Source: http://docplayer.pl/3646267-Grupa-robocza-art-29-ds-ochrony-danych.html
Timestamp: 2018-03-19 07:45:55
Legal References Found: ART. 29
 ART. 29
 ART. 29
 art. 29
 art. 30
 art. 15
 Art. 29
 Art. 29
 Art. 29
 art. 8
 art. 4
 Art. 29
 art. 4
 art. 2
 Art. 29
 Art. 29
 Art. 29
 Art. 29
 art. 17
 Art. 29
 Art. 29
 art. 10
 art. 6
 art. 11
 art. 6
 art. 17
 art. 8
 art. 12
 Art. 29
 art. 17
 Art. 29
 Art. 29

Document Content:
GRUPA ROBOCZA ART. 29 DS. OCHRONY DANYCH - PDF
Download "GRUPA ROBOCZA ART. 29 DS. OCHRONY DANYCH"
1 GRUPA ROBOCZA ART. 29 DS. OCHRONY DANYCH 01037/12/PL WP 196 Opinia 05/2012 na temat przetwarzania danych w chmurze obliczeniowej przyjęta dnia 1 lipca 2012 r. Grupa robocza została ustanowiona na mocy art. 29 dyrektywy 95/46/WE. Jest ona niezależnym europejskim organem doradczym w zakresie ochrony danych i prywatności. Zadania grupy określone są w art. 30 dyrektywy 95/46/WE i art. 15 dyrektywy 2002/58/WE. Obsługę sekretariatu zapewnia Dyrekcja Generalna ds. Sprawiedliwości, Wolności i Bezpieczeństwa Komisji Europejskiej, Dyrekcja C (Prawa Podstawowe i Obywatelstwo Unii Europejskiej), B-1049 Bruksela, Belgia, Biuro nr MO-59 06/036. Strona internetowa: 1
2 Streszczenie W niniejszej opinii Grupa Robocza Art. 29 analizuje wszystkie kwestie istotne dla dostawców usług w chmurze obliczeniowej działających w Europejskim Obszarze Gospodarczym (EOG) i ich klientów, jednocześnie wyszczególniając w stosownych przypadkach wszystkie obowiązujące przepisy zawarte w dyrektywie UE w sprawie ochrony danych (95/46/WE) i dyrektywie o prywatności i łączności elektronicznej 2002/58/WE (zmienionej dyrektywą 2009/136/WE). Pomimo uznanych korzyści przetwarzania danych w chmurze obliczeniowej pod względem gospodarczym i społecznym, w niniejszej opinii przedstawiono, jak zastosowanie usług przetwarzania danych w chmurze obliczeniowej na szeroką skalę może prowadzić do szeregu zagrożeń w zakresie ochrony danych, głównie braku kontroli nad danymi osobowymi, jak również niewystarczających informacji na temat sposobu przetwarzania danych, jego miejsca i podmiotów przetwarzających/podprzetwarzających dane. Podmioty publiczne i przedsiębiorstwa prywatne rozważające skorzystanie z usług w chmurze powinny uważnie ocenić te zagrożenia. W niniejszej opinii zbadano kwestie związane z dzieleniem się zasobami z innymi stronami, brakiem przejrzystości łańcucha outsourcingu składającego się z wielu przetwarzających i podwykonawców, niedostępnością wspólnych ogólnoświatowych ram dotyczących przenoszenia danych i niepewnością co do dopuszczalności przekazywania danych osobowych dostawcom usług w chmurze z siedzibą poza EOG. Również brak przejrzystości w odniesieniu do informacji, jakie administrator danych może dostarczyć osobie, której dane dotyczą, na temat sposobu przetwarzania jej danych osobowych został wskazany w opinii jako kwestia budząca poważne zaniepokojenie. Osoby, których dane dotyczą, muszą 1 być informowane o tym, kto przetwarza ich dane i w jakich celach, oraz aby móc wykonywać stosowne prawa, które zostały im przyznane w tej kwestii. Głównym wnioskiem niniejszej opinii jest pogląd, że podmioty gospodarcze i organy administracji pragnące korzystać z przetwarzania danych w chmurze powinny w pierwszej kolejności przeprowadzić szeroko zakrojoną i dokładną analizę zagrożeń. Wszyscy dostawcy usług w chmurze świadczący usługi na terytorium EOG powinni przekazać klientowi usług w chmurze wszystkie niezbędne informacje, by mógł on właściwie ocenić dodatnie i ujemne strony skorzystania z takiej usługi. Dla klientów najważniejszymi decydującymi elementami oferty świadczenia usług przetwarzania danych w chmurze powinny być bezpieczeństwo, przejrzystość i pewność prawna. Jeżeli chodzi