Modul 1 · 1.2
Splošna uredba o varstvu podatkov (GDPR) na kratko, za uporabnike oblaka
Modul 1: Zakaj evropski oblak? · Čas branja: 11 minut
Cilj lekcije: Po tej lekciji boste znali poimenovati vloge in obveznosti iz GDPR, ki se pojavijo pri uporabi oblačne storitve, in pojasniti, zakaj odgovornost ostane pri Vas, tudi če so podatki shranjeni pri drugem ponudniku.
Ključni pojmi: GDPR (Splošna uredba o varstvu podatkov), osebni podatki, obdelava, upravljavec, obdelovalec, podobdelovalec, načela (člen 5), odgovornost (pravilo rednosti), pogodba o obdelavi osebnih podatkov (člen 28), varnost obdelave (člen 32), prenos podatkov (poglavje V), Informacijski pooblaščenec, globe (člen 83)
Zakaj se ta lekcija nenadoma ukvarja z GDPR
GDPR (Splošna uredba o varstvu podatkov, v angleščini General Data Protection Regulation) je evropska uredba: Uredba (EU) 2016/679. Velja neposredno v vseh državah EU od 25. maja 2018. Na Nizozemskem nadzor izvaja nizozemski Autoriteit Persoonsgegevens (AP); v vsaki drugi državi EU deluje svoj pristojni nadzorni organ (za Slovenijo je to Informacijski pooblaščenec).
Morda mislite, da se GDPR nanaša samo na velika podjetja z zbirkami podatkov o strankah. Vendar velja tudi za pekarno Bakkerij De Korrel. V poštnem predalu so naročila z imeni, naslovi in telefonskimi številkami. V spletnih mapah so razporedi dela, plačilne liste in kopija osebnega dokumenta novega zaposlenega. V koledarju so imena strank ob dogovorih za dostavo. Vse to so osebni podatki: vse informacije o določeni ali določljivi fizični osebi (člen 4, točka 1). Shranjevanje, pošiljanje po elektronski pošti, deljenje in brisanje pa je vse obdelava (člen 4, točka 2).
Izjema: kar počnete povsem zasebno, na primer Vaše družinske fotografije, ne spada pod GDPR ("izjema za osebno ali domačo dejavnost", člen 2(2)(c)). Takoj ko gre za Vaše delo, podjetje ali društvo, pa GDPR velja.
To je pojasnilo, ne pravni nasvet.
Tri vloge: kdo je kdo?
| Vloga | Pomen (člen 4) | Pri pekarni |
|---|---|---|
| Upravljavec | Določa, za kakšen namen in na kakšen način se osebni podatki obdelujejo (točka 7) | Bakkerij De Korrel |
| Obdelovalec | Obdeluje podatke po naročilu upravljavca (točka 8) | Oblačna storitev, kjer so shranjeni pošta in datoteke |
| Podobdelovalec | Stranka, ki jo za pomoč najame sam obdelovalec (člen 28(2) in (4)) | Podatkovni center, zunanji oddelek za podporo, ponudnik varnostnih kopij |
Najpomembnejše spoznanje: odgovornost se ne seli skupaj s podatki. Pekarna ostane upravljavec, tudi če so podatki pri oblačni storitvi. Če oblačna storitev nekaj obljubi in gre kaj narobe, mora pekarna še vedno znati pokazati, da je sprejela premišljeno odločitev in sklenila dobre dogovore. Temu se reče odgovornost (pravilo rednosti) (člen 5(2) in člen 24).
Pozor: oblačna storitev ni vedno zgolj obdelovalec. Če ponudnik Vaše podatke uporablja tudi za lastne namene, na primer razvoj izdelkov, oglaševanje ali učenje lastnih sistemov, je za ta del sam upravljavec. To je ena izmed stvari, ki jih preverite v pogojih poslovanja in pogodbi o obdelavi osebnih podatkov (lekcija 9.2).
Načela, pomembna pri izbiri oblaka
Člen 5 navaja načela, ki jim mora ustrezati vsaka obdelava. Za izbiro oblačne storitve so najpomembnejša naslednja:
- Omejitev namena: podatke uporabljate samo za namen, za katerega ste jih pridobili. Storitev, ki podatke Vaših strank uporablja za lastne namene, je s tem v nasprotju.
- Najmanjši obseg podatkov: ne hranite več, kot je potrebno. Prehod je lepa priložnost za urejanje (lekcija 3.2).
- Omejitev shranjevanja: ne hranite dlje, kot je potrebno. Pomislite na stare prijave za zaposlitev v poštnem predalu.
- Celovitost in zaupnost: ustrezna varnost pred izgubo, krajo in nepooblaščenim dostopom. To podrobneje ureja člen 32: sprejmete ukrepe, ki ustrezajo tveganju, kot so šifriranje, upravljanje dostopa, obnovitev po izpadu in redno testiranje.
Štiri obveznosti, s katerimi se srečate pri prehodu
- Izbira obdelovalca, ki nudi zadostna jamstva (člen 28(1)). Preveriti morate torej, kako ponudnik zavaruje podatke in kje jih obdeluje. To storite v modulu 2.
- Sklenitev pogodbe o obdelavi osebnih podatkov (člen 28(3)). V njej so obvezne teme: kaj se obdeluje, navodila, zaupnost, varnost, podobdelovalci, pomoč pri kršitvah varstva podatkov in kaj se zgodi s podatki, ko prenehate s storitvijo. To obravnavamo v lekciji 9.2.
