Pe scurt: Dacă un furnizor IT accesează servere pe care se află date cu caracter personal, este necesar de regulă un contract de prelucrare a datelor în numele operatorului (în Germania: AVV) conform art. 28 RGPD. Acesta stabilește că furnizorul acționează doar conform instrucțiunilor, păstrează confidențialitatea, ia măsuri de securitate adecvate, implică alți parteneri doar cu autorizare și raportează fără întârziere breșele de date. Încheiați acordul înainte de a surveni urgența. Această pagină este informație generală și nu reprezintă consiliere juridică.
Când trebuie să fie rapid, adesea lipsește contractul
În săptămâna de după PHP2Shell, multe companii au adus pe termen scurt ajutor extern. Un administrator trebuia să actualizeze PHP, o agenție să repornească procesele, o echipă de criminalistică să verifice jurnalele. Pentru aceasta, terții au primit acces la servere pe care se află conturi de clienți, comenzi și date din formulare. Întrebarea pe ce bază legală de protecție a datelor s-a întâmplat acest lucru s-a pus adesea abia după aceea.
Este de înțeles, deoarece în caz de urgență contează viteza. Este însă evitabil. Cu câteva pregătiri se pot îmbina ambele: ajutor rapid și bază curată.
Când este necesar un acord de prelucrare cu furnizorul IT
Prelucrarea în numele operatorului există atunci când un furnizor prelucrează date cu caracter personal în numele și conform instrucțiunilor unui operator. La serverele web, adesea este suficientă pentru aceasta chiar posibilitatea accesului: cine lucrează cu drepturi de root pe un server poate citi baza de date cu datele clienților, chiar dacă nu intenționează să o facă.
Situații tipice cu acces la server sunt:
- mentenanță curentă și actualizări de către o agenție sau o casă de sisteme,
- operarea serverului de către un furnizor de hosting cu servicii administrate,
- ajutor de urgență, curățare și restaurare după un atac,
- investigație criminalistică cu copii ale suporturilor de date și ale jurnalelor,
- monitorizare, în care datele din jurnale ajung la furnizor.
Contează și intervențiile scurte. O sesiune la distanță cu partajarea ecranului, în care un tehnician „se uită doar puțin”, îi poate arăta date ale clienților. Un export de bază de date trimis prin e-mail pentru depanare este o transmitere. Tocmai asemenea ocazii se desfășoară adesea fără bază, pentru că nu sunt percepute ca proiect.
Dacă în cazul concret există o prelucrare în numele operatorului sau o altă configurație, evaluează responsabilul dumneavoastră cu protecția datelor. Important este să puneți întrebarea măcar, înainte ca accesele să fie acordate.
Ce cere art. 28 RGPD în contract
Art. 28 alin. 3 RGPD enumeră conținuturi obligatorii. Pe lângă obiectul, durata, natura și scopul prelucrării, tipurile de date și categoriile de persoane vizate, persoana împuternicită trebuie să se angajeze, printre altele, la următoarele puncte. Coloana din dreapta arată ce înseamnă aceasta practic la accesul la server.
| Obligație conform art. 28 alin. 3 | Semnificație practică la accesul la server |
|---|---|
| a) Prelucrare doar conform instrucțiunilor documentate | Comandă în scris, de exemplu prin tichet: ce anume trebuie făcut |
| b) Confidențialitatea persoanelor implicate | Doar persoane obligate și cunoscute nominal primesc acces |
| c) Măsuri conform art. 32 | Conturi personale, autentificare în doi factori, conexiuni criptate |
| d) Condiții pentru alte persoane împuternicite | Parteneri de criminalistică sau de hosting doar cu autorizare |
| e) Sprijin la drepturile persoanelor vizate | Ajutor, când accesul sau ștergerea privesc serverul |
| f) Sprijin la art. 32 până la 36 | Participare la securitate, notificare și evaluarea impactului |
| g) Ștergere sau restituire după încheiere | Copiile, imaginile și exporturile sunt șterse sau restituite |
| h) Dovezi și verificări | Jurnale ale accesărilor, informații despre măsuri |
În plus, art. 33 alin. 2 RGPD cere ca persoana împuternicită să notifice operatorul fără întârziere despre o breșă de date de care ia cunoștință. La un furnizor care investighează tocmai un server compromis, aceasta nu este o formalitate: el este adesea primul care vede indicii ale unei scurgeri de date. Termenul și desfășurarea în continuare a notificării către autoritatea de supraveghere le explică Obligația de notificare RGPD: 72 de ore după incident.
