GDPR v skratke, pre tých, ktorí používajú cloud

Modul 1: Prečo európsky cloud? · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii viete pomenovať roly a povinnosti z GDPR, ktoré sa uplatňujú pri používaní cloudovej služby, a vysvetliť, prečo zostávate zodpovední vy, aj keď sa údaje nachádzajú u niekoho iného.

Kľúčové pojmy: GDPR (všeobecné nariadenie o ochrane údajov), osobné údaje, spracúvanie, prevádzkovateľ, sprostredkovateľ, subdodávateľský sprostredkovateľ, zásady (čl. 5), zásada zodpovednosti, zmluva so sprostredkovateľom (čl. 28), bezpečnosť (čl. 32), prenos (kapitola V), Úrad na ochranu osobných údajov, pokuty (čl. 83)

Prečo sa táto lekcia zrazu zaoberá GDPR

GDPR (všeobecné nariadenie o ochrane údajov, po anglicky General Data Protection Regulation) je európske nariadenie: Nariadenie (EÚ) 2016/679. Platí priamo vo všetkých krajinách EÚ od 25. mája 2018. V Holandsku dohliada na dodržiavanie Autoriteit Persoonsgegevens (AP); na Slovensku je touto inštitúciou Úrad na ochranu osobných údajov Slovenskej republiky a v každej ďalšej krajine EÚ existuje vlastný dozorný orgán.

Možno si myslíte, že GDPR sa týka len veľkých firiem s databázami zákazníkov. No vzťahuje sa aj na pekáreň Bakkerij De Korrel. V poštovej schránke sú objednávky s menami, adresami a telefónnymi číslami. V online priečinkoch sú rozpisy zmien, výplatné pásky a kópia dokladu totožnosti nového zamestnanca. V kalendári sú mená zákazníkov pri dohodnutých rozvozoch. To všetko sú osobné údaje: akékoľvek informácie o identifikovanej alebo identifikovateľnej osobe (čl. 4 bod 1). A ukladanie, odosielanie e-mailom, zdieľanie aj vymazávanie je spracúvanie (čl. 4 bod 2).

Výnimka: to, čo robíte výlučne súkromne, napríklad vlastné rodinné fotografie, pod GDPR nespadá (takzvaná „domáca výnimka“, čl. 2 ods. 2 písm. c). No akonáhle ide o vašu prácu, firmu alebo organizáciu, GDPR sa uplatňuje.

Toto je výklad, nie právne poradenstvo.

Tri roly: kto je kto?

Najdôležitejšie zistenie: zodpovednosť sa nepresúva spolu s údajmi. Pekáreň zostáva prevádzkovateľom, aj keď sa údaje nachádzajú u cloudovej služby. Ak cloudová služba niečo sľúbi a niečo sa pokazí, pekáreň musí byť stále schopná preukázať, že urobila rozumné rozhodnutie a stanovila dobré dohody. Tomu sa hovorí zásada zodpovednosti (čl. 5 ods. 2 a čl. 24).

Pozor: cloudová služba nie je vždy len sprostredkovateľom. Ak poskytovateľ používa vaše údaje aj na vlastné účely, napríklad vývoj produktov, reklamu alebo trénovanie vlastných systémov, pre túto časť je sám prevádzkovateľom. Je to jedna z vecí, ktoré si overíte v podmienkach a v zmluve so sprostredkovateľom (lekcia 9.2).

Zásady, ktoré sa týkajú cloudu

Článok 5 uvádza zásady, ktoré musí spĺňať každé spracúvanie. Pri výbere cloudovej služby sú najdôležitejšie tieto:

• Obmedzenie účelu: údaje používate iba na účel, na ktorý ste ich získali. Služba, ktorá používa vaše údaje o zákazníkoch na vlastné účely, je s touto zásadou v rozpore.
• Minimalizácia údajov: neuchovávať viac údajov, než je potrebné. Prechod na novú službu je vhodná príležitosť na upratanie (lekcia 3.2).
• Obmedzenie uchovávania: neuchovávať údaje dlhšie, než je potrebné. Spomeňte si napríklad na staré žiadosti o zamestnanie v poštovej schránke.
• Integrita a dôvernosť: primeraná bezpečnosť proti strate, krádeži a neoprávnenému prístupu. Toto rozvádza článok 32: prijímate opatrenia primerané riziku, ako je šifrovanie, riadenie prístupu, obnova po výpadku a pravidelné testovanie.

