Krótko: Jeśli dostawca IT uzyskuje dostęp do serwerów, na których znajdują się dane osobowe, z reguły potrzebna jest umowa powierzenia przetwarzania (AVV) na podstawie art. 28 RODO. Określa ona, że dostawca działa wyłącznie na polecenie, zachowuje poufność, stosuje odpowiednie środki bezpieczeństwa, angażuje dalszych partnerów tylko za zgodą i bez zwłoki zgłasza naruszenia ochrony danych. Zawrzyj AVV, zanim nastąpi sytuacja awaryjna. Ta strona jest informacją ogólną i nie jest poradą prawną.
Gdy trzeba działać szybko, umowy często brakuje
W tygodniu po PHP2Shell wiele firm w krótkim czasie sięgnęło po zewnętrzną pomoc. Administrator miał zaktualizować PHP, agencja zrestartować procesy, zespół informatyki śledczej sprawdzić logi. Zewnętrzni otrzymali w tym celu dostęp do serwerów, na których znajdują się konta klientów, zamówienia i dane z formularzy. Pytanie, na jakiej podstawie z punktu widzenia ochrony danych to się odbyło, pojawiało się często dopiero potem.
To zrozumiałe, bo w sytuacji awaryjnej liczy się tempo. Można jednak tego uniknąć. Kilka przygotowań pozwala połączyć jedno z drugim: szybką pomoc i prawidłową podstawę.
Kiedy AVV z dostawcą IT jest potrzebna
Powierzenie przetwarzania zachodzi wtedy, gdy dostawca przetwarza dane osobowe na zlecenie i zgodnie z poleceniem administratora. W przypadku serwerów WWW często wystarcza do tego już sama możliwość dostępu: kto pracuje z uprawnieniami roota na serwerze, może odczytać bazę danych z danymi klientów, nawet jeśli tego nie zamierza.
Typowe sytuacje z dostępem do serwera to:
- bieżąca konserwacja i aktualizacje przez agencję lub firmę informatyczną,
- eksploatacja serwera przez firmę hostingową z usługami zarządzanymi,
- pomoc awaryjna, oczyszczanie i odtwarzanie po ataku,
- badanie informatyki śledczej z kopiami nośników danych i logów,
- monitoring, w którym dane logów płyną do dostawcy.
Liczą się też krótkie interwencje. Sesja zdalna z udostępnieniem ekranu, w której technik tylko „na chwilę rzuca okiem”, może pokazać mu dane klientów. Eksport bazy danych wysłany e-mailem do szukania błędów to przekazanie danych. Właśnie takie okazje często odbywają się bez podstawy, ponieważ nie są postrzegane jako projekt.
To, czy w konkretnym przypadku zachodzi powierzenie przetwarzania, czy inna konstelacja, ocenia Państwa inspektor ochrony danych. Ważne jest, aby w ogóle zadać to pytanie, zanim zostaną przyznane dostępy.
Czego art. 28 RODO wymaga w umowie
Art. 28 ust. 3 RODO wymienia obowiązkowe treści. Obok przedmiotu, czasu trwania, charakteru i celu przetwarzania, rodzaju danych i kategorii osób, których dane dotyczą, podmiot przetwarzający musi zobowiązać się między innymi do następujących punktów. Prawa kolumna pokazuje, co to oznacza praktycznie przy dostępie do serwerów.
| Obowiązek z art. 28 ust. 3 | Znaczenie praktyczne przy dostępie do serwera |
|---|---|
| a) przetwarzanie wyłącznie na udokumentowane polecenie | zlecenie na piśmie, na przykład przez zgłoszenie: co dokładnie ma zostać zrobione |
| b) poufność zaangażowanych osób | dostęp otrzymują tylko zobowiązane, znane z nazwiska osoby |
| c) środki z art. 32 | konta osobiste, uwierzytelnianie dwuskładnikowe, szyfrowane połączenia |
| d) warunki dla dalszych podmiotów przetwarzających | partnerzy od informatyki śledczej lub hostingu tylko za zgodą |
| e) wsparcie przy prawach osób, których dane dotyczą | pomoc, gdy informacja lub usunięcie dotyczy serwera |
| f) wsparcie przy art. 32 do 36 | udział w bezpieczeństwie, zgłoszeniu i ocenie skutków |
| g) usunięcie lub zwrot po zakończeniu | kopie, obrazy i eksporty są usuwane lub zwracane |
| h) dowody i kontrole | protokoły dostępu, informacje o środkach |
Dodatkowo art. 33 ust. 2 RODO wymaga, aby podmiot przetwarzający bez zbędnej zwłoki zgłosił administratorowi naruszenie ochrony danych, o którym się dowie. W przypadku dostawcy, który właśnie bada skompromitowany serwer, nie jest to formalność: często jako pierwszy widzi wskazówki wycieku danych. Termin i dalszy przebieg zgłoszenia organowi nadzorczemu wyjaśnia artykuł Obowiązek zgłoszenia na podstawie RODO: 72 godziny po incydencie.
