Fil-qosor: Jekk fornitur tal-IT jaċċessa servers fejn tinsab data personali, ġeneralment huwa meħtieġ kuntratt ta' ipproċessar tad-data (DPA, bil-Ġermaniż AVV) skont l-Art. 28 GDPR. Jistabbilixxi li l-fornitur jaġixxi biss skont struzzjonijiet, iżomm il-kunfidenzjalità, jieħu miżuri xierqa ta' sigurtà, jinvolvi sħab oħra biss bl-awtorizzazzjoni u jirrapporta ksur tad-data mingħajr dewmien żejjed. Ikkonkludu d-DPA qabel ma sseħħ l-emerġenza. Din il-paġna hija tagħrif ġenerali u mhijiex konsulenza legali.
Meta jkun hemm għaġla, spiss jonqos il-kuntratt
Fil-ġimgħa wara PHP2Shell ħafna kumpaniji ġabu għajnuna esterna fi żmien qasir. Admin kellu jaġġorna PHP, aġenzija terġa' tibda l-proċessi, tim forensiku jivverifika logs. Għal dan l-esterni rċevew aċċess għal servers fejn jinsabu kontijiet tal-klijenti, ordnijiet u data ta' formoli. Il-mistoqsija fuq liema bażi tal-protezzjoni tad-data sar dan spiss tqajmet biss wara.
Dan huwa komprensibbli, għax f'emerġenza jgħodd it-tempo. Imma jista' jiġi evitat. B'xi preparazzjoni jistgħu jiġu kkombinati t-tnejn: għajnuna mgħaġġla u bażi nadifa.
Meta jkun meħtieġ DPA mal-fornitur tal-IT
L-ipproċessar f'isem ħaddieħor jeżisti meta fornitur jipproċessa data personali f'isem u skont struzzjonijiet ta' kontrollur. Fil-każ ta' web servers spiss biżżejjed il-possibbiltà tal-aċċess: min jaħdem b'drittijiet ta' root fuq server jista' jaqra d-database b'data tal-klijenti, anke jekk ma jaħsibx hekk.
Sitwazzjonijiet tipiċi b'aċċess għas-server huma:
- manutenzjoni kontinwa u aġġornamenti minn aġenzija jew sistema,
- operat tas-server minn hoster b'servizzi Managed,
- għajnuna ta' emerġenza, tindif u rkupru wara attakk,
- investigazzjoni forensika b'kopji ta' mezzi tal-ħażna u logs,
- monitoraġġ, li fih data tal-log tgħaddi lill-fornitur.
Anke użi qosra jgħoddu. Sessjoni mill-bogħod b'kondiviżjoni tal-iskrin, li fiha tekniku „sempliċement iħares“, tista' turih data tal-klijenti. Esportazzjoni tad-database mibgħuta bil-posta għat-tfittxija ta' żbalji hija trasmissjoni. Eżattament okkażjonijiet bħal dawn spiss isiru mingħajr bażi, għax ma jitqisux bħala proġett.
Jekk fil-każ konkret hemmx ipproċessar f'isem ħaddieħor jew kostellazzjoni oħra, jivvalutah l-uffiċjal tal-protezzjoni tad-data tagħkom. Importanti li tissaqsa l-mistoqsija fl-ewwel lok, qabel ma jingħataw aċċessi.
X'jitlob l-Art. 28 GDPR fil-kuntratt
L-Art. 28(3) GDPR isemmi kontenut obbligatorju. Minbarra s-suġġett, it-tul, in-natura u l-iskop tal-ipproċessar, it-tipi ta' data u l-kategoriji ta' persuni kkonċernati, l-ipproċessur irid jimpenja ruħu fost oħrajn dwar dawn il-punti. Il-kolonna tal-lemin turi x'ifisser dan fil-prattika b'aċċess għas-server.
| Obbligu skont l-Art. 28(3) | Tifsira prattika b'aċċess għas-server |
|---|---|
| a) Ipproċessar biss fuq struzzjonijiet iddokumentati | Ordni bil-miktub, pereżempju b'ticket: x'għandu jsir eżattament |
| b) Kunfidenzjalità tal-persuni użati | biss persuni impenjati u magħrufa b'isimhom jirċievu aċċess |
| c) Miżuri skont l-Art. 32 | kontijiet personali, awtentikazzjoni b'żewġ fatturi, konnessjonijiet ċċifrati |
| d) Kundizzjonijiet għal ipproċessuri oħra | sħab forensiċi jew tal-hosting biss bl-awtorizzazzjoni |
| e) Appoġġ fid-drittijiet tas-suġġetti tad-data | għajnuna meta aċċess jew tħassir jolqot is-server |
| f) Appoġġ fl-Art. 32 sa 36 | kooperazzjoni fis-sigurtà, fin-notifika u fl-evalwazzjoni tal-impatt |
| g) Tħassir jew ritorn wara t-tmiem | kopji, immaġini u esportazzjonijiet jitħassru jew jintbagħtu lura |
| h) Provi u verifiki | protokolli tal-aċċessi, tagħrif dwar il-miżuri |
Barra minn hekk l-Art. 33(2) GDPR jitlob li l-ipproċessur jirrapporta ksur tad-data li jisma' bih mingħajr dewmien żejjed lill-kontrollur. B'fornitur li bħalissa qed jeżamina server kompromess, dan mhuwiex formalità: spiss huwa l-ewwel li jara indikazzjonijiet ta' tnixxija ta' data. It-terminu u l-fluss ulterjuri tan-notifika lill-awtorità superviżorja jispjegahom Obbligu ta' notifika tal-GDPR: 72 siegħa wara l-inċident.
