staženi do regulačního šetření a soudu, i když selhání bylo jasně na straně poskytovatele. Regulátor očekává, že jste si správně vybrali poskytovatele, že jste smluvní povinnosti jasně sepsali a že jste monitorovali jejich soulad s předpisy, a to včetně posouzení jejich schopnosti zajistit ochranu dat v mezinárodním kontextu.

Pokuta za porušení GDPR může dosáhnout až 20 milionů eur nebo 4 % celosvětových tržeb — podle toho, která částka je vyšší. Právě v takových situacích se osvědčuje mít centralizované místo, jako je Anywhere.legal, kde máte přehled o tom, jaké smlouvy máte se kterými poskytovateli v různých zemích, jaké jsou jejich bezpečnostní certifikace, a jestli skutečně plnění svých povinností napříč různými právními systémy.

Odpovědnost za právo duševního vlastnictví: patenty a porušování copyright

Vedle odpovědnosti za data hraje roli i odpovědnost za porušování práv duševního vlastnictví. Mnoho SaaS aplikací obsahuje komponenty s otevřeným zdrojovým kódem (open source), které mohou vytvářet právní rizika. Pokud nějaká třetí strana tvrdí, že SaaS aplikace, kterou používáte, porušuje její patent nebo copyright, můžete být vy, jako uživatel aplikace, součástí sporu. Tato rizika jsou exponenciálně vyšší v přeshraničních situacích, kde se uplatní různé patentové a autorské právo.

Cloud poskytovatelé typicky nabízejí indemnifikační klauzuli – slib, že vám zaplatí právní náklady a případné škody, pokud dojde k žalobě třetí strany za porušování práv.

Avšak tyto klauzule často obsahují výjimky, které jsou klíčové k pochopení. Třeba se nemusí vztahovat na vaši kombinaci aplikace s jinými nástroji, nebo pokud jste sami modifikovali software takovým způsobem, který vedl k porušení. Důležité je také si uvědomit, zda indemnifikace platí v požadovaných jurisdikcích.

V EU se tato rizika zvyšují v souvislosti se Směrnicí o odpovědnosti za produkty (Product Liability Directive), která nyní explicitně zahrnuje software a AI systémy do definice „produktu“. Směrnice rozšiřuje odpovědnost výrobců za vady, včetně vad týkajících se bezpečnosti a legitimity komponent, ze kterých se software skládá.

Odpovědnost za bezpečnost údajů: oznámení porušení a regulační pokuta

Když dojde k úniku dat nebo narušení bezpečnosti, čas je vám nejtěžší nepřítel. V EU máte povinnost oznámit narušení relevantním úřadům do 72 hodin od zjištění incidentu — to jsou kalendářní hodiny, včetně víkendů. Pokud porušení představuje vysoké riziko pro dotčené osoby, musíte je také informovat.

V každém státě USA jsou pak další lhůty a požadavky, typicky 30-45 dní, přičemž existují rozdíly mezi jednotlivými státy, což dále komplikuje přeshraniční případy.

Poskytovatelé cloud služby sice mívají povinnost vás o incidentu informovat, avšak smlouvy často nespecifikují, jak rychle to musí udělat, nebo jaký formát oznámení se očekává pro různé jurisdikce. Může tak dojít k situaci, kdy máte jen pár hodin na zjištění, že k incidentu skutečně došlo, abyste sami splnili 72hodinovou lhůtu, zatímco ještě čekáte na podrobnosti od poskytovatele.

V praxi se tento problém řeší přesněji strukturovanou smlouvou s jasným procesem notifikace a krizové komunikace, včetně toho, kdo v případě incidentu kdo kontaktuje, jaké informace se musí předat a v jaké lhůtě, a to vše s ohledem na specifika každé zasažené země. Anywhere.legal pomáhá s koordinací těchto procesů a zapojením lokálních expertů.

Tabulka rizik a odpovědnosti

Nejčastější chyby při uzavírání smluv o cloud službách

V praxi se firmy často dopouštějí jedné nebo více chyb, které později vedou k právním a finančním problémům, zejména pokud jde o přeshraniční cloudové služby. Nejčastější chyba je nekritické přijetí standardních smluvních podmínek poskytovatele bez vyjednávání.

Firmy si myslí, že nemají páku k vyjednávání — obzvláště u velkých poskytovatelů jako Microsoft, Google nebo Amazon. Realita je však taková, že mnoho poskytovatelů, včetně středně velkých hráčů, je ochotno vyjednávat, pokud to vyžádáte.

A právě v těchto vyjednáváních, podpořených odborným právním poradenstvím, se nabízí příležitost vylepšit kritické podmínky, jako je limitace odpovědnosti, výjimky pro případy selhání nebo požadavky na bezpečnostní certifikace, které mají platnost i v mezinárodním měřítku.

