Stručně: Pokud IT dodavatel přistupuje na servery, na nichž jsou osobní údaje, je zpravidla nutná smlouva o zpracování osobních údajů (AVV) podle čl. 28 GDPR. Stanoví, že dodavatel jedná jen podle pokynů, zachovává mlčenlivost, přijímá přiměřená bezpečnostní opatření, další partnery zapojuje jen s povolením a porušení zabezpečení údajů hlásí bez zbytečného odkladu. Smlouvu uzavřete dříve, než nastane krize. Tato stránka je obecná informace a není právním poradenstvím.
Když to musí jít rychle, smlouva často chybí
V týdnu po PHP2Shell si mnoho firem krátkodobě obstaralo externí pomoc. Administrátor měl aktualizovat PHP, agentura restartovat procesy, forenzní tým zkontrolovat logy. Externí osoby k tomu dostaly přístup na servery, na nichž leží účty zákazníků, objednávky a data z formulářů. Otázka, na jakém právním základě z hlediska ochrany osobních údajů se to dělo, vyvstala často až potom.
To je pochopitelné, protože v krizi se počítá tempo. Je to ale předcházitelné. Několika přípravami lze obojí spojit: rychlou pomoc a čistý základ.
Kdy je smlouva o zpracování s IT dodavatelem nutná
Zpracování osobních údajů jménem správce nastává, když dodavatel zpracovává osobní údaje jménem a podle pokynů správce. U webserverů k tomu často stačí už možnost přístupu: kdo pracuje na serveru s právy root, může číst databázi s daty zákazníků, i když to nemá v úmyslu.
Typické situace s přístupem na server jsou:
- průběžná údržba a aktualizace agenturou nebo systémovým domem,
- provoz serveru poskytovatelem hostingu se spravovanými službami,
- nouzová pomoc, vyčištění a obnova po útoku,
- forenzní vyšetření s kopiemi datových nosičů a logů,
- monitoring, při němž data logů proudí k dodavateli.
Počítají se i krátké zásahy. Vzdálená relace se sdílením obrazovky, při níž technik jen „krátce nahlédne“, mu může ukázat data zákazníků. Export databáze zaslaný pro hledání chyb e-mailem je předání. Právě takové příležitosti probíhají často bez základu, protože se nevnímají jako projekt.
Zda jde v konkrétním případě o zpracování osobních údajů, nebo o jinou konstelaci, posuzuje váš pověřenec pro ochranu osobních údajů. Důležité je položit si tu otázku vůbec, dříve než se přidělí přístupy.
Co vyžaduje čl. 28 GDPR ve smlouvě
Čl. 28 odst. 3 GDPR uvádí povinný obsah. Vedle předmětu, doby trvání, povahy a účelu zpracování, druhů údajů a kategorií subjektů údajů se musí zpracovatel mimo jiné zavázat k následujícím bodům. Pravý sloupec ukazuje, co to prakticky znamená u přístupů na servery.
| Povinnost podle čl. 28 odst. 3 | Praktický význam při přístupu na server |
|---|---|
| a) zpracování jen na základě zdokumentovaných pokynů | zakázka písemně, například přes ticket: co přesně se má udělat |
| b) mlčenlivost zapojených osob | přístup dostanou jen zavázané, jmenovitě známé osoby |
| c) opatření podle čl. 32 | osobní účty, dvoufázové ověření, šifrovaná spojení |
| d) podmínky pro další zpracovatele | forenzní nebo hostingoví partneři jen s povolením |
| e) podpora při právech subjektů údajů | součinnost, pokud se žádost o informace nebo výmaz týká serveru |
| f) podpora při čl. 32 až 36 | součinnost při zabezpečení, oznamování a posouzení vlivu |
| g) výmaz nebo vrácení po skončení | kopie, obrazy a exporty se smažou nebo vrátí |
| h) doklady a kontroly | protokoly přístupů, informace o opatřeních |
Čl. 33 odst. 2 GDPR navíc vyžaduje, aby zpracovatel porušení zabezpečení údajů, o němž se dozví, bez zbytečného odkladu oznámil správci. U dodavatele, který právě vyšetřuje kompromitovaný server, to není formalita: je často prvním, kdo uvidí náznaky úniku dat. Lhůtu a další průběh oznámení dozorovému úřadu vysvětluje Oznamovací povinnost podle GDPR: 72 hodin po incidentu.
