Kort sagt: Tilgår en IT-leverandør servere, hvorpå der ligger personoplysninger, er der som regel brug for en aftale om databehandling (databehandleraftale) efter art. 28 GDPR. Den fastlægger, at leverandøren kun handler efter instruks, bevarer fortroligheden, træffer passende sikkerhedsforanstaltninger, kun inddrager yderligere partnere med godkendelse og straks melder databrud. Indgå databehandleraftalen, før nødsituationen indtræder. Denne side er generel information og ingen retsrådgivning.
Når det skal gå hurtigt, mangler kontrakten ofte
I ugen efter PHP2Shell har mange virksomheder med kort varsel hentet ekstern hjælp. En administrator skulle opdatere PHP, et bureau genstarte processerne, et forensik-team kontrollere logge. Hertil fik eksterne adgang til servere, hvorpå der ligger kundekonti, ordrer og formulardata. Spørgsmålet om, på hvilket databeskyttelsesretligt grundlag det skete, blev ofte først stillet bagefter.
Det er forståeligt, for i en nødsituation tæller tempo. Men det er til at undgå. Med nogle forberedelser kan begge dele forenes: hurtig hjælp og et rent grundlag.
Hvornår en databehandleraftale med IT-leverandøren er nødvendig
Databehandling foreligger, når en leverandør behandler personoplysninger på vegne af og efter instruks fra en dataansvarlig. Ved webservere er ofte allerede muligheden for adgang nok: Den, der arbejder med root-rettigheder på en server, kan læse databasen med kundedata, selv om han ikke har til hensigt det.
Typiske situationer med serveradgang er:
- løbende vedligeholdelse og opdateringer ved bureau eller systemhus,
- drift af serveren hos en hostingudbyder med managed-ydelser,
- nødhjælp, oprydning og gendannelse efter et angreb,
- forensisk undersøgelse med kopier af datamedier og logge,
- overvågning, hvor logdata flyder til leverandøren.
Også korte indsatser tæller. En fjernsession med skærmdeling, hvor en tekniker blot "kigger kort forbi", kan vise ham kundedata. Et databaseeksport, der sendes pr. mail til fejlsøgning, er en videregivelse. Netop sådanne lejligheder forløber ofte uden grundlag, fordi de ikke opfattes som et projekt.
Om der i det konkrete tilfælde foreligger databehandling eller en anden konstellation, vurderer jeres databeskyttelsesrådgiver. Vigtigt er overhovedet at stille spørgsmålet, før adgange gives.
Hvad art. 28 GDPR kræver i kontrakten
Art. 28, stk. 3, GDPR nævner obligatorisk indhold. Ved siden af genstand, varighed, karakter og formål med behandlingen, typer af data og kategorier af registrerede skal databehandleren blandt andet forpligte sig til følgende punkter. Højre spalte viser, hvad det praktisk betyder ved serveradgange.
| Pligt efter art. 28, stk. 3 | Praktisk betydning ved serveradgang |
|---|---|
| a) Behandling kun efter dokumenteret instruks | Ordre skriftligt, f.eks. via ticket: hvad der præcist skal gøres |
| b) Fortrolighed hos de anvendte personer | kun forpligtede, navngivne personer får adgang |
| c) Foranstaltninger efter art. 32 | personlige konti, totrinslogin, krypterede forbindelser |
| d) Betingelser for yderligere databehandlere | forensik- eller hostingpartnere kun med godkendelse |
| e) Bistand ved de registreredes rettigheder | hjælp, når indsigt eller sletning berører serveren |
| f) Bistand ved art. 32 til 36 | medvirken ved sikkerhed, anmeldelse og konsekvensanalyse |
| g) Sletning eller tilbagelevering efter afslutning | kopier, aftryk og eksporter slettes eller leveres tilbage |
| h) Dokumentation og kontrol | protokoller over adgange, oplysninger om foranstaltninger |
Desuden kræver art. 33, stk. 2, GDPR, at databehandleren uden unødig forsinkelse melder et databrud, han får kendskab til, til den dataansvarlige. Ved en leverandør, der netop undersøger en kompromitteret server, er det ingen formalitet: Han er ofte den første, der ser tegn på en dataudsivning. Fristen og det videre forløb af anmeldelsen til tilsynsmyndigheden forklarer GDPR-anmeldelsespligt: 72 timer efter hændelsen.