Organizarea accesărilor conform protecției datelor
Un acord semnat este baza. Dacă angajamentele sunt respectate se decide în practica de zi cu zi. Acești pași s-au dovedit eficienți:
- Accese proprii, personale pentru fiecare persoană a furnizorului, niciodată conturi de administrator partajate. Cum le securizați găsiți la Autentificarea în doi factori pentru accesul de administrare.
- Limitați în timp: Dezactivați accesele pentru o intervenție după încheiere, verificați regulat conturile permanente.
- Jurnalizați: Înregistrați autentificările și comenzile conturilor furnizorului, pentru ca să rămână trasabil cine a făcut ce.
- Lucrați cu minimizarea datelor: Pentru analize copiați doar datele necesare, depuneți copiile criptat, consemnați locul de stocare și data ștergerii.
- Documentați încheierea: Accese retrase, copii șterse sau predate, confirmare în scris.
O investigație criminalistică generează adesea imagini complete ale serverelor, inclusiv toate datele clienților. Reglementați din timp unde se află asemenea imagini, cine le accesează și când sunt șterse, fără a pune în pericol păstrarea probelor.
Încheierea acordului înainte de urgență
Cel mai bun moment pentru acord este o zi liniștită. Numiți furnizorii care urmează să intervină în caz de urgență, adică furnizorul de hosting, agenția și eventual o echipă pentru tratarea incidentelor și criminalistică, și încheiați din timp contractele cu ei. Consemnați și ce alți parteneri are voie să folosească furnizorul.
Depuneți contractele semnate acolo unde se află planul de urgență și notați în lista de contacte cu cine există un acord de prelucrare. Celelalte obligații de securitate, de exemplu termenele de actualizare și dovezile, aparțin contractului de prestări; mai multe la Contracte cu furnizorii IT: reglementarea clară a obligațiilor de securitate. Pentru toate întrebările juridice, interlocutorii potriviți sunt responsabilul dumneavoastră cu protecția datelor și un avocat.
Cum ajută PHP SOS concret?
- Clarificăm înainte de primul acces ce date se află pe sistemele afectate și convenim cadrul cu responsabilul dumneavoastră cu protecția datelor.
- Lucrăm cu accese personale, jurnalizate, și documentăm fiecare intervenție în mod trasabil.
- Numim partenerii specializați pe care i-am implica, de exemplu pentru criminalistică IT, pentru ca dumneavoastră să puteți decide dinainte.
- După încheierea unui răspuns la incident, confirmăm în scris retragerea accesărilor și ștergerea sau predarea tuturor copiilor.
Concluzie: Protecția datelor și ajutorul rapid nu se exclud dacă baza este pusă din timp. Un acord de prelucrare cu furnizorii pentru cazul de urgență aparține oricărei pregătiri pentru urgențe. Această pagină este informație generală și nu reprezintă consiliere juridică.
Întrebări frecvente
Este orice mentenanță la distanță o prelucrare în numele operatorului?
Nu automat. Hotărâtor este dacă furnizorul prelucrează date cu caracter personal în numele dumneavoastră sau poate accesa astfel de date. La serverele web cu conturi de clienți, comenzi sau formulare, aceasta este de regulă situația. Încadrarea în cazul individual o face responsabilul dumneavoastră cu protecția datelor.
Pot încheia un acord de prelucrare (AVV) chiar în timpul unui incident?
Este posibil, dar sub presiunea timpului lipsește adesea liniștea necesară unei verificări. Mai bine este să încheiați acordul din timp cu furnizorii care urmează să intervină în caz de urgență. Atunci munca poate începe imediat.
Trebuie furnizorul să mă informeze dacă observă o breșă de date?
Da. Conform art. 33 alin. 2 RGPD, persoana împuternicită de operator notifică operatorul fără întârzieri nejustificate despre o încălcare a securității datelor cu caracter personal, după ce a luat cunoștință de aceasta. Notificarea către autoritatea de supraveghere rămâne în sarcina operatorului.
Are voie furnizorul să apeleze la alți parteneri, de exemplu pentru criminalistică?
Conform art. 28 alin. 2 RGPD, doar cu autorizarea prealabilă în scris a operatorului, care poate fi acordată specific sau generic. În cazul unei autorizări generale, furnizorul trebuie să informeze despre modificări, pentru ca dumneavoastră să vă puteți opune.