ОРЗД накратко, за тези, които използват облака

Модул 1: Защо европейски облак? · Време за четене: 11 минути

Учебна цел: След този урок ще можете да назовете ролите и задълженията от ОРЗД, които се прилагат при използване на облачна услуга, и да обясните защо Вие оставате отговорни, дори когато данните се намират при друг доставчик.

Основни понятия: ОРЗД (GDPR), лични данни, обработване, администратор, обработващ лични данни, подизпълнител (субобработващ), принципи (чл. 5), отчетност, споразумение за обработване на данни (чл. 28), сигурност (чл. 32), предаване (глава V), Комисия за защита на личните данни, глоби (чл. 83)

Защо ОРЗД изведнъж е важен тук

ОРЗД (Общ регламент относно защитата на данните, на английски GDPR) е европейски регламент: Регламент (ЕС) 2016/679. Той се прилага пряко във всички държави от ЕС от 25 май 2018 г. В Нидерландия надзора упражнява Autoriteit Persoonsgegevens (AP, нидерландският надзорен орган); във всяка друга държава от ЕС има собствен надзорен орган (за България: Комисията за защита на личните данни, КЗЛД).

Може би си мислите: ОРЗД се отнася за големи компании с клиентски бази данни. Но Bakkerij De Korrel също попада в обхвата му. В пощенската кутия се съхраняват поръчки с имена, адреси и телефонни номера. В онлайн папките има графици, фишове за заплати и копие от лична карта на нов служител. В календара има имена на клиенти при уговорки за доставка. Всичко това са лични данни: всяка информация за идентифицирано или подлежащо на идентификация физическо лице (чл. 4, т. 1). А съхраняването, изпращането по имейл, споделянето и изтриването представляват обработване (чл. 4, т. 2).

Едно изключение: това, което правите чисто лично, например собствени семейни снимки, не попада в обхвата на ОРЗД (т.нар. "домакинско изключение", чл. 2, параграф 2, буква в). Веднага щом стане дума за Вашата работа, бизнес или организация, ОРЗД се прилага.

Това е обяснение, а не правен съвет.

Три роли: кой кой е?

Най-важното прозрение: отговорността не се прехвърля заедно с данните. Пекарната остава администратор, дори когато данните се намират при облачна услуга. Ако облачната услуга обещае нещо и то не се случи, пекарната пак трябва да може да докаже, че е направила разумен избор и е договорила добри условия. Това се нарича отчетност (чл. 5, параграф 2 и чл. 24).

Внимание: облачната услуга не винаги е само обработващ. Ако доставчикът използва Вашите данни и за собствени цели, като разработка на продукти, реклама или обучение на собствени системи, то за тази част той сам е администратор. Това е едно от нещата, които проверявате в условията и в споразумението за обработване на данни (урок 9.2).

Принципите, които имат значение за облака

Член 5 изброява принципите, на които трябва да отговаря всяко обработване. За избора на облачна услуга най-важни са следните:

• Ограничение на целите: използвате данните само за целта, за която ги имате. Услуга, която използва Вашите клиентски данни за собствени цели, влиза в противоречие с този принцип.
• Свеждане на данните до минимум: не съхранявайте повече, отколкото е необходимо. Преминаването е добър момент за разчистване (урок 3.2).
• Ограничение на съхранението: не съхранявайте по-дълго, отколкото е необходимо. Помислете за стари кандидатстващи писма в пощенска кутия.
• Цялостност и поверителност: подходяща сигурност срещу загуба, кражба и неоторизиран достъп. Това е разработено подробно в член 32: предприемате мерки, съответстващи на риска, като криптиране, управление на достъпа, възстановяване след сбой и редовно тестване.

