Накратко: Ако ИТ доставчик има достъп до сървъри, на които има лични данни, по правило е необходим договор за обработване на данни по поръчка (AVV) по чл. 28 от ОРЗД. Той определя, че доставчикът действа само по указание, пази поверителност, взема подходящи мерки за сигурност, включва други партньори само с разрешение и съобщава за нарушения на сигурността на данните без ненужно забавяне. Сключете споразумението, преди да настъпи спешният случай. Тази страница е обща информация и не е правна консултация.
Когато трябва да е бързо, често липсва договорът
В седмицата след PHP2Shell много фирми потърсиха краткосрочно външна помощ. Един администратор трябваше да актуализира PHP, една агенция да рестартира процесите, един екип по форензика да прегледа журналите. За това външни лица получиха достъп до сървъри, на които има клиентски акаунти, поръчки и данни от формуляри. Въпросът на какво правно основание във връзка със защитата на данните е станало това, често се постави едва след това.
Това е разбираемо, защото при спешен случай темпото е важно. Но е избегнимо. С няколко приготовления двете могат да се съчетаят: бърза помощ и чисто основание.
Кога е необходимо споразумение за обработване на данни с ИТ доставчика
Обработване на данни по поръчка има, когато доставчик обработва лични данни по поръчка и по указание на администратор. При уеб сървърите за това често е достатъчна вече самата възможност за достъп: който работи с root права на сървър, може да чете базата данни с клиентски данни, дори да не възнамерява.
Типични ситуации с достъп до сървър са:
- текуща поддръжка и актуализации от агенция или системна къща,
- експлоатация на сървъра от хостинг доставчик с Managed услуги,
- спешна помощ, почистване и възстановяване след атака,
- форензично изследване с копия на носители на данни и журнали,
- мониторинг, при който данни от журнали се изпращат към доставчика.
И кратките ангажименти се броят. Отдалечена сесия със споделяне на екрана, при която техник само „хвърля поглед“, може да му покаже данни на клиенти. Експорт на база данни, изпратен по имейл за търсене на грешка, е предаване. Точно такива случаи често минават без основание, защото не се възприемат като проект.
Дали в конкретния случай има обработване на данни по поръчка или друга констелация, оценява Вашето длъжностно лице по защита на данните. Важно е въпросът изобщо да се зададе, преди да бъдат дадени достъпи.
Какво изисква чл. 28 от ОРЗД в договора
Чл. 28, ал. 3 от ОРЗД назовава задължително съдържание. Наред с предмета, срока, естеството и целта на обработването, видовете данни и категориите субекти на данни, обработващият трябва да се задължи, наред с другото, по следните точки. Дясната колона показва какво означава това практически при достъп до сървър.
| Задължение по чл. 28, ал. 3 | Практическо значение при достъп до сървър |
|---|---|
| a) Обработване само по документирано указание | Поръчка писмено, например чрез билет: какво точно да се направи |
| b) Поверителност на ангажираните лица | достъп получават само задължени, поименно известни лица |
| c) Мерки по чл. 32 | лични акаунти, двуфакторно удостоверяване, шифровани връзки |
| d) Условия за други обработващи | Партньори по форензика или хостинг само с разрешение |
| e) Подкрепа при правата на субектите на данни | Съдействие, когато искане за достъп или изтриване засяга сървъра |
| f) Подкрепа по чл. 32 до 36 | Съдействие за сигурността, уведомяването и оценката на въздействието |
| g) Изтриване или връщане след приключване | Копия, образи и експорти се изтриват или връщат |
| h) Доказателства и проверки | Журнали на достъпите, информация за мерките |
Освен това чл. 33, пар. 2 от ОРЗД изисква обработващият да съобщи без ненужно забавяне на администратора за нарушение на сигурността на данните, за което е узнал. При доставчик, който точно изследва компрометиран сървър, това не е формалност: той често е първият, който вижда признаци за изтичане на данни. Срока и по-нататъшния ход на уведомяването на надзорния орган обяснява Задължение за уведомяване по ОРЗД: 72 часа след инцидента.
