VDAR īsumā, tiem, kas izmanto mākoni

1. modulis: Kāpēc Eiropas mākonis? · Lasīšanas laiks: 11 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet nosaukt VDAR noteiktās lomas un pienākumus, kas attiecas uz mākoņpakalpojuma izmantošanu, un paskaidrot, kāpēc Jūs paliekat atbildīgs, pat ja dati atrodas pie cita pakalpojumu sniedzēja.

Pamatjēdzieni: VDAR (GDPR), personas dati, apstrāde, pārzinis, apstrādātājs, apakšapstrādātājs, principi (5. pants), pārskatatbildība, datu apstrādes līgums (28. pants), drošība (32. pants), nodošana (V nodaļa), Datu valsts inspekcija, naudas sodi (83. pants)

Kāpēc šeit pēkšņi ir runa par VDAR

VDAR (Vispārīgā datu aizsardzības regula, angliski GDPR) ir Eiropas regula: Regula (ES) 2016/679. Tā ir tieši piemērojama visās ES dalībvalstīs kopš 2018. gada 25. maija. Latvijā uzraudzību veic Datu valsts inspekcija (DVI); katrā citā ES valstī ir sava uzraudzības iestāde.

Jūs, iespējams, domājat, ka VDAR attiecas tikai uz lieliem uzņēmumiem ar klientu datubāzēm. Taču arī uz Bakkerij De Korrel tā attiecas. Pasta kastē atrodas pasūtījumi ar vārdiem, adresēm un tālruņa numuriem. Tiešsaistes mapēs atrodas darba grafiki, algas lapas un jauna darbinieka personu apliecinoša dokumenta kopija. Kalendārā ir klientu vārdi pie piegādes tikšanās. Tie visi ir personas dati: jebkura informācija par identificētu vai identificējamu personu (4. panta 1. punkts). Un glabāšana, nosūtīšana pa pastu, koplietošana un dzēšana ir apstrāde (4. panta 2. punkts).

Izņēmums: tas, ko Jūs darāt tīri personiski, piemēram, savas ģimenes fotogrāfijas, nav pakļauts VDAR (tā sauktais "mājsaimniecības izņēmums", 2. panta 2. punkta c) apakšpunkts). Tiklīdz runa ir par Jūsu darbu, uzņēmumu vai biedrību, VDAR gan ir piemērojama.

Šis ir skaidrojums, nevis juridisks padoms.

Trīs lomas: kurš ir kurš?

Vissvarīgākā atziņa: atbildība neseko datiem līdzi. Maiznīca paliek pārzinis, pat ja dati atrodas pie mākoņpakalpojuma. Ja mākoņpakalpojums kaut ko solīja un notiek kļūda, maiznīcai tomēr jāspēj parādīt, ka tā ir izdarījusi pārdomātu izvēli un noslēgusi atbilstošas vienošanās. To sauc par pārskatatbildību (5. panta 2. punkts un 24. pants).

Ņemiet vērā: mākoņpakalpojums ne vienmēr ir tikai apstrādātājs. Ja pakalpojumu sniedzējs izmanto Jūsu datus arī saviem mērķiem, piemēram, produktu izstrādei, reklāmai vai savu sistēmu apmācīšanai, tad attiecībā uz šo daļu tas pats ir pārzinis. Tas ir viens no aspektiem, kas jāpārbauda noteikumos un datu apstrādes līgumā (9.2. nodarbība).

Principi, kas attiecas uz mākoni

5. pantā minēti principi, kuriem jāatbilst katrai apstrādei. Mākoņpakalpojuma izvēlei vissvarīgākie ir šādi:

• Nolūka ierobežojums: Jūs izmantojat datus tikai tam nolūkam, kādam tie iegūti. Pakalpojums, kas izmanto Jūsu klientu datus saviem nolūkiem, ar to nonāk pretrunā.
• Datu minimizēšana: neglabājiet vairāk, nekā nepieciešams. Pāreja ir labs brīdis sakārtošanai (3.2. nodarbība).
• Glabāšanas ierobežojums: neglabājiet ilgāk, nekā nepieciešams. Piemēram, vecas pieteikuma vēstules pasta kastē.
• Integritāte un konfidencialitāte: atbilstoša drošība pret zudumu, zādzību un nesankcionētu piekļuvi. Tas tiek precizēts 32. pantā: Jūs veicat pasākumus, kas atbilst riskam, piemēram, šifrēšanu, piekļuves pārvaldību, atjaunošanu pēc darbības traucējuma un regulāru testēšanu.

