Εν ολίγοις: Αν ένας πάροχος IT έχει πρόσβαση σε διακομιστές όπου βρίσκονται προσωπικά δεδομένα, χρειάζεται κατά κανόνα μια σύμβαση εκτέλεσης της επεξεργασίας (AVV) σύμφωνα με το άρθρο 28 ΓΚΠΔ. Καθορίζει ότι ο πάροχος ενεργεί μόνο κατόπιν εντολής, τηρεί την εμπιστευτικότητα, λαμβάνει κατάλληλα μέτρα ασφαλείας, εμπλέκει άλλους συνεργάτες μόνο με άδεια και γνωστοποιεί αμελλητί παραβιάσεις δεδομένων. Συνάψτε το AVV προτού προκύψει η έκτακτη ανάγκη. Αυτή η σελίδα είναι γενική πληροφόρηση και όχι νομική συμβουλή.
Όταν πρέπει να γίνει γρήγορα, συχνά λείπει η σύμβαση
Την εβδομάδα μετά το PHP2Shell πολλές επιχειρήσεις ζήτησαν σε σύντομο χρονικό διάστημα εξωτερική βοήθεια. Ένας διαχειριστής έπρεπε να ενημερώσει την PHP, ένα πρακτορείο να επανεκκινήσει τις διεργασίες, μια ομάδα ψηφιακής εγκληματολογίας να ελέγξει logs. Για αυτό οι τρίτοι έλαβαν πρόσβαση σε διακομιστές όπου βρίσκονται λογαριασμοί πελατών, παραγγελίες και δεδομένα φορμών. Το ερώτημα σε ποια νομική βάση προστασίας δεδομένων έγινε αυτό, τέθηκε συχνά μόνο αργότερα.
Αυτό είναι κατανοητό, γιατί σε έκτακτη ανάγκη μετράει η ταχύτητα. Είναι όμως αποτρέψιμο. Με λίγες προετοιμασίες συνδυάζονται και τα δύο: γρήγορη βοήθεια και σωστή βάση.
Πότε χρειάζεται AVV με τον πάροχο IT
Εκτέλεση της επεξεργασίας υπάρχει όταν ένας πάροχος επεξεργάζεται προσωπικά δεδομένα για λογαριασμό και κατόπιν εντολής ενός υπευθύνου επεξεργασίας. Στους διακομιστές ιστού συχνά αρκεί γι' αυτό ήδη η δυνατότητα πρόσβασης: όποιος εργάζεται με δικαιώματα root σε έναν διακομιστή, μπορεί να διαβάσει τη βάση δεδομένων με τα δεδομένα πελατών, ακόμη κι αν δεν το σκοπεύει.
Τυπικές καταστάσεις με πρόσβαση σε διακομιστή είναι:
- τρέχουσα συντήρηση και ενημερώσεις από πρακτορείο ή εταιρεία συστημάτων,
- λειτουργία του διακομιστή από πάροχο φιλοξενίας με υπηρεσίες διαχείρισης (managed),
- επείγουσα βοήθεια, καθαρισμός και αποκατάσταση μετά από επίθεση,
- ψηφιακή εγκληματολογική έρευνα με αντίγραφα μέσων αποθήκευσης και logs,
- παρακολούθηση, όπου δεδομένα καταγραφής ρέουν προς τον πάροχο.
Και σύντομες παρεμβάσεις μετρούν. Μια απομακρυσμένη συνεδρία με κοινή χρήση οθόνης, όπου ένας τεχνικός «ρίχνει απλώς μια ματιά», μπορεί να του δείξει δεδομένα πελατών. Μια εξαγωγή βάσης δεδομένων που στέλνεται με email για αναζήτηση σφαλμάτων είναι διαβίβαση. Ακριβώς τέτοιες περιστάσεις γίνονται συχνά χωρίς βάση, επειδή δεν γίνονται αντιληπτές ως έργο.
Το αν στη συγκεκριμένη περίπτωση υπάρχει εκτέλεση της επεξεργασίας ή άλλη διάταξη, το αξιολογεί ο υπεύθυνος προστασίας δεδομένων σας. Σημασία έχει να τεθεί εν γένει το ερώτημα, προτού δοθούν προσβάσεις.
