Lyhyesti: Jos IT-palveluntarjoaja pääsee palvelimille, joilla on henkilötietoja, tarvitaan yleensä GDPR:n 28 artiklan mukainen henkilötietojen käsittelyä koskeva sopimus eli käsittelijäsopimus (DPA). Se määrää, että palveluntarjoaja toimii vain ohjeiden mukaan, säilyttää luottamuksellisuuden, toteuttaa asianmukaiset turvatoimet, ottaa muita kumppaneita mukaan vain luvalla ja ilmoittaa tietosuojaloukkauksista viipymättä. Tehkää käsittelijäsopimus, ennen kuin hätätilanne tulee. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa.
Kun on kiire, sopimus puuttuu usein
PHP2Shellin jälkeisellä viikolla monet yritykset hakivat lyhyellä varoitusajalla ulkopuolista apua. Ylläpitäjän piti päivittää PHP, toimiston käynnistää prosessit uudelleen, forensiikkatiimin tarkistaa lokeja. Siihen ulkopuoliset saivat pääsyn palvelimille, joilla on asiakastilejä, tilauksia ja lomaketietoja. Kysymys siitä, millä tietosuojaoikeudellisella perusteella se tapahtui, esitettiin usein vasta jälkikäteen.
Se on ymmärrettävää, sillä hätätilanteessa nopeus ratkaisee. Se on kuitenkin vältettävissä. Muutamalla valmistelulla molemmat voi yhdistää: nopean avun ja siistin perustan.
Milloin käsittelijäsopimus IT-palveluntarjoajan kanssa on tarpeen
Käsittelijäsuhde on olemassa, kun palveluntarjoaja käsittelee henkilötietoja rekisterinpitäjän toimeksiannosta ja ohjeiden mukaan. Verkkopalvelimilla sen täyttymiseen riittää usein jo pääsyn mahdollisuus: joka työskentelee palvelimella root-oikeuksilla, voi lukea asiakastietoja sisältävän tietokannan, vaikka ei aikoisi.
Tyypillisiä tilanteita palvelinpääsyllä ovat:
- jatkuva huolto ja päivitykset toimiston tai järjestelmätalon toimesta,
- palvelimen käyttö hosting-palveluntarjoajalta hallinnoiduilla palveluilla,
- hätäapu, puhdistus ja palautus hyökkäyksen jälkeen,
- forensinen tutkimus datanvälineiden ja lokien kopioilla,
- valvonta, jossa lokitietoja virtaa palveluntarjoajalle.
Myös lyhyet käynnit lasketaan. Etäistunto näytönjaolla, jossa teknikko vain ”vilkaisee nopeasti”, voi näyttää hänelle asiakastietoja. Tietokantavienti, joka lähetetään sähköpostilla vianhakua varten, on tietojen luovutus. Juuri tällaiset tilaisuudet sujuvat usein ilman perustaa, koska niitä ei mielletä projekteiksi.
Onko konkreettisessa tapauksessa kyse käsittelijäsuhteesta vai jostain muusta asetelmasta, arvioi tietosuojavastaavanne. Tärkeää on esittää kysymys ylipäätään ennen tunnusten antamista.
Mitä GDPR:n 28 artikla edellyttää sopimukselta
GDPR:n 28 artiklan 3 kohta nimeää pakolliset sisällöt. Käsittelyn kohteen, keston, luonteen ja tarkoituksen, tietolajien ja rekisteröityjen ryhmien lisäksi henkilötietojen käsittelijän on sitouduttava muun muassa seuraaviin kohtiin. Oikea sarake näyttää, mitä se tarkoittaa käytännössä palvelinpääsyissä.
| Velvoite 28 artiklan 3 kohdan mukaan | Käytännön merkitys palvelinpääsyssä |
|---|---|
| a) Käsittely vain dokumentoidun ohjeen mukaan | Toimeksianto kirjallisesti, esimerkiksi tiketillä: mitä tarkalleen tehdään |
| b) Käytettävien henkilöiden luottamuksellisuus | vain sitoutetut, nimeltä tunnetut henkilöt saavat pääsyn |
| c) Toimenpiteet 32 artiklan mukaan | henkilökohtaiset tilit, kaksivaiheinen tunnistautuminen, salatut yhteydet |
| d) Ehdot muille henkilötietojen käsittelijöille | forensiikka- tai hosting-kumppanit vain luvalla |
| e) Tuki rekisteröityjen oikeuksissa | apu, kun tiedonsaanti tai poisto koskee palvelinta |
| f) Tuki 32–36 artiklan osalta | osallistuminen turvallisuuteen, ilmoitukseen ja vaikutustenarviointiin |
| g) Poisto tai palautus päätyttyä | kopiot, levykuvat ja viennit poistetaan tai palautetaan |
| h) Todisteet ja tarkastukset | pääsyjen lokit, tiedot toimenpiteistä |
Lisäksi GDPR:n 33 artiklan 2 kohta edellyttää, että henkilötietojen käsittelijä ilmoittaa tietosuojaloukkauksesta, josta hän saa tiedon, viipymättä rekisterinpitäjälle. Palveluntarjoajalle, joka tutkii juuri vaarantunutta palvelinta, tämä ei ole muodollisuus: hän on usein ensimmäinen, joka näkee viitteitä tietojen vuotamisesta. Määräajan ja ilmoituksen jatkokulun valvontaviranomaiselle selittää GDPR-ilmoitusvelvollisuus: 72 tuntia tapahtuman jälkeen.
