Röviden: Ha egy IT-szolgáltató olyan szerverekhez fér hozzá, amelyeken személyes adatok vannak, általában a GDPR 28. cikke szerinti adatfeldolgozói szerződésre (AVV) van szükség. Ez rögzíti, hogy a szolgáltató csak utasítás szerint jár el, megőrzi a bizalmasságot, megfelelő biztonsági intézkedéseket tesz, további partnereket csak engedéllyel von be, és az adatvédelmi incidenseket indokolatlan késedelem nélkül jelenti. Az adatfeldolgozói szerződést kösse meg, mielőtt a vészhelyzet beáll. Ez az oldal általános információ, nem jogi tanácsadás.
Ha gyorsan kell menni, gyakran hiányzik a szerződés
A PHP2Shell utáni héten sok vállalat rövid határidővel külső segítséget hívott. Egy adminnak frissítenie kellett a PHP-t, egy ügynökségnek újraindítania a folyamatokat, egy forenzikai csapatnak átnéznie a naplókat. Ehhez külsősök hozzáférést kaptak olyan szerverekhez, amelyeken ügyfélfiókok, rendelések és űrlapadatok vannak. Hogy ez milyen adatvédelmi jogi alapon történt, a kérdés gyakran csak utólag merült fel.
Ez érthető, mert vészhelyzetben a tempó számít. De elkerülhető. Néhány előkészülettel mindkettő összeegyeztethető: a gyors segítség és a rendezett alap.
Mikor szükséges adatfeldolgozói szerződés az IT-szolgáltatóval
Adatfeldolgozás akkor áll fenn, ha egy szolgáltató személyes adatokat dolgoz fel megbízásból és egy adatkezelő utasítása szerint. A webszervereknél ehhez gyakran már a hozzáférés lehetősége is elég: aki root jogokkal dolgozik egy szerveren, elolvashatja az ügyféladatokat tartalmazó adatbázist, még ha nem is áll szándékában.
Szerverhozzáféréssel járó tipikus helyzetek:
- folyamatos karbantartás és frissítések ügynökség vagy rendszerház által,
- a szerver üzemeltetése egy managed szolgáltatásokat nyújtó tárhelyszolgáltató által,
- vészhelyzeti segítség, tisztítás és helyreállítás egy támadás után,
- forenzikai vizsgálat adathordozók és naplók másolataival,
- monitoring, amelynél naplóadatok áramlanak a szolgáltatóhoz.
A rövid bevetések is számítanak. Egy képernyőmegosztásos távoli munkamenet, amelyben egy technikus csak „gyorsan átnéz”, ügyféladatokat mutathat meg neki. Egy adatbázis-export, amelyet hibakereséshez e-mailben küldenek el, továbbadás. Éppen az ilyen alkalmak zajlanak gyakran alap nélkül, mert nem projektként érzékelik őket.
Hogy az adott esetben adatfeldolgozás áll-e fenn, vagy más konstelláció, azt az adatvédelmi tisztviselője értékeli. Fontos, hogy a kérdést egyáltalán feltegyék, mielőtt hozzáféréseket adnak ki.
Mit követel a GDPR 28. cikke a szerződéstől
A GDPR 28. cikkének (3) bekezdése kötelező tartalmakat nevez meg. A feldolgozás tárgya, időtartama, jellege és célja, az adatok fajtái és az érintettek kategóriái mellett az adatfeldolgozónak többek között a következő pontokra kell kötelezettséget vállalnia. A jobb oldali oszlop megmutatja, mit jelent ez a gyakorlatban szerverhozzáférésnél.
| Kötelezettség a 28. cikk (3) bekezdése szerint | Gyakorlati jelentés szerverhozzáférésnél |
|---|---|
| a) Feldolgozás csak dokumentált utasítás alapján | Megbízás írásban, például jegyben: pontosan mit kell tenni |
| b) A bevont személyek titoktartása | csak kötelezett, név szerint ismert személyek kapnak hozzáférést |
| c) Intézkedések a 32. cikk szerint | személyes fiókok, kétfaktoros bejelentkezés, titkosított kapcsolatok |
| d) Feltételek további adatfeldolgozókra | forenzikai vagy tárhelypartnerek csak engedéllyel |
| e) Támogatás az érintetti jogoknál | segítség, ha a tájékoztatás vagy a törlés a szervert érinti |
| f) Támogatás a 32–36. cikkeknél | közreműködés a biztonságban, a bejelentésben és a hatásvizsgálatban |
| g) Törlés vagy visszaadás a befejezés után | a másolatokat, képeket és exportokat törlik vagy visszaadják |
| h) Igazolások és ellenőrzések | a hozzáférések naplói, tájékoztatás az intézkedésekről |
Ezenkívül a GDPR 33. cikkének (2) bekezdése megköveteli, hogy az adatfeldolgozó az adatvédelmi incidenst, amelyről tudomást szerez, indokolatlan késedelem nélkül jelentse az adatkezelőnek. Egy olyan szolgáltatónál, amely éppen egy feltört szervert vizsgál, ez nem formalitás: gyakran ő az első, aki jeleket lát egy adatkiáramlásra. A határidőt és a felügyeleti hatóságnak szóló bejelentés további menetét a GDPR-bejelentési kötelezettség: 72 óra az incidens után magyarázza el.