o zalecenia w niniejszej opinii, podkreśla się odpowiedzialność klienta usług w chmurze jako administratora danych i w związku z tym zaleca się, by klient wybrał takiego dostawcę usług w chmurze, który zagwarantuje zgodność z prawodawstwem UE z zakresu ochrony danych. W opinii poruszono kwestię właściwych zabezpieczeń umownych, w tym wymóg, żeby każda umowa między klientem a dostawcą usług w 1 Kluczowe słowa MUSI ( MUST ), NIE WOLNO ( MUST NOT ), WYMAGANY ( REQUIRED ), NALEŻY ( SHALL ), NIE NALEŻY ( SHALL NOT ), POWINIEN ( SHOULD ), NIE POWINIEN ( SHOULD NOT ) ZALECANY ( RECOMMENDED ), MOŻE ( MAY ) i FAKULTATYWNY ( OPTIONAL ) w niniejszym dokumencie należy rozumieć zgodnie z definicjami w zaproszeniu do zgłaszania uwag nr Dokument jest dostępny na stronie internetowej: Ze względu na czytelność wyrazy te nie zostały zapisane wielkimi literami w niniejszej specyfikacji. 2
3 chmurze zawierała wystarczające gwarancje co do środków technicznych i organizacyjnych. Istotne jest również zalecenie, by klient zweryfikował, czy dostawca usług w chmurze może zagwarantować zgodność z prawem wszelkich operacji międzynarodowego przekazywania danych. Tak jak w przypadku każdego procesu o charakterze ewolucyjnym, również coraz częstsze stosowanie przetwarzania danych w chmurze jako światowego paradygmatu technologicznego stało się wyzwaniem. Niniejsza opinia w obecnej postaci może być uznana za ważny krok w definiowaniu zadań, których powinno się podjąć w nadchodzących latach środowisko zajmujące się ochroną danych. 3
4 Spis treści Streszczenie Wprowadzenie Zagrożenia dla ochrony danych w chmurze obliczeniowej Ramy prawne Ramy prawne ochrony danych Prawo właściwe Obowiązki i odpowiedzialność różnych podmiotów Klient i dostawca usług w chmurze Podwykonawcy Wymogi dotyczące ochrony danych w stosunku klient-dostawca Zgodność z podstawowymi zasadami Przejrzystość Określenie i ograniczenie celu Usuwanie danych Zabezpieczenia umowne stosunku administrator danych przetwarzający Środki techniczne i organizacyjne zapewniające ochronę i bezpieczeństwo danych Dostępność Integralność Poufność Przejrzystość Odizolowanie (ograniczenie celu) Możliwość interwencji Możliwość przenoszenia danych Rozliczalność Międzynarodowe przekazywanie danych Program Bezpieczna przystań ( Safe Harbor ) i państwa zapewniające odpowiedni poziom ochrony Wyłączenia Standardowe klauzule umowne Wiążące reguły korporacyjne: w kierunku podejścia globalnego Wnioski i zalecenia Wskazówki dla klientów i dostawców usług w chmurze obliczeniowej Certyfikacja w zakresie ochrony danych zapewniona przez osobę trzecią Zalecenia: przyszłe zmiany ZAŁĄCZNIK a) Modele wdrożenia b) Modele świadczenia usług
5 1. Wprowadzenie W opinii niektórych osób przetwarzanie danych w chmurze jest jedną z największych rewolucji technologicznych, do których ostatnio doszło. Dla innych stanowi to po prostu naturalną ewolucję grupy technologii mającą na celu ziszczenie odwiecznych marzeń o użytkowym dostępie do narzędzi informatycznych (utility computing). W każdym razie wiele zainteresowanych stron uznało przetwarzanie danych w chmurze za priorytet w kontekście opracowywania swoich strategii technologicznych. Na przetwarzanie danych w chmurze składa się zbiór technologii i modeli usług, które koncentrują się na wykorzystywaniu i dostarczaniu przez internet aplikacji informatycznych, zdolności przetwarzania, przechowywania i pojemności pamięci. Przetwarzanie danych w chmurze może przynieść istotne korzyści gospodarcze z uwagi na relatywną łatwość konfiguracji, rozszerzania i dostępu do zasobów na żądanie w internecie. Oprócz korzyści gospodarczych przetwarzanie danych w chmurze może również przynieść korzyści w zakresie bezpieczeństwa; przedsiębiorstwa, w