Usługi chmury z naciskiem na RODO i prywatność: porównanie dla firm i freelancerów

Dlaczego RODO i prywatność to klucz przy wyborze chmury

RODO z perspektywy chmury – praktyczne minimum

RODO nie zabrania korzystania z usług chmurowych. Wymaga natomiast, aby dane osobowe były przetwarzane w sposób bezpieczny, przejrzysty i pod kontrolą administratora danych. W praktyce oznacza to, że każda firma i każdy freelancer, który ma w chmurze dane klientów, staje się administratorem danych i odpowiada za ich ochronę, nawet jeśli technicznie wszystko „stoi” na serwerach zewnętrznego dostawcy.

Administrator danych (czyli ty lub twoja firma) wybiera procesorów – dostawców chmury, programów do fakturowania, CRM i innych narzędzi. Jeśli coś pójdzie nie tak – wyciek, dostęp nieuprawnionych osób, błędna konfiguracja – organ nadzorczy będzie interesował się najpierw administratorem, a dopiero później usługodawcą. Dlatego wybór dostawcy chmury jest decyzją nie tylko techniczną, ale przede wszystkim prawną i organizacyjną.

RODO wymaga m.in. zawarcia umowy powierzenia przetwarzania danych (DPA), stosowania odpowiednich środków technicznych (szyfrowanie, kontrola dostępu) oraz rozliczalności – czyli możliwości pokazania, kto miał dostęp do danych i jakie operacje wykonywał. Usługa „tanio i szybko” bez tych elementów może okazać się najdroższą opcją, gdy dojdzie do naruszenia.

Konsekwencje złego wyboru chmury dla firm i freelancerów

Kary finansowe z RODO często pojawiają się w nagłówkach, ale dla małych firm i freelancerów bardziej bolesne bywają inne skutki: konieczność informowania klientów o wycieku, utrata reputacji, audyty, chaos organizacyjny i czas wyjęty z normalnej pracy. Już samo zgłoszenie naruszenia do UODO i poinformowanie kilkudziesięciu klientów potrafi wybić z rytmu na tygodnie.

Dla jednoosobowego freelancera, który trzyma w chmurze projekty z danymi klientów lub ich logotypy, konsekwencje reputacyjne mogą być krytyczne: utrata zaufania kilku kluczowych klientów bywa gorsza niż hipotetyczna kara. Dla mikrofirmy czy biura księgowego dochodzi jeszcze ryzyko pozwów cywilnych i roszczeń odszkodowawczych ze strony osób, których dane wyciekły.

Zły wybór chmury to też koszty ukryte: nagła potrzeba migracji do innego dostawcy, poprawianie umów, robienie od nowa analiz ryzyka i procedur. Część tych wydatków można ograniczyć, stawiając od razu na rozwiązania, które oferują sensowną dokumentację RODO, wsparcie przy konfiguracji bezpieczeństwa oraz przejrzyste warunki przetwarzania danych.

„Działa technicznie” kontra „zgodne z prawem i bezpieczne”

Wiele chmur „po prostu działa”: synchronizuje pliki, udostępnia dokumenty, pozwala prowadzić projekty. Różnica między taką surową funkcjonalnością a rozwiązaniem zgodnym z RODO polega na tym, czy dostawca:

• udostępnia jasną umowę powierzenia danych (DPA),
• pozwala określić lokalizację danych (np. tylko w EOG),
• zapewnia odpowiednie szyfrowanie i logi dostępu,
• ma przygotowaną dokumentację i odpowiedzi na pytania o RODO,
• nie wykorzystuje danych użytkowników do profilowania lub reklamy ponad to, co niezbędne.

Narzędzie, które technicznie spełnia oczekiwania, ale ma niejasną politykę prywatności, brak DPA lub serwery wyłącznie w USA, może generować nieakceptowalne ryzyko prawne, zwłaszcza po wyroku Schrems II, który podważył prosty transfer danych do USA na podstawie Privacy Shield.