Четири задължения, с които се сблъсквате при преминаване

1. Избор на обработващ, предлагащ достатъчни гаранции (чл. 28, параграф 1). Трябва да проверите как доставчикът осигурява сигурност и къде обработва данните. Това правите в модул 2.
2. Сключване на споразумение за обработване на данни (чл. 28, параграф 3). В него са задължителните теми: какво се обработва, инструкции, конфиденциалност, сигурност, подизпълнители, помощ при пробиви в сигурността на данните, и какво се случва с данните, когато прекратите договора. Това разглеждаме в урок 9.2.
3. Поддържане на регистър на дейностите по обработване (чл. 30). Списък на Вашите обработвания: кои данни, защо, с кого се споделят, колко дълго се съхраняват. След преминаване коригирате получателите и мястото на съхранение (урок 9.3).
4. Спазване на правилата за предаване извън ЕИП (глава V, чл. 44 до 49 включително). Ако данните отиват в държава извън Европейското икономическо пространство, това е позволено само ако тази държава осигурява подходящо ниво на защита (решение за адекватност, чл. 45) или с допълнителни гаранции като стандартни договорни клаузи (чл. 46). За това е урок 1.4.

Какво се случва, ако нещо се обърка?

При пробив в сигурността на данните (например хакнат акаунт, в който има клиентски данни) администраторът трябва да го съобщи на надзорния орган в срок от 72 часа, освен ако е малко вероятно да породи риск (чл. 33). Обработващият трябва да информира администратора "без ненужно забавяне" (чл. 33, параграф 2). Затова в добро споразумение за обработване на данни е описано колко бързо доставчикът Ви предупреждава.

Надзорният орган може да налага глоби. Максимумът за най-тежките нарушения е 20 милиона евро или 4% от годишния световен оборот, ако тази сума е по-висока (чл. 83, параграф 5). За малки организации глобата рядко е най-големият риск. Истинският риск са вредите за клиентите и служителите, както и доверието, което губите.

Защо това засяга избора на Вашия облак

ОРЗД не забранява използването на американски облачни услуги. Все пак трябва да можете да обясните защо Вашият избор е отговорен: кои данни, какви рискове, какви договорености. Колкото по-чувствителни са данните (здраве, деца, финанси, досиета на персонал), толкова по-тежко тежи тази преценка. За една пекарна тя е обозрима; за физиотерапевтична практика или училище тежи много повече. Услуга, установена в ЕИП, обработваща данните в ЕИП и без подизпълнители извън ЕИП, прави тази преценка значително по-лесна, защото правилата за предаване тогава не се прилагат.

На практика: така изглежда при даден доставчик

Доставчик, използван за стопански цели, следва да разполага със споразумение за обработване на данни и списък с подизпълнители. При WebOké в често задаваните въпроси в ръководството за Nextcloud е посочено, че сключвате споразумение за обработване на данни, ако използвате Nextcloud за стопански цели и съхранявате в него лични данни на трети лица. При други доставчици обикновено ще откриете нещо подобно под "Споразумение за обработване на данни", "Data Processing Agreement (DPA)" или в правните документи в долната част на уебсайта.

Обобщение

• Дори малка организация обработва лични данни в поща, календар и файлове, и следователно попада в обхвата на ОРЗД.
• Вие сте администратор; облачната услуга е обработващ лични данни; нейните доставчици са подизпълнители.
• Отговорността не се прехвърля заедно с данните: трябва да изберете обработващ с достатъчни гаранции и да можете да обясните това.
• Важни членове: 5 (принципи), 28 (обработващ и споразумение за обработване на данни), 30 (регистър), 32 (сигурност), 33 (пробив в сигурността на данните в срок от 72 часа), 44 до 49 (предаване).
• Данните, които остават в ЕИП, правят преценката по-лесна, защото тогава правилата за предаване не се прилагат.

Тест

Задача

Задача E1.2: Вашите роли и данни. Направете кратък списък на личните данни, които Вашата организация съхранява в облака (поща, календар, файлове, чат). Посочете за всеки вид кой е администратор, кой е обработващ лични данни, и дали сред тях има чувствителни данни.

Още за четене

Стъпките в тези статии важат за услугите на WebOké; при други доставчици процесът е подобен.

• Nextcloud наръчник 15.13: Често задавани въпроси за сигурността и поверителността
• Nextcloud наръчник 3.1: Как WebOké защитава Вашия Nextcloud?
• Регламент (ЕС) 2016/679 (ОРЗД), членове 4, 5, 24, 28, 30, 32, 33, 44 до 49 включително и 83, на EUR-Lex
• Нидерландският надзорен орган Autoriteit Persoonsgegevens, теми "Споразумение за обработване на данни" и "Съобщаване на пробив в сигурността на данните": https://www.autoriteitpersoonsgegevens.nl