GDPR pe scurt, pentru cei care folosesc cloud-ul

Modulul 1: De ce un cloud european? · Timp de citire: 11 minute

Obiectivul lecției: După această lecție veți putea să denumiți rolurile și obligațiile din GDPR care intervin atunci când folosiți un serviciu cloud și să explicați de ce rămâneți responsabil dumneavoastră, chiar dacă datele se află la altcineva.

Noțiuni cheie: GDPR, date cu caracter personal, prelucrare, operator, persoană împuternicită de operator, subîmputernicit, principii (art. 5), obligația de responsabilitate, acord de prelucrare a datelor (art. 28), securitate (art. 32), transfer (capitolul V), autoritatea de supraveghere, amenzi (art. 83)

De ce discutăm aici brusc despre GDPR

GDPR (Regulamentul general privind protecția datelor) este un regulament european: Regulamentul (UE) 2016/679. Acesta se aplică direct, din 25 mai 2018, în toate statele membre ale UE. În Țările de Jos, supravegherea este asigurată de Autoriteit Persoonsgegevens (AP, autoritatea olandeză de supraveghere); în fiecare alt stat membru UE există propria autoritate de supraveghere, iar în România aceasta este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

Poate vă gândiți: GDPR-ul se aplică doar companiilor mari cu baze de date de clienți. Dar Bakkerij De Korrel se încadrează și ea aici. În căsuța de e-mail se află comenzi cu nume, adrese și numere de telefon. În folderele online se află programe de lucru, fluturași de salariu și o copie a unui act de identitate al unui angajat nou. În calendar apar numele clienților la programările de livrare. Toate acestea sunt date cu caracter personal: orice informație referitoare la o persoană identificată sau identificabilă (art. 4 pct. 1). Iar stocarea, trimiterea prin e-mail, partajarea și ștergerea reprezintă toate prelucrare (art. 4 pct. 2).

O excepție: ceea ce faceți strict în scop personal, precum propriile fotografii de familie, nu intră sub incidența GDPR-ului (așa-numita "excepție domestică", art. 2 alin. (2) lit. c). De îndată ce este vorba despre activitatea dumneavoastră, despre firma sau asociația dumneavoastră, GDPR-ul se aplică.

Aceasta este o explicație, nu o consultanță juridică.

Trei roluri: cine este cine?

Observația cea mai importantă: responsabilitatea nu se mută odată cu datele. Brutăria rămâne operator, chiar dacă datele se află la un serviciu cloud. Dacă serviciul cloud promite ceva și lucrurile merg prost, brutăria trebuie să poată demonstra totuși că a făcut o alegere rezonabilă și că a stabilit acorduri bune. Aceasta se numește obligația de responsabilitate (art. 5 alin. (2) și art. 24).

Atenție: un serviciu cloud nu este întotdeauna doar persoană împuternicită. Dacă furnizorul folosește datele dumneavoastră și în propriile sale scopuri, precum dezvoltarea de produse, publicitate sau antrenarea propriilor sisteme, atunci pentru acea parte el însuși devine operator. Acesta este unul dintre aspectele pe care le verificați în termenii și condițiile și în acordul de prelucrare a datelor (lecția 9.2).

Principiile relevante pentru cloud

Articolul 5 enumeră principiile pe care trebuie să le respecte orice prelucrare. Pentru alegerea unui serviciu cloud, cele mai importante sunt:

• Limitarea legată de scop: folosiți datele doar pentru scopul pentru care le-ați obținut. Un serviciu care folosește datele clienților dumneavoastră în propriile scopuri intră în conflict cu acest principiu.
• Reducerea la minimum a datelor: nu păstrați mai multe date decât este necesar. O trecere la un alt serviciu este un moment bun pentru a face ordine (lecția 3.2).
• Limitarea legată de stocare: nu păstrați datele mai mult decât este necesar. Gândiți-vă la scrisorile vechi de candidatură dintr-o căsuță de e-mail.
• Integritate și confidențialitate: securitate adecvată împotriva pierderii, furtului și accesului neautorizat. Aceasta este detaliată în articolul 32: luați măsuri adecvate riscului, precum criptarea, gestionarea accesului, recuperarea după o întrerupere și testarea periodică.

Patru obligații pe care le întâlniți la o trecere

1. Alegerea unei persoane împuternicite care oferă garanții suficiente (art. 28 alin. (1)). Trebuie deci să verificați modul în care furnizorul asigură securitatea și unde prelucrează datele. Acest lucru îl veți face în modulul 2.
2. Încheierea unui acord de prelucrare a datelor (art. 28 alin. (3)). Acesta trebuie să conțină subiecte obligatorii: ce se prelucrează, instrucțiuni, confidențialitate, securitate, subîmputerniciți, sprijin în cazul încălcărilor securității datelor și ce se întâmplă cu datele atunci când încetați colaborarea. Acest subiect este tratat în lecția 9.2.
3. Ținerea unei evidențe a activităților de prelucrare (art. 30). O listă a prelucrărilor dumneavoastră: ce date, de ce, cu cine sunt partajate, cât timp sunt păstrate. După o trecere, actualizați destinatarii și locul de stocare (lecția 9.3).
4. Respectarea regulilor privind transferul în afara SEE (capitolul V, art. 44 până la 49). Dacă datele ajung într-o țară din afara Spațiului Economic European, acest lucru este permis doar dacă acea țară are un nivel adecvat de protecție (o decizie de adecvare, art. 45) sau cu garanții suplimentare precum clauzele contractuale standard (art. 46). Despre acest subiect este vorba în lecția 1.4.