Dlaczego małym podmiotom opłaca się „wbudowana” zgodność

Duże korporacje zatrudniają kancelarie prawne i własnych inspektorów ochrony danych, żeby „dopinać” zgodność chmury z RODO. Mały biznes i freelancer takiego komfortu nie mają – wszystko odbywa się kosztem czasu właściciela lub w najlepszym razie księgowej czy zewnętrznego konsultanta. Dlatego praktycznym podejściem jest wybieranie dostawców, którzy mają już gotowe rozwiązania i dokumenty, zamiast samodzielnie negocjować każdy punkt.

„Wbudowana zgodność” oznacza, że:

• umowa powierzenia jest dostępna online i zrozumiała,
• konfiguracja bezpieczeństwa jest domyślnie sensowna (np. brak publicznych folderów),
• panel administracyjny jasno pokazuje, jak zarządzać uprawnieniami,
• dostawca oferuje wsparcie w języku polskim lub przynajmniej czytelne instrukcje.

Wiele mniejszych, europejskich lub lokalnych usług chmurowych świadomie gra tą kartą: trochę mniej „bajerów” niż gigantyczne platformy, ale za to proste warunki RODO, możliwość przechowywania danych wyłącznie w UE i wsparcie dla drobnych klientów biznesowych. Dla kogoś, kto nie chce spędzać wieczorów na analizie regulaminów Big Tech, to często rozsądny kompromis.

Podstawy: jakie dane trzymasz w chmurze i jakie masz role w RODO

Rodzaje danych w chmurze: nie wszystko jest tak samo wrażliwe

Z punktu widzenia RODO kluczowe jest rozróżnienie, z jakimi danymi osobowymi pracujesz i w jakim kontekście. Nie każdy plik w chmurze to dane osobowe, ale w praktyce większość małych firm i freelancerów przechowuje tam mieszankę:

• dane zwykłe – imiona, nazwiska, adresy e-mail, numery telefonów klientów, dane do faktury,
• dane szczególnych kategorii (wrażliwe) – informacje o zdrowiu, poglądach, wyznaniu, przynależności związkowej, orientacji seksualnej,
• dane biznesowe – umowy, specyfikacje projektów, briefy, raporty (często zawierają dane osobowe w mniejszym lub większym stopniu),
• dane prywatne – własne zdjęcia, dokumenty osobiste, kopie dowodów, korespondencja, które nie są związane z działalnością gospodarczą, ale bywają przechowywane w tej samej chmurze.

Do tego dochodzą dane pośrednie, takie jak adres IP, identyfikatory urządzeń, historię logowań – tym zarządza głównie dostawca chmury, ale dla ciebie ważne jest, czy wykorzystuje je do własnych celów marketingowych.

Od rodzaju danych zależy poziom zabezpieczeń, jaki powinien zapewniać dostawca. Inne wymagania trzeba postawić dla chmury, w której przechowujesz księgowość z PESEL-ami i numerami kont bankowych, a inne dla prostej chmury na pliki graficzne bez danych osobowych.

Administrator danych i procesor: kto za co odpowiada

W modelu RODO występują dwie główne role:

• administrator danych – decyduje o celach i sposobach przetwarzania danych (czyli po co i jak dane są przetwarzane),
• podmiot przetwarzający (procesor) – działa w imieniu administratora, przetwarza dane na jego polecenie (np. dostawca chmury, biuro rachunkowe, firma hostingowa).

Freelancer, który obsługuje klientów, niemal zawsze jest administratorem danych swoich klientów (danych kontaktowych, rozliczeniowych, czasem innych). Mała firma – tym bardziej. Dostawca chmury jest w tym układzie procesorem, bo wykonuje techniczną usługę przechowywania lub przetwarzania danych na twoje zlecenie.

Administrator odpowiada za wybór procesorów, zawarcie umów powierzenia danych, ocenę ryzyka, informowanie osób, których dane dotyczą, oraz reagowanie na naruszenia. Procesor odpowiada za to, żeby dane były przetwarzane zgodnie z umową, z odpowiednimi zabezpieczeniami technicznymi i organizacyjnymi.

