Lühidalt: Kui IT-teenusepakkuja pääseb ligi serveritele, kus asuvad isikuandmed, on tavaliselt vaja IKÜM art 28 kohast volitatud töötleja lepingut (AVV). See sätestab, et teenusepakkuja tegutseb ainult juhiste järgi, hoiab konfidentsiaalsust, võtab asjakohaseid turvameetmeid, kaasab täiendavaid partnereid ainult loaga ja teatab andmeõnnetustest viivitamata. Sõlmige leping enne, kui hädaolukord saabub. See leht on üldine teave ja ei ole õigusnõustamine.
Kui peab kiiresti minema, puudub sageli leping
PHP2Shelli järgsel nädalal hankisid paljud ettevõtted lühikese ajaga välist abi. Administraator pidi PHP-d uuendama, agentuur protsesse taaskäivitama, kriminalistikameeskond logisid kontrollima. Selleks said välised isikud ligipääsu serveritele, kus asuvad klientide kontod, tellimused ja vormiandmed. Küsimus, millisel andmekaitseõiguslikul alusel see toimus, tekkis sageli alles pärast.
See on mõistetav, sest hädaolukorras loeb tempo. See on aga välditav. Mõne ettevalmistusega saab mõlemad ühendada: kiire abi ja puhas alus.
Millal on IT-teenusepakkujaga vaja volitatud töötleja lepingut
Volitatud töötlemine on olemas, kui teenusepakkuja töötleb isikuandmeid vastutava töötleja tellimusel ja juhiste järgi. Veebiserverite puhul piisab selleks sageli juba ligipääsu võimalusest: kes töötab serveris root-õigustega, saab lugeda klientide andmetega andmebaasi, isegi kui ta seda ei kavatse.
Tüüpilised olukorrad serveriligipääsuga on:
- jooksev hooldus ja uuendused agentuuri või süsteemimaja poolt,
- serveri käitamine hostingupakkuja poolt hallatavate teenustega,
- hädaabi, puhastamine ja taastamine pärast rünnakut,
- kriminalistiline uurimine andmekandjate ja logide koopiatega,
- monitooring, mille käigus logiandmed liiguvad teenusepakkujale.
Ka lühikesed sekkumised loevad. Kaugsessioon ekraanijagamisega, kus tehnik „vaatab korraks üle“, võib talle klientide andmeid näidata. Andmebaasi eksport, mis saadetakse vigade otsimiseks meiliga, on edastamine. Just sellised juhused toimuvad sageli ilma aluseta, sest neid ei tajuta projektina.
Kas konkreetsel juhul on tegemist volitatud töötlemisega või mõne muu olukorraga, hindab teie andmekaitsespetsialist. Oluline on see küsimus üldse esitada, enne kui ligipääsud antakse.
Mida IKÜM art 28 lepingus nõuab
IKÜM art 28 lg 3 nimetab kohustuslikud sisud. Lisaks töötlemise esemele, kestusele, laadile ja eesmärgile, andmeliikidele ja andmesubjektide kategooriatele peab volitatud töötleja kohustuma muu hulgas järgmistes punktides. Parem veerg näitab, mida see serveriligipääsude puhul praktikas tähendab.
| Kohustus IKÜM art 28 lg 3 järgi | Praktiline tähendus serveriligipääsul |
|---|---|
| a) Töötlemine ainult dokumenteeritud juhise alusel | Tellimus kirjalikult, näiteks piletiga: mida täpselt tuleb teha |
| b) Kasutatavate isikute konfidentsiaalsus | ligipääsu saavad ainult kohustatud, nimeliselt tuntud isikud |
| c) Meetmed vastavalt art 32 | isiklikud kontod, kaheastmeline sisselogimine, krüpteeritud ühendused |
| d) Tingimused täiendavate volitatud töötlejate jaoks | kriminalistika- või hostingupartnerid ainult loaga |
| e) Tugi andmesubjektide õiguste puhul | abi, kui teabenõue või kustutamine puudutab serverit |
| f) Tugi art 32 kuni 36 puhul | osalemine turvalisuses, teavitamises ja mõjuhindamises |
| g) Kustutamine või tagastamine pärast lõppu | koopiad, tõmmised ja ekspordid kustutatakse või tagastatakse |
| h) Tõendid ja kontrollid | ligipääsude protokollid, teave meetmete kohta |
Lisaks nõuab IKÜM art 33 lg 2, et volitatud töötleja teatab andmeõnnetusest, millest ta teada saab, viivitamata vastutavale töötlejale. Teenusepakkuja puhul, kes parajasti uurib kompromiteeritud serverit, ei ole see formaalsus: ta on sageli esimene, kes näeb viiteid andmete väljavoolule. Tähtaja ja teavitamise edasise kulgemise järelevalveasutusele selgitab IKÜM-i teavitamiskohustus: 72 tundi pärast intsidenti.
