Modul 1 · 1.2
A GDPR dióhéjban, aki a felhőt használja
Modul 1: Miért válasszon európai felhőt? · Olvasási idő: 11 perc
Tanulási cél: E lecke után meg tudja nevezni a GDPR azon szerepeit és kötelezettségeit, amelyek felhőszolgáltatás használatakor szóba kerülnek, és el tudja magyarázni, miért marad Ön a felelős, akkor is, ha az adatok egy másik félnél találhatók.
Kulcsfogalmak: GDPR (általános adatvédelmi rendelet), személyes adatok, adatkezelés, adatkezelő, adatfeldolgozó, alfeldolgozó, alapelvek (5. cikk), elszámoltathatóság, adatfeldolgozási szerződés (28. cikk), biztonság (32. cikk), adattovábbítás (V. fejezet), Nemzeti Adatvédelmi és Információszabadság Hatóság, bírságok (83. cikk)
Miért kerül itt egyszerre szóba a GDPR
A GDPR (általános adatvédelmi rendelet, angolul General Data Protection Regulation) egy európai rendelet: (EU) 2016/679 rendelet. 2018. május 25. óta közvetlenül alkalmazandó az összes uniós tagállamban. Hollandiában az Autoriteit Persoonsgegevens (AP, a holland adatvédelmi hatóság) gyakorol felügyeletet; Magyarországon ez a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), és minden más uniós országnak megvan a saját felügyeleti hatósága.
Talán azt gondolja: a GDPR nagy vállalatokról és ügyféladatbázisokról szól. Ám a Szemcse Pékség is a hatálya alá tartozik. A postafiókban megrendelések vannak, nevekkel, címekkel és telefonszámokkal. Az online mappákban beosztások, bérpapírok és egy új munkatárs személyazonosító igazolványának másolata található. A naptárban ügyfélnevek szerepelnek a kiszállítási időpontoknál. Mindez személyes adatnak számít: minden olyan információ, amely azonosított vagy azonosítható természetes személyre vonatkozik (4. cikk 1. pont). A tárolás, a levelezés, a megosztás és a törlés egyaránt adatkezelésnek minősül (4. cikk 2. pont).
Egy kivétel: amit kizárólag magáncélra végez, mint a saját családi fényképei, az kívül esik a GDPR hatályán (az úgynevezett "háztartási kivétel", 2. cikk (2) bekezdés c) pont). Amint munkáról, vállalkozásról vagy egyesületről van szó, a GDPR érvényes.
Ez magyarázat, nem jogi tanács.
Három szerep: ki kicsoda?
| Szerep | Jelentés (4. cikk) | A pékségnél |
|---|---|---|
| Adatkezelő | Meghatározza, hogy milyen célból és hogyan kezelik a személyes adatokat (7. pont) | Szemcse Pékség |
| Adatfeldolgozó | Az adatkezelő megbízásából dolgozza fel az adatokat (8. pont) | A felhőszolgáltatás, ahol a levelezés és a fájlok találhatók |
| Alfeldolgozó | Olyan fél, akit maga az adatfeldolgozó vesz igénybe (28. cikk (2) és (4) bekezdés) | Az adatközpont, egy külső ügyfélszolgálati részleg, egy biztonsági mentési szolgáltató |
A legfontosabb felismerés: a felelősség nem vándorol az adatokkal együtt. A pékség marad az adatkezelő, akkor is, ha az adatok egy felhőszolgáltatónál találhatók. Ha a felhőszolgáltató valamit ígér, és mégis hiba történik, a pékségnek továbbra is igazolnia kell tudnia, hogy megfontolt döntést hozott, és megfelelő megállapodásokat rögzített. Ezt nevezik elszámoltathatósági elvnek (5. cikk (2) bekezdés és 24. cikk).
