# Ipproċessar tad-data meta fornituri jaċċessaw servers

> Manutenzjoni mill-bogħod, patching, forensika: x'jirregola DPA skont l-Art. 28 GDPR meta fornituri tal-IT jaċċessaw servers u x'għandkom tiċċaraw qabel l-emerġenza.

Sors: https://phpsos.de/mt/blog/auftragsverarbeitung-serverzugriff/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Jekk fornitur tal-IT jaċċessa servers fejn tinsab data personali, ġeneralment huwa meħtieġ kuntratt ta' ipproċessar tad-data (DPA, bil-Ġermaniż AVV) skont l-Art. 28 GDPR. Jistabbilixxi li l-fornitur jaġixxi biss skont struzzjonijiet, iżomm il-kunfidenzjalità, jieħu miżuri xierqa ta' sigurtà, jinvolvi sħab oħra biss bl-awtorizzazzjoni u jirrapporta ksur tad-data mingħajr dewmien żejjed. Ikkonkludu d-DPA qabel ma sseħħ l-emerġenza. Din il-paġna hija tagħrif ġenerali u mhijiex konsulenza legali.

## Meta jkun hemm għaġla, spiss jonqos il-kuntratt

Fil-ġimgħa wara PHP2Shell ħafna kumpaniji ġabu għajnuna esterna fi żmien qasir. Admin kellu jaġġorna PHP, aġenzija terġa' tibda l-proċessi, tim forensiku jivverifika logs. Għal dan l-esterni rċevew aċċess għal servers fejn jinsabu kontijiet tal-klijenti, ordnijiet u data ta' formoli. Il-mistoqsija fuq liema bażi tal-protezzjoni tad-data sar dan spiss tqajmet biss wara.

Dan huwa komprensibbli, għax f'emerġenza jgħodd it-tempo. Imma jista' jiġi evitat. B'xi preparazzjoni jistgħu jiġu kkombinati t-tnejn: għajnuna mgħaġġla u bażi nadifa.

## Meta jkun meħtieġ DPA mal-fornitur tal-IT

L-ipproċessar f'isem ħaddieħor jeżisti meta fornitur jipproċessa data personali f'isem u skont struzzjonijiet ta' kontrollur. Fil-każ ta' web servers spiss biżżejjed il-possibbiltà tal-aċċess: min jaħdem b'drittijiet ta' root fuq server jista' jaqra d-database b'data tal-klijenti, anke jekk ma jaħsibx hekk.

Sitwazzjonijiet tipiċi b'aċċess għas-server huma:

- manutenzjoni kontinwa u aġġornamenti minn aġenzija jew sistema,
- operat tas-server minn hoster b'servizzi Managed,
- għajnuna ta' emerġenza, tindif u rkupru wara attakk,
- investigazzjoni forensika b'kopji ta' mezzi tal-ħażna u logs,
- monitoraġġ, li fih data tal-log tgħaddi lill-fornitur.

Anke użi qosra jgħoddu. Sessjoni mill-bogħod b'kondiviżjoni tal-iskrin, li fiha tekniku „sempliċement iħares“, tista' turih data tal-klijenti. Esportazzjoni tad-database mibgħuta bil-posta għat-tfittxija ta' żbalji hija trasmissjoni. Eżattament okkażjonijiet bħal dawn spiss isiru mingħajr bażi, għax ma jitqisux bħala proġett.

Jekk fil-każ konkret hemmx ipproċessar f'isem ħaddieħor jew kostellazzjoni oħra, jivvalutah l-uffiċjal tal-protezzjoni tad-data tagħkom. Importanti li tissaqsa l-mistoqsija fl-ewwel lok, qabel ma jingħataw aċċessi.

