Go achomair: Má fhaigheann soláthraí TF rochtain ar fhreastalaithe a bhfuil sonraí pearsanta orthu, tá conradh próiseála sonraí (AVV) de réir Airteagal 28 GDPR de dhíth de ghnáth. Socraíonn sé nach ngníomhaíonn an soláthraí ach de réir treoracha, go gcoimeádann sé rúndacht, go nglacann sé bearta slándála cuí, nach dtugann sé comhpháirtithe eile isteach ach le húdarú agus go dtuairiscíonn sé sáruithe sonraí gan moill. Tabhair an AVV i gcrích sula dtarlaíonn an éigeandáil. Is faisnéis ghinearálta an leathanach seo agus ní comhairle dlí é.
Nuair a bhíonn gá le luas, bíonn an conradh ar iarraidh go minic
Sa tseachtain tar éis PHP2Shell fuair a lán cuideachtaí cabhair sheachtrach ar an toirt. Bhí riarthóir le PHP a nuashonrú, gníomhaireacht le próisis a atosú, foireann fóiréinsice le logaí a sheiceáil. Chuige sin fuair seachtraigh rochtain ar fhreastalaithe a bhfuil cuntais chustaiméirí, orduithe agus sonraí foirme orthu. Is minic nár éirigh an cheist faoin mbunús dlíthiúil lena ndearnadh é sin ach ina dhiaidh sin.
Tá sé sin intuigthe, mar sa chás éigeandála tá luas tábhachtach. Ach is féidir é a sheachaint. Le roinnt ullmhúchán is féidir an dá rud a chur le chéile: cabhair thapa agus bunús glan.
Cathain a bhíonn AVV leis an soláthraí TF de dhíth
Tá próiseáil sonraí thar ceann duine eile ann nuair a phróiseálann soláthraí sonraí pearsanta thar ceann rialaitheora agus de réir a threoracha. Le freastalaithe gréasáin is minic gur leor an féidearthacht rochtana: an té a oibríonn le cearta root ar fhreastalaí, is féidir leis an bunachar sonraí le sonraí custaiméirí a léamh, fiú mura bhfuil sé ar intinn aige.
Is cásanna tipiciúla le rochtain ar fhreastalaí:
- cothabháil leanúnach agus nuashonruithe ag gníomhaireacht nó ag tigh córas,
- freastalaí a oibriú ag óstálaí le seirbhísí bainistithe,
- cabhair éigeandála, glanadh agus athchóiriú tar éis ionsaithe,
- imscrúdú fóiréinseach le cóipeanna de thiomántáin agus de logaí,
- monatóireacht ina sreabhann sonraí loga chuig an soláthraí.
Baineann cásanna gearra leis freisin. Féadfaidh seisiún cianda le comhroinnt scáileáin, nuair a bhreathnaíonn teicneoir „go gasta“, sonraí custaiméirí a thaispeáint dó. Is tabhairt ar aghaidh é easpórtáil bunachair sonraí a sheoltar trí ríomhphost chun earráid a chuardach. Is minic gur tharla a leithéid de chásanna gan bhunús, toisc nach bhfeictear iad mar thionscadal.
Cibé an bhfuil próiseáil sonraí thar ceann duine eile i gceist sa chás ar leith nó cás eile, déanann d'oifigeach cosanta sonraí an mheastóireacht. Tá sé tábhachtach an cheist a chur ar chor ar bith sula dtugtar rochtain.
Cad a éilíonn Airteagal 28 GDPR sa chonradh
Ainmníonn Airteagal 28(3) GDPR ábhar éigeantach. Seachas ábhar, fad, cineál agus cuspóir an phróiseála, cineálacha sonraí agus catagóirí de dhaoine is ábhar sonraí, ní mór don phróiseálaí gealltanas a thabhairt ar na pointí seo a leanas i measc eile. Léiríonn an colún ar dheis cad is brí leis sin le rochtain ar fhreastalaí.
| Dualgas de réir Airteagal 28(3) | Brí phraiticiúil le rochtain ar fhreastalaí |
|---|---|
| a) Próiseáil de réir treoracha doiciméadaithe amháin | Tasc i scríbhinn, mar shampla trí thicéad: cad go beacht atá le déanamh |
| b) Rúndacht na ndaoine a úsáidtear | ní fhaigheann rochtain ach daoine faoi oibleagáid, ar eol a n-ainm |
| c) Bearta de réir Airteagal 32 | cuntais phearsanta, fíordheimhniú dhá fhachtóir, naisc chriptithe |
| d) Coinníollacha do phróiseálaithe eile | comhpháirtithe fóiréinsice nó óstála le húdarú amháin |
| e) Tacaíocht le cearta na n-ábhar sonraí | cabhair nuair a bhaineann rochtain nó scriosadh leis an bhfreastalaí |
| f) Tacaíocht le hAirteagal 32 go 36 | rannpháirtíocht i slándáil, tuairisciú agus measúnú tionchair |
| g) Scriosadh nó tabhairt ar ais tar éis an chuspóra | scriostar nó tugtar ar ais cóipeanna, íomhánna agus easpórtálacha |
| h) Cruthúnas agus seiceálacha | taifid rochtana, eolas faoi bhearta |
Ina theannta sin éilíonn Airteagal 33(2) GDPR go dtuairiscíonn an próiseálaí sárú sonraí a gcloiseann sé faoi don rialaitheoir gan moill mhíchuí. I gcás soláthraí atá ag imscrúdú freastalaí sáraithe, ní foirmiúlacht é: is minic gurb é an chéad duine é a fheiceann leideanna ar shceitheadh sonraí. Míníonn Dualgas fógartha GDPR: 72 uair an chloig tar éis an teagmhais an tréimhse agus an chuid eile de nós imeachta an fhógra don údarás maoirseachta.