Kiedy freelancer staje się administratorem danych

Freelancer staje się administratorem danych z chwilą, gdy przetwarza dane osobowe w związku z działalnością zarobkową. Nie ma znaczenia, czy wystawia faktury w ramach JDG, czy „na zlecenie” – jeśli gromadzi i przechowuje imiona, nazwiska, adresy e-mail klientów, dane do umów czy faktur, pełni rolę administratora.

Przykłady:

• grafik-freelancer trzyma w chmurze projekty z imionami i nazwiskami osób, które pojawiają się na materiałach, a także umowy z klientami,
• copywriter ma w chmurze maile od klientów z danymi kontaktowymi i pliki z informacjami o ich klientach,
• programista-freelancer utrzymuje repozytorium kodu z danymi testowymi zawierającymi nazwiska lub e-maile.

W każdym z tych przypadków freelancer jest administratorem danych w zakresie swojej działalności. Nie jest nim natomiast wobec danych osobowych należących wyłącznie do życia prywatnego (np. prywatne zdjęcia dzieci w chmurze), choć technicznie są to też dane osobowe.

Łańcuch odpowiedzialności: klient – freelancer – podwykonawca – chmura

Przetwarzanie danych rzadko odbywa się w prostym układzie „ja i klient”. W praktyce wygląda to częściej tak:

• klient (administrator pierwotny) – np. sklep internetowy, gabinet lekarski, kancelaria,
• freelancer lub mała firma (podmiot przetwarzający lub odrębny administrator – zależnie od relacji),
• podwykonawcy freelancera (kolejny procesor, np. montażysta wideo, tłumacz),
• dostawca chmury (procesor dla freelancera lub dla klienta – znów zależy od umów).

Przykład: mała firma księgowa obsługuje sklep internetowy. Sklep jest administratorem danych klientów, księgowa jest procesorem, a dostawca chmury, w której księgowa trzyma dokumenty, jest podprocesorem. Księgowa powinna mieć umowę powierzenia z właścicielem sklepu oraz osobną umowę z dostawcą chmury.

Jeśli grafik-freelancer przyjmuje dane klientów bez ścisłych wytycznych, może być odrębnym administratorem (ma własne cele przetwarzania: portfolia, rozliczenia, archiwum). Wtedy jego relacja z dostawcą chmury to klasyczny układ administrator–procesor, a relacja z klientem wymaga odpowiedniego uregulowania w umowie.

Praktyczne przykłady danych w chmurze

Grafik-freelancer przechowuje w chmurze:

• pliki robocze (PSD, AI) z logotypami i nazwami marek,
• maile z danymi kontaktowymi klientów,
• umowy w PDF z danymi osobowymi osób reprezentujących firmę,
• czasem zdjęcia pracowników klienta z imionami i nazwiskami (np. zdjęcia do identyfikatorów).

Ryzyko wrażliwych danych jest mniejsze, ale nadal istnieje ryzyko naruszenia poufności danych biznesowych i wizerunku osób.

Małe biuro księgowe w chmurze przechowuje:

• deklaracje podatkowe z PESEL-ami i NIP-ami,
• listy płac z informacjami o wynagrodzeniach,
• czasem dane o chorobach (L4), składkach, zajęciach komorniczych,
• dane pracowników wielu klientów naraz.

Tutaj poziom ryzyka jest dużo wyższy. Dostawca chmury powinien oferować zaawansowane funkcje bezpieczeństwa, jasne zapisy o lokalizacji danych i wsparcie w obszarze RODO, bo konsekwencje wycieku są znacznie poważniejsze.