Druhá chyba je nepochopení skutečných bezpečnostních povinností. Mnoho firem se spoléhá pouze na to, že poskytovatel cloud služby „zajistí bezpečnost“.

Pokud však neimplementujete více faktorovou autentizaci, neomezíte přístupy podle principu nejmenší nutné práce nebo nekonfigurujete audit logy, porušení bezpečnosti mohou být de facto způsobena právě vaším selháním, a ne vinou poskytovatele. Tato vnitřní selhání pak mohou mít globální důsledky.

Třetí chyba je nedostatek centralizované evidence smluv a povinností. Firmy mají se svými poskytovateli desítky, někdy stovky smluv, a právní oddělení se v nich ztrácí.

Neví, jaké bezpečnostní certifikace má který poskytovatel, jaké jsou podmínky oznámení porušení bezpečnosti, nebo kdy končí lhůty pro vyjednávání prodloužení smlouvy v různých jurisdikcích. To vede k tomu, že si firmy neuvědomují rizika, dokud nedojde k incidentu, který zasáhne více zemí.

Jak strukturovat odpovědnost: praktický přístup

Při výběru a řízení cloud služby pro citlivé podnikové záležitosti, zejména v přeshraničním kontextu, existuje strukturovaný postup, který snižuje právní a finanční rizika.

Prvním krokem je audit a mapování rizik. Zaměřte se na to, jaké údaje budete v cloudu zpracovávat — osobní údaje, finanční informace, právně privilegované komunikace, obchodní tajemství.

Pro každý typ údajů identifikujte regulační požadavky, které se liší podle jurisdikce — GDPR, HIPAA, CCPA, případně další regionální nebo sektorové regulace. Pak určete, jaké bezpečnostní standardy musí poskytovatel splňovat, a to i s ohledem na soulad s mezinárodními normami.

Druhým krokem je vyjednávání smlouvy. Neakceptujte standardní podmínky bez úprav. Zaměřte se na:

• Jasné rozdělení odpovědnosti za bezpečnost a ochranu dat napříč různými operačními prostředími.

• Limitace odpovědnosti poskytovatele — alespoň 12 měsíců poplatků, s výjimkami pro hrubou nedbalost nebo úmyslné pochybení, aby se zohlednily potenciální vysoké škody a pokuty.

• Povinné bezpečnostní certifikace (např. ISO 27001, SOC 2 Type II) a pravidelné audity, s důrazem na to, jak tyto certifikace korespondují s požadavky v různých zemích.

• Procesy oznámení incidentů s konkrétními lhůtami, které odpovídají nejkratším regulatorním požadavkům v jurisdikcích, kde působíte.

• Vaše právo auditovat bezpečnostní opatření poskytovatele a jejich soulad s globálními standardy.

• Právo na přístup k údajům a jejich smazání po skončení smlouvy, včetně mechanismů pro přeshraniční přenos dat a jejich likvidaci.

• Jasná ustanovení o zapojení sub-zpracovatelů a přenosu dat mimo EHP/UK.

Třetím krokem je centralizace smluv a dokumentů. To je právě místo, kde Anywhere.legal představuje efektivní řešení. Na platformě Anywhere.legal můžete:

• Nahrát a organizovat všechny smlouvy s poskytovateli v různých zemích na jednom místě, což usnadňuje správu dokumentů a jejich vyhledávání.

• Mapovat klíčové povinnosti a termíny pro každého poskytovatele napříč jurisdikcemi, s využitím nástrojů, které pomáhají strukturovat informace.

• Sledovat bezpečnostní certifikace a jejich expiraci, s upozorněními pro včasné prodloužení nebo přezkoumání.

• Mít k dispozici inicializační otázky a checklisty pro vyjednávání smluvních podmínek, které reflektují osvědčené postupy z mnoha podobných přeshraničních situací.

• Pracovat s lokálními experty v jednotlivých zemích, kde máte operace, a koordinovat s nimi právní, daňové a regulatorní záležitosti přímo v prostředí Anywhere.legal.

Je zřejmé, že hodnota řešení Anywhere.legal je založena na kombinaci robustní platformy, mezinárodní sítě expertů, procesní koordinace a bezpečného využití AI pro podporu práce s dokumenty a strukturou požadavků, aniž by nahrazovala odborný úsudek.

Čtvrtým krokem je pravidelný monitoring. Neukládejte smlouvu do zásuvky a zapomeňte na ni. Alespoň čtyřikrát ročně zkontrolujte:

• Zda poskytovatel stále splňuje bezpečnostní certifikace a zda se jeho bezpečnostní politika nemění způsobem, který by zvýšil vaše rizika v kterékoli z jurisdikcí.

• Zda nedošlo k incidentům bezpečnosti, které by měl být hlášen vám i příslušným úřadům v různých zemích.

• Zda smlouva obsahuje nějaké „evergreen“ doložky (automatické prodloužení), které jste si neuvědomili, a zvažte, zda jsou stále výhodné v měnícím se regulačním prostředí.