Organisér adgange i overensstemmelse med databeskyttelsen
En underskrevet databehandleraftale er grundlaget. Om tilsagnene overholdes, afgøres i den daglige praksis. Disse trin har vist sig at fungere:
- Egne, personlige adgange for hver person hos leverandøren, aldrig delte admin-konti. Hvordan I sikrer dem, står under Totrinslogin til adminadgange.
- Tidsbegræns: Deaktivér adgange til en indsats efter afslutning, kontrollér permanente konti jævnligt.
- Log: Optag logins og kommandoer fra leverandørkonti, så det forbliver sporbart, hvem der har gjort hvad.
- Arbejd dataminimerende: Kopiér til analyser kun de nødvendige data, læg kopier krypteret, fastholdt opbevaringssted og sletningsdato.
- Dokumentér afslutningen: Adgange inddraget, kopier slettet eller overdraget, bekræftelse skriftligt.
En forensisk undersøgelse skaber ofte fuldstændige aftryk af servere, inklusive alle kundedata. Regulér på forhånd, hvor sådanne aftryk ligger, hvem der tilgår dem, og hvornår de slettes, uden at bevissikringen bringes i fare.
Indgå databehandleraftalen før nødsituationen
Det bedste tidspunkt for databehandleraftalen er en rolig dag. Navngiv de leverandører, der skal træde til i en nødsituation, altså hostingudbyder, bureau og eventuelt et team til hændelseshåndtering og forensik, og indgå kontrakterne med dem på forhånd. Fastholdt dermed også, hvilke yderligere partnere leverandøren må anvende.
Læg de underskrevne kontrakter dér, hvor nødplanen ligger, og notér i kontaktlisten, med hvem der består en databehandleraftale. De øvrige sikkerhedspligter, f.eks. opdateringsfrister og dokumentation, hører hjemme i ydelseskontrakten; mere herom under IT-leverandørkontrakter: Fastlæg sikkerhedspligter klart. Til alle juridiske spørgsmål er jeres databeskyttelsesrådgiver og en advokat de rette kontaktpersoner.
Hvordan hjælper PHP SOS konkret?
- Vi afklarer før den første adgang, hvilke data der ligger på de berørte systemer, og afstemmer rammen med jeres databeskyttelsesrådgiver.
- Vi arbejder med personlige, loggede adgange og dokumenterer hvert indgreb forståeligt.
- Vi navngiver de specialiserede partnere, vi f.eks. ville inddrage til it-forensik, så I kan beslutte på forhånd.
- Efter afslutningen af en incident response bekræfter vi skriftligt inddragelsen af adgange og sletning eller overdragelse af alle kopier.
Konklusion: Databeskyttelse og hurtig hjælp udelukker ikke hinanden, når grundlaget er på plads på forhånd. En databehandleraftale med leverandørerne til alvorlige tilfælde hører hjemme i enhver nødberedskabsplanlægning. Denne side er generel information og ingen retsrådgivning.
Ofte stillede spørgsmål
Er enhver fjernvedligeholdelse en databehandling?
Ikke automatisk. Afgørende er, om leverandøren behandler personoplysninger på jeres vegne eller kan få adgang til dem. Ved webservere med kundekonti, ordrer eller formularer er det som regel tilfældet. Den konkrete vurdering foretager jeres databeskyttelsesrådgiver.
Kan jeg stadig indgå en databehandleraftale under en hændelse?
Det er muligt, men under tidspres mangler der ofte ro til en gennemgang. Bedre er at indgå databehandleraftalen på forhånd med de leverandører, der skal træde til i en nødsituation. Så kan arbejdet begynde straks.
Skal leverandøren informere mig, hvis han opdager et databrud?
Ja. Efter art. 33, stk. 2, GDPR underretter databehandleren uden unødig forsinkelse den dataansvarlige om et brud på persondatasikkerheden, efter at han er blevet opmærksom på det. Anmeldelsen til tilsynsmyndigheden forbliver den dataansvarliges sag.
Må leverandøren inddrage yderligere partnere, f.eks. til forensik?
Efter art. 28, stk. 2, GDPR kun med forudgående skriftlig godkendelse fra den dataansvarlige, som kan gives enkeltvis eller generelt. Ved en generel godkendelse skal leverandøren informere om ændringer, så I kan gøre indsigelse.