«Не рискованно ли хранить наши данные в облаке за рубежом?» — ещё несколько лет назад этот вопрос чаще всего стоял в повестке банков и государственных учреждений. Сегодня он лежит на столе у гораздо более широкого круга компаний. Gartner включает в число стратегических технологических трендов 2026 года тенденцию, которую называет «geopatriation» (геопатриация), и прогнозирует, что к 2030 году более 75% организаций в Европе и на Ближнем Востоке переведут свои виртуальные рабочие нагрузки на решения, разработанные для снижения геополитического риска. Согласно тому же прогнозу, в 2025 году эта доля составляла менее 5%.
В том же направлении указывают и расходы. Gartner прогнозирует, что мировые расходы на суверенные облачные инфраструктурные услуги (IaaS) в 2026 году достигнут 80 млрд долларов, что по сравнению с 2025 годом означает рост на 35,6%.
В этой статье мы уточняем понятия, на основе официальных текстов излагаем основные контуры правовых рамок в Турции и предлагаем чек-лист, который поможет сделать решение о местонахождении данных управляемым. Вопрос о том, с каких рабочих нагрузок начинать переход в облако, мы отдельно рассматривали в статье о миграции в облако.
Понятия: суверенное облако, локализация данных, «geopatriation»
По определению Gartner, геопатриация — это перенос данных и приложений компании из глобальных публичных облаков в суверенные облака, к региональным облачным провайдерам или в собственные дата-центры организации из-за воспринимаемого геополитического риска. По мнению Gartner, облачный суверенитет когда-то ограничивался банками и государствами; сегодня же он затрагивает гораздо более широкий круг организаций.
На практике следует разделять три вопроса:
- Где находятся данные? Площадки хостинга, резервного копирования и аварийного восстановления.
- Кто и откуда имеет доступ к данным? Команды поддержки, субподрядчики, консоли управления.
- Какое право и какой надзор действуют? Стороны договора, применимое законодательство, обязанности по уведомлению.
«Локализация данных» чаще всего отвечает лишь на первый вопрос. Дискуссия о суверенитете, напротив, охватывает все три сразу. В пояснении Gartner также подчёркивается, что смена поставщика может обеспечить больший контроль над резидентностью данных, соблюдением требований и управлением (governance).
Что говорят данные: куда идут расходы?
Согласно прогнозу Gartner от февраля 2026 года, самыми быстрорастущими регионами по расходам на суверенные облачные услуги IaaS в 2026 году станут Ближний Восток и Африка (89%), зрелые рынки Азиатско-Тихоокеанского региона (87%) и Европа (83%). Ожидается, что в 2027 году по этим расходам Европа обгонит Северную Америку.
Две детали особенно важны для тех, кто принимает решения. Во-первых, Gartner прогнозирует, что эта тенденция переместит от глобальных поставщиков к местным 20% существующих рабочих нагрузок. Во-вторых, ожидается, что 80% расходов на суверенное облако придётся на новые цифровые решения или на унаследованные рабочие нагрузки, которые ещё ждут переноса в облако. Иначе говоря, речь не столько о поспешном возврате работающих систем, сколько о том, чтобы с самого начала делать местонахождение данных критерием в новых решениях.
Gartner отмечает, что основными покупателями станут государственные учреждения, за ними последуют регулируемые отрасли и организации критической инфраструктуры, такие как энергетика и телекоммуникации.
Правовые рамки в Турции: положения KVKK (турецкого закона о защите персональных данных) о передаче данных за рубеж
Когда речь идёт о персональных данных в Турции, основным текстом служит статья 9 Закона № 6698. Эта статья изменена Законом № 7499 от 2 марта 2024 года, и передача данных в ней выстроена по ступенчатой схеме:
- Решение об адекватности: если выполняется одно из условий обработки, предусмотренных статьями 5 и 6 Закона, и в отношении страны, отрасли или международной организации, куда будут передаваться данные, Kurul (Совет по защите персональных данных, далее — Совет) принял решение об адекватности, передача допустима.
- Надлежащие гарантии: если решения об адекватности нет, то при условии, что у субъекта данных есть возможность защищать свои права, требуется одна из четырёх гарантий; среди них — одобренные Советом обязательные корпоративные правила и объявленный Советом стандартный договор.