Ce se întâmplă dacă lucrurile merg prost?

În cazul unei încălcări a securității datelor cu caracter personal (de exemplu un cont spart în care se află date ale clienților), operatorul trebuie să o notifice autorității de supraveghere în termen de 72 de ore, cu excepția cazului în care este puțin probabil ca aceasta să genereze un risc (art. 33). Persoana împuternicită trebuie să informeze operatorul "fără întârzieri nejustificate" (art. 33 alin. (2)). De aceea, într-un acord de prelucrare a datelor bine întocmit se precizează cât de repede vă avertizează furnizorul.

Autoritatea de supraveghere poate aplica amenzi. Pentru cele mai grave încălcări, maximul este de 20 de milioane de euro sau 4% din cifra de afaceri globală anuală, dacă aceasta este mai mare (art. 83 alin. (5)). Pentru organizațiile mici, amenda este rareori cel mai mare risc. Riscul real este prejudiciul adus clienților și angajaților, precum și încrederea pe care o pierdeți.

De ce acest lucru vă influențează alegerea cloud-ului

GDPR-ul nu interzice folosirea serviciilor cloud americane. Trebuie însă să puteți explica de ce alegerea dumneavoastră este responsabilă: ce date, ce riscuri, ce acorduri. Cu cât datele sunt mai sensibile (sănătate, copii, finanțe, dosare de personal), cu atât această evaluare este mai importantă. Pentru o brutărie, situația este clară; pentru un cabinet de fizioterapie sau o școală, aceasta cântărește mult mai greu. Un serviciu stabilit în SEE, care prelucrează datele în SEE și nu are subîmputerniciți în afara SEE, face această evaluare mult mai simplă, deoarece regulile privind transferul nu mai intervin.

În practică: cum arată la un furnizor

Un furnizor folosit în scop profesional trebuie să dispună de un acord de prelucrare a datelor și de o listă a subîmputerniciților. La WebOké, în secțiunea de întrebări frecvente din ghidul Nextcloud se precizează că încheiați un acord de prelucrare a datelor dacă folosiți Nextcloud în scop profesional și stocați în ea date cu caracter personal ale altora. La alți furnizori, găsiți de obicei acest lucru sub denumirea "Acord de prelucrare a datelor", "Data Processing Agreement (DPA)" sau în documentele juridice din subsolul site-ului.

Rezumat

• Chiar și o organizație mică prelucrează date cu caracter personal în e-mail, calendar și fișiere și intră deci sub incidența GDPR-ului.
• Dumneavoastră sunteți operator; serviciul cloud este persoană împuternicită de operator; furnizorii acestuia sunt subîmputerniciți.
• Responsabilitatea nu se mută odată cu datele: trebuie să alegeți o persoană împuternicită care oferă garanții suficiente și să puteți explica acest lucru.
• Articole importante: 5 (principii), 28 (persoană împuternicită și acord de prelucrare), 30 (evidență), 32 (securitate), 33 (încălcarea securității datelor în 72 de ore), 44 până la 49 (transfer).
• Datele care rămân în SEE simplifică evaluarea, deoarece regulile privind transferul nu se mai aplică.

Quiz

Exercițiu

Exercițiul E1.2: Rolurile și datele dumneavoastră. Întocmiți o listă scurtă a datelor cu caracter personal pe care organizația dumneavoastră le are stocate în cloud (e-mail, calendar, fișiere, chat). Indicați pentru fiecare categorie cine este operator, cine este persoană împuternicită și dacă sunt implicate date sensibile.

Pentru aprofundare

Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori funcționează în mod similar.

• Manual Nextcloud 15.13: Întrebări frecvente despre securitate și confidențialitate
• Manual Nextcloud 3.1: Cum vă securizează WebOké Nextcloud-ul?
• Regulamentul (UE) 2016/679 (GDPR), articolele 4, 5, 24, 28, 30, 32, 33, 44 până la 49 și 83, pe EUR-Lex
• Autoriteit Persoonsgegevens (autoritatea olandeză de supraveghere), subiectele "Verwerkersovereenkomst" (acord de prelucrare a datelor) și "Datalek melden" (notificarea unei încălcări a securității datelor): https://www.autoriteitpersoonsgegevens.nl