- Vodenje evidence dejavnosti obdelave (člen 30). Seznam Vaših obdelav: kateri podatki, zakaj, s kom so deljeni, kako dolgo se hranijo. Po prehodu prilagodite prejemnike in mesto hrambe (lekcija 9.3).
- Upoštevanje pravil za prenos podatkov izven EGP (poglavje V, členi 44 do 49). Če gredo podatki v državo zunaj Evropskega gospodarskega prostora, je to dovoljeno le, če ima ta država ustrezno raven varstva (sklep o ustreznosti, člen 45) ali z dodatnimi zaščitnimi ukrepi, kot so standardna pogodbena določila (člen 46). O tem govori lekcija 1.4.
Kaj se zgodi, če gre kaj narobe?
Pri kršitvi varstva osebnih podatkov (na primer vdor v račun, v katerem so podatki o strankah) mora upravljavec to v 72 urah prijaviti pristojnemu nadzornemu organu, razen če ni verjetno, da bo prišlo do tveganja (člen 33). Obdelovalec mora upravljavca obvestiti "brez nepotrebnega odlašanja" (člen 33(2)). Zato dobra pogodba o obdelavi osebnih podatkov določa, kako hitro Vas ponudnik obvesti.
Nadzorni organ lahko naloži globe. Najvišja globa za najhujše kršitve znaša 20 milijonov evrov ali 4 % svetovnega letnega prometa, če je ta znesek višji (člen 83(5)). Za majhne organizacije globa redko predstavlja največje tveganje. Resnično tveganje je škoda za stranke in zaposlene ter izguba zaupanja.
Zakaj to vpliva na izbiro Vašega oblaka
GDPR ne prepoveduje uporabe ameriških oblačnih storitev. Morate pa znati pojasniti, zakaj je Vaša izbira odgovorna: kateri podatki, katera tveganja, kakšni dogovori. Bolj občutljivi kot so podatki (zdravje, otroci, finance, kadrovski dosjeji), tem tehtnejša mora biti ta presoja. Za pekarno je stvar pregledna; za fizioterapevtsko prakso ali šolo pa veliko težja. Storitev, ki ima sedež v EGP, obdeluje podatke znotraj EGP in nima podobdelovalcev zunaj EGP, to presojo precej olajša, saj pravila o prenosu podatkov tedaj sploh ne pridejo v poštev.
V praksi: tako je videti pri ponudniku
Ponudnik, ki se uporablja za poslovne namene, mora imeti pogodbo o obdelavi osebnih podatkov in seznam podobdelovalcev. Pri WebOké je v pogosto zastavljenih vprašanjih v priročniku za Nextcloud navedeno, da sklenete pogodbo o obdelavi osebnih podatkov, če Nextcloud uporabljate poslovno in vanj shranjujete osebne podatke drugih oseb. Pri drugih ponudnikih boste nekaj podobnega navadno našli pod naslovom "Pogodba o obdelavi osebnih podatkov", "Data Processing Agreement (DPA)" ali med pravnimi dokumenti na dnu spletne strani.
Povzetek
- Tudi majhna organizacija obdeluje osebne podatke v pošti, koledarju in datotekah, zato zanjo velja GDPR.
- Vi ste upravljavec; oblačna storitev je obdelovalec; njeni dobavitelji so podobdelovalci.
- Odgovornost se ne seli skupaj s podatki: izbrati morate obdelovalca z zadostnimi jamstvi in to znati utemeljiti.
- Pomembni členi: 5 (načela), 28 (obdelovalec in pogodba o obdelavi osebnih podatkov), 30 (evidenca), 32 (varnost), 33 (kršitev varstva podatkov v 72 urah), 44 do 49 (prenos podatkov).
- Podatki, ki ostanejo znotraj EGP, olajšajo presojo, ker pravila o prenosu podatkov tedaj ne veljajo.
Kviz
Naloga
Naloga E1.2: Vaše vloge in podatki. Pripravite kratek seznam osebnih podatkov, ki jih ima Vaša organizacija v oblaku (pošta, koledar, datoteke, klepet). Pri vsaki vrsti navedite, kdo je upravljavec, kdo obdelovalec, in ali gre za občutljive podatke.
Naloga E1.2: Vaše vloge in podatki
Ne vnašajte pravih imen ali podatkov oseb, navedite samo vrste podatkov.
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za nadaljnje branje
Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih poteka podobno.
- Priročnik za Nextcloud 15.13: Pogosta vprašanja o varnosti in zasebnosti
- Priročnik za Nextcloud 3.1: Kako WebOké zaščiti Vaš Nextcloud?
- Uredba (EU) 2016/679 (GDPR), členi 4, 5, 24, 28, 30, 32, 33, 44 do 49 in 83, na EUR-Lex
- Nizozemski nadzorni organ Autoriteit Persoonsgegevens, teme "Verwerkersovereenkomst" (Pogodba o obdelavi osebnih podatkov) in "Datalek melden" (Prijava kršitve varstva podatkov): https://www.autoriteitpersoonsgegevens.nl. Vsak nadzorni organ v EU, tudi slovenski Informacijski pooblaščenec, objavlja lastna navodila in gradiva na to temo.