Veebilehe majutus Euroopas: jõudlus ja vastavus nõuetele

„Meie veebileht peab olema majutatud Euroopas.“ Seda nõuet kuuleme sageli, ja see on õigustatud. Ometi segab see kaht küsimust, mida ei lahendata ühtmoodi: kus hoitakse külastajate isikuandmeid, mis on vastavuse küsimus, ja kust lehti serveeritakse, mis on kiiruse küsimus. Staatilise veebilehe eelis on, et see lahutab need selgelt. See artikkel käsitleb neid ükshaaval. Kui teie praegune veebileht käivitab igal külastusel veel koodi, selgitab meie juhend Astroga staatilisele veebilehele üleminekuks, mida see muutus lihtsustab.

Lühidalt

• GDPR ei nõua majutamist Euroopas: see reguleerib isikuandmete edastamist väljapoole liitu.
• Raamistik, mis praegu lubab edastamist Ameerika Ühendriikidesse, kinnitati 2025. aastal, kuid see on kaebuse objekt ja selle kaks eelkäijat tunnistati kehtetuks.
• Staatilise veebilehe lehtedel ei ole isikuandmeid: kõik otsustatakse vormis, külastatavuse mõõtmises ja kolmandate osapoolte ressurssides.
• Kiirus sõltub külastaja ja serveri vahelisest kaugusest: sisuedastusvõrk lahendab selle, nii Euroopas kui mujal.
• Majutaja valimine tähendab küsida, kus andmed asuvad, millise õiguse alusel ta tegutseb ja kuidas temast lahkuda.

Kaks küsimust, mitte üks

Veebileht, mis koostab oma lehed igal külastusel, segab mõlemat: andmebaas, kus on lehed, sisaldab ka kontosid, kommentaare ja sageli päringuid. Staatiline veebileht lahutab: lehed on failid ilma ühegi isikuandmeta, mida saab serveerida ükskõik kust, ja andmed on olemas ainult neis vähestes kohtades, kus külastaja midagi teeb.

Mida ütleb õigus

GDPR ei sisalda mingit kohustust majutada Euroopas. Selle V peatükk reguleerib isikuandmete edastamist väljapoole Euroopa Majanduspiirkonda: see on lubatud riiki, mille kaitsetase on tunnistatud piisavaks, või asjakohaste kaitsemeetmetega, näiteks lepingute tüüptingimustega. Ameerika Ühendriikide puhul on see raamistik kolm korda muutunud, nagu tuletab meelde Euroopa Liidu Kohtu 3. septembri 2025 pressiteade:

1. Oktoober 2015

   Euroopa Kohus tunnistab kehtetuks esimese Ameerika Ühendriikidesse edastamise raamistiku (kohtuotsus Schrems I).

2. 16. juuli 2020

   Kohus tunnistab kehtetuks teise, „Privacy Shieldi“ (kohtuotsus Schrems II), kuid kinnitab lepingute tüüptingimused.

3. 10. juuli 2023

   Komisjon võtab vastu uue kaitse piisavuse otsuse, „Data Privacy Frameworki“.

4. 3. september 2025

   Üldkohus jätab rahuldamata ühe Prantsuse parlamendiliikme hagi selle otsuse vastu.

5. 31. oktoober 2025

   Parlamendiliige esitab Euroopa Kohtule apellatsioonkaebuse.

Selle artikli kirjutamise ajal on edastamine selles raamistikus sertifitseeritud USA ettevõttele seega seaduslik. Kronoloogia allikad: kohtuotsus Schrems II, komisjoni otsus ja 31. oktoobril 2025 esitatud apellatsioonkaebus. Ettevõttele, kes ei soovi sõltuda kaebuse tulemusest, jääb isikuandmete hoidmine Euroopas Euroopa teenusepakkuja juures kõige lihtsamini selgitatavaks vastuseks.

Tekib ka teine küsimus: USA majutaja, kes hoiab teie andmeid Euroopa andmekeskuses. USA justiitsministeerium selgitab oma CLOUD Acti käsitlevas dokumendis, et USA õigusele alluv teenusepakkuja peab kehtiva menetluse alusel välja andma andmed, mida ta kontrollib, olenemata sellest, kus ta neid hoiab. Sama dokument tuletab meelde, et paljudel riikidel on oma jurisdiktsiooni ettevõtete jaoks sarnased reeglid. Andmete asukoht ja majutaja rahvus on seega kaks eri kriteeriumi ning valik nende vahel sõltub teie klientidest ja valdkonnast. Meie artikkel Euroopa sõltuvusest Ameerika pilvest laiendab küsimust teie ülejäänud tööriistadele.

Kus veebilehe isikuandmed tegelikult asuvad

Staatilisel veebilehel liiguvad isikuandmed läbi mõne punkti, alati samade:

1. 01Vorm.

   Iga päring sisaldab nime, e-posti aadressi ja sageli telefoninumbrit. Need on veebilehe kõige tundlikumad andmed ja ainsad, mida säilitatakse.

2. 02Külastatavuse mõõtmine.

   Olenevalt tööriistast loeb see IP-aadressi, paigaldab küpsiseid ja saadab andmed oma teenusepakkujale.

3. 03Kolmandate osapoolte ressursid.

   Teiselt domeenilt laaditud font, video või kaart edastab külastaja IP-aadressi sellele domeenile.

4. 04Logid.

   Majutaja ja sisuedastusvõrk salvestavad päringud, IP-aadressid kaasa arvatud, nende endi määratud ajaks.

Punkt 3 ununeb kõige sagedamini ja kohus on selle eest juba karistanud: jaanuaris 2022 mõistis Müncheni maakohus veebilehe haldajalt välja külastaja kasuks 100 eurot kahjuhüvitist, sest Google’i serveritest laaditud fondid edastasid tema IP-aadressi ilma tema nõusolekuta. Fontide serveerimine oma veebilehelt kõrvaldab probleemi ilma kuva muutmata.

