Na kratko: Če ponudnik IT dostopa do strežnikov, na katerih ležijo osebni podatki, je praviloma potrebna pogodba o obdelavi (AVV) po 28. členu GDPR. Določa, da ponudnik ravna samo po navodilih, varuje zaupnost, sprejme ustrezne varnostne ukrepe, nadaljnje partnerje vključi samo z dovoljenjem in kršitve varstva podatkov brez odlašanja prijavi. AVV sklenite, preden nastopi nujni primer. Ta stran je splošna informacija in ni pravno svetovanje.
Kadar mora iti hitro, pogodbe pogosto ni
V tednu po PHP2Shell so mnoga podjetja kratkoročno poiskala zunanjo pomoč. Skrbnik naj bi posodobil PHP, agencija znova zagnala procese, forenzična ekipa pregledala dnevnike. Za to so zunanji dobili dostop do strežnikov, na katerih ležijo računi strank, naročila in podatki obrazcev. Vprašanje, na kakšni pravni podlagi s področja varstva podatkov se je to zgodilo, se je pogosto zastavilo šele potem.
To je razumljivo, saj v nujnem primeru šteje hitrost. A je mogoče preprečiti. Z nekaj priprave je mogoče združiti oboje: hitro pomoč in čisto podlago.
Kdaj je potreben AVV s ponudnikom IT
Obdelava po naročilu obstaja, kadar ponudnik osebne podatke obdeluje po naročilu in po navodilih upravljavca. Pri spletnih strežnikih za to pogosto zadošča že možnost dostopa: kdor dela na strežniku s pravicami root, lahko prebere bazo podatkov s podatki strank, tudi če tega ne namerava.
Tipične situacije z dostopom do strežnika so:
- tekoče vzdrževanje in posodobitve pri agenciji ali sistemski hiši,
- delovanje strežnika pri ponudniku gostovanja z upravljanimi storitvami,
- nujna pomoč, čiščenje in obnova po napadu,
- forenzična preiskava s kopijami nosilcev podatkov in dnevnikov,
- nadzor, pri katerem podatki dnevnikov tečejo k ponudniku.
Tudi kratki posegi štejejo. Oddaljena seja z deljenjem zaslona, pri kateri tehnik le „na hitro pogleda“, mu lahko pokaže podatke strank. Izvoz baze podatkov, ki se za iskanje napak pošlje po pošti, je posredovanje. Prav take priložnosti pogosto potekajo brez podlage, ker se ne zaznajo kot projekt.
Ali v konkretnem primeru gre za obdelavo po naročilu ali drugo konstelacijo, ovrednoti vaš pooblaščenec za varstvo podatkov. Pomembno je, da se vprašanje sploh zastavi, preden se dodelijo dostopi.
Kaj v pogodbi zahteva 28. člen GDPR
- odstavek 28. člena GDPR navaja obvezne vsebine. Poleg predmeta, trajanja, vrste in namena obdelave, vrst podatkov in kategorij posameznikov, na katere se podatki nanašajo, se mora obdelovalec med drugim zavezati k naslednjim točkam. Desni stolpec kaže, kaj to pomeni v praksi pri dostopih do strežnika.
| Obveznost po 28. členu, 3. odstavku | Praktični pomen pri dostopu do strežnika |
|---|---|
| a) obdelava samo po dokumentiranem navodilu | naročilo pisno, na primer prek zahtevka: kaj natanko naj se stori |
| b) zaupnost uporabljenih oseb | dostop dobijo samo zavezane, po imenu znane osebe |
| c) ukrepi po 32. členu | osebni računi, dvofaktorska prijava, šifrirane povezave |
| d) pogoji za nadaljnje obdelovalce | forenzični partnerji ali partnerji za gostovanje samo z dovoljenjem |
| e) podpora pri pravicah posameznikov | pomoč, kadar dostop ali izbris zadeva strežnik |
| f) podpora po 32. do 36. členu | sodelovanje pri varnosti, prijavi in oceni učinka |
| g) izbris ali vračilo po zaključku | kopije, slike in izvozi se izbrišejo ali vrnejo |
| h) dokazila in preverjanja | zapisniki dostopov, informacije o ukrepih |
Poleg tega 2. odstavek 33. člena GDPR zahteva, da obdelovalec kršitev varstva podatkov, o kateri izve, brez odlašanja prijavi upravljavcu. Pri ponudniku, ki ravno preiskuje ogrožen strežnik, to ni formalnost: pogosto je prvi, ki vidi znake odtekanja podatkov. Rok in nadaljnji potek prijave nadzornemu organu pojasnjuje Obveznost prijave po GDPR: 72 ur po incidentu.