Pääsyjen järjestäminen tietosuojan mukaisesti
Allekirjoitettu käsittelijäsopimus on perusta. Se, noudatetaanko lupauksia, ratkeaa päivittäisessä käytännössä. Nämä vaiheet ovat osoittautuneet hyviksi:
- Omat, henkilökohtaiset tunnukset jokaiselle palveluntarjoajan henkilölle, ei koskaan jaettuja ylläpitotilejä. Miten ne suojataan, kerrotaan kirjoituksessa Kaksivaiheinen tunnistautuminen ylläpitäjien tunnuksille.
- Rajatkaa ajallisesti: Poistakaa toimeksiannon tunnukset käytöstä sen päätyttyä, tarkistakaa pysyvät tilit säännöllisesti.
- Kirjatkaa: Tallentakaa palveluntarjoajan tilien kirjautumiset ja komennot, jotta pysyy jäljitettävissä, kuka teki mitä.
- Työskennelkää tietoja säästäen: Kopioikaa analyyseihin vain tarvittavat tiedot, tallentakaa kopiot salattuina, kirjatkaa säilytyspaikka ja poistopäivä.
- Dokumentoikaa päättäminen: Tunnukset poistettu, kopiot poistettu tai luovutettu, vahvistus kirjallisesti.
Forensinen tutkimus tuottaa usein palvelinten täydellisiä levykuvia kaikkine asiakastietoineen. Sopikaa etukäteen, missä tällaiset kuvat sijaitsevat, kuka niihin pääsee ja milloin ne poistetaan vaarantamatta todisteiden säilyttämistä.
Tehkää käsittelijäsopimus ennen hätätilannetta
Paras ajankohta käsittelijäsopimukselle on rauhallinen päivä. Nimetkää palveluntarjoajat, jotka toimivat hätätilanteessa eli hosting-palveluntarjoaja, toimisto ja tarvittaessa tiimi tapahtumien käsittelyyn ja forensiikkaan, ja tehkää sopimukset heidän kanssaan etukäteen. Kirjatkaa samalla, mitä muita kumppaneita palveluntarjoaja saa käyttää.
Säilyttäkää allekirjoitetut sopimukset siellä, missä varautumissuunnitelma on, ja merkitkää yhteystietoluetteloon, kenen kanssa käsittelijäsopimus on. Muut tietoturvavelvoitteet, esimerkiksi päivitysmääräajat ja todisteet, kuuluvat palvelusopimukseen; lisää aiheesta kirjoituksessa IT-palveluntarjoajasopimukset: tietoturvavelvoitteet selkeiksi. Kaikissa oikeudellisissa kysymyksissä oikeat yhteyshenkilöt ovat tietosuojavastaavanne ja lakimies.
Miten PHP SOS auttaa konkreettisesti?
- Selvitämme ennen ensimmäistä pääsyä, mitä tietoja kohdejärjestelmillä on, ja sovitamme kehyksen tietosuojavastaavanne kanssa.
- Työskentelemme henkilökohtaisilla, kirjatuilla tunnuksilla ja dokumentoimme jokaisen toimenpiteen jäljitettävästi.
- Nimeämme erikoistuneet kumppanit, jotka ottaisimme mukaan esimerkiksi IT-forensiikkaan, jotta voitte päättää etukäteen.
- Incident Responsen päätyttyä vahvistamme kirjallisesti tunnusten poiston sekä kaikkien kopioiden poiston tai luovutuksen.
Yhteenveto: Tietosuoja ja nopea apu eivät sulje toisiaan pois, kun perusta on valmiina. Käsittelijäsopimus palveluntarjoajien kanssa hätätilannetta varten kuuluu jokaiseen varautumiseen. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa.
Usein kysytyt kysymykset
Onko jokainen etähuolto henkilötietojen käsittelyä toimeksiannosta?
Ei automaattisesti. Ratkaisevaa on, käsitteleekö palveluntarjoaja henkilötietoja toimeksiannosta tai voiko hän päästä niihin käsiksi. Verkkopalvelimilla, joilla on asiakastilejä, tilauksia tai lomakkeita, näin on yleensä. Yksittäistapauksen arvioinnin tekee tietosuojavastaavanne.
Voinko tehdä käsittelijäsopimuksen vielä tapahtuman aikana?
Se on mahdollista, mutta aikapaineessa tarkistukseen puuttuu usein rauha. Parempi on tehdä käsittelijäsopimus etukäteen palveluntarjoajien kanssa, jotka toimivat hätätilanteessa. Silloin työ voi alkaa heti.
Onko palveluntarjoajan ilmoitettava minulle, jos hän huomaa tietosuojaloukkauksen?
Kyllä. GDPR:n 33 artiklan 2 kohdan mukaan henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle henkilötietojen turvallisuuden loukkauksesta viipymättä sen jälkeen, kun hän on saanut siitä tiedon. Ilmoitus valvontaviranomaiselle on rekisterinpitäjän tehtävä.
Saako palveluntarjoaja ottaa mukaan muita kumppaneita, esimerkiksi forensiikkaan?
GDPR:n 28 artiklan 2 kohdan mukaan vain rekisterinpitäjän ennakolta antamalla kirjallisella luvalla, joka voidaan antaa erikseen tai yleisenä. Yleisessä luvassa palveluntarjoajan on tiedotettava muutoksista, jotta voitte vastustaa.