Najpopularniejsze typy usług chmurowych i ich ryzyka pod kątem RODO

Chmura na pliki, pakiety biurowe, backup, CRM, fakturowanie

Małe firmy i freelancerzy najczęściej korzystają z kilku typów usług chmurowych równocześnie. Każda kategoria niesie inne ryzyka:

• chmura plikowa (storage) – synchronizacja i przechowywanie plików, foldery współdzielone, linki do pobrania; ryzyko: niekontrolowane udostępnienia, brak szyfrowania, publiczne linki,
• pakiety biurowe online – dokumenty, arkusze, prezentacje edytowane w przeglądarce; ryzyko: duża ilość danych osobowych w dokumentach współdzielonych, edycja przez wiele osób,
• backup w chmurze – kopie bezpieczeństwa komputerów i serwerów; ryzyko: nieświadome kopiowanie wrażliwych danych bez odpowiedniego szyfrowania,
• CRM – bazy klientów, leady, notatki ze spotkań, maile; ryzyko: centralne miejsce przetwarzania danych osobowych, często też dane o preferencjach i historii transakcji,
• systemy fakturowania online – dane kontrahentów, numery NIP, czasem adresy prywatne; ryzyko: nie tylko RODO, ale też tajemnica skarbowa, sprzedażowa.

Najwyższe ryzyko z perspektywy RODO generują systemy CRM oraz aplikacje branżowe (medyczne, HR, księgowe), bo obsługują duże ilości danych osobowych, w tym wrażliwych. Chmura plikowa czy backup może wydawać się „mniej wrażliwa”, ale często to tam trafiają skany umów, listy płac czy pliki eksportowane z systemów branżowych.

Public cloud, private cloud i hybryda – co to zmienia dla małych

Public cloud to usługi dostępne przez internet dla wielu klientów (np. popularne narzędzia biurowe, dyski sieciowe, CRM-y online). To najczęstszy wybór dla freelancerów i małych firm, bo nie wymaga własnej infrastruktury. Ryzyko: współdzielenie zasobów, ograniczona kontrola nad lokalizacją danych, uzależnienie od standardowych warunków usługodawcy.

Private cloud to chmura wydzielona dla jednej organizacji, często w formie dedykowanych serwerów lub infrastruktury. Dla mikrofirmy to rzadkie rozwiązanie – kosztowne i trudne w utrzymaniu. Uzasadnia się dopiero przy dużej skali lub wyjątkowo wrażliwych danych.

Chmura hybrydowa i model „dane podzielone”

Małe firmy coraz częściej mieszają kilka typów chmury, nawet jeśli nie nazywają tego „hybrydą” w prezentacjach. W praktyce oznacza to używanie różnych dostawców do różnych klas danych:

• tania chmura publiczna do plików roboczych,
• bezpieczniejsza (czasem droższa) usługa do danych księgowych lub kadrowych,
• rozwiązanie „on‑premise” lub NAS w biurze do najbardziej wrażliwych danych.

Taki podział zmniejsza koszty, bo nie płacisz za najwyższy poziom bezpieczeństwa dla każdego pliku z grafiką czy notatkami. Jednocześnie najwrażliwsze dane dostają lepszą ochronę i bardziej przewidywalną lokalizację (np. backup na fizycznym serwerze w biurze plus zaszyfrowana kopia w chmurze europejskiej).

Prosty, ale skuteczny schemat dla małej firmy lub freelancera:

1. ustal, które dane są „krytyczne” (księgowość, kadry, dane medyczne, projekty z danymi klientów końcowych),
2. dla nich wybierz chmurę z jasnymi zapisami RODO, najlepiej z centrami danych w UE i opcją szyfrowania po stronie klienta,
3. resztę – pliki robocze, materiały marketingowe – trzymaj w tańszej lub wygodniejszej chmurze, ale z podstawowymi zabezpieczeniami (MFA, logi, sensowne uprawnienia).

Dla części firm wystarczy nawet prosta kombinacja: NAS w biurze jako główne repozytorium plus jedna solidna chmura na kopie najważniejszych dokumentów. Kosztowo często wychodzi taniej niż migrowanie całego życia firmy do „premium” chmury z górnej półki.

