GDPR ukratko, za svakoga tko koristi oblak

Modul 1: Zašto europski cloud? · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete imenovati uloge i obveze iz GDPR-a koje su relevantne kada koristite uslugu u oblaku, te objasniti zašto Vi ostajete odgovorni, čak i kada se podaci nalaze kod drugog pružatelja usluge.

Ključni pojmovi: Opća uredba o zaštiti podataka (GDPR), osobni podaci, obrada, voditelj obrade, izvršitelj obrade, podizvršitelj obrade, načela (čl. 5), obveza izvještavanja (pokazivanja usklađenosti), ugovor o obradi podataka (čl. 28), sigurnost (čl. 32), prijenos podataka (poglavlje V), nadzorno tijelo za zaštitu podataka, novčane kazne (čl. 83)

Zašto se ovo odjednom tiče GDPR-a

GDPR (Opća uredba o zaštiti podataka, na engleskom General Data Protection Regulation) europska je uredba: Uredba (EU) 2016/679. Izravno se primjenjuje u svim državama članicama EU-a od 25. svibnja 2018. U Nizozemskoj nadzor provodi Autoriteit Persoonsgegevens (AP), nizozemsko nadzorno tijelo; u svakoj drugoj državi članici EU-a postoji vlastito nadzorno tijelo (u Hrvatskoj je to Agencija za zaštitu osobnih podataka, AZOP).

Možda mislite: GDPR se odnosi na velike tvrtke s bazama podataka o kupcima. No Pekara De Korrel također potpada pod njega. U poštanskom sandučiću nalaze se narudžbe s imenima, adresama i telefonskim brojevima. U mrežnim mapama nalaze se rasporedi, platne liste i kopija osobne iskaznice novog zaposlenika. U kalendaru se nalaze imena kupaca uz termine dostave. Sve su to osobni podaci: sve informacije o identificiranoj ili prepoznatljivoj osobi (čl. 4. t. 1.). A pohranjivanje, slanje e-pošte, dijeljenje i brisanje sve je to obrada (čl. 4. t. 2.).

Jedna iznimka: ono što radite isključivo privatno, poput vlastitih obiteljskih fotografija, ne potpada pod GDPR (takozvana "kućanska iznimka", čl. 2. st. 2. t. c). Čim se radi o Vašem poslu, poduzeću ili udruzi, GDPR se primjenjuje.

Ovo je objašnjenje, a ne pravni savjet.

Tri uloge: tko je tko?

Najvažnija spoznaja: odgovornost se ne seli zajedno s podacima. Pekara ostaje voditelj obrade, čak i kada se podaci nalaze kod pružatelja usluge u oblaku. Ako pružatelj usluge nešto obeća, a nešto pođe po zlu, pekara i dalje mora moći pokazati da je napravila razuman odabir i da je sklopila dobre dogovore. To se naziva obveza izvještavanja (pokazivanja usklađenosti) (čl. 5. st. 2. i čl. 24.).

Pazite: usluga u oblaku nije uvijek samo izvršitelj obrade. Ako pružatelj usluge koristi Vaše podatke i za vlastite svrhe, poput razvoja proizvoda, oglašavanja ili treniranja vlastitih sustava, tada je za taj dio sâm voditelj obrade. To je jedna od stvari koje provjeravate u uvjetima korištenja i ugovoru o obradi podataka (lekcija 9.2).

Načela koja su relevantna za oblak

Članak 5. navodi načela kojima mora udovoljiti svaka obrada. Za odabir usluge u oblaku najvažnija su sljedeća:

• Ograničenje svrhe: podatke koristite samo u svrhu za koju ste ih prikupili. Usluga koja koristi podatke Vaših kupaca za vlastite svrhe kosi se s ovim načelom.
• Smanjenje količine podataka: ne čuvajte više podataka nego što je potrebno. Prelazak je dobar trenutak za pospremanje (lekcija 3.2).
• Ograničenje pohrane: ne čuvajte podatke dulje nego što je potrebno. Mislite na stare prijave za posao koje stoje u poštanskom sandučiću.
• Cjelovitost i povjerljivost: odgovarajuća sigurnost protiv gubitka, krađe i neovlaštenog pristupa. Ovo se razrađuje u članku 32.: poduzimate mjere koje odgovaraju riziku, poput enkripcije, upravljanja pristupom, oporavka nakon incidenta i redovitog testiranja.

