1 modulis · 1.2
BDAR trumpai, jei naudojatės debesija
1 modulis: Kodėl verta rinktis Europos debesiją? · Skaitymo trukmė: 11 min.
Mokymosi tikslas: baigę šią pamoką galėsite įvardyti BDAR vaidmenis ir pareigas, kurie galioja naudojantis debesijos paslauga, ir paaiškinti, kodėl Jūs liekate atsakingi, net jei duomenys saugomi pas kitą paslaugų teikėją.
Pagrindinės sąvokos: BDAR (GDPR), asmens duomenys, tvarkymas, duomenų valdytojas, duomenų tvarkytojas, subtvarkytojas, principai (5 str.), atskaitomybės principas, duomenų tvarkymo sutartis (28 str.), saugumas (32 str.), duomenų perdavimas (V skyrius), Valstybinė duomenų apsaugos inspekcija, baudos (83 str.)
Kodėl apie tai staiga kalbama būtent čia
BDAR (Bendrasis duomenų apsaugos reglamentas, angliškai GDPR) yra Europos reglamentas: Reglamentas (ES) 2016/679. Jis tiesiogiai galioja visose ES šalyse nuo 2018 m. gegužės 25 d. Nyderlanduose priežiūrą vykdo Autoriteit Persoonsgegevens (AP, Nyderlandų duomenų apsaugos institucija); kiekvienoje kitoje ES šalyje veikia sava priežiūros institucija, Lietuvoje tai yra Valstybinė duomenų apsaugos inspekcija (VDAI).
Galbūt manote, kad BDAR skirtas tik didelėms įmonėms su klientų duomenų bazėmis. Tačiau jis taikomas ir kepyklai Bakkerij De Korrel. Pašto dėžutėje yra užsakymai su vardais, adresais ir telefono numeriais. Internetinėse aplankuose saugomi darbo grafikai, atlyginimų lapeliai ir naujo darbuotojo asmens tapatybės dokumento kopija. Kalendoriuje prie pristatymo susitikimų nurodyti klientų vardai. Visa tai yra asmens duomenys: bet kokia informacija apie fizinį asmenį, kurio tapatybė yra nustatyta arba gali būti nustatyta (4 str. 1 punktas). O saugojimas, siuntimas paštu, dalijimasis ir pašalinimas yra tvarkymas (4 str. 2 punktas).
Viena išimtis: tai, ką darote grynai asmeniniais tikslais, pavyzdžiui, savo šeimos nuotraukos, nepatenka į BDAR taikymo sritį (vadinamoji „buitinė išimtis“, 2 str. 2 dalies c punktas). Tačiau kai tik tai susiję su Jūsų darbu, įmone ar organizacija, BDAR galioja.
Tai yra paaiškinimas, o ne teisinė konsultacija.
Trys vaidmenys: kas yra kas?
| Vaidmuo | Reikšmė (4 str.) | Pavyzdys iš kepyklos |
|---|---|---|
| Duomenų valdytojas | Nustato, kokiu tikslu ir kaip tvarkomi asmens duomenys (7 punktas) | Bakkerij De Korrel |
| Duomenų tvarkytojas | Tvarko duomenis valdytojo pavedimu (8 punktas) | Debesijos paslauga, kurioje saugomas paštas ir failai |
| Subtvarkytojas | Šalis, kurią pasitelkia pats duomenų tvarkytojas (28 str. 2 ir 4 dalys) | Duomenų centras, išorinis paslaugų skyrius, atsarginių kopijų tiekėjas |
Svarbiausia suprasti tai: atsakomybė nepersikelia kartu su duomenimis. Kepykla lieka duomenų valdytoja, net jei duomenys saugomi pas debesijos paslaugos teikėją. Jei paslaugos teikėjas kažką pažada ir nutinka klaida, kepykla vis tiek turi sugebėti įrodyti, kad pasirinkimas buvo apgalvotas ir sudaryti tinkami susitarimai. Tai vadinama atskaitomybės principu (5 str. 2 dalis ir 24 str.).