Mida me sellel veebilehel teeme

Seda veebilehte serveerib USA ettevõte Cloudflare oma ülemaailmsest võrgust. See valik peab vett, sest lehtedel ei ole isikuandmeid. Cloudflare’i võrk näeb, nagu iga majutaja, külastajate IP-aadresse oma logides; see aga, mida veebileht ise säilitab, jääb Euroopasse:

• vormi päringud salvestatakse Euroopa jurisdiktsioonipiiranguga hoidlasse, mida Cloudflare’i dokumentatsioon kirjeldab garantiina, et objekte hoitakse liidus, ja mida ei saa pärast hoidla loomist enam muuta;
• fonte serveerib veebileht ise, ilma kolmanda osapoole teenust välja kutsumata;
• külastatavuse mõõtmine käib veel Google Analyticsi kaudu: selle asendamine küpsisteta tööriistaga on meie tehnilise võla loendis.

Päringute salvestamise mehhanismi selgitab meie artikkel vormidest ja otsingust staatilisel veebilehel.

Mida kaugus kiiruse juures muudab

Laadimiskiirus sõltub osaliselt kaugusest: päring, mis ületab mandri, võtab kauem aega kui päring, mis jääb samasse linna. Euroopa publiku jaoks on server Euroopas seega hästi paigutatud. Ülemaailmse publiku jaoks aeglustab üksainus server, kus iganes see asub, osa külastajaid.

Siin aitab staatiline veebileht: selle lehed on kõigile ühesugused failid, mida sisuedastusvõrk kopeerib kümnetesse punktidesse ja serveerib külastajale lähimast. Kiirust mõõdetakse seejärel lehekaupa Google’i avaldatud lävedega, mida selgitab meie artikkel Core Web Vitalsist juhi jaoks.

Kolm võimalikku lahendust

• Kõik Euroopas. Euroopa majutaja, edastus Euroopast, vorm ja külastatavuse mõõtmine majutatud Euroopas. Kõige lihtsam kliendile või avaliku sektori hankijale selgitada; seda võimaldavad teiste seas näiteks OVHcloud, Scaleway, Hetzner või Infomaniak.
• Lehed ülemaailmses võrgus, andmed Euroopas. Selle veebilehe lahendus: kiirus kõikjal ja veebilehe säilitatavad andmed liidus hoitud.
• Oma server Euroopas. Veebilehele, mis on seotud selles serveris juba majutatud äriliste rakendustega. Ülemaailmne edastus ja hooldus muutuvad taas teie asjaks, nagu selgitab meie võrdlus Cloudflare, Netlify või VPS.

Küsimused, mida majutajale esitada

1. Kus andmeid hoitakse ja kas seda saab lepinguga tagada? Mitte ainult faile: ka logisid, varukoopiaid, vormi andmeid.
2. Millise õiguse alusel ettevõte tegutseb? Asukoht, emaettevõte ja mida see tähendab ametiasutuste päringute puhul.
3. Millised volitatud töötlejad on kaasatud? GDPR artikkel 28 nõuab volitatud töötleja lepingut ja edasiste volitatud töötlejate eelnevat heakskiitu: küsige loendit.
4. Kui kaua logisid säilitatakse? IP-aadressidega on need isikuandmed.
5. Kuidas lahkuda? Staatiline veebileht kolib kausta kopeerimisega; vormi andmed peavad saama kaasa tulla.

Ülejäänud töö

Majutus on vaid üks osa. Mitmekeelne veebileht teenindab mitut publikut samast lahendusest (üks keel, üks aadress). Vorm on ka plokk, mis muudab külastuse päringuks (esitlusveebilehe viis plokki). Majutaja vahetus õnnestub kadudeta, kui 301-ümbersuunamised ja aadressid jäävad samaks, ning sellega kaasnev uuendus sorteerib olemasoleva (millised lehed hoida, liita, kustutada). Aastane kulu sõltub lahendusest (palju maksab ettevõtte veebileht), WordPress lisab oma kaitset vajavad andmed (miks WordPressi veebilehte häkitakse) ning ka sisuhaldur hoiab kuskil andmeid (Astro ja Sanity headless-lahendusena või Markdown hoidlas või CMS). Ligipääsetavuse kohustus kehtib olenemata majutajast (mida muudab 2025. aasta kohustus), nagu ka küsimus, kas tuleb öelda, et teksti kirjutas tehisintellekt.

Meie kaks veebilehepakkumist jätavad lahenduse valiku teie teha: esitlusveebileht, et alustada nullist, ja üleminek staatilisele veebilehele, et loobuda majutusest, mis käivitab igal külastusel koodi, aadresse säilitades.

Korduma kippuvad küsimused

Allikad

1. Euroopa Liidu Kohus, pressiteade nr 106/25, 3. september 2025 (uus vahekaart)curia.europa.eu
2. Euroopa Liidu Kohus, pressiteade nr 91/20, 16. juuli 2020 (uus vahekaart)curia.europa.eu
3. Euroopa Komisjon, pressiteade 10. juulist 2023 (uus vahekaart)ec.europa.eu
4. WilmerHale, detsember 2025 (uus vahekaart)wilmerhale.com
5. USA justiitsministeerium, The Purpose and Impact of the CLOUD Act, aprill 2019 (uus vahekaart)justice.gov
6. IHK Bergische Region, LG München I otsus 20. jaanuarist 2022 (uus vahekaart)ihk.de
7. Cloudflare R2, andmete asukoht (uus vahekaart)developers.cloudflare.com