RODO w skrócie, dla osób korzystających z chmury

Moduł 1: Dlaczego europejska chmura? · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wskazać role i obowiązki wynikające z RODO, które mają znaczenie przy korzystaniu z usługi chmurowej, oraz wyjaśnić, dlaczego to Państwo pozostają odpowiedzialni, nawet jeśli dane znajdują się u innego podmiotu.

Kluczowe pojęcia: RODO (GDPR), dane osobowe, przetwarzanie, administrator, podmiot przetwarzający, podwykonawca przetwarzania (subprocesor), zasady (art. 5), zasada rozliczalności, umowa powierzenia przetwarzania danych osobowych (art. 28), bezpieczeństwo (art. 32), przekazywanie danych (rozdział V), Prezes Urzędu Ochrony Danych Osobowych (UODO), kary pieniężne (art. 83)

Dlaczego nagle mowa tu o RODO

RODO (Rozporządzenie o Ochronie Danych Osobowych, w jęz. angielskim GDPR) to rozporządzenie unijne: Rozporządzenie (UE) 2016/679. Obowiązuje bezpośrednio we wszystkich krajach UE od 25 maja 2018 r. W Polsce nadzór sprawuje Prezes Urzędu Ochrony Danych Osobowych (UODO); w każdym innym kraju UE działa własny organ nadzorczy.

Mogą Państwo pomyśleć: RODO dotyczy dużych firm z bazami danych klientów. Jednak Bakkerij De Korrel również podlega temu rozporządzeniu. W skrzynce pocztowej znajdują się zamówienia z imionami, nazwiskami, adresami i numerami telefonów. W folderach online znajdują się grafiki pracy, paski wynagrodzeń i kopia dowodu tożsamości nowego pracownika. W kalendarzu widnieją nazwiska klientów przy ustaleniach dotyczących dostawy. To wszystko są dane osobowe: wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie (art. 4 pkt 1). A przechowywanie, wysyłanie e-maili, udostępnianie i usuwanie to przetwarzanie (art. 4 pkt 2).

Wyjątek: to, co robią Państwo czysto prywatnie, na przykład przechowują własne zdjęcia rodzinne, nie podlega RODO ("wyłączenie dla czynności czysto osobistych lub domowych", art. 2 ust. 2 lit. c). Jednak gdy chodzi o Państwa pracę, firmę lub organizację, RODO ma zastosowanie.

To jest wyjaśnienie, nie porada prawna.

Trzy role: kto jest kim?

Najważniejsza zasada: odpowiedzialność nie przenosi się razem z danymi. Piekarnia pozostaje administratorem, nawet jeśli dane znajdują się w usłudze chmurowej. Jeśli dostawca usługi chmurowej coś obiecuje, a coś pójdzie nie tak, piekarnia nadal musi być w stanie wykazać, że dokonała rozsądnego wyboru i ustaliła odpowiednie zasady. Nazywa się to zasadą rozliczalności (art. 5 ust. 2 i art. 24).

Proszę zwrócić uwagę: usługa chmurowa nie zawsze jest wyłącznie podmiotem przetwarzającym. Jeśli dostawca wykorzystuje Państwa dane również do własnych celów, takich jak rozwój produktów, reklama czy trenowanie własnych systemów, to w tym zakresie sam staje się administratorem. To jedna z rzeczy, które należy sprawdzić w warunkach korzystania z usługi oraz w umowie powierzenia przetwarzania danych osobowych (lekcja 9.2).

Zasady, które mają znaczenie w chmurze

Artykuł 5 wymienia zasady, którym musi odpowiadać każde przetwarzanie. Przy wyborze usługi chmurowej najważniejsze są następujące:

• Ograniczenie celu: dane wykorzystuje się wyłącznie w celu, w jakim zostały zebrane. Usługa, która wykorzystuje dane Państwa klientów do własnych celów, narusza tę zasadę.
• Minimalizacja danych: nie przechowuje się więcej danych niż to konieczne. Przejście na inną usługę to dobry moment na porządki (lekcja 3.2).
• Ograniczenie przechowywania: dane nie są przechowywane dłużej niż to konieczne. Proszę pomyśleć o starych listach motywacyjnych w skrzynce pocztowej.
• Integralność i poufność: odpowiednie zabezpieczenia przed utratą, kradzieżą i nieuprawnionym dostępem. Jest to doprecyzowane w artykule 32: wdrażają Państwo środki odpowiednie do ryzyka, takie jak szyfrowanie, zarządzanie dostępem, odzyskiwanie po awarii i regularne testowanie.

Cztery obowiązki, z którymi spotkają się Państwo przy zmianie dostawcy

1. Wybór podmiotu przetwarzającego, który daje wystarczające gwarancje (art. 28 ust. 1). Muszą więc Państwo sprawdzić, jak dostawca zabezpiecza dane i gdzie je przetwarza. Zajmiemy się tym w module 2.
2. Zawarcie umowy powierzenia przetwarzania danych osobowych (art. 28 ust. 3). Zawiera ona obowiązkowe elementy: co jest przetwarzane, instrukcje, zachowanie poufności, zabezpieczenia, podwykonawców przetwarzania, pomoc przy naruszeniach ochrony danych oraz co dzieje się z danymi po zakończeniu współpracy. Omówimy to w lekcji 9.2.
3. Prowadzenie rejestru czynności przetwarzania (art. 30). Jest to lista Państwa czynności przetwarzania: jakie dane, w jakim celu, komu udostępniane, jak długo przechowywane. Po zmianie dostawcy należy zaktualizować odbiorców i miejsce przechowywania (lekcja 9.3).
4. Przestrzeganie zasad przekazywania danych poza EOG (rozdział V, art. 44 do 49). Jeśli dane trafiają do kraju spoza Europejskiego Obszaru Gospodarczego, jest to dozwolone wyłącznie, gdy ten kraj zapewnia odpowiedni stopień ochrony (decyzja stwierdzająca odpowiedni stopień ochrony, art. 45) lub przy zastosowaniu dodatkowych zabezpieczeń, takich jak standardowe klauzule umowne (art. 46). Dotyczy tego lekcja 1.4.

