Stručne: Ak IT dodávateľ pristupuje na servery, na ktorých ležia osobné údaje, je spravidla potrebná zmluva o spracúvaní osobných údajov v mene prevádzkovateľa (v Nemecku AVV) podľa čl. 28 GDPR. Určuje, že dodávateľ koná len podľa pokynov, zachováva mlčanlivosť, prijíma primerané bezpečnostné opatrenia, ďalších partnerov zapája len so súhlasom a porušenia ochrany údajov hlási bez zbytočného odkladu. AVV uzavrite skôr, než nastane núdza. Táto stránka je všeobecná informácia a nie právne poradenstvo.
Keď to musí ísť rýchlo, zmluva často chýba
V týždni po PHP2Shell si mnohé firmy narýchlo zavolali externú pomoc. Administrátor mal aktualizovať PHP, agentúra reštartovať procesy, forenzný tím skontrolovať logy. Externí tak dostali prístup k serverom, na ktorých ležia účty zákazníkov, objednávky a údaje z formulárov. Otázka, na akom právnom základe z hľadiska ochrany údajov sa to dialo, vznikla často až potom.
To je pochopiteľné, pretože v núdzi rozhoduje tempo. Dá sa tomu však vyhnúť. S niekoľkými prípravami sa dá spojiť oboje: rýchla pomoc a čistý základ.
Kedy je s IT dodávateľom potrebné AVV
O spracúvanie v mene prevádzkovateľa ide vtedy, keď dodávateľ spracúva osobné údaje v mene a podľa pokynov prevádzkovateľa. Pri webserveroch často stačí už samotná možnosť prístupu: kto pracuje s právami root na serveri, môže čítať databázu s údajmi zákazníkov, aj keď to nemá v úmysle.
Typické situácie s prístupom na server sú:
- priebežná údržba a aktualizácie zo strany agentúry alebo systémového domu,
- prevádzka servera hosterom so spravovanými službami (managed),
- núdzová pomoc, vyčistenie a obnova po útoku,
- forenzné vyšetrovanie s kópiami nosičov údajov a logov,
- monitoring, pri ktorom údaje logov prúdia k dodávateľovi.
Počítajú sa aj krátke nasadenia. Vzdialená relácia so zdieľaním obrazovky, pri ktorej sa technik len „rýchlo pozrie“, mu môže ukázať údaje zákazníkov. Export databázy odoslaný e-mailom na hľadanie chyby je sprístupnenie. Práve takéto príležitosti často prebehnú bez základu, pretože sa nevnímajú ako projekt.
Či v konkrétnom prípade ide o spracúvanie v mene prevádzkovateľa alebo o inú situáciu, posúdi váš zodpovedný pracovník pre ochranu údajov. Dôležité je, vôbec si túto otázku položiť skôr, než sa pridelia prístupy.
Čo vyžaduje čl. 28 GDPR v zmluve
Čl. 28 ods. 3 GDPR uvádza povinný obsah. Popri predmete, trvaní, povahe a účele spracúvania, druhoch údajov a kategóriách dotknutých osôb sa musí sprostredkovateľ okrem iného zaviazať k týmto bodom. Pravý stĺpec ukazuje, čo to prakticky znamená pri prístupoch na server.
| Povinnosť podľa čl. 28 ods. 3 | Praktický význam pri prístupe na server |
|---|---|
| a) spracúvanie len na základe zdokumentovaných pokynov | zákazka písomne, napríklad cez tiket: čo presne sa má urobiť |
| b) dôvernosť zapojených osôb | prístup dostanú len zaviazané, menovite známe osoby |
| c) opatrenia podľa čl. 32 | osobné účty, dvojfaktorové prihlásenie, šifrované spojenia |
| d) podmienky pre ďalších sprostredkovateľov | forenzní alebo hostingoví partneri len so súhlasom |
| e) podpora pri právach dotknutých osôb | súčinnosť, ak sa prístup alebo vymazanie týka servera |
| f) podpora pri čl. 32 až 36 | spolupôsobenie pri bezpečnosti, oznamovaní a posúdení vplyvu |
| g) vymazanie alebo vrátenie po skončení | kópie, obrazy a exporty sa vymažú alebo vrátia |
| h) doklady a kontroly | protokoly prístupov, informácie o opatreniach |
Čl. 33 ods. 2 GDPR navyše vyžaduje, aby sprostredkovateľ porušenie ochrany údajov, o ktorom sa dozvie, hlásil prevádzkovateľovi bez zbytočného odkladu. Pri dodávateľovi, ktorý práve vyšetruje kompromitovaný server, to nie je formalita: je často prvý, kto vidí náznaky úniku údajov. Lehotu a ďalší postup oznámenia dozornému orgánu vysvetľuje Oznamovacia povinnosť podľa GDPR: 72 hodín po incidente.