Atkreipkite dėmesį: debesijos paslauga ne visada yra vien tik duomenų tvarkytoja. Jei teikėjas naudoja Jūsų duomenis ir savo tikslams, pavyzdžiui, produktų kūrimui, reklamai ar savo sistemų mokymui, tai šiai daliai jis pats tampa duomenų valdytoju. Tai viena iš aplinkybių, kurią reikia patikrinti sąlygose ir duomenų tvarkymo sutartyje (9.2 pamoka).
Principai, susiję su debesija
5 straipsnyje išvardyti principai, kurių turi laikytis kiekvienas duomenų tvarkymas. Renkantis debesijos paslaugą svarbiausi yra šie:
- Tikslo apribojimas: duomenis naudojate tik tam tikslui, kuriam juos surinkote. Paslauga, kuri Jūsų klientų duomenis naudoja savo tikslams, su tuo prasilenkia.
- Duomenų kiekio mažinimas: nesaugoti daugiau, nei būtina. Perėjimas yra puikus metas susitvarkyti (3.2 pamoka).
- Saugojimo trukmės apribojimas: nesaugoti ilgiau, nei būtina. Pavyzdžiui, senų darbo paraiškų laiškų pašto dėžutėje.
- Vientisumas ir konfidencialumas: tinkamas saugumas nuo praradimo, vagystės ir neteisėtos prieigos. Tai detalizuojama 32 straipsnyje: imatės priemonių, atitinkančių riziką, pavyzdžiui, šifravimo, prieigos valdymo, atkūrimo po sutrikimo ir reguliaraus testavimo.
Keturios pareigos, su kuriomis susiduriate pereidami
- Pasirinkti duomenų tvarkytoją, kuris suteikia pakankamas garantijas (28 str. 1 dalis). Taigi turite išsiaiškinti, kaip teikėjas užtikrina saugumą ir kur jis tvarko duomenis. Tai darysime 2 modulyje.
- Sudaryti duomenų tvarkymo sutartį (28 str. 3 dalis). Joje numatytos privalomos temos: kas tvarkoma, nurodymai, konfidencialumas, saugumas, subtvarkytojai, pagalba duomenų saugumo pažeidimo atveju ir kas nutinka duomenims nutraukus bendradarbiavimą. Tai nagrinėsime 9.2 pamokoje.
- Tvarkyti duomenų tvarkymo veiklos įrašus (30 str.). Tai Jūsų duomenų tvarkymo veiklų sąrašas: kokie duomenys, kodėl, su kuo dalijamasi, kiek laiko saugomi. Pasikeitus teikėjui atnaujinate gavėjus ir saugojimo vietą (9.3 pamoka).
- Laikytis taisyklių dėl duomenų perdavimo už EEE ribų (V skyrius, 44 iki 49 straipsniai). Jei duomenys keliauja į šalį už Europos ekonominės erdvės ribų, tai leidžiama tik jei toje šalyje užtikrinamas tinkamas apsaugos lygis (sprendimas dėl tinkamumo, 45 str.) arba taikomos papildomos apsaugos priemonės, pavyzdžiui, standartinės sutarčių sąlygos (46 str.). Apie tai kalbama 1.4 pamokoje.
Kas nutinka, jei kas nors nutinka ne taip?
Įvykus duomenų saugumo pažeidimui (pavyzdžiui, nulaužtai paskyrai, kurioje yra klientų duomenų), duomenų valdytojas privalo per 72 valandas apie tai pranešti priežiūros institucijai, nebent tikėtina, kad tai nekelia rizikos (33 str.). Duomenų tvarkytojas privalo informuoti duomenų valdytoją „nepagrįstai nedelsdamas“ (33 str. 2 dalis). Todėl geroje duomenų tvarkymo sutartyje nurodyta, kaip greitai teikėjas Jus įspės.
Priežiūros institucija gali skirti baudas. Sunkiausiems pažeidimams maksimali bauda yra 20 milijonų eurų arba 4 % pasaulinės metinės apyvartos, jei ši suma didesnė (83 str. 5 dalis). Mažoms organizacijoms bauda retai būna didžiausia rizika. Tikroji rizika yra žala klientams ir darbuotojams bei prarastas pasitikėjimas.