szczególności małe i średnie, mogą nabyć po marginalnych kosztach technologie najwyższej klasy, które w innym przypadku przekraczałyby ich możliwości budżetowe. Dostawcy usług w chmurze oferują szeroki wybór usług, począwszy od systemów wirtualnego przetwarzania (które zastępują standardowe serwery pod bezpośrednią kontrolą administratora danych lub funkcjonują łącznie z nimi), przez usługi wspierania opracowywania oprogramowania i udostępniania wyspecjalizowanych zaawansowanych usług w chmurze, po rozwiązania dotyczące oprogramowania opartego na sieci, które może zastąpić aplikacje standardowo instalowane w komputerach osobistych użytkowników końcowych. Obejmuje to edytory tekstów, aplikacje zawierające terminarze i kalendarze, systemy archiwizacji służące do przechowywania dokumentów online oraz rozwiązania dotyczące outsourcingu obsługi poczty elektronicznej. W załączniku do niniejszej opinii zawarto niektóre z najczęściej używanych definicji opisujących te różne rodzaje usług. W niniejszej opinii Grupa Robocza Art. 29 ds. Ochrony Danych (zwana dalej Grupą Roboczą Art. 29 ) analizuje obowiązujące prawo i zobowiązania administratorów danych na terytorium Europejskiego Obszaru Gospodarczego (zwanego dalej EOG ) oraz dostawców usług w chmurze w stosunku do klientów na terytorium EOG. W opinii skoncentrowano się na sytuacji zakładającej istnienie stosunku między administratorem danych a przetwarzającym, gdzie klienta uznano za administratora danych, a dostawcę usług w chmurze za przetwarzającego. W przypadkach gdy dostawca usług w chmurze działa również w charakterze administratora danych, musi on spełnić dodatkowe wymagania. W konsekwencji koniecznym warunkiem korzystania z przetwarzania danych w chmurze jest w przypadku administratora danych przeprowadzenie właściwej oceny zagrożeń, w tym lokalizacji serwerów, na których dane są przetwarzane, i uwzględnienie zagrożeń i korzyści w kontekście ochrony danych, zgodnie z kryteriami przedstawionymi poniżej. Niniejsza opinia precyzuje zasady obowiązujące tak administratorów danych, jak i przetwarzających, objęte ogólną dyrektywą o ochronie danych (95/46/WE), mianowicie określenie i ograniczenie celu, usuwanie danych oraz środki techniczne i organizacyjne. Opinia zawiera wskazówki na temat wymogów bezpieczeństwa stanowiących zabezpieczenie struktury i procedur. Szczególną uwagę zwrócono na ustalenia umowne, które powinny regulować stosunek między administratorem danych i przetwarzającym w tym zakresie. Klasycznymi celami bezpieczeństwa danych są dostępność, integralność i poufność. Ochrona 5
6 danych nie ogranicza się jednak do zapewnienia bezpieczeństwa danych, dlatego cele te zostały uzupełnione celami szczegółowymi ochrony danych, mianowicie zachowaniem przejrzystości, odizolowaniem danych, możliwością interwencji i możliwością przenoszenia danych w celu potwierdzenia prawa osoby fizycznej do ochrony danych zapisanego w art. 8 Karty praw podstawowych Unii Europejskiej. W odniesieniu do przekazywania danych poza terytorium EOG analizuje się standardowe klauzule umowne przyjęte przez Komisję Europejską, ustalenia dotyczące odpowiedniego poziomu ochrony i potencjalne przyszłe wiążące reguły korporacyjne obowiązujące przetwarzających, jak również zagrożenia dla ochrony danych wynikające z międzynarodowych wniosków organów ścigania. W końcowym punkcie niniejszej opinii przedstawiono zalecenia na temat przyszłych zmian w europejskich ramach ochrony danych dla klientów usług w chmurze jako administratorów danych, dostawców usług w chmurze jako przetwarzających oraz dla Komisji Europejskiej. Berlińska międzynarodowa grupa robocza ds. ochrony danych w sektorze telekomunikacji przyjęła w kwietniu 2012 memorandum sopockie 2. W dokumencie