A hozzáférések adatvédelmi szempontból megfelelő szervezése
Az aláírt adatfeldolgozói szerződés az alap. Hogy a vállalásokat betartják-e, a mindennapi gyakorlatban dől el. Ezek a lépések váltak be:
- Saját, személyes hozzáférések a szolgáltató minden személyének, soha nem megosztott admin fiókok. Hogyan biztosíthatja őket, azt a Kétfaktoros bejelentkezés admin hozzáférésekhez írja le.
- Időbeli korlátozás: a hozzáféréseket egy bevetés befejezése után deaktiválni, az állandó fiókokat rendszeresen ellenőrizni.
- Naplózás: a szolgáltatói fiókok bejelentkezéseit és parancsait rögzíteni, hogy követhető maradjon, ki mit tett.
- Adattakarékos munka: az elemzésekhez csak a szükséges adatokat másolni, a másolatokat titkosítva tárolni, a tárolási helyet és a törlési dátumot rögzíteni.
- A lezárás dokumentálása: hozzáférések visszavonva, másolatok törölve vagy átadva, megerősítés írásban.
Egy forenzikai vizsgálat gyakran a szerverek teljes képét hozza létre, az összes ügyféladattal együtt. Előre szabályozza, hol vannak az ilyen képek, ki fér hozzájuk, és mikor törlik őket, a bizonyítékbiztosítás veszélyeztetése nélkül.
Az adatfeldolgozói szerződés megkötése a vészhelyzet előtt
Az adatfeldolgozói szerződés megkötésének legjobb időpontja egy nyugodt nap. Nevezze meg azokat a szolgáltatókat, akiknek vészhelyzetben tevékenykedniük kell, vagyis a tárhelyszolgáltatót, az ügynökséget és adott esetben az incidenskezeléssel és forenzikával foglalkozó csapatot, és a szerződéseket előre kösse meg velük. Rögzítse közben azt is, hogy a szolgáltató mely további partnereket alkalmazhat.
Az aláírt szerződéseket tegye oda, ahol a vészhelyzeti terv van, és a kapcsolattartó listán jegyezze fel, kivel van adatfeldolgozói szerződés. A többi biztonsági kötelezettség, például a frissítési határidők és az igazolások, a szolgáltatási szerződésbe tartoznak; erről többet az IT-szolgáltatói szerződések: a biztonsági kötelezettségek egyértelmű szabályozása cikkben talál. Minden jogi kérdésben az adatvédelmi tisztviselője és egy ügyvéd a megfelelő kapcsolattartó.
Hogyan segít konkrétan a PHP SOS?
- Az első hozzáférés előtt tisztázzuk, milyen adatok vannak az érintett rendszereken, és az adatvédelmi tisztviselőjével egyeztetjük a keretet.
- Személyes, naplózott hozzáférésekkel dolgozunk, és minden beavatkozást követhetően dokumentálunk.
- Megnevezzük azokat a specializált partnereket, akiket például az IT-forenzikához bevonnánk, hogy előre dönthessen.
- Egy incidenskezelés befejezése után írásban megerősítjük a hozzáférések visszavonását és az összes másolat törlését vagy átadását.
Összegzés: Az adatvédelem és a gyors segítség nem zárja ki egymást, ha az alap előre megvan. A szolgáltatókkal kötött adatfeldolgozói szerződés a vészhelyzetre minden vészhelyzeti felkészülés része. Ez az oldal általános információ, nem jogi tanácsadás.
Gyakori kérdések
Minden távkarbantartás adatfeldolgozás?
Nem automatikusan. Az a döntő, hogy a szolgáltató megbízásból dolgoz-e fel személyes adatokat, vagy hozzáférhet-e hozzájuk. Az ügyfélfiókokkal, rendelésekkel vagy űrlapokkal rendelkező webszervereknél ez többnyire így van. Az egyedi esetben a besorolást az adatvédelmi tisztviselője végzi.
Köthetek adatfeldolgozói szerződést még egy incidens közben?
Lehetséges, de időnyomás alatt gyakran hiányzik a nyugalom az ellenőrzéshez. Jobb, ha azokkal a szolgáltatókkal, akiknek vészhelyzetben tevékenykedniük kell, előre megkötik az adatfeldolgozói szerződést. Akkor a munka azonnal megkezdődhet.
Köteles a szolgáltató értesíteni, ha adatvédelmi incidenst vesz észre?
Igen. A GDPR 33. cikkének (2) bekezdése szerint az adatfeldolgozó a személyes adatok védelmének megsértését, miután tudomást szerzett róla, indokolatlan késedelem nélkül jelenti az adatkezelőnek. A felügyeleti hatóságnak szóló bejelentés az adatkezelő feladata marad.
Bevonhat a szolgáltató további partnereket, például forenzikához?
A GDPR 28. cikkének (2) bekezdése szerint csak az adatkezelő előzetes írásbeli engedélyével, amely egyedileg vagy általánosan adható meg. Általános engedély esetén a szolgáltatónak tájékoztatnia kell a változásokról, hogy tiltakozhasson.