Dostope organizirajte skladno z varstvom podatkov
Podpisan AVV je podlaga. Ali se obljube izpolnjujejo, se odloča v vsakdanji praksi. Obneslo se je teh korakov:
- Lastni, osebni dostopi za vsako osebo ponudnika, nikoli deljeni skrbniški računi. Kako jih zavarujete, piše v vodniku Dvofaktorska prijava za skrbniške dostope.
- Časovno omejite: dostope za posamezen poseg po zaključku deaktivirajte, trajne račune redno preverjajte.
- Beležite: prijave in ukaze računov ponudnika zapisujte, da ostane sledljivo, kdo je kaj storil.
- Delajte varčno s podatki: za analize kopirajte samo nujne podatke, kopije shranjujte šifrirano, mesto shranjevanja in datum izbrisa zabeležite.
- Dokumentirajte zaključek: dostopi odvzeti, kopije izbrisane ali izročene, potrditev pisno.
Forenzična preiskava pogosto ustvari popolne slike strežnikov, vključno z vsemi podatki strank. Vnaprej uredite, kje take slike ležijo, kdo do njih dostopa in kdaj se izbrišejo, ne da bi ogrozili zavarovanje dokazov.
AVV sklenite pred nujnim primerom
Najboljši čas za AVV je miren dan. Določite ponudnike, ki naj v nujnem primeru ukrepajo, torej ponudnika gostovanja, agencijo in po potrebi ekipo za obravnavo incidentov in forenziko, ter z njimi pogodbe sklenite vnaprej. Pri tem zapišite tudi, katere nadaljnje partnerje sme ponudnik uporabljati.
Podpisane pogodbe shranite tja, kjer je načrt za nujne primere, in v seznamu stikov zabeležite, s kom je sklenjen AVV. Preostale varnostne obveznosti, na primer roke za posodobitve in dokazila, sodijo v pogodbo o storitvah; več o tem v prispevku Pogodbe s ponudniki IT: jasno uredite varnostne obveznosti. Za vsa pravna vprašanja so pravi sogovorniki vaš pooblaščenec za varstvo podatkov in odvetnik.
Kako konkretno pomaga PHP SOS?
- Pred prvim dostopom razjasnimo, kateri podatki ležijo na prizadetih sistemih, in okvir uskladimo z vašim pooblaščencem za varstvo podatkov.
- Delamo z osebnimi, beleženimi dostopi in vsak poseg sledljivo dokumentiramo.
- Imenujemo specializirane partnerje, ki bi jih vključili na primer za forenziko IT, da se lahko vnaprej odločite.
- Po zaključku odzivanja na incidente pisno potrdimo odvzem dostopov in izbris ali izročitev vseh kopij.
Sklep: Varstvo podatkov in hitra pomoč se ne izključujeta, če je podlaga vnaprej postavljena. AVV s ponudniki za skrajni primer sodi v vsako pripravo na nujne primere. Ta stran je splošna informacija in ni pravno svetovanje.
Pogosta vprašanja
Ali je vsako oddaljeno vzdrževanje obdelava po naročilu?
Ne samodejno. Odločilno je, ali ponudnik osebne podatke obdeluje po naročilu ali lahko do njih dostopa. Pri spletnih strežnikih z računi strank, naročili ali obrazci je to večinoma tako. Presojo v posameznem primeru opravi vaš pooblaščenec za varstvo podatkov.
Ali lahko pogodbo o obdelavi (AVV) sklenem še med incidentom?
Mogoče je, a pod časovnim pritiskom pogosto manjka mir za pregled. Bolje je, da se AVV z ponudniki, ki naj v nujnem primeru ukrepajo, sklene vnaprej. Takrat se delo lahko začne takoj.
Ali me mora ponudnik obvestiti, če opazi kršitev varstva podatkov?
Da. Po 33. členu, 2. odstavku GDPR obdelovalec upravljavca o kršitvi varstva osebnih podatkov obvesti brez nepotrebnega odlašanja, potem ko je zanjo izvedel. Prijava nadzornemu organu ostaja zadeva upravljavca.
Ali sme ponudnik pritegniti nadaljnje partnerje, na primer za forenziko?
Po 28. členu, 2. odstavku GDPR samo z vnaprejšnjim pisnim dovoljenjem upravljavca, ki se lahko da posamično ali splošno. Pri splošnem dovoljenju mora ponudnik obvestiti o spremembah, da lahko ugovarjate.