Kodėl tai veikia Jūsų debesijos pasirinkimą
BDAR nedraudžia naudotis Amerikos debesijos paslaugomis. Tačiau turite sugebėti paaiškinti, kodėl Jūsų pasirinkimas yra pagrįstas: kokie duomenys, kokia rizika, kokie susitarimai. Kuo jautresni duomenys (sveikata, vaikai, finansai, personalo bylos), tuo svarbesnis šis vertinimas. Kepyklai tai paprasta; fizioterapijos kabinetui ar mokyklai šis klausimas sveria kur kas daugiau. Paslauga, kuri yra įsisteigusi EEE, duomenis tvarko EEE ir neturi subtvarkytojų už EEE ribų, šį vertinimą gerokai supaprastina, nes tuomet duomenų perdavimo taisyklės netaikomos.
Kaip tai atrodo praktikoje pas teikėją
Teikėjas, kuris naudojamas verslo tikslais, privalo turėti duomenų tvarkymo sutartį ir subtvarkytojų sąrašą. WebOké dažnai užduodamų klausimų skiltyje, Nextcloud instrukcijose, nurodyta, kad sudarote duomenų tvarkymo sutartį, jei Nextcloud naudojate verslo tikslais ir joje saugote kitų asmenų duomenis. Pas kitus teikėjus panašią informaciją dažniausiai rasite skiltyje „Duomenų tvarkymo sutartis“, „Data Processing Agreement (DPA)“ arba teisiniuose dokumentuose svetainės apačioje.
Santrauka
- Net ir maža organizacija tvarko asmens duomenis pašte, kalendoriuje ir failuose, todėl jai taikomas BDAR.
- Jūs esate duomenų valdytojas; debesijos paslauga yra duomenų tvarkytojas; jos tiekėjai yra subtvarkytojai.
- Atsakomybė nepersikelia: turite pasirinkti duomenų tvarkytoją, suteikiantį pakankamas garantijas, ir tai sugebėti paaiškinti.
- Svarbūs straipsniai: 5 (principai), 28 (duomenų tvarkytojas ir duomenų tvarkymo sutartis), 30 (įrašai), 32 (saugumas), 33 (duomenų saugumo pažeidimas per 72 val.), 44 iki 49 (duomenų perdavimas).
- Duomenys, kurie lieka EEE ribose, šį vertinimą supaprastina, nes tada duomenų perdavimo taisyklės negalioja.
Testas
Užduotis
Užduotis E1.2: Jūsų vaidmenys ir duomenys. Sudarykite trumpą Jūsų organizacijos debesijoje saugomų asmens duomenų sąrašą (paštas, kalendorius, failai, pokalbiai). Prie kiekvienos rūšies nurodykite, kas yra duomenų valdytojas, kas duomenų tvarkytojas, ir ar tarp jų yra jautrių duomenų.
Užduotis E1.2: Jūsų vaidmenys ir duomenys
Neįveskite tikrų asmenų vardų ar duomenų, nurodykite tik duomenų rūšis.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Šiuose straipsniuose aprašyti žingsniai galioja WebOké paslaugoms; pas kitus teikėjus veikia panašiai.
- Nextcloud vadovas 15.13: Dažniausiai užduodami klausimai apie saugumą ir privatumą
- Nextcloud vadovas 3.1: Kaip WebOké apsaugo Jūsų Nextcloud?
- Reglamentas (ES) 2016/679 (BDAR), 4, 5, 24, 28, 30, 32, 33, 44 iki 49 ir 83 straipsniai, svetainėje EUR-Lex
- Nyderlandų Autoriteit Persoonsgegevens, temos „Duomenų tvarkymo sutartis“ ir „Pranešimas apie duomenų saugumo pažeidimą“ (tai Nyderlandų priežiūros institucijos informacija): https://www.autoriteitpersoonsgegevens.nl. Lietuvoje atitinkamos informacijos ieškokite Valstybinės duomenų apsaugos inspekcijos svetainėje.