Ukratko: Ako IT pružatelj pristupa poslužiteljima na kojima leže osobni podaci, u pravilu je potreban ugovor o obradi podataka (njemački AVV) prema čl. 28. GDPR-a. On utvrđuje da pružatelj djeluje samo prema uputama, čuva povjerljivost, poduzima primjerene sigurnosne mjere, dodatne partnere uključuje samo uz odobrenje i povrede podataka prijavljuje bez odgode. Ugovor o obradi sklopite prije nego nastupi hitan slučaj. Ova stranica je opća informacija i nije pravni savjet.
Kad treba brzo, ugovor često nedostaje
U tjednu nakon PHP2Shella mnoge su tvrtke kratkoročno potražile vanjsku pomoć. Administrator je trebao ažurirati PHP, agencija ponovno pokrenuti procese, forenzički tim provjeriti zapisnike. Za to su vanjske osobe dobile pristup poslužiteljima na kojima leže korisnički računi kupaca, narudžbe i podaci obrazaca. Pitanje na kojoj se pravnoj osnovi zaštite podataka to odvijalo često se postavilo tek poslije.
To je razumljivo, jer u hitnom slučaju računa se brzina. Ali je izbjegivo. S nekoliko priprema može se spojiti oboje: brza pomoć i uredna osnova.
Kad je ugovor o obradi s IT pružateljem potreban
Obrada podataka u ime voditelja postoji kad pružatelj obrađuje osobne podatke u ime i prema uputama voditelja obrade. Kod web-poslužitelja za to često već dovoljna sama mogućnost pristupa: tko radi s root pravima na poslužitelju, može čitati bazu podataka s podacima kupaca, čak i ako to ne namjerava.
Tipične situacije s pristupom poslužitelju su:
- tekuće održavanje i updatei od strane agencije ili sistemske kuće,
- rad poslužitelja kod hostera s managed uslugama,
- hitna pomoć, čišćenje i oporavak nakon napada,
- forenzička istraga s kopijama nosača podataka i zapisnika,
- nadzor kod kojeg podaci zapisnika teku prema pružatelju.
Računaju se i kratki angažmani. Daljinska sesija s dijeljenjem ekrana, u kojoj tehničar samo „kratko pogleda“, može mu pokazati podatke kupaca. Izvoz baze podataka koji se radi traženja pogreške šalje e-poštom jest prosljeđivanje. Upravo takve prilike često prolaze bez osnove, jer se ne doživljavaju kao projekt.
Radi li se u konkretnom slučaju o obradi u ime voditelja ili o drugoj konstelaciji, procjenjuje Vaš službenik za zaštitu podataka. Važno je to pitanje uopće postaviti prije nego se dodijele pristupi.
Što čl. 28. GDPR-a traži u ugovoru
Čl. 28. st. 3. GDPR-a navodi obvezne sadržaje. Uz predmet, trajanje, narav i svrhu obrade, vrste podataka i kategorije ispitanika, izvršitelj obrade među ostalim se mora obvezati na sljedeće točke. Desni stupac pokazuje što to praktično znači kod pristupa poslužitelju.
| Obveza prema čl. 28. st. 3. | Praktično značenje kod pristupa poslužitelju |
|---|---|
| a) Obrada samo prema dokumentiranim uputama | Nalog u pisanom obliku, primjerice putem tiketa: što točno treba učiniti |
| b) Povjerljivost angažiranih osoba | pristup dobivaju samo obvezane osobe poznate po imenu |
| c) Mjere prema čl. 32. | osobni računi, dvofaktorska prijava, šifrirane veze |
| d) Uvjeti za daljnje izvršitelje obrade | forenzički ili hosting partneri samo uz odobrenje |
| e) Pomoć pri pravima ispitanika | pomoć ako se obavijest ili brisanje tiče poslužitelja |
| f) Pomoć pri čl. 32. do 36. | sudjelovanje u sigurnosti, prijavi i procjeni učinka |
| g) Brisanje ili povrat nakon završetka | kopije, slike i izvozi brišu se ili vraćaju |
| h) Dokazi i provjere | zapisnici pristupa, informacije o mjerama |
Uz to čl. 33. st. 2. GDPR-a traži da izvršitelj obrade povredu podataka za koju sazna bez odgode prijavi voditelju obrade. Kod pružatelja koji upravo istražuje kompromitirani poslužitelj to nije formalnost: on je često prvi koji vidi naznake odljeva podataka. Rok i daljnji tijek prijave nadzornom tijelu objašnjava Obveza prijave prema GDPR-u: 72 sata nakon incidenta.