Štyri povinnosti, s ktorými sa stretnete pri prechode

1. Výber sprostredkovateľa, ktorý poskytuje dostatočné záruky (čl. 28 ods. 1). Musíte teda overiť, ako poskytovateľ zabezpečuje údaje a kde ich spracúva. To urobíte v module 2.
2. Uzatvorenie zmluvy so sprostredkovateľom (čl. 28 ods. 3). Obsahuje povinné témy: čo sa spracúva, pokyny, mlčanlivosť, bezpečnosť, subdodávateľských sprostredkovateľov, pomoc pri porušení ochrany údajov a čo sa stane s údajmi, keď prestanete službu používať. Tomu sa venujeme v lekcii 9.2.
3. Vedenie záznamov o spracovateľských činnostiach (čl. 30). Zoznam vašich spracúvaní: aké údaje, prečo, s kým zdieľané, ako dlho uchovávané. Po prechode upravíte príjemcov a miesto uloženia (lekcia 9.3).
4. Dodržiavanie pravidiel pre prenos mimo EHP (kapitola V, čl. 44 až 49). Ak údaje smerujú do krajiny mimo Európskeho hospodárskeho priestoru, je to možné iba ak táto krajina má primeranú úroveň ochrany (rozhodnutie o primeranosti, čl. 45) alebo s dodatočnými zárukami, ako sú štandardné zmluvné doložky (čl. 46). O tom je lekcia 1.4.

Čo sa stane, ak niečo zlyhá?

Pri porušení ochrany osobných údajov (napríklad napadnutý účet, v ktorom sú údaje o zákazníkoch) musí prevádzkovateľ do 72 hodín nahlásiť túto skutočnosť dozornému orgánu, pokiaľ je nepravdepodobné, že by predstavovalo riziko (čl. 33). Sprostredkovateľ musí prevádzkovateľa informovať „bez zbytočného odkladu“ (čl. 33 ods. 2). Preto dobrá zmluva so sprostredkovateľom stanovuje, ako rýchlo vás poskytovateľ upozorní.

Dozorný orgán môže ukladať pokuty. Maximum je pri najzávažnejších porušeniach 20 miliónov eur alebo 4 % celosvetového ročného obratu, podľa toho, čo je vyššie (čl. 83 ods. 5). Pre malé organizácie pokuta zriedkakedy predstavuje najväčšie riziko. Skutočným rizikom je škoda spôsobená zákazníkom a zamestnancom a strata dôvery.

Prečo to ovplyvňuje výber vášho cloudu

GDPR nezakazuje používanie amerických cloudových služieb. Musíte však vedieť vysvetliť, prečo je vaša voľba zodpovedná: aké údaje, aké riziká, aké dohody. Čím citlivejšie sú údaje (zdravie, deti, financie, personálne spisy), tým dôležitejšie je toto zváženie. Pre pekáreň je situácia prehľadná, pre fyzioterapeutickú prax alebo školu má oveľa väčšiu váhu. Služba, ktorá sídli v EHP, spracúva údaje v EHP a nemá subdodávateľských sprostredkovateľov mimo EHP, toto zváženie výrazne zjednodušuje, pretože sa na ňu nevzťahujú pravidlá prenosu.

V praxi: ako to vyzerá u poskytovateľa

Poskytovateľ, ktorý sa používa na komerčné účely, by mal mať zmluvu so sprostredkovateľom a zoznam subdodávateľských sprostredkovateľov. WebOké vo často kladených otázkach v návode k Nextcloud uvádza, že zmluvu so sprostredkovateľom uzatvárate vtedy, keď Nextcloud používate komerčne a ukladáte v ňom osobné údaje iných osôb. U iných poskytovateľov nájdete podobné informácie zvyčajne pod názvom „Zmluva so sprostredkovateľom“, „Data Processing Agreement (DPA)“ alebo v právnych dokumentoch v päte webovej stránky.

Zhrnutie

• Aj malá organizácia spracúva osobné údaje v pošte, kalendári a súboroch, a teda spadá pod GDPR.
• Vy ste prevádzkovateľ, cloudová služba je sprostredkovateľ, jej dodávatelia sú subdodávateľskí sprostredkovatelia.
• Zodpovednosť sa nepresúva: musíte vybrať sprostredkovateľa s dostatočnými zárukami a vedieť to vysvetliť.
• Dôležité články: 5 (zásady), 28 (sprostredkovateľ a zmluva so sprostredkovateľom), 30 (záznamy), 32 (bezpečnosť), 33 (porušenie ochrany údajov do 72 hodín), 44 až 49 (prenos).
• Údaje, ktoré zostávajú v rámci EHP, toto zváženie zjednodušujú, pretože sa naň nevzťahujú pravidlá prenosu.

Kvíz

Úloha

Úloha E1.2: Vaše role a údaje. Vytvorte si krátky zoznam osobných údajov, ktoré má vaša organizácia uložené v cloude (pošta, kalendár, súbory, chat). Pri každom druhu uveďte, kto je prevádzkovateľom, kto sprostredkovateľom, a či sa medzi nimi nachádzajú citlivé údaje.

Ďalšie čítanie

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 15.13: Často kladené otázky o zabezpečení a ochrane súkromia
• Návod na Nextcloud 3.1: Ako WebOké zabezpečuje váš Nextcloud?
• Nariadenie (EÚ) 2016/679 (GDPR), články 4, 5, 24, 28, 30, 32, 33, 44 až 49 a 83, na EUR-Lex
• Autoriteit Persoonsgegevens, témy „Zmluva so sprostredkovateľom“ a „Nahlásenie porušenia ochrany údajov“ (holandský dozorný orgán): https://www.autoriteitpersoonsgegevens.nl