Τι απαιτεί το άρθρο 28 ΓΚΠΔ στη σύμβαση
Το άρθρο 28 παρ. 3 ΓΚΠΔ αναφέρει υποχρεωτικό περιεχόμενο. Εκτός από το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας, τα είδη δεδομένων και τις κατηγορίες υποκειμένων, ο εκτελών την επεξεργασία πρέπει να δεσμεύεται, μεταξύ άλλων, για τα εξής σημεία. Η δεξιά στήλη δείχνει τι σημαίνει αυτό στην πράξη σε προσβάσεις διακομιστή.
| Υποχρέωση κατά το άρθρο 28 παρ. 3 | Πρακτική σημασία στην πρόσβαση διακομιστή |
|---|---|
| α) Επεξεργασία μόνο κατόπιν τεκμηριωμένης εντολής | Ανάθεση γραπτά, για παράδειγμα με ticket: τι ακριβώς πρέπει να γίνει |
| β) Εμπιστευτικότητα των προσώπων που απασχολούνται | μόνο δεσμευμένα, γνωστά ονομαστικά πρόσωπα λαμβάνουν πρόσβαση |
| γ) Μέτρα κατά το άρθρο 32 | προσωπικοί λογαριασμοί, σύνδεση δύο παραγόντων, κρυπτογραφημένες συνδέσεις |
| δ) Προϋποθέσεις για περαιτέρω εκτελούντες την επεξεργασία | συνεργάτες ψηφιακής εγκληματολογίας ή φιλοξενίας μόνο με άδεια |
| ε) Υποστήριξη στα δικαιώματα των υποκειμένων | συνδρομή όταν η πρόσβαση ή η διαγραφή αφορά τον διακομιστή |
| στ) Υποστήριξη στα άρθρα 32 έως 36 | συμβολή στην ασφάλεια, τη γνωστοποίηση και την εκτίμηση επιπτώσεων |
| ζ) Διαγραφή ή επιστροφή μετά την ολοκλήρωση | αντίγραφα, εικόνες και εξαγωγές διαγράφονται ή επιστρέφονται |
| η) Αποδείξεις και έλεγχοι | αρχεία καταγραφής των προσβάσεων, ενημέρωση για τα μέτρα |
Επιπλέον το άρθρο 33 παρ. 2 ΓΚΠΔ απαιτεί ο εκτελών την επεξεργασία να γνωστοποιεί αμελλητί στον υπεύθυνο επεξεργασίας μια παραβίαση δεδομένων για την οποία πληροφορείται. Σε έναν πάροχο που εξετάζει μόλις έναν παραβιασμένο διακομιστή, αυτό δεν είναι τυπικότητα: συχνά είναι ο πρώτος που βλέπει ενδείξεις διαρροής δεδομένων. Την προθεσμία και την περαιτέρω διαδικασία της γνωστοποίησης στην εποπτική αρχή εξηγεί το Υποχρέωση γνωστοποίησης ΓΚΠΔ: 72 ώρες μετά το περιστατικό.
Οργάνωση των προσβάσεων σύμφωνα με την προστασία δεδομένων
Ένα υπογεγραμμένο AVV είναι η βάση. Το αν τηρούνται οι δεσμεύσεις κρίνεται στην καθημερινή πρακτική. Αυτά τα βήματα έχουν αποδειχθεί αποτελεσματικά:
- Δικές τους, προσωπικές προσβάσεις για κάθε άτομο του παρόχου, ποτέ κοινοί λογαριασμοί διαχειριστή. Πώς τις ασφαλίζετε, αναφέρεται στο Σύνδεση δύο παραγόντων για λογαριασμούς διαχειριστή.
- Χρονικός περιορισμός: Απενεργοποιήστε τις προσβάσεις για μια παρέμβαση μετά την ολοκλήρωση, ελέγχετε τακτικά τους μόνιμους λογαριασμούς.
- Καταγραφή: Καταγράψτε συνδέσεις και εντολές των λογαριασμών του παρόχου, ώστε να παραμένει κατανοητό ποιος έκανε τι.
- Εργασία με ελαχιστοποίηση δεδομένων: Αντιγράψτε για αναλύσεις μόνο τα απαραίτητα δεδομένα, αποθηκεύστε τα αντίγραφα κρυπτογραφημένα, καταγράψτε χώρο αποθήκευσης και ημερομηνία διαγραφής.
- Τεκμηρίωση της ολοκλήρωσης: Ανάκληση προσβάσεων, διαγραφή ή παράδοση αντιγράφων, γραπτή επιβεβαίωση.
Μια εγκληματολογική έρευνα δημιουργεί συχνά πλήρεις εικόνες διακομιστών, συμπεριλαμβανομένων όλων των δεδομένων πελατών. Ρυθμίστε εκ των προτέρων πού βρίσκονται τέτοιες εικόνες, ποιος έχει πρόσβαση σε αυτές και πότε διαγράφονται, χωρίς να τίθεται σε κίνδυνο η διατήρηση των αποδείξεων.