- Эпизодические исключения: если нет ни того, ни другого, передача возможна только в одном из перечисленных случаев и при условии её эпизодичности.
В течение пяти рабочих дней после подписания стандартного договора о нём необходимо уведомить Kurum (Управление по защите персональных данных, далее — Управление); статья 18 Закона предусматривает административный штраф для тех, кто не направил такое уведомление. Один из четырёх стандартных договоров, объявленных Советом в 2024 году, подготовлен для передачи от контролёра данных обработчику данных — случая, который часто встречается в облачных услугах. Управление KVKK в объявлении от февраля 2025 года напомнило, что в договорах, составляемых в том числе на иностранном языке, обе стороны должны подписать и турецкий текст.
Положение о порядке применения, опубликованное 10 июля 2024 года, прямо фиксирует важный для решений об облаке момент: то, что передачу осуществляет обработчик данных, не снимает с контролёра данных ответственности за соблюдение процедур и гарантий. Закон также требует обеспечивать те же гарантии и для последующих передач данных, переданных за рубеж. Применительно к инструментам генеративного ИИ этот вопрос мы рассматривали в статье о руководстве KVKK.
А в некоторых отраслях локализация — прямое требование. Положение BDDK (Агентство банковского регулирования и надзора Турции) об информационных системах банков обязывает банки держать первичные и вторичные системы внутри страны и включает в сферу этого требования услуги облачных вычислений, получаемые для таких систем. Если вы работаете в регулируемой отрасли, правила своего отраслевого регулятора необходимо проверить отдельно.
Практический путь: чек-лист по местонахождению данных
Приведённые ниже шаги — общая методика, выведенная из рамки, изложенной в источниках; каждой организации её необходимо адаптировать под собственную структуру данных и отрасль.
- Составьте карту местонахождения данных. Для каждой системы запишите локации основного хостинга, резервного копирования, аварийного восстановления и доступа службы поддержки. Одного вопроса «где сервер?» недостаточно.
- Классифицируйте данные. Персональные данные, персональные данные специальных категорий, данные, подпадающие под отраслевое регулирование, и коммерческая тайна должны быть помечены как отдельные категории.
- Зафиксируйте правовое основание для каждого потока данных за рубеж. Решение об адекватности, стандартный договор, обязательные корпоративные правила или эпизодическое исключение? Поток с неясным основанием — это поток, ожидающий решения.
- Заведите календарь стандартных договоров. Дату подписания, срок уведомления в пять рабочих дней и то, какая из сторон направляет уведомление, необходимо закрепить за одним ответственным.
- Пропишите в договоре субобработчиков и последующие передачи. Должна быть чётко определена обязанность поставщика уведомлять вас о привлекаемых им субподрядчиках и об изменениях региона.
- Подготовьте альтернативный сценарий для критически важных рабочих нагрузок. Определите, какие системы должны работать у локального или регионального поставщика, исходя из критичности для бизнеса и класса данных. Цель — не локализовать всё, а держать нужную рабочую нагрузку в нужном месте.
- Поддерживайте план выхода в актуальном состоянии. Заранее должно быть письменно зафиксировано, как будут возвращены данные, если возникнет необходимость сменить поставщика. Для тех, кто обслуживает рынок ЕС, правила перехода, установленные Законом ЕС о данных (Data Act), мы кратко изложили в отдельной статье.
Заключение
Место хранения данных — это уже не просто деталь инфраструктуры, а управленческое решение, которое необходимо рассматривать вместе с правовым основанием, риском поставщика и непрерывностью бизнеса. Прогнозы Gartner показывают, что в ближайшие годы это решение окажется в повестке всё большего числа организаций. В Турции же обновлённый в 2024 году порядок передачи данных за рубеж по KVKK ставит большую часть ответа в зависимость от дисциплины в работе с договорами и ведении записей.
С точки зрения Orient Global, разумная отправная точка — составить карту существующих потоков данных до того, как искать нового поставщика.
Эта статья носит общий информационный характер и не заменяет юридическую консультацию.
#interimmanagement #forwarddeployedengineering