Co się dzieje, gdy coś pójdzie nie tak?

W przypadku naruszenia ochrony danych osobowych (na przykład zhakowanego konta, w którym znajdują się dane klientów) administrator musi zgłosić to organowi nadzorczemu w ciągu 72 godzin, chyba że jest mało prawdopodobne, by naruszenie to powodowało ryzyko (art. 33). Podmiot przetwarzający musi poinformować administratora "bez zbędnej zwłoki" (art. 33 ust. 2). Dlatego w dobrej umowie powierzenia przetwarzania danych osobowych określa się, jak szybko dostawca ma Państwa ostrzec.

Organ nadzorczy może nakładać kary pieniężne. Maksymalna wysokość kary za najpoważniejsze naruszenia wynosi 20 milionów euro lub 4% całkowitego rocznego światowego obrotu, w zależności od tego, która wartość jest wyższa (art. 83 ust. 5). Dla małych organizacji kara finansowa rzadko stanowi największe ryzyko. Prawdziwym ryzykiem jest szkoda dla klientów i pracowników oraz utrata zaufania.

Dlaczego ma to wpływ na wybór chmury

RODO nie zabrania korzystania z amerykańskich usług chmurowych. Muszą jednak Państwo umieć wyjaśnić, dlaczego ich wybór jest uzasadniony: jakie dane, jakie ryzyka, jakie ustalenia. Im bardziej wrażliwe dane (zdrowie, dzieci, finanse, akta personalne), tym poważniejsza musi być ta ocena. Dla piekarni sprawa jest przejrzysta; dla gabinetu fizjoterapii czy szkoły waży dużo bardziej. Usługa, która ma siedzibę w EOG, przetwarza dane w EOG i nie korzysta z podwykonawców przetwarzania spoza EOG, znacznie ułatwia tę ocenę, ponieważ zasady dotyczące przekazywania danych wtedy nie mają zastosowania.

W praktyce: jak to wygląda u dostawcy

Dostawca wykorzystywany do celów biznesowych powinien posiadać umowę powierzenia przetwarzania danych osobowych oraz listę podwykonawców przetwarzania. W WebOké w często zadawanych pytaniach instrukcji dotyczącej Nextcloud wskazano, że zawierają Państwo umowę powierzenia przetwarzania danych osobowych, jeśli korzystają Państwo z Nextcloud w celach biznesowych i przechowują w niej dane osobowe innych osób. U innych dostawców znajdą Państwo zwykle coś takiego pod hasłem "Umowa powierzenia przetwarzania danych", "Data Processing Agreement (DPA)" lub w dokumentach prawnych u dołu strony internetowej.

Podsumowanie

• Nawet mała organizacja przetwarza dane osobowe w poczcie, kalendarzu i plikach, a zatem podlega RODO.
• Państwo są administratorem; usługa chmurowa jest podmiotem przetwarzającym; jej dostawcy są podwykonawcami przetwarzania.
• Odpowiedzialność nie przenosi się wraz z danymi: muszą Państwo wybrać podmiot przetwarzający dający wystarczające gwarancje i umieć to wyjaśnić.
• Ważne artykuły: 5 (zasady), 28 (podmiot przetwarzający i umowa powierzenia przetwarzania), 30 (rejestr), 32 (bezpieczeństwo), 33 (naruszenie ochrony danych w ciągu 72 godzin), 44 do 49 (przekazywanie danych).
• Dane, które pozostają w EOG, ułatwiają tę ocenę, ponieważ zasady przekazywania danych wtedy nie obowiązują.

Quiz

Zadanie

Zadanie E1.2: Role i dane Państwa organizacji. Proszę sporządzić krótką listę danych osobowych, które znajdują się w chmurze Państwa organizacji (poczta, kalendarz, pliki, czat). Proszę wskazać przy każdym rodzaju, kto jest administratorem, kto podmiotem przetwarzającym, oraz czy znajdują się wśród nich dane wrażliwe.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to podobnie.

• Podręcznik Nextcloud 15.13: Najczęściej zadawane pytania dotyczące bezpieczeństwa i prywatności
• Podręcznik Nextcloud 3.1: Jak WebOké zabezpiecza Pana/Pani Nextcloud?
• Rozporządzenie (UE) 2016/679 (RODO), artykuły 4, 5, 24, 28, 30, 32, 33, 44 do 49 i 83, na stronie EUR-Lex
• Prezes Urzędu Ochrony Danych Osobowych (UODO), zagadnienia "Umowa powierzenia przetwarzania danych osobowych" i "Zgłoszenie naruszenia ochrony danych": https://www.autoriteitpersoonsgegevens.nl (holenderski organ nadzorczy, podany jako przykład)