Kryteria porównania usług chmurowych z perspektywy RODO i prywatności

Gdzie leżą dane: lokalizacja, transfery poza EOG i praktyka dostawcy

Przy wyborze chmury warstwa marketingu zwykle mówi: „bezpiecznie”, „zgodnie z RODO”. Dopiero w dokumentacji wychodzi, gdzie tak naprawdę leżą dane i kto może mieć do nich dostęp.

Podstawowe pytania do dostawcy:

• lokalizacja danych – czy możesz wybrać region (np. „tylko UE”)? Czy dane mogą być kopiowane do USA lub innych państw trzecich?
• podstawa transferu – jeśli dane wyjeżdżają poza EOG, na jakiej podstawie prawnej (standardowe klauzule umowne, decyzja Komisji, inne środki)?
• podwykonawcy i łańcuch przetwarzania – czy jest jawna lista subprocesorów, jak często bywa aktualizowana, czy masz prawo sprzeciwu?

Dla freelancera tworzącego grafiki dla lokalnych firm ryzyko transferu danych poza UE będzie mniejsze niż dla gabinetu psychologicznego trzymającego dokumentację pacjentów. W obu przypadkach trzeba jednak wiedzieć, czy dane nie lądują w krajach z słabszą ochroną prawną i czy da się to ograniczyć umownie (np. wybierając tylko centra danych w UE).

Umowa powierzenia danych (DPA) i dokumentacja RODO

Dostarczanie usługi chmurowej to przetwarzanie danych w imieniu administratora. Z perspektywy RODO konieczna jest umowa powierzenia danych (często nazywana DPA – Data Processing Agreement). Dobrze, jeśli:

• jest dostępna z poziomu panelu klienta lub strony WWW bez wymiany maili z działem handlowym,
• opisuje dokładnie zakres i cel przetwarzania (np. „przechowywanie i backup plików klientów w celu świadczenia usługi X”),
• wymienia środki bezpieczeństwa technicznego i organizacyjnego (szyfrowanie, kontrola dostępu, logi, procedury reagowania na incydenty),
• reguluje kwestię podwykonawców oraz obowiązek informowania o ich zmianie,
• zawiera zasady eksportu danych, ich usunięcia i zwrotu po zakończeniu umowy.

Przy usługach tanich i masowych często dostajesz gotową DPA, bez możliwości negocjacji. Kluczowe jest wtedy, żeby w ogóle była – i żeby odnosiła się do konkretnej usługi, z której korzystasz. Jeśli dostawca unika tematu powierzenia, to sygnał ostrzegawczy, nawet przy niskich cenach.

Bezpieczeństwo techniczne: szyfrowanie, logi, dostęp

Od strony praktycznej sensowne minimum obejmuje kilka elementów, które można szybko zweryfikować w specyfikacji:

• szyfrowanie w tranzycie – połączenia https/TLS do panelu i API to dziś standard, brak takiego zabezpieczenia dyskwalifikuje usługę,
• szyfrowanie danych „w spoczynku” – dane na serwerach dostawcy są zaszyfrowane, dzięki czemu fizyczna kradzież nośników nie ujawni treści,
• możliwość szyfrowania po stronie klienta – w niektórych scenariuszach (np. dokumentacja medyczna, poufne projekty) sensowne jest zaszyfrowanie części plików jeszcze przed wysłaniem do chmury, tak by dostawca widział tylko zaszyfrowane bloki,
• uwierzytelnianie wieloskładnikowe (MFA) – logowanie tylko hasłem to proszenie się o problem; brak MFA przy usłudze B2B to niepotrzebne ryzyko,
• logi i historia działań – kto się logował, skąd, co pobierał, co usuwał; bez logów trudno rozliczyć incydenty i udowodnić należytą staranność.

Dla jednoosobowej działalności nie zawsze potrzebny jest rozbudowany SIEM i zespół SOC. W praktyce największy efekt przy małym koszcie daje połączenie: MFA dla kont, unikanie współdzielenia loginów, sensowna polityka haseł i włączone logi aktywności w panelu chmury.