Rochtain a eagrú i gcomhréir le cosaint sonraí
Is é AVV sínithe an bunús. An gcoinnítear na geallúintí, cinntear é sa chleachtas laethúil. Tá na céimeanna seo tástáilte:
- Rochtain phearsanta dá gcuid féin do gach duine den soláthraí, riamh cuntais riaracháin chomhroinnte. Conas iad a chosaint, tá sé le fáil ag Fíordheimhniú dhá fhachtóir do rochtain riaracháin.
- Teorainn ama a chur leo: Rochtain d'obair amháin a dhíghníomhachtú tar éis a críochnaithe, cuntais bhuana a sheiceáil go rialta.
- Logáil: Logálacha isteach agus orduithe chuntais an tsoláthraí a thaifeadadh ionas gur féidir a rianú cé a rinne cad.
- Oibriú le sonraí a spáráil: Gan ach na sonraí is gá a chóipeáil le haghaidh anailíse, cóipeanna a stóráil criptithe, áit stórála agus dáta scriosta a thaifeadadh.
- An deireadh a dhoiciméadú: Rochtain bainte, cóipeanna scriosta nó tugtha ar ais, deimhniú i scríbhinn.
Cruthaíonn imscrúdú fóiréinseach íomhánna iomlána de fhreastalaithe go minic, lena n-áirítear gach sonra custaiméara. Rialaigh roimh ré cá bhfuil a leithéid d'íomhánna, cé a bhfuil rochtain acu orthu agus cathain a scriostar iad, gan cosaint fianaise a chur i mbaol.
AVV a thabhairt i gcrích roimh éigeandáil
Is lá ciúin an t-am is fearr don AVV. Ainmnigh na soláthraithe a bheidh gníomhach i gcás éigeandála, is é sin an t-óstálaí, an ghníomhaireacht agus, más gá, foireann do láimhseáil teagmhas agus do fhóiréinsic, agus tabhair na conarthaí i gcrích leo roimh ré. Socraigh freisin cé na comhpháirtithe eile a fhéadfaidh an soláthraí a úsáid.
Cuir na conarthaí sínithe san áit a bhfuil an plean éigeandála, agus tabhair faoi deara sa liosta teagmhálaithe cé leis a bhfuil AVV ann. Baineann na dualgais slándála eile, mar shampla tréimhsí nuashonraithe agus cruthúnas, leis an gconradh seirbhíse; tuilleadh faoi sin ag Conarthaí soláthraithe TF: dualgais slándála a shoiléiriú. Do gach ceist dlíthiúil, is iad d'oifigeach cosanta sonraí agus dlíodóir na teagmhálaithe cearta.
Conas a chabhraíonn PHP SOS go nithiúil?
- Soiléirímid sula bhfaighimid rochtain den chéad uair cé na sonraí atá ar na córais lena mbaineann agus comhordaímid an creat le d'oifigeach cosanta sonraí.
- Oibrímid le rochtain phearsanta, logáilte agus déanaimid gach idirghabháil a dhoiciméadú ar bhealach intuigthe.
- Ainmnímid na comhpháirtithe speisialaithe a bhainfimis leas astu, mar shampla le haghaidh fóiréinsic TF, ionas gur féidir leat cinneadh a dhéanamh roimh ré.
- Tar éis Incident Response a chríochnú deimhnímid i scríbhinn go bhfuil rochtain bainte agus gach cóip scriosta nó tugtha ar ais.
Conclúid: Ní chuirtear cosaint sonraí agus cabhair thapa in aghaidh a chéile nuair a bhíonn an bunús ann roimh ré. Tá AVV le soláthraithe don chás is measa mar chuid de gach réamhchúram éigeandála. Is faisnéis ghinearálta an leathanach seo agus ní comhairle dlí é.
Ceisteanna coitianta
An próiseáil sonraí thar ceann duine eile gach cianchothabháil?
Ní go huathoibríoch. Is é atá cinniúnach ná an bpróiseálann an soláthraí sonraí pearsanta thar ceann duine eile nó an bhfuil rochtain aige orthu. Le freastalaithe gréasáin le cuntais chustaiméirí, orduithe nó foirmeacha is amhlaidh den chuid is mó. Déanann d'oifigeach cosanta sonraí an t-aicmiú i gcás ar leith.
An féidir liom AVV a thabhairt i gcrích fiú le linn teagmhais?
Is féidir, ach faoi bhrú ama is minic a bhíonn suaimhneas ar iarraidh le haghaidh seiceála. Is fearr an AVV a thabhairt i gcrích roimh ré le soláthraithe a bheidh gníomhach i gcás éigeandála. Ansin is féidir leis an obair tosú láithreach.
An gcaithfidh an soláthraí mé a chur ar an eolas má thugann sé sárú sonraí faoi deara?
Caithfidh. De réir Airteagal 33(2) GDPR tuairiscíonn an próiseálaí sárú ar chosaint sonraí pearsanta don rialaitheoir gan moill mhíchuí tar éis dó a bheith ar an eolas faoi. Fanann an tuairisciú don údarás maoirseachta mar ghnó don rialaitheoir.
An bhféadfaidh an soláthraí comhpháirtithe eile a thabhairt isteach, mar shampla do fhóiréinsic?
De réir Airteagal 28(2) GDPR le údarú scríofa roimh ré ón rialaitheoir amháin, ar féidir é a thabhairt go sonrach nó go ginearálta. Le húdarú ginearálta caithfidh an soláthraí eolas a thabhairt faoi athruithe ionas gur féidir leat agóid a dhéanamh.