Organizace přístupů v souladu s ochranou údajů
Podepsaná smlouva je základ. Zda se sliby dodržují, se rozhoduje v každodenní praxi. Tyto kroky se osvědčily:
- Vlastní, osobní přístupy pro každou osobu dodavatele, nikdy sdílené administrátorské účty. Jak je zabezpečit, stojí v článku Dvoufázové ověření pro administrátorské přístupy.
- Časově omezit: přístupy pro jeden zásah po skončení deaktivovat, trvalé účty pravidelně kontrolovat.
- Protokolovat: přihlášení a příkazy účtů dodavatele zaznamenávat, aby zůstalo dohledatelné, kdo co udělal.
- Pracovat šetrně k datům: pro analýzy kopírovat jen nutná data, kopie ukládat šifrovaně, zaznamenat místo uložení a datum výmazu.
- Zdokumentovat ukončení: přístupy odebrány, kopie smazány nebo předány, potvrzení písemně.
Forenzní vyšetření často vytváří úplné obrazy serverů včetně všech dat zákazníků. Předem upravte, kde takové obrazy leží, kdo k nim přistupuje a kdy se smažou, aniž by bylo ohroženo zajištění důkazů.
Smlouvu o zpracování uzavřít před krizí
Nejlepší okamžik pro smlouvu o zpracování je klidný den. Jmenujte dodavatele, kteří mají v krizi zasahovat, tedy poskytovatele hostingu, agenturu a případně tým pro řešení incidentů a forenzní analýzu, a smlouvy s nimi uzavřete předem. Zachyťte přitom také, jaké další partnery smí dodavatel zapojit.
Podepsané smlouvy uložte tam, kde leží krizový plán, a v seznamu kontaktů poznamenejte, s kým smlouva o zpracování existuje. Ostatní bezpečnostní povinnosti, například lhůty aktualizací a doklady, patří do smlouvy o plnění; více v článku Smlouvy s IT dodavateli: jasně upravit bezpečnostní povinnosti. Pro všechny právní otázky jsou správnými kontakty váš pověřenec pro ochranu osobních údajů a advokát.
Jak konkrétně pomáhá PHP SOS?
- Před prvním přístupem vyjasníme, jaká data na dotčených systémech leží, a rámec odsouhlasíme s vaším pověřencem pro ochranu osobních údajů.
- Pracujeme s osobními, protokolovanými přístupy a každý zásah srozumitelně dokumentujeme.
- Jmenujeme specializované partnery, které bychom například pro IT forenzní analýzu zapojili, abyste se mohli rozhodnout předem.
- Po dokončení reakce na incident písemně potvrdíme odebrání přístupů a výmaz nebo předání všech kopií.
Závěr: Ochrana osobních údajů a rychlá pomoc se nevylučují, pokud je základ připraven předem. Smlouva o zpracování s dodavateli pro krizový případ patří do každé krizové prevence. Tato stránka je obecná informace a není právním poradenstvím.
Časté dotazy
Je každá vzdálená správa zpracováním osobních údajů?
Ne automaticky. Rozhodující je, zda dodavatel osobní údaje zpracovává jménem správce nebo k nim může mít přístup. U webserverů s účty zákazníků, objednávkami nebo formuláři to platí zpravidla. Zařazení v jednotlivém případě provede váš pověřenec pro ochranu osobních údajů.
Mohu smlouvu o zpracování uzavřít ještě během incidentu?
Možné to je, ale pod časovým tlakem často chybí klid na kontrolu. Lepší je uzavřít smlouvu předem s dodavateli, kteří mají v krizi zasahovat. Práce pak může začít okamžitě.
Musí mě dodavatel informovat, když zjistí porušení zabezpečení osobních údajů?
Ano. Podle čl. 33 odst. 2 GDPR zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvěděl. Oznámení dozorovému úřadu zůstává věcí správce.
Smí dodavatel přibrat další partnery, například pro forenzní analýzu?
Podle čl. 28 odst. 2 GDPR jen s předchozím písemným povolením správce, které lze udělit jednotlivě nebo obecně. U obecného povolení musí dodavatel informovat o změnách, abyste mohli vznést námitku.