Funkcje przydatne z perspektywy RODO

Same szyfrowanie i lokalizacja to nie wszystko. RODO wymaga także obsługi praw osób, których dane dotyczą, oraz kontroli nad cyklem życia danych. Pod tym kątem przydają się:

• tagowanie i klasyfikacja danych – nawet proste etykiety („dane osobowe”, „kadry”, „marketing”) pomagają później znaleźć dane do usunięcia lub eksportu,
• możliwość eksportu danych – pobranie pełnej kopii, np. bazy CRM czy dokumentacji klienta, aby zrealizować prawo do przenoszenia danych,
• mechanizmy retencji – automatyczne usuwanie starych danych, które nie są już potrzebne, z możliwością konfiguracji okresów (np. 6 miesięcy, 5 lat),
• uprawnienia granularne – różne poziomy dostępu w zespole, odczyt/edycja, blokada pobierania plików; w 2–3-osobowej firmie też działa to lepiej niż jedno konto „szefa” dla wszystkich,
• funkcje „legal hold” – w wybranych systemach (np. poczta, dokumenty) możliwość zamrożenia danych na czas sporu lub kontroli, by nic nie zostało przypadkiem usunięte.

W małych biznesach często wystarczy, że dostawca umożliwia eksport danych w czytelnym formacie (CSV, PDF, JSON) i ma jasne reguły retencji. Resztę – np. politykę usuwania starych plików – można wdrożyć po swojej stronie procedurą, choćby prostą checklistą raz na kwartał.

Transparentność, audyty i certyfikaty – ile to naprawdę znaczy

Przy porównywaniu ofert pojawiają się logotypy ISO, SOC, czasem referencje z dużych korporacji. To pomaga, ale nie zwalnia z myślenia:

• certyfikaty (np. ISO 27001, ISO 27701) pokazują, że dostawca wdrożył formalny system zarządzania bezpieczeństwem i ochroną danych,
• raporty z audytów (SOC 2, raporty z testów penetracyjnych) potwierdzają, że ktoś z zewnątrz spojrzał na system,
• raporty przejrzystości – informują, jak często dostawca odpowiada na żądania organów ścigania, z jakich krajów przychodzą wnioski.

Dla większości mikrofirm nie ma sensu zamawiać własnych audytów u zewnętrznych firm – to koszt przekraczający korzyści. Zazwyczaj wystarczy sprawdzić, czy dostawca:

• publikuje aktualną listę certyfikatów,
• przynajmniej opisuje standardy bezpieczeństwa, zamiast ograniczać się do sloganu „nasza chmura jest bezpieczna”,
• ma jasną politykę zgłaszania naruszeń (SLA, kanały kontaktu, czas reakcji).

Porównanie kategorii usług chmurowych dla firm i freelancerów

Chmury „ogólne” vs. chmury branżowe

Usługi chmurowe można podzielić na dwie szerokie grupy: uniwersalne (dysk, poczta, pakiet biurowy) oraz wyspecjalizowane (medyczne, księgowe, HR, prawnicze). Każda grupa ma inne plusy i minusy pod kątem RODO.

Chmury ogólne (np. dyski i pakiety biurowe):

• są tanie lub freemium,
• zapewniają dobry stosunek funkcji do ceny,
• są dobrze udokumentowane i rozwijane, bo korzysta z nich masa użytkowników,
• często trudniej w nich precyzyjnie odróżnić dane prywatne od biznesowych, co utrudnia spełnienie części obowiązków RODO (np. retencja).

Chmury branżowe (np. system dla gabinetów, biur rachunkowych, kancelarii):

• mają funkcje dostosowane do konkretnej branży (np. obsługa dokumentacji medycznej, moduły kadr i płac),
• zazwyczaj lepiej adresują wymagania regulacyjne poza RODO (prawo podatkowe, medyczne, rachunkowe),
• są droższe i często „przywiązują” do dostawcy – trudniej przenieść dane gdzie indziej,
• czasem wyglądają staroświecko lub mają uboższy UX w porównaniu z ogólnymi narzędziami.