Σύναψη του AVV πριν από την έκτακτη ανάγκη
Η καλύτερη στιγμή για το AVV είναι μια ήρεμη ημέρα. Ονομάστε τους παρόχους που πρέπει να δράσουν σε έκτακτη ανάγκη, δηλαδή τον πάροχο φιλοξενίας, το πρακτορείο και ενδεχομένως μια ομάδα για χειρισμό περιστατικών και ψηφιακή εγκληματολογία, και συνάψτε μαζί τους τις συμβάσεις εκ των προτέρων. Καταγράψτε επίσης ποιους περαιτέρω συνεργάτες επιτρέπεται να χρησιμοποιεί ο πάροχος.
Φυλάξτε τις υπογεγραμμένες συμβάσεις εκεί όπου βρίσκεται το σχέδιο έκτακτης ανάγκης και σημειώστε στη λίστα επαφών με ποιον υπάρχει AVV. Οι υπόλοιπες υποχρεώσεις ασφαλείας, για παράδειγμα προθεσμίες ενημερώσεων και αποδείξεις, ανήκουν στη σύμβαση παροχής· περισσότερα στο Συμβάσεις παρόχων IT: σαφής ρύθμιση των υποχρεώσεων ασφαλείας. Για όλα τα νομικά ερωτήματα, ο υπεύθυνος προστασίας δεδομένων και ένας δικηγόρος είναι οι σωστοί συνομιλητές.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρινίζουμε πριν από την πρώτη πρόσβαση ποια δεδομένα βρίσκονται στα επηρεαζόμενα συστήματα και συντονίζουμε το πλαίσιο με τον υπεύθυνο προστασίας δεδομένων σας.
- Εργαζόμαστε με προσωπικές, καταγεγραμμένες προσβάσεις και τεκμηριώνουμε κάθε παρέμβαση κατανοητά.
- Ονομάζουμε τους εξειδικευμένους συνεργάτες που θα εμπλέκαμε για παράδειγμα στην ψηφιακή εγκληματολογία IT, ώστε να αποφασίσετε εκ των προτέρων.
- Μετά την ολοκλήρωση ενός Incident Response επιβεβαιώνουμε γραπτά την ανάκληση των προσβάσεων και τη διαγραφή ή παράδοση όλων των αντιγράφων.
Συμπέρασμα: Η προστασία δεδομένων και η γρήγορη βοήθεια δεν αποκλείονται αν η βάση υπάρχει εκ των προτέρων. Ένα AVV με τους παρόχους για την περίπτωση ανάγκης ανήκει σε κάθε προετοιμασία έκτακτης ανάγκης. Αυτή η σελίδα είναι γενική πληροφόρηση και όχι νομική συμβουλή.
Συχνές ερωτήσεις
Είναι κάθε απομακρυσμένη συντήρηση εκτέλεση επεξεργασίας;
Όχι αυτόματα. Αποφασιστικό είναι αν ο πάροχος επεξεργάζεται προσωπικά δεδομένα για λογαριασμό σας ή μπορεί να έχει πρόσβαση σε αυτά. Σε διακομιστές ιστού με λογαριασμούς πελατών, παραγγελίες ή φόρμες αυτό ισχύει συνήθως. Την κατάταξη σε κάθε περίπτωση κάνει ο υπεύθυνος προστασίας δεδομένων σας.
Μπορώ να συνάψω ένα AVV ακόμη και κατά τη διάρκεια ενός περιστατικού;
Είναι δυνατό, υπό πίεση χρόνου όμως λείπει συχνά η ηρεμία για έναν έλεγχο. Καλύτερο είναι να συνάπτεται το AVV εκ των προτέρων με παρόχους που θα δράσουν σε έκτακτη ανάγκη. Τότε η εργασία μπορεί να ξεκινήσει αμέσως.
Πρέπει ο πάροχος να με ενημερώσει αν αντιληφθεί μια παραβίαση δεδομένων;
Ναι. Σύμφωνα με το άρθρο 33 παρ. 2 του ΓΚΠΔ, ο εκτελών την επεξεργασία γνωστοποιεί στον υπεύθυνο επεξεργασίας μια παραβίαση προσωπικών δεδομένων αμελλητί, μόλις αυτή περιέλθει σε γνώση του. Η γνωστοποίηση στην εποπτική αρχή παραμένει ευθύνη του υπευθύνου επεξεργασίας.
Επιτρέπεται στον πάροχο να προσλάβει άλλους συνεργάτες, για παράδειγμα για ψηφιακή εγκληματολογία;
Σύμφωνα με το άρθρο 28 παρ. 2 του ΓΚΠΔ, μόνο με προηγούμενη γραπτή άδεια του υπευθύνου επεξεργασίας, που μπορεί να δοθεί ειδική ή γενική. Σε περίπτωση γενικής άδειας, ο πάροχος πρέπει να ενημερώνει για αλλαγές, ώστε να μπορείτε να αντιταχθείτε.