Kort sagt: Får en IT-leverantör åtkomst till servrar där personuppgifter finns krävs i regel ett avtal om personuppgiftsbehandling (personuppgiftsbiträdesavtal) enligt art. 28 GDPR. Det fastslår att leverantören bara agerar efter instruktion, bevarar sekretess, vidtar lämpliga säkerhetsåtgärder, bara anlitar ytterligare partner med godkännande och anmäler dataincidenter utan onödigt dröjsmål. Ingå avtalet innan nödläget inträffar. Den här sidan är allmän information och ingen juridisk rådgivning.
När det måste gå fort saknas ofta avtalet
Veckan efter PHP2Shell hämtade många företag med kort varsel extern hjälp. En administratör skulle uppdatera PHP, en byrå starta om processerna, ett forensikteam granska loggar. För det fick externa åtkomst till servrar där kundkonton, beställningar och formulärdata finns. Frågan om vilken dataskyddsrättslig grund det skedde på ställdes ofta först efteråt.
Det är begripligt, för i nödläge räknas tempo. Men det går att undvika. Med några förberedelser går det att förena båda: snabb hjälp och en ren grund.
När ett personuppgiftsbiträdesavtal med IT-leverantören behövs
Personuppgiftsbehandling på uppdrag föreligger när en leverantör behandlar personuppgifter på uppdrag och enligt instruktion från en personuppgiftsansvarig. På webbservrar räcker ofta redan möjligheten till åtkomst: Den som arbetar med root-rättigheter på en server kan läsa databasen med kunddata, även om han inte har för avsikt att göra det.
Typiska situationer med serveråtkomst är:
- löpande underhåll och uppdateringar av byrå eller systemhus,
- drift av servern av ett webbhotell med managed-tjänster,
- akut hjälp, rensning och återställning efter ett angrepp,
- forensisk undersökning med kopior av datamedier och loggar,
- övervakning där loggdata flödar till leverantören.
Även korta insatser räknas. En fjärrsession med skärmdelning där en tekniker bara ”snabbt tittar över” kan visa honom kunddata. En databasexport som skickas via e-post för felsökning är ett utlämnande. Just sådana tillfällen sker ofta utan grund, eftersom de inte uppfattas som ett projekt.
Om det i det konkreta fallet föreligger personuppgiftsbehandling på uppdrag eller en annan konstellation bedömer ert dataskyddsombud. Viktigt är att över huvud taget ställa frågan innan åtkomster ges.
Vad art. 28 GDPR kräver i avtalet
Art. 28 punkt 3 GDPR anger obligatoriskt innehåll. Vid sidan av föremål, varaktighet, art och ändamål för behandlingen, typer av uppgifter och kategorier av registrerade måste personuppgiftsbiträdet bland annat förbinda sig till följande punkter. Den högra kolumnen visar vad det innebär i praktiken vid serveråtkomst.
| Skyldighet enligt art. 28 punkt 3 | Praktisk betydelse vid serveråtkomst |
|---|---|
| a) Behandling bara efter dokumenterad instruktion | Uppdrag skriftligt, till exempel via ärende: vad exakt som ska göras |
| b) Sekretess för de personer som används | bara förpliktade, namngivna personer får åtkomst |
| c) Åtgärder enligt art. 32 | personliga konton, tvåfaktorsinloggning, krypterade anslutningar |
| d) Villkor för ytterligare personuppgiftsbiträden | forensik- eller hostingpartner bara med godkännande |
| e) Stöd vid de registrerades rättigheter | medverkan när tillgång eller radering berör servern |
| f) Stöd vid art. 32 till 36 | Medverkan vid säkerhet, anmälan och konsekvensbedömning |
| g) Radering eller återlämnande efter avslut | Kopior, avbilder och exporter raderas eller återlämnas |
| h) Belägg och kontroller | Loggar över åtkomster, besked om åtgärder |
Dessutom kräver art. 33 punkt 2 GDPR att personuppgiftsbiträdet utan onödigt dröjsmål underrättar den personuppgiftsansvarige om en dataincident som det får kännedom om. För en leverantör som just undersöker en komprometterad server är det ingen formalitet: Han är ofta den första som ser tecken på ett dataläckage. Fristen och det fortsatta förloppet för anmälan till tillsynsmyndigheten förklarar GDPR-anmälan inom 72 timmar efter incidenten.