## X'jitlob l-Art. 28 GDPR fil-kuntratt

L-Art. 28(3) GDPR isemmi kontenut obbligatorju. Minbarra s-suġġett, it-tul, in-natura u l-iskop tal-ipproċessar, it-tipi ta' data u l-kategoriji ta' persuni kkonċernati, l-ipproċessur irid jimpenja ruħu fost oħrajn dwar dawn il-punti. Il-kolonna tal-lemin turi x'ifisser dan fil-prattika b'aċċess għas-server.

| Obbligu skont l-Art. 28(3) | Tifsira prattika b'aċċess għas-server |
|---|---|
| a) Ipproċessar biss fuq struzzjonijiet iddokumentati | Ordni bil-miktub, pereżempju b'ticket: x'għandu jsir eżattament |
| b) Kunfidenzjalità tal-persuni użati | biss persuni impenjati u magħrufa b'isimhom jirċievu aċċess |
| c) Miżuri skont l-Art. 32 | kontijiet personali, awtentikazzjoni b'żewġ fatturi, konnessjonijiet ċċifrati |
| d) Kundizzjonijiet għal ipproċessuri oħra | sħab forensiċi jew tal-hosting biss bl-awtorizzazzjoni |
| e) Appoġġ fid-drittijiet tas-suġġetti tad-data | għajnuna meta aċċess jew tħassir jolqot is-server |
| f) Appoġġ fl-Art. 32 sa 36 | kooperazzjoni fis-sigurtà, fin-notifika u fl-evalwazzjoni tal-impatt |
| g) Tħassir jew ritorn wara t-tmiem | kopji, immaġini u esportazzjonijiet jitħassru jew jintbagħtu lura |
| h) Provi u verifiki | protokolli tal-aċċessi, tagħrif dwar il-miżuri |

Barra minn hekk l-Art. 33(2) GDPR jitlob li l-ipproċessur jirrapporta ksur tad-data li jisma' bih mingħajr dewmien żejjed lill-kontrollur. B'fornitur li bħalissa qed jeżamina server kompromess, dan mhuwiex formalità: spiss huwa l-ewwel li jara indikazzjonijiet ta' tnixxija ta' data. It-terminu u l-fluss ulterjuri tan-notifika lill-awtorità superviżorja jispjegahom [Obbligu ta' notifika tal-GDPR: 72 siegħa wara l-inċident](https://phpsos.de/mt/compliance/dsgvo-meldepflicht-72-stunden/).

## Organizza l-aċċessi b'konformità mal-protezzjoni tad-data

DPA iffirmat huwa l-bażi. Jekk l-impenji jinżammux jiddeċiedi fil-prattika ta' kuljum. Dawn il-passi wrew li jaħdmu:

1. **Aċċessi proprji u personali** għal kull persuna tal-fornitur, qatt kontijiet tal-admin maqsuma. Kif tissiguraw dawn jinsab f'[Awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-admin](https://phpsos.de/mt/ratgeber/zwei-faktor-admin/).
2. **Illimitaw fiż-żmien:** Aċċessi għal intervent iddiżattivawhom wara t-tmiem, ivverifikaw regolarment kontijiet permanenti.
3. **Irreġistraw:** Logins u kmandi tal-kontijiet tal-fornitur irreġistrawhom, biex jibqa' jista' jiġi segwit min għamel xiex.
4. **Aħdmu b'mod ekonomiku mad-data:** Għal analiżi kkupjaw biss id-data meħtieġa, aħżnu l-kopji ċċifrati, żommu l-post tal-ħażna u d-data tat-tħassir.
5. **Iddokumentaw it-tmiem:** Aċċessi rtirati, kopji mħassra jew mgħoddija, konferma bil-miktub.

> **Importanti:**
> Investigazzjoni forensika spiss toħloq immaġini kompluti ta' servers, inkluża d-data kollha tal-klijenti. Irregolaw minn qabel fejn jinsabu immaġini bħal dawn, min jaċċessahom u meta jitħassru, mingħajr ma tpoġġu fil-periklu l-ħarsien tal-provi.

## Ikkonkludi d-DPA qabel l-emerġenza

L-aħjar mument għad-DPA huwa jum kalm. Semmu l-fornituri li għandhom jaġixxu f'emerġenza, jiġifieri hoster, aġenzija u, jekk meħtieġ, tim għall-ipproċessar ta' inċidenti u forensika, u kkonkludu magħhom il-kuntratti minn qabel. Żommu wkoll liema sħab oħra l-fornitur jista' juża.