Četiri obveze s kojima se susrećete pri prelasku

1. Odabrati izvršitelja obrade koji pruža dostatna jamstva (čl. 28. st. 1.). Dakle, morate provjeriti kako pružatelj usluge osigurava podatke i gdje ih obrađuje. To radite u modulu 2.
2. Sklopiti ugovor o obradi podataka (čl. 28. st. 3.). U njemu se navode obvezne teme: što se obrađuje, upute, povjerljivost, sigurnost, podizvršitelji obrade, pomoć kod povreda podataka i što se događa s podacima kada prestanete koristiti uslugu. O tome govorimo u lekciji 9.2.
3. Voditi evidenciju aktivnosti obrade (čl. 30.). Popis Vaših aktivnosti obrade: koji podaci, zašto, s kim se dijele, koliko dugo se čuvaju. Nakon prelaska prilagođavate primatelje i mjesto pohrane (lekcija 9.3).
4. Slijediti pravila za prijenos podataka izvan EGP-a (poglavlje V, čl. 44. do 49.). Ako podaci odlaze u zemlju izvan Europskog gospodarskog prostora, to je dopušteno samo ako ta zemlja ima odgovarajuću razinu zaštite (odluka o primjerenosti, čl. 45.) ili uz dodatne zaštitne mjere poput standardnih ugovornih klauzula (čl. 46.). O tome govori lekcija 1.4.

Što se događa kada nešto pođe po zlu?

Kod povrede osobnih podataka (na primjer hakiranog računa u kojem se nalaze podaci o kupcima) voditelj obrade to mora prijaviti nadzornom tijelu u roku od 72 sata, osim ako vjerojatno ne predstavlja rizik (čl. 33.). Izvršitelj obrade mora obavijestiti voditelja obrade "bez nepotrebnog odgađanja" (čl. 33. st. 2.). Zato u dobrom ugovoru o obradi podataka stoji koliko brzo Vas pružatelj usluge obavještava.

Nadzorno tijelo može izreći novčane kazne. Najviši iznos za najteže povrede iznosi 20 milijuna eura ili 4 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome koji je iznos viši (čl. 83. st. 5.). Za male organizacije novčana kazna rijetko je najveći rizik. Pravi rizik je šteta za kupce i zaposlenike, te povjerenje koje gubite.

Zašto ovo utječe na odabir Vašeg oblaka

GDPR ne zabranjuje korištenje američkih usluga u oblaku. No, morate moći objasniti zašto je Vaš odabir opravdan: koji podaci, koji rizici, kakvi dogovori. Što su podaci osjetljiviji (zdravlje, djeca, financije, dosjei zaposlenika), to je ta procjena ozbiljnija. Za pekaru je situacija pregledna; za fizioterapeutsku praksu ili školu ta procjena nosi puno veću težinu. Usluga koja ima sjedište u EGP-u, obrađuje podatke u EGP-u i nema podizvršitelje obrade izvan EGP-a, znatno pojednostavljuje tu procjenu, jer se tada pravila o prijenosu podataka uopće ne primjenjuju.

U praksi: tako to izgleda kod pružatelja usluge

Pružatelj usluge koji se koristi u poslovne svrhe trebao bi imati ugovor o obradi podataka i popis podizvršitelja obrade. Kod WebOkéa u često postavljanim pitanjima iz priručnika za Nextcloud stoji da sklapate ugovor o obradi podataka ako Nextcloud koristite u poslovne svrhe i u njemu pohranjujete osobne podatke drugih osoba. Kod drugih pružatelja usluga nešto slično obično ćete pronaći pod "Ugovor o obradi podataka", "Data Processing Agreement (DPA)" ili u pravnim dokumentima pri dnu internetske stranice.

Sažetak

• Čak i mala organizacija obrađuje osobne podatke u e-pošti, kalendaru i datotekama, te stoga potpada pod GDPR.
• Vi ste voditelj obrade; usluga u oblaku izvršitelj je obrade; njezini dobavljači podizvršitelji su obrade.
• Odgovornost se ne seli zajedno s podacima: morate odabrati izvršitelja obrade s dostatnim jamstvima i to moći objasniti.
• Važni članci: 5. (načela), 28. (izvršitelj obrade i ugovor o obradi podataka), 30. (evidencija), 32. (sigurnost), 33. (povreda podataka unutar 72 sata), 44. do 49. (prijenos podataka).
• Podaci koji ostaju unutar EGP-a olakšavaju procjenu, jer se tada pravila o prijenosu podataka ne primjenjuju.

Kviz

Zadatak

Zadatak E1.2: Vaše uloge i podaci. Napravite kratak popis osobnih podataka koje Vaša organizacija ima pohranjene u oblaku (e-pošta, kalendar, datoteke, chat). Za svaku vrstu navedite tko je voditelj obrade, tko je izvršitelj obrade, te ima li među njima osjetljivih podataka.

Dodatna literatura

Koraci u ovim člancima vrijede za usluge WebOkéa; kod drugih pružatelja usluga postupak je sličan.

• Nextcloud priručnik 15.13: Često postavljana pitanja o sigurnosti i privatnosti
• Nextcloud priručnik 3.1: Kako WebOké osigurava Vaš Nextcloud?
• Uredba (EU) 2016/679 (GDPR), članci 4., 5., 24., 28., 30., 32., 33., 44. do 49. i 83., na EUR-Lexu
• Autoriteit Persoonsgegevens (nizozemsko nadzorno tijelo), teme "Verwerkersovereenkomst" i "Datalek melden": https://www.autoriteitpersoonsgegevens.nl