Organisera åtkomster dataskyddsenligt
Ett undertecknat avtal är grunden. Om löftena hålls avgörs i den dagliga praktiken. Dessa steg har visat sig fungera:
- Egna, personliga åtkomster för varje person hos leverantören, aldrig delade adminkonton. Hur ni säkrar dem står under Tvåfaktorsinloggning för adminåtkomst.
- Begränsa i tid: Inaktivera åtkomster för en insats efter avslut, kontrollera permanenta konton regelbundet.
- Logga: Registrera leverantörskontonas inloggningar och kommandon så att det förblir spårbart vem som gjort vad.
- Arbeta dataekonomiskt: Kopiera för analyser bara de nödvändiga data, lagra kopior krypterat, dokumentera lagringsplats och raderingsdatum.
- Dokumentera avslutet: Åtkomster indragna, kopior raderade eller överlämnade, bekräftelse skriftligt.
En forensisk undersökning skapar ofta fullständiga avbilder av servrar, inklusive alla kunddata. Reglera i förväg var sådana avbilder ligger, vem som kommer åt dem och när de raderas, utan att äventyra bevissäkringen.
Ingå avtalet före nödläget
Den bästa tidpunkten för personuppgiftsbiträdesavtalet är en lugn dag. Utse de leverantörer som ska träda in i nödläge, alltså webbhotell, byrå och eventuellt ett team för incidenthantering och forensik, och ingå avtalen med dem i förväg. Fastslå då också vilka ytterligare partner leverantören får använda.
Förvara de undertecknade avtalen där nödplanen finns och anteckna i kontaktlistan med vem ett personuppgiftsbiträdesavtal finns. De övriga säkerhetsskyldigheterna, till exempel uppdateringsfrister och belägg, hör hemma i tjänsteavtalet; mer om det under IT-leverantörsavtal: reglera säkerhetsskyldigheter tydligt. För alla rättsliga frågor är ert dataskyddsombud och en advokat rätt kontaktpersoner.
Hur hjälper PHP SOS konkret?
- Vi klargör före den första åtkomsten vilka data som finns på de berörda systemen och stämmer av ramen med ert dataskyddsombud.
- Vi arbetar med personliga, loggade åtkomster och dokumenterar varje ingrepp spårbart.
- Vi anger de specialiserade partner som vi till exempel skulle anlita för IT-forensik, så att ni kan besluta i förväg.
- Efter avslutad incidenthantering bekräftar vi skriftligt indragning av åtkomster och radering eller överlämnande av alla kopior.
Slutsats: Dataskydd och snabb hjälp utesluter inte varandra när grunden finns i förväg. Ett personuppgiftsbiträdesavtal med leverantörerna för skarpt läge hör hemma i varje nödberedskap. Den här sidan är allmän information och ingen juridisk rådgivning.
Vanliga frågor
Är varje fjärrunderhåll personuppgiftsbehandling på uppdrag?
Inte automatiskt. Avgörande är om leverantören på uppdrag behandlar personuppgifter eller kan komma åt dem. På webbservrar med kundkonton, beställningar eller formulär är det oftast fallet. Bedömningen i det enskilda fallet gör ert dataskyddsombud.
Kan jag ingå ett personuppgiftsbiträdesavtal ännu under en incident?
Det är möjligt, men under tidspress saknas ofta lugnet för en granskning. Bättre är att ingå avtalet i förväg med leverantörer som ska träda in i nödläge. Då kan arbetet börja omedelbart.
Måste leverantören informera mig om den upptäcker en dataincident?
Ja. Enligt art. 33 punkt 2 GDPR ska personuppgiftsbiträdet underrätta den personuppgiftsansvarige om en personuppgiftsincident utan onödigt dröjsmål efter att ha fått vetskap om den. Anmälan till tillsynsmyndigheten förblir den personuppgiftsansvariges sak.
Får leverantören anlita ytterligare partner, till exempel för forensik?
Enligt art. 28 punkt 2 GDPR bara med föregående skriftligt godkännande från den personuppgiftsansvarige, som kan ges särskilt eller generellt. Vid ett generellt godkännande måste leverantören informera om ändringar så att ni kan göra invändningar.