Poġġu l-kuntratti ffirmati fejn jinsab il-pjan ta' emerġenza u innotaw fil-lista tal-kuntatti ma' min teżisti DPA. L-obbligi l-oħra tas-sigurtà, pereżempju termini ta' aġġornament u provi, jappartjenu fil-kuntratt tas-servizz; aktar dwar dan f'[Kuntratti ma' fornituri tal-IT: irregola b'mod ċar l-obbligi ta' sigurtà](https://phpsos.de/mt/blog/dienstleistervertrag-sicherheit/). Għall-mistoqsijiet legali kollha l-uffiċjal tal-protezzjoni tad-data u avukat huma l-persuni t-tajbin li tikkuntattjaw.

## Kif tgħin PHP SOS b'mod konkret?

- Niċċaraw qabel l-ewwel aċċess liema data tinsab fuq is-sistemi kkonċernati u naqblu l-qafas mal-uffiċjal tal-protezzjoni tad-data tagħkom.
- Naħdmu b'aċċessi personali u rreġistrati u niddokumentaw kull intervent b'mod traċċabbli.
- Insemmu s-sħab speċjalizzati li nużaw pereżempju għal [forensika tal-IT](https://phpsos.de/mt/leistungen/it-forensik/), biex tkunu tistgħu tiddeċiedu minn qabel.
- Wara t-tmiem ta' [Incident Response](https://phpsos.de/mt/leistungen/incident-response/) nikkonfermaw bil-miktub l-irtirar tal-aċċessi u t-tħassir jew l-għoti tal-kopji kollha.

**Konklużjoni:** Il-protezzjoni tad-data u għajnuna mgħaġġla ma jeskludu lil xulxin jekk il-bażi tkun diġà hemm. DPA mal-fornituri għall-każ serju jappartjeni f'kull preparazzjoni għall-emerġenza. Din il-paġna hija tagħrif ġenerali u mhijiex konsulenza legali.


## Mistoqsijiet frekwenti

**Kull manutenzjoni mill-bogħod hija ipproċessar f'isem ħaddieħor?**  
Mhux awtomatikament. Id-deċiżiv hu jekk il-fornitur jipproċessax data personali f'isimkom jew jistax jaċċessaha. B'web servers b'kontijiet tal-klijenti, ordnijiet jew formoli dan ġeneralment ikun il-każ. Il-klassifikazzjoni fil-każ individwali tagħmilha l-uffiċjal tal-protezzjoni tad-data tagħkom.

**Nista' nikkonkludi DPA anke waqt inċident?**  
Huwa possibbli, imma taħt pressjoni taż-żmien spiss tonqos il-kalma għal verifika. Aħjar li d-DPA jiġi konkluż minn qabel ma' fornituri li jridu jaġixxu f'emerġenza. Allura x-xogħol jista' jibda minnufih.

**Il-fornitur irid jinfurmani jekk jinduna b'ksur tad-data?**  
Iva. Skont l-Art. 33(2) GDPR, l-ipproċessur jirrapporta lill-kontrollur ksur tal-protezzjoni tad-data personali mingħajr dewmien żejjed wara li jkun induna bih. In-notifika lill-awtorità superviżorja tibqa' kwistjoni tal-kontrollur.

**Il-fornitur jista' jinvolvi sħab oħra, pereżempju għall-forensika?**  
Skont l-Art. 28(2) GDPR biss bl-awtorizzazzjoni bil-miktub minn qabel tal-kontrollur, li tista' tingħata individwalment jew b'mod ġenerali. B'awtorizzazzjoni ġenerali l-fornitur irid jinforma dwar bidliet, biex tkunu tistgħu toġġezzjonaw.

## Sorsi

- [GDPR Art. 28: ipproċessur](https://dsgvo-gesetz.de/art-28-dsgvo/)
- [GDPR Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI IT-Grundschutz (il-metodoloġija tal-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)