Zorganizować dostępy zgodnie z ochroną danych
Podpisana AVV jest podstawą. To, czy zobowiązania są dotrzymywane, rozstrzyga się w codziennej praktyce. Sprawdziły się następujące kroki:
- Własne, osobiste dostępy dla każdej osoby dostawcy, nigdy wspólne konta administratora. Jak je zabezpieczyć, opisuje poradnik Uwierzytelnianie dwuskładnikowe dla dostępów administratora.
- Ograniczyć w czasie: dostępy na czas interwencji po jej zakończeniu dezaktywować, konta stałe regularnie sprawdzać.
- Rejestrować: logowania i polecenia kont dostawcy zapisywać, aby zawsze można było prześledzić, kto co zrobił.
- Pracować oszczędnie na danych: do analiz kopiować tylko niezbędne dane, kopie przechowywać zaszyfrowane, utrwalić miejsce przechowywania i datę usunięcia.
- Udokumentować zakończenie: dostępy odebrane, kopie usunięte lub przekazane, potwierdzenie na piśmie.
Badanie informatyki śledczej często tworzy pełne obrazy serwerów, łącznie ze wszystkimi danymi klientów. Uregulujcie z góry, gdzie takie obrazy się znajdują, kto ma do nich dostęp i kiedy zostaną usunięte, bez zagrożenia dla zabezpieczenia dowodów.
Zawrzeć AVV przed sytuacją awaryjną
Najlepszym momentem na AVV jest spokojny dzień. Wskażcie dostawców, którzy mają działać w sytuacji awaryjnej, czyli firmę hostingową, agencję i ewentualnie zespół do obsługi incydentów i informatyki śledczej, i zawrzyjcie z nimi umowy z góry. Utrwalcie przy tym także, których dalszych partnerów dostawca może zaangażować.
Podpisane umowy przechowujcie tam, gdzie leży plan awaryjny, i odnotujcie na liście kontaktów, z kim istnieje AVV. Pozostałe obowiązki dotyczące bezpieczeństwa, takie jak terminy aktualizacji i dowody, należą do umowy o świadczenie usług; więcej w artykule Umowy z dostawcami IT: jasne uregulowanie obowiązków w zakresie bezpieczeństwa. We wszystkich kwestiach prawnych właściwymi rozmówcami są Państwa inspektor ochrony danych i prawnik.
Jak konkretnie pomaga PHP SOS?
- Przed pierwszym dostępem wyjaśniamy, jakie dane znajdują się w dotkniętych systemach, i uzgadniamy ramy z Państwa inspektorem ochrony danych.
- Pracujemy z osobistymi, rejestrowanymi dostępami i dokumentujemy każdą ingerencję w sposób możliwy do prześledzenia.
- Wskazujemy wyspecjalizowanych partnerów, których zaangażowalibyśmy na przykład do informatyki śledczej, aby mogli Państwo zdecydować z góry.
- Po zakończeniu reagowania na incydenty potwierdzamy na piśmie odebranie dostępów oraz usunięcie lub przekazanie wszystkich kopii.
Podsumowanie: Ochrona danych i szybka pomoc się nie wykluczają, jeśli podstawa istnieje wcześniej. AVV z dostawcami na wypadek poważnej awarii należy do każdego przygotowania na sytuacje awaryjne. Ta strona jest informacją ogólną i nie jest poradą prawną.
Częste pytania
Czy każda zdalna konserwacja to powierzenie przetwarzania?
Nie automatycznie. Decyduje, czy dostawca przetwarza dane osobowe na zlecenie albo może mieć do nich dostęp. W przypadku serwerów WWW z kontami klientów, zamówieniami lub formularzami zwykle tak jest. Kwalifikacji w indywidualnym przypadku dokonuje Państwa inspektor ochrony danych.
Czy mogę zawrzeć umowę powierzenia jeszcze w trakcie incydentu?
Jest to możliwe, ale pod presją czasu często brakuje spokoju na sprawdzenie. Lepiej zawrzeć umowę powierzenia z góry z dostawcami, którzy mają działać w sytuacji awaryjnej. Wtedy praca może rozpocząć się natychmiast.
Czy dostawca musi mnie poinformować, jeśli zauważy naruszenie ochrony danych?
Tak. Zgodnie z art. 33 ust. 2 RODO podmiot przetwarzający zgłasza administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki po tym, gdy się o nim dowiedział. Zgłoszenie organowi nadzorczemu pozostaje sprawą administratora.
Czy dostawca może zaangażować dalszych partnerów, na przykład do informatyki śledczej?
Zgodnie z art. 28 ust. 2 RODO tylko za uprzednią pisemną zgodą administratora, która może być udzielona jednostkowo lub ogólnie. Przy zgodzie ogólnej dostawca musi informować o zmianach, aby mogli Państwo wnieść sprzeciw.