Figyeljen arra, hogy egy felhőszolgáltató nem mindig kizárólag adatfeldolgozó. Ha a szolgáltató az Ön adatait saját céljaira is felhasználja, például termékfejlesztésre, reklámra vagy saját rendszerei betanítására, akkor ebben a részben maga is adatkezelőnek minősül. Ez az egyik olyan dolog, amelyet az általános szerződési feltételekben és az adatfeldolgozási szerződésben kell ellenőriznie (9.2. lecke).
A felhőre vonatkozó alapelvek
Az 5. cikk sorolja fel azokat az alapelveket, amelyeknek minden adatkezelésnek meg kell felelnie. Egy felhőszolgáltatás kiválasztásánál a legfontosabbak a következők:
- Célhoz kötöttség: az adatokat csak arra a célra használja, amelyre gyűjtötte azokat. Egy olyan szolgáltatás, amely az Ön ügyféladatait saját céljaira használja, ütközik ezzel az elvvel.
- Adattakarékosság: ne tároljon többet a szükségesnél. Egy váltás remek alkalom a rendrakásra (3.2. lecke).
- Korlátozott tárolhatóság: ne tárolja tovább a szükségesnél. Gondoljon a postafiókban heverő régi álláspályázati levelekre.
- Integritás és bizalmas jelleg: megfelelő védelem az elvesztés, a lopás és a jogosulatlan hozzáférés ellen. Ezt a 32. cikk dolgozza ki részletesen: a kockázathoz igazodó intézkedéseket kell hoznia, mint például titkosítás, hozzáférés-kezelés, üzemzavar utáni helyreállítás és rendszeres tesztelés.
Négy kötelezettség, amellyel váltáskor találkozik
- Olyan adatfeldolgozó kiválasztása, aki megfelelő garanciákat nyújt (28. cikk (1) bekezdés). Tehát meg kell vizsgálnia, hogyan biztosítja a szolgáltató az adatok védelmét, és hol kezeli azokat. Ezt a 2. modulban teszi meg.
- Adatfeldolgozási szerződés megkötése (28. cikk (3) bekezdés). Ebben kötelező témák szerepelnek: mit kezelnek, utasítások, titoktartás, biztonság, alfeldolgozók, segítségnyújtás adatvédelmi incidens esetén, és mi történik az adatokkal, ha Ön leállítja a szolgáltatást. Ezt a 9.2. leckében tárgyaljuk.
- Adatkezelési tevékenységek nyilvántartásának vezetése (30. cikk). Az Ön adatkezeléseinek listája: milyen adatok, miért, kivel osztja meg, meddig tárolja. Egy váltás után frissíti a címzetteket és a tárolási helyet (9.3. lecke).
- Az Európai Gazdasági Térségen kívüli adattovábbításra vonatkozó szabályok betartása (V. fejezet, 44. cikktől 49. cikkig). Ha az adatok az Európai Gazdasági Térségen kívüli országba kerülnek, ez csak akkor lehetséges, ha az adott ország megfelelő védelmi szintet biztosít (megfelelőségi határozat, 45. cikk), vagy ha további garanciák, például általános adatvédelmi kikötések (46. cikk) érvényesek. Erről az 1.4. lecke szól.
Mi történik, ha valami rosszul sül el?
Egy adatvédelmi incidens (például egy feltört fiók, amelyben ügyféladatok vannak) esetén az adatkezelőnek a felfedezéstől számított 72 órán belül be kell jelentenie azt a felügyeleti hatóságnak, kivéve, ha az valószínűsíthetően nem jár kockázattal (33. cikk). Az adatfeldolgozónak "indokolatlan késedelem nélkül" tájékoztatnia kell az adatkezelőt (33. cikk (2) bekezdés). Ezért egy jó adatfeldolgozási szerződésben rögzítik, milyen gyorsan értesíti Önt a szolgáltató.
A felügyeleti hatóság bírságot szabhat ki. A legsúlyosabb jogsértések esetén a maximum 20 millió euró vagy a globális éves árbevétel 4%-a, attól függően, melyik a magasabb (83. cikk (5) bekezdés). Kisebb szervezetek esetében a bírság ritkán a legnagyobb kockázat. A valódi kockázat az ügyfeleknek és a munkatársaknak okozott kár, valamint az elveszített bizalom.