Zorganizovať prístupy v súlade s ochranou údajov
Podpísané AVV je základ. Či sa sľuby dodržiavajú, rozhoduje každodenná prax. Tieto kroky sa osvedčili:
- Vlastné osobné prístupy pre každú osobu dodávateľa, nikdy zdieľané administrátorské účty. Ako ich zabezpečiť, je v článku Dvojfaktorové prihlásenie pre prístupy správcov.
- Časovo obmedziť: prístupy pre jedno nasadenie po skončení deaktivovať, trvalé účty pravidelne preverovať.
- Protokolovať: zaznamenávať prihlásenia a príkazy účtov dodávateľa, aby zostalo dohľadateľné, kto čo urobil.
- Pracovať šetrne s údajmi: pre analýzy kopírovať len nevyhnutné údaje, kópie ukladať šifrované, zaznamenať miesto uloženia a dátum vymazania.
- Zdokumentovať ukončenie: prístupy odobraté, kópie vymazané alebo odovzdané, potvrdenie písomne.
Forenzné vyšetrovanie často vytvára úplné obrazy serverov, vrátane všetkých údajov zákazníkov. Vopred upravte, kde takéto obrazy ležia, kto k nim pristupuje a kedy sa vymažú, bez ohrozenia zabezpečenia dôkazov.
Uzavrieť AVV pred núdzou
Najlepším časom na AVV je pokojný deň. Určte dodávateľov, ktorí majú v núdzi zasiahnuť, teda hostera, agentúru a prípadne tím pre riešenie incidentov a forenznú analýzu, a uzavrite s nimi zmluvy vopred. Zachyťte pritom aj to, ktorých ďalších partnerov smie dodávateľ nasadiť.
Podpísané zmluvy uložte tam, kde leží núdzový plán, a v zozname kontaktov poznačte, s kým AVV existuje. Ostatné bezpečnostné povinnosti, napríklad lehoty aktualizácií a doklady, patria do zmluvy o plnení; viac v článku Zmluvy s IT dodávateľmi: jasne upraviť bezpečnostné povinnosti. Pre všetky právne otázky sú správnymi kontaktmi váš zodpovedný pracovník pre ochranu údajov a právnik.
Ako konkrétne pomáha PHP SOS?
- Pred prvým prístupom vyjasníme, aké údaje ležia na dotknutých systémoch, a rámec odsúhlasíme s vaším zodpovedným pracovníkom pre ochranu údajov.
- Pracujeme s osobnými, protokolovanými prístupmi a každý zásah zrozumiteľne dokumentujeme.
- Pomenujeme špecializovaných partnerov, ktorých by sme zapojili napríklad pre IT forenznú analýzu, aby ste sa mohli vopred rozhodnúť.
- Po skončení reakcie na incident (Incident Response) písomne potvrdíme odobratie prístupov a vymazanie alebo odovzdanie všetkých kópií.
Záver: Ochrana údajov a rýchla pomoc sa nevylučujú, ak základ stojí vopred. AVV s dodávateľmi pre kritický prípad patrí do každej núdzovej prípravy. Táto stránka je všeobecná informácia a nie právne poradenstvo.
Časté otázky
Je každá vzdialená správa spracúvaním v mene prevádzkovateľa?
Nie automaticky. Rozhodujúce je, či dodávateľ spracúva osobné údaje v mene objednávateľa alebo či k nim môže pristupovať. Pri webserveroch s účtami zákazníkov, objednávkami alebo formulármi to tak spravidla je. Zaradenie v jednotlivom prípade vykoná váš zodpovedný pracovník pre ochranu údajov.
Môžem AVV uzavrieť ešte počas incidentu?
Je to možné, ale pod časovým tlakom často chýba pokoj na kontrolu. Lepšie je uzavrieť AVV vopred s dodávateľmi, ktorí majú v núdzi zasiahnuť. Potom môže práca začať okamžite.
Musí ma dodávateľ informovať, ak spozoruje porušenie ochrany údajov?
Áno. Podľa čl. 33 ods. 2 GDPR oznámi sprostredkovateľ prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, čo sa o ňom dozvedel. Oznámenie dozornému orgánu zostáva vecou prevádzkovateľa.
Smie dodávateľ prizvať ďalších partnerov, napríklad na forenznú analýzu?
Podľa čl. 28 ods. 2 GDPR len s predchádzajúcim písomným súhlasom prevádzkovateľa, ktorý možno udeliť jednotlivo alebo všeobecne. Pri všeobecnom súhlase musí dodávateľ informovať o zmenách, aby ste mohli vzniesť námietku.