Četri pienākumi, ar kuriem Jūs saskaraties pārejas laikā

1. Izvēlēties apstrādātāju, kas sniedz pietiekamas garantijas (28. panta 1. punkts). Tātad Jums jānoskaidro, kā pakalpojumu sniedzējs nodrošina drošību un kur tas apstrādā datus. To Jūs darāt 2. modulī.
2. Noslēgt datu apstrādes līgumu (28. panta 3. punkts). Tajā ir obligātas tēmas: kas tiek apstrādāts, instrukcijas, konfidencialitāte, drošība, apakšapstrādātāji, palīdzība datu aizsardzības pārkāpumu gadījumā un kas notiek ar datiem, kad pārtraucat lietošanu. To mēs aplūkojam 9.2. nodarbībā.
3. Uzturēt apstrādes darbību reģistru (30. pants). Sarakstu ar Jūsu apstrādes darbībām: kādi dati, kāpēc, ar ko koplietoti, cik ilgi glabāti. Pēc pārejas Jūs pielāgojat saņēmējus un glabāšanas vietu (9.3. nodarbība).
4. Ievērot noteikumus par nodošanu ārpus EEZ (V nodaļa, 44. līdz 49. pants). Ja dati nonāk valstī ārpus Eiropas Ekonomikas zonas, tas ir atļauts tikai tad, ja šai valstij ir atbilstošs aizsardzības līmenis (lēmums par aizsardzības līmeņa pietiekamību, 45. pants) vai ar papildu garantijām, piemēram, standarta līguma klauzulām (46. pants). Par to ir runa 1.4. nodarbībā.

Kas notiek, ja kaut kas noiet greizi?

Datu aizsardzības pārkāpuma gadījumā (piemēram, uzlauzts konts, kurā ir klientu dati) pārzinim tas jāpaziņo uzraudzības iestādei 72 stundu laikā, ja vien tas, iespējams, nerada risku (33. pants). Apstrādātājam pārzinis jāinformē "bez nepamatotas kavēšanās" (33. panta 2. punkts). Tāpēc labā datu apstrādes līgumā ir norādīts, cik ātri pakalpojumu sniedzējs Jūs brīdina.

Uzraudzības iestāde var uzlikt naudas sodus. Smagākajiem pārkāpumiem maksimālais sods ir 20 miljoni eiro vai 4% no uzņēmuma pasaules mēroga gada apgrozījuma, atkarībā no tā, kurš lielāks (83. panta 5. punkts). Mazām organizācijām naudas sods reti ir lielākais risks. Patiesais risks ir kaitējums klientiem un darbiniekiem, kā arī uzticības zudums.

Kāpēc tas ietekmē Jūsu mākoņa izvēli

VDAR neaizliedz izmantot Amerikas Savienoto Valstu mākoņpakalpojumus. Taču Jums jāspēj paskaidrot, kāpēc Jūsu izvēle ir pamatota: kādi dati, kādi riski, kādas vienošanās. Jo jutīgāki dati (veselība, bērni, finanses, personāla lietas), jo svarīgāks šis izvērtējums. Maiznīcai tas ir pārskatāms; fizioterapijas praksei vai skolai tas sver daudz vairāk. Pakalpojums, kas atrodas EEZ, apstrādā datus EEZ un kam nav apakšapstrādātāju ārpus EEZ, padara šo izvērtējumu daudz vienkāršāku, jo tad nodošanas noteikumi neattiecas.

Praksē: kā tas izskatās pie pakalpojumu sniedzēja

Pakalpojumu sniedzējam, ko izmanto darījumdarbībā, jābūt datu apstrādes līgumam un apakšapstrādātāju sarakstam. WebOké biežāk uzdoto jautājumu sadaļā Nextcloud rokasgrāmatā ir norādīts, ka Jūs noslēdzat datu apstrādes līgumu, ja izmantojat Nextcloud darījumdarbībai un tajā glabājat citu personu personas datus. Pie citiem pakalpojumu sniedzējiem to parasti atradīsiet sadaļā "Datu apstrādes līgums", "Data Processing Agreement (DPA)" vai juridiskajos dokumentos vietnes apakšā.

Kopsavilkums

• Arī maza organizācija apstrādā personas datus pastā, kalendārā un failos, un tādējādi uz to attiecas VDAR.
• Jūs esat pārzinis; mākoņpakalpojums ir apstrādātājs; tā piegādātāji ir apakšapstrādātāji.
• Atbildība neseko datiem līdzi: Jums jāizvēlas apstrādātājs ar pietiekamām garantijām un tas jāspēj paskaidrot.
• Svarīgi panti: 5 (principi), 28 (apstrādātājs un datu apstrādes līgums), 30 (reģistrs), 32 (drošība), 33 (datu aizsardzības pārkāpums 72 stundu laikā), 44 līdz 49 (nodošana).
• Dati, kas paliek EEZ, atvieglo izvērtējumu, jo tad nodošanas noteikumi nav piemērojami.

Tests

Uzdevums

Uzdevums E1.2: Jūsu lomas un dati. Izveidojiet īsu sarakstu ar personas datiem, kas Jūsu organizācijai glabājas mākonī (pasts, kalendārs, faili, tērzēšana). Katram veidam norādiet, kurš ir pārzinis, kurš apstrādātājs, un vai tajos ir jutīgi dati.

Papildu lasāmviela

Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; pie citiem pakalpojumu sniedzējiem process ir līdzīgs.

• Nextcloud rokasgrāmata 15.13: Biežāk uzdotie jautājumi par drošību un privātumu
• Nextcloud rokasgrāmata 3.1: Kā WebOké aizsargā Jūsu Nextcloud?
• Regula (ES) 2016/679 (VDAR), 4., 5., 24., 28., 30., 32., 33., 44. līdz 49. un 83. pants, EUR-Lex vietnē
• Datu valsts inspekcija, tēmas "Datu apstrādes līgums" un "Datu aizsardzības pārkāpuma paziņošana": https://www.autoriteitpersoonsgegevens.nl (Nīderlandes uzraudzības iestādes vietne)