Miért érinti ez az Ön felhőválasztását
A GDPR nem tiltja az amerikai felhőszolgáltatások használatát. Ugyanakkor Önnek tudnia kell megindokolni, miért felelős a választása: milyen adatokról, milyen kockázatokról, milyen megállapodásokról van szó. Minél érzékenyebbek az adatok (egészségügyi adatok, gyermekek adatai, pénzügyi adatok, személyzeti dossziék), annál nagyobb súlyt kap ez a mérlegelés. Egy pékség esetében ez átlátható; egy gyógytornász-praxis vagy egy iskola esetében sokkal nagyobb súllyal esik latba. Egy olyan szolgáltatás, amely az Európai Gazdasági Térségben van bejegyezve, ott kezeli az adatokat, és nincsenek az Európai Gazdasági Térségen kívüli alfeldolgozói, jelentősen egyszerűbbé teszi ezt a mérlegelést, mivel az adattovábbítási szabályok ekkor nem jönnek szóba.
A gyakorlatban: így néz ki egy szolgáltatónál
Egy üzleti célra használt szolgáltatónak rendelkeznie kell adatfeldolgozási szerződéssel és egy alfeldolgozói listával. A WebOké-nál a Nextcloud kézikönyv gyakran ismételt kérdései között szerepel, hogy adatfeldolgozási szerződést köt, ha a Nextcloudot üzleti célra használja, és mások személyes adatait tárolja benne. Más szolgáltatóknál ezt rendszerint az "Adatfeldolgozási szerződés", a "Data Processing Agreement (DPA)" elnevezés alatt, vagy a weboldal alján található jogi dokumentumok között találja meg.
Összefoglalás
- Egy kis szervezet is kezel személyes adatokat a levelezésben, a naptárban és a fájlokban, tehát a GDPR hatálya alá tartozik.
- Ön az adatkezelő; a felhőszolgáltatás az adatfeldolgozó; annak beszállítói pedig alfeldolgozók.
- A felelősség nem vándorol tovább: megfelelő garanciákat nyújtó adatfeldolgozót kell választania, és ezt igazolnia is kell tudnia.
- Fontos cikkek: 5. (alapelvek), 28. (adatfeldolgozó és adatfeldolgozási szerződés), 30. (nyilvántartás), 32. (biztonság), 33. (adatvédelmi incidens 72 órán belül), 44. cikktől 49. cikkig (adattovábbítás).
- Az Európai Gazdasági Térségen belül maradó adatok egyszerűbbé teszik a mérlegelést, mivel az adattovábbítási szabályok ekkor nem érvényesek.
Kvíz
Feladat
Feladat E1.2: Az Ön szerepkörei és adatai. Készítsen rövid listát azokról a személyes adatokról, amelyeket a szervezete a felhőben tárol (levelezés, naptár, fájlok, csevegés). Minden egyes típusnál jelölje meg, ki az adatkezelő, ki az adatfeldolgozó, és van-e köztük érzékeny adat.
E1.2. feladat: Az Ön szerepkörei és adatai
Ne adjon meg valós neveket vagy személyes adatokat, csak az adatok típusait.
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
Folytatás
Az ezekben a cikkekben szereplő lépések a WebOké szolgáltatásaira vonatkoznak; más szolgáltatóknál hasonlóan működik.
- Nextcloud kézikönyv 15.13: Gyakori kérdések a biztonságról és az adatvédelemről
- Nextcloud kézikönyv 3.1: Hogyan védi a WebOké az Ön Nextcloud fiókját?
- (EU) 2016/679 rendelet (GDPR), 4., 5., 24., 28., 30., 32., 33., 44. cikktől 49. cikkig és 83. cikk, az EUR-Lex oldalon
- Autoriteit Persoonsgegevens (holland adatvédelmi hatóság), "Adatfeldolgozási szerződés" és "Adatvédelmi incidens bejelentése" témakörök: https://www.autoriteitpersoonsgegevens.nl