Pristupe organizirati u skladu sa zaštitom podataka
Potpisan ugovor o obradi je osnova. Poštuju li se obećanja, odlučuje se u svakodnevnoj praksi. Ovi su se koraci dokazali:
- Vlastiti, osobni pristupi za svaku osobu pružatelja, nikad dijeljeni administratorski računi. Kako ih osigurati, stoji u članku Dvofaktorska prijava za administratorske pristupe.
- Vremenski ograničiti: pristupe za jedan angažman deaktivirati nakon završetka, trajne račune redovito provjeravati.
- Bilježiti: prijave i naredbe računa pružatelja snimati kako bi ostalo sljedivo tko je što učinio.
- Raditi štedljivo s podacima: za analize kopirati samo nužne podatke, kopije pohraniti šifrirano, zabilježiti mjesto pohrane i datum brisanja.
- Dokumentirati završetak: pristupi oduzeti, kopije obrisane ili predane, potvrda u pisanom obliku.
Forenzička istraga često stvara potpune slike poslužitelja, uključujući sve podatke kupaca. Unaprijed uredite gdje se takve slike nalaze, tko im pristupa i kada se brišu, a da se ne ugrozi osiguravanje dokaza.
Ugovor o obradi sklopiti prije hitnog slučaja
Najbolji trenutak za ugovor o obradi je miran dan. Imenujte pružatelje koji trebaju djelovati u hitnom slučaju, dakle hostera, agenciju i po potrebi tim za obradu incidenata i forenziku, i s njima unaprijed sklopite ugovore. Pritom utvrdite i koje dodatne partnere pružatelj smije angažirati.
Potpisane ugovore pohranite tamo gdje leži plan za hitne slučajeve i u popisu kontakata zabilježite s kim postoji ugovor o obradi. Ostale sigurnosne obveze, primjerice rokove za updatee i dokaze, pripadaju u ugovor o usluzi; više o tome u članku Ugovori s IT pružateljima usluga: jasno urediti sigurnosne obveze. Za sva pravna pitanja pravi su sugovornici Vaš službenik za zaštitu podataka i odvjetnik.
Kako PHP SOS konkretno pomaže?
- Prije prvog pristupa razjašnjavamo koji podaci leže na pogođenim sustavima i okvir usklađujemo s Vašim službenikom za zaštitu podataka.
- Radimo s osobnim, zabilježenim pristupima i svaki zahvat sljedivo dokumentiramo.
- Imenujemo specijalizirane partnere koje bismo uključili primjerice za IT forenziku, kako biste unaprijed mogli odlučiti.
- Nakon završetka odgovora na incident pisano potvrđujemo oduzimanje pristupa i brisanje ili predaju svih kopija.
Zaključak: Zaštita podataka i brza pomoć ne isključuju se ako je osnova prethodno postavljena. Ugovor o obradi s pružateljima za najgori slučaj pripada u svaku pripremu za hitne slučajeve. Ova je stranica opća informacija i nije pravni savjet.
Česta pitanja
Je li svako daljinsko održavanje obrada podataka u ime voditelja?
Ne automatski. Odlučuje obrađuje li pružatelj osobne podatke u ime voditelja ili im može pristupiti. Kod web-poslužitelja s korisničkim računima kupaca, narudžbama ili obrascima to je obično slučaj. Razvrstavanje u pojedinačnom slučaju provodi Vaš službenik za zaštitu podataka.
Mogu li ugovor o obradi sklopiti i tijekom incidenta?
Moguće je, ali pod vremenskim pritiskom često nedostaje mir za provjeru. Bolje je ugovor o obradi unaprijed sklopiti s pružateljima koji trebaju djelovati u hitnom slučaju. Tada rad može odmah započeti.
Mora li me pružatelj obavijestiti ako uoči povredu podataka?
Da. Prema čl. 33. st. 2. GDPR-a izvršitelj obrade bez odgode obavještava voditelja obrade o povredi osobnih podataka nakon što je za nju saznao. Prijava nadzornom tijelu ostaje stvar voditelja obrade.
Smije li pružatelj uključiti dodatne partnere, primjerice za forenziku?
Prema čl. 28. st. 2. GDPR-a samo uz prethodno pisano odobrenje voditelja obrade, koje se može dati pojedinačno ili općenito. Kod općeg odobrenja pružatelj mora obavijestiti o promjenama kako biste mogli uložiti prigovor.