• Zda se podmínky poskytovatele nezměnily takovým způsobem, který vás negativně ovlivňuje nebo vytváří nové regulatorní rizika.

Závěr

Odpovědnost v cloudu zůstává především vaše — bez ohledu na to, jak přesvědčivě vám prodejce poskytovatele tvrdí, že se o vše postarají. Realita je taková, že se odpovědnost dělí. Část leží na poskytovateli, část na vás. A právě v tom rozdělení se skrývá značné finanční a právní riziko, které je umocněno v mezinárodních a přeshraničních operacích.

Firmy, které úspěšně řídí cloud služby pro citlivé záležitosti, postupovaly systematicky: nejdříve jasně mapovaly svá rizika a regulační požadavky napříč všemi relevantními jurisdikcemi.

Pak vyjednávaly smlouvy, které toto riziko odráží a poskytují adekvátní ochranu. A nakonec centralizovaly správu těchto smluv, povinností a korespondence na jednom místě, jako je Anywhere.legal, kde byla vždy jasná odpovědnost a termíny, a kde bylo možné efektivně koordinovat mezinárodní týmy expertů.

Právě v takových situacích se osvědčuje mít strukturovaný přístup — od počátečního mapování rizik přes vyjednávání smluvních podmínek až po průběžný monitoring souladu. To vám poskytuje bezpečnost, kterou opravdu potřebujete pro správu vašich citlivých podnikových záležitostí v globálním cloudovém prostředí.

Potřebujete mezinárodní právní pomoc při strukturování a řízení vaší cloudové strategie? Kontaktujte nás přes Anywhere.legal a získejte přístup k síti expertů a pokročilým nástrojům pro koordinaci přeshraničních právních případů.

Často kladené otázky o odpovědnosti v cloudu

1. Jsem odpovědný za bezpečnost, i když ji zajišťuje cloud poskytovatel?

Ano, alespoň částečně. V rámci modelu sdílené odpovědnosti vy zodpovídáte za správu přístupu, data governance, identity management a přiměřená bezpečnostní opatření na vaší straně. Poskytovatel zodpovídá za fyzickou bezpečnost infrastruktury a základní bezpečnostní nástroje. Toto rozdělení se aplikuje mezinárodně, ale specifika mohou záviset na lokálních regulacích.

2. Mohu se spoléhat na pojistku místo vyjednávání lepších smluvních podmínek?

Pojistka by měla být vždy doplňující, nikoli primární ochrana. Nejdříve byste měli vyjednat nejlepší možné smluvní podmínky (vysokou limitaci odpovědnosti, jasné indemnifikace, pokrytí všech relevantních jurisdikcí). Pojistka pak pokrývá zbývající rizika, která se nemohou chránit smluvně nebo která se objevují v nepředvídatelných přeshraničních situacích.

3. Co se stane, pokud dojde k porušení bezpečnosti způsobené chybou poskytovatele?

Máte právo žádat náhradu podle smlouvy a podle příslušného práva (např. GDPR v EU). Avšak váš nárok je omezen limitací odpovědnosti v samotné smlouvě, pokud v ní není výjimka pro případ hrubé nedbalosti, úmyslného porušení nebo zákonné úpravy (jako je nová směrnice o odpovědnosti za produkty). Specifika se mohou lišit podle jurisdikce, kde škoda vznikla.

4. Jak dlouho mám lhůtu na oznámení porušení bezpečnosti?

V EU je to 72 hodin od zjištění incidentu pro oznámení regulátorům. Pro jednotlivce, kterých se to týká, je lhůta „bez zbytečného odkladu“ — obvykle během několika dní. V USA se lhůty liší dle státu (obvykle 30-45 dní), a navíc je třeba zohlednit jurisdikci osob, jejichž data byla zasažena, pokud se jedná o přeshraniční únik.

5. Co by měla obsahovat data processing agreement (DPA) s cloud poskytovatelem?

DPA by měla obsahovat: rozsah zpracování údajů, konkrétní bezpečnostní opatření, povinnosti oznamovat incidenty včetně lhůt pro různé jurisdikce, váš přístup k auditu, povinnost poskytovatele používat pouze autorizované subprocesory a jasně definovat procesy pro mezinárodní přenos dat a postup při skončení smlouvy, včetně mechanismů pro vracení nebo mazání dat.

6. Existuje standardní smlouva pro cloud služby, kterou mohu použít pro mezinárodní operace?

Ne, každá situace je jiná a vyžaduje přizpůsobení s ohledem na konkrétní data, služby a jurisdikce. Avšak existují šablony a checklisty, které lze přizpůsobit. Doporučujeme začít s důkladnou analýzou vašeho konkrétního rizika a souladu s právními předpisy v zemích, kde působíte, pak zkontrolovat standardní podmínky poskytovatele a vyjednat úpravy s podporou právních expertů, což vám Anywhere.legal usnadňuje.