Организиране на достъпите в съответствие със защитата на данните
Подписаното споразумение е основата. Дали обещанията се спазват, се решава в ежедневната практика. Тези стъпки са се доказали:
- Собствени, лични достъпи за всяко лице на доставчика, никога споделени админ акаунти. Как да ги защитите, е описано в Двуфакторно удостоверяване за достъпа на администраторите.
- Ограничете във времето: деактивирайте достъпите за един ангажимент след приключване, проверявайте редовно постоянните акаунти.
- Водете журнал: записвайте входовете и командите на акаунтите на доставчика, за да остане проследимо кой какво е направил.
- Работете пестеливо с данни: за анализи копирайте само необходимите данни, съхранявайте копията шифровано, фиксирайте мястото на съхранение и датата на изтриване.
- Документирайте приключването: достъпите са отнети, копията са изтрити или предадени, потвърждение писмено.
Форензичното изследване често създава пълни образи на сървъри, включително всички данни на клиенти. Уредете предварително къде се съхраняват такива образи, кой има достъп до тях и кога се изтриват, без да се застрашава запазването на доказателствата.
Сключване на споразумението преди спешния случай
Най-добрият момент за споразумението за обработване на данни е един спокоен ден. Назовете доставчиците, които трябва да действат при спешен случай, тоест хостинг доставчик, агенция и евентуално екип за обработка на инциденти и форензика, и сключете с тях договорите предварително. Фиксирайте при това и кои други партньори доставчикът може да ползва.
Съхранявайте подписаните договори там, където е планът за спешни случаи, и отбелязвайте в списъка с контакти с кого има сключено споразумение. Останалите задължения за сигурност, например срокове за актуализации и доказателства, принадлежат в договора за услуги; повече по темата има в Договори с ИТ доставчици: ясно уреждане на задълженията за сигурност. За всички правни въпроси Вашето длъжностно лице по защита на данните и адвокат са правилните лица за контакт.
Как помага PHP SOS конкретно?
- Изясняваме преди първия достъп какви данни има на засегнатите системи и съгласуваме рамката с Вашето длъжностно лице по защита на данните.
- Работим с лични, журналирани достъпи и документираме всяка намеса проследимо.
- Назоваваме специализираните партньори, които бихме включили например за ИТ форензика, за да можете да решите предварително.
- След приключване на Incident Response потвърждаваме писмено отнемането на достъпите и изтриването или предаването на всички копия.
Заключение: Защитата на данните и бързата помощ не се изключват, когато основанието е налице предварително. Споразумение за обработване на данни с доставчиците за най-лошия случай принадлежи във всяка подготовка за спешни случаи. Тази страница е обща информация и не е правна консултация.
Често задавани въпроси
Всяка отдалечена поддръжка обработване на данни по поръчка ли е?
Не автоматично. Решаващо е дали доставчикът обработва лични данни по поръчка или може да има достъп до тях. При уеб сървъри с клиентски акаунти, поръчки или формуляри това най-често е така. Класифицирането в конкретния случай прави Вашето длъжностно лице по защита на данните.
Мога ли да сключа споразумение за обработване на данни още по време на инцидент?
Възможно е, но под натиск от времето често липсва спокойствие за проверка. По-добре е да сключите споразумението предварително с доставчиците, които трябва да действат при спешен случай. Тогава работата може да започне веднага.
Трябва ли доставчикът да ме информира, ако забележи нарушение на сигурността на данните?
Да. Според чл. 33, пар. 2 от ОРЗД обработващият лични данни съобщава на администратора без ненужно забавяне за нарушение на сигурността на личните данни, след като е узнал за него. Уведомяването на надзорния орган остава задача на администратора.
Може ли доставчикът да привлича други партньори, например за форензика?
Според чл. 28, пар. 2 от ОРЗД само с предварително писмено разрешение на администратора, което може да бъде дадено конкретно или общо. При общо разрешение доставчикът трябва да информира за промени, за да можете да възразите.