Dla freelancera grafik czy copywriter często wystarczy uniwersalna chmura plikowa + fakturowanie online. Biuro księgowe, gabinet psychologiczny czy podmiot leczniczy powinny jednak rozważyć wyspecjalizowane chmury branżowe, bo tam ryzyka RODO i regulacyjne są zwykle lepiej „osadzone” w funkcjach systemu.

SaaS vs. własny serwer/NAS – realne koszty i obowiązki

Wielu właścicieli małych firm rozważa postawienie własnego serwera lub NAS z dostępem zdalnym jako bezpieczniejszą alternatywę dla chmury publicznej. Z perspektywy RODO to jednak przesunięcie odpowiedzialności:

• przy SaaS (gotowa usługa online) część obowiązków technicznych leży po stronie dostawcy – jego administratorów, procedur, zabezpieczeń,
• przy własnym serwerze/NAS to ty jesteś w pełni odpowiedzialny za aktualizacje, konfigurację, kopie zapasowe, firewall, monitoring.

Gdy nie ma w firmie osoby technicznej, a aktualizacje systemu kończą się na kliknięciu „przypomnij później”, własny serwer staje się źródłem większego ryzyka niż rozsądnie dobrany SaaS. Z kolei dla firmy mającej informatyka (choćby na część etatu) i bardzo wrażliwe dane, NAS połączony z prostą chmurą na zaszyfrowane backupy potrafi być kompromisem między kontrolą a ceną.

Chmury „zero‑knowledge” i silne szyfrowanie po stronie klienta

W niektórych branżach (np. usługi prawnicze, doradztwo strategiczne, psychoterapia online) pojawia się potrzeba, aby nawet dostawca chmury nie mógł odczytać danych. Z pomocą przychodzą rozwiązania:

• „zero‑knowledge” – dostawca przechowuje zaszyfrowane dane, ale nie ma dostępu do kluczy,
• klienckie szyfrowanie folderów/plików przed wysłaniem do dowolnej chmury.

Minusem jest wyższa złożoność obsługi i ryzyko utraty dostępu przy zgubieniu hasła głównego. Przy ograniczonym budżecie sensowny scenariusz wygląda tak: najwrażliwsze pliki (np. dokumentacja medyczna, szczegółowe raporty finansowe) szyfrujesz lokalnie i wysyłasz do chmury lub na tani storage, a reszta ląduje w zwykłej chmurze z MFA. Wysiłek rośnie tylko dla niewielkiej części danych.

Koszt vs. poziom RODO – kiedy „darmowe” wychodzi drogo

Gratisowe konta chmurowe kuszą prostotą: darmowy dysk, darmowe narzędzia biurowe, „bez limitu czasu”. Problem zaczyna się, gdy w regulaminie znajdzie się np. zgoda na wykorzystywanie metadanych do celów marketingowych albo brak jakichkolwiek zapisów o powierzeniu danych.

Przy działalności gospodarczej argument „jest za darmo” często nie wytrzymuje zderzenia z realnym ryzykiem: wyciek bazy klientów, brak możliwości odzyskania skasowanych danych, brak reakcji na incydent. W praktyce:

• dla działalności zarobkowej sensowniej jest przejść na płatny, biznesowy plan chmury (nawet tani), który zawiera DPA i podstawowe wsparcie,
• darmowe konta zostawić na dane prywatne lub testowe, nie związane z klientami.

Pod kątem kosztu rocznego różnica między rozsądnym planem biznesowym a kombinacją kilku darmowych usług jest często mniejsza, niż się wydaje, szczególnie jeśli zliczy się czas tracony na obchodzenie ograniczeń „free tierów”.

Różne potrzeby: freelancer, mikroprzedsiębiorca, mała firma

Freelancer: minimalizm, bezpieczeństwo konta i prostota

Mikroprzedsiębiorca: pierwsze procesy, mały zespół, więcej danych klientów

Gdy z