Ligipääsud andmekaitsele vastavalt korraldada
Allkirjastatud volitatud töötleja leping on alus. See, kas lubadusi peetakse, otsustub igapäevapraktikas. Need sammud on end tõestanud:
- Oma isiklikud ligipääsud iga teenusepakkuja isiku jaoks, mitte kunagi jagatud admin-kontod. Kuidas neid kaitsta, kirjeldab Kaheastmeline sisselogimine admin-ligipääsudele.
- Ajaliselt piirata: Sekkumise ligipääsud pärast lõppu deaktiveerida, püsikontosid regulaarselt kontrollida.
- Protokollida: Teenusepakkuja kontode sisselogimised ja käsud salvestada, et jääks jälgitavaks, kes mida tegi.
- Töötada andmeid säästes: Analüüsideks kopeerida ainult vajalikud andmed, hoida koopiaid krüpteeritult, fikseerida salvestuskoht ja kustutamiskuupäev.
- Lõpp dokumenteerida: Ligipääsud ära võetud, koopiad kustutatud või üle antud, kinnitus kirjalikult.
Kriminalistiline uurimine loob sageli serverite täielikke tõmmiseid, kaasa arvatud kõik kliendiandmed. Reguleerige ette, kus sellised tõmmised asuvad, kes neile ligi pääseb ja millal need kustutatakse, ilma tõendite kindlustamist ohtu seadmata.
Volitatud töötleja leping sõlmida enne hädaolukorda
Parim aeg lepingu jaoks on rahulik päev. Nimetage teenusepakkujad, kes peaksid hädaolukorras tegutsema, see tähendab hostingupakkuja, agentuur ja vajaduse korral intsidentide käsitlemise ja kriminalistika meeskond, ning sõlmige nendega lepingud ette. Fikseerige seejuures ka, milliseid täiendavaid partnereid teenusepakkuja tohib kasutada.
Hoidke allkirjastatud lepinguid seal, kus asub hädaolukorra plaan, ja märkige kontaktide nimekirjas, kellega on volitatud töötleja leping. Muud turvakohustused, näiteks uuenduste tähtajad ja tõendid, kuuluvad teenuselepingusse; rohkem selle kohta artiklis IT-teenusepakkujate lepingud: turvakohustuste selge reguleerimine. Kõigi õiguslike küsimuste jaoks on õiged kontaktisikud teie andmekaitsespetsialist ja advokaat.
Kuidas PHP SOS konkreetselt aitab?
- Me selgitame enne esimest ligipääsu, millised andmed asuvad mõjutatud süsteemides, ja kooskõlastame raamistiku teie andmekaitsespetsialistiga.
- Me töötame isiklike, protokollitud ligipääsudega ja dokumenteerime iga sekkumise jälgitavalt.
- Me nimetame spetsialiseeritud partnerid, keda kaasaksime näiteks IT-kriminalistika jaoks, et saaksite ette otsustada.
- Pärast intsidendile reageerimise lõppu kinnitame kirjalikult ligipääsude äravõtmise ning kõigi koopiate kustutamise või üleandmise.
Kokkuvõte: Andmekaitse ja kiire abi ei välista teineteist, kui alus on enne olemas. Volitatud töötleja leping teenusepakkujatega hädaolukorra jaoks kuulub igasse hädaolukorraks valmistumisse. See leht on üldine teave ja ei ole õigusnõustamine.
Korduma kippuvad küsimused
Kas iga kaughooldus on volitatud töötlemine?
Mitte automaatselt. Otsustav on, kas teenusepakkuja töötleb isikuandmeid tellimuse alusel või pääseb neile ligi. Veebiserverite puhul klientide kontode, tellimuste või vormidega on see enamasti nii. Üksikjuhul klassifitseerimise teeb teie andmekaitsespetsialist.
Kas ma saan volitatud töötleja lepingu sõlmida veel intsidendi ajal?
See on võimalik, kuid ajasurve all puudub sageli rahu kontrolliks. Parem on sõlmida leping ette nende teenusepakkujatega, kes peaksid hädaolukorras tegutsema. Siis saab töö kohe alata.
Kas teenusepakkuja peab mind teavitama, kui ta märkab andmeõnnetust?
Jah. IKÜM art 33 lg 2 kohaselt teatab volitatud töötleja vastutavale töötlejale isikuandmete kaitse rikkumisest viivitamata pärast sellest teadasaamist. Teade järelevalveasutusele jääb vastutava töötleja ülesandeks.
Kas teenusepakkuja tohib kaasata täiendavaid partnereid, näiteks kriminalistika jaoks?
IKÜM art 28 lg 2 kohaselt ainult vastutava töötleja eelneval kirjalikul loal, mida võib anda eraldi või üldiselt. Üldise loa korral peab teenusepakkuja muudatustest teavitama, et saaksite vastu vaielda.