Organizza l-aċċessi b'konformità mal-protezzjoni tad-data
DPA iffirmat huwa l-bażi. Jekk l-impenji jinżammux jiddeċiedi fil-prattika ta' kuljum. Dawn il-passi wrew li jaħdmu:
- Aċċessi proprji u personali għal kull persuna tal-fornitur, qatt kontijiet tal-admin maqsuma. Kif tissiguraw dawn jinsab f'Awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-admin.
- Illimitaw fiż-żmien: Aċċessi għal intervent iddiżattivawhom wara t-tmiem, ivverifikaw regolarment kontijiet permanenti.
- Irreġistraw: Logins u kmandi tal-kontijiet tal-fornitur irreġistrawhom, biex jibqa' jista' jiġi segwit min għamel xiex.
- Aħdmu b'mod ekonomiku mad-data: Għal analiżi kkupjaw biss id-data meħtieġa, aħżnu l-kopji ċċifrati, żommu l-post tal-ħażna u d-data tat-tħassir.
- Iddokumentaw it-tmiem: Aċċessi rtirati, kopji mħassra jew mgħoddija, konferma bil-miktub.
Investigazzjoni forensika spiss toħloq immaġini kompluti ta' servers, inkluża d-data kollha tal-klijenti. Irregolaw minn qabel fejn jinsabu immaġini bħal dawn, min jaċċessahom u meta jitħassru, mingħajr ma tpoġġu fil-periklu l-ħarsien tal-provi.
Ikkonkludi d-DPA qabel l-emerġenza
L-aħjar mument għad-DPA huwa jum kalm. Semmu l-fornituri li għandhom jaġixxu f'emerġenza, jiġifieri hoster, aġenzija u, jekk meħtieġ, tim għall-ipproċessar ta' inċidenti u forensika, u kkonkludu magħhom il-kuntratti minn qabel. Żommu wkoll liema sħab oħra l-fornitur jista' juża.
Poġġu l-kuntratti ffirmati fejn jinsab il-pjan ta' emerġenza u innotaw fil-lista tal-kuntatti ma' min teżisti DPA. L-obbligi l-oħra tas-sigurtà, pereżempju termini ta' aġġornament u provi, jappartjenu fil-kuntratt tas-servizz; aktar dwar dan f'Kuntratti ma' fornituri tal-IT: irregola b'mod ċar l-obbligi ta' sigurtà. Għall-mistoqsijiet legali kollha l-uffiċjal tal-protezzjoni tad-data u avukat huma l-persuni t-tajbin li tikkuntattjaw.
Kif tgħin PHP SOS b'mod konkret?
- Niċċaraw qabel l-ewwel aċċess liema data tinsab fuq is-sistemi kkonċernati u naqblu l-qafas mal-uffiċjal tal-protezzjoni tad-data tagħkom.
- Naħdmu b'aċċessi personali u rreġistrati u niddokumentaw kull intervent b'mod traċċabbli.
- Insemmu s-sħab speċjalizzati li nużaw pereżempju għal forensika tal-IT, biex tkunu tistgħu tiddeċiedu minn qabel.
- Wara t-tmiem ta' Incident Response nikkonfermaw bil-miktub l-irtirar tal-aċċessi u t-tħassir jew l-għoti tal-kopji kollha.
Konklużjoni: Il-protezzjoni tad-data u għajnuna mgħaġġla ma jeskludu lil xulxin jekk il-bażi tkun diġà hemm. DPA mal-fornituri għall-każ serju jappartjeni f'kull preparazzjoni għall-emerġenza. Din il-paġna hija tagħrif ġenerali u mhijiex konsulenza legali.
Mistoqsijiet frekwenti
Kull manutenzjoni mill-bogħod hija ipproċessar f'isem ħaddieħor?
Mhux awtomatikament. Id-deċiżiv hu jekk il-fornitur jipproċessax data personali f'isimkom jew jistax jaċċessaha. B'web servers b'kontijiet tal-klijenti, ordnijiet jew formoli dan ġeneralment ikun il-każ. Il-klassifikazzjoni fil-każ individwali tagħmilha l-uffiċjal tal-protezzjoni tad-data tagħkom.
Nista' nikkonkludi DPA anke waqt inċident?
Huwa possibbli, imma taħt pressjoni taż-żmien spiss tonqos il-kalma għal verifika. Aħjar li d-DPA jiġi konkluż minn qabel ma' fornituri li jridu jaġixxu f'emerġenza. Allura x-xogħol jista' jibda minnufih.
Il-fornitur irid jinfurmani jekk jinduna b'ksur tad-data?
Iva. Skont l-Art. 33(2) GDPR, l-ipproċessur jirrapporta lill-kontrollur ksur tal-protezzjoni tad-data personali mingħajr dewmien żejjed wara li jkun induna bih. In-notifika lill-awtorità superviżorja tibqa' kwistjoni tal-kontrollur.
Il-fornitur jista' jinvolvi sħab oħra, pereżempju għall-forensika?
Skont l-Art. 28(2) GDPR biss bl-awtorizzazzjoni bil-miktub minn qabel tal-kontrollur, li tista' tingħata individwalment jew b'mod ġenerali. B'awtorizzazzjoni ġenerali l-fornitur irid jinforma dwar bidliet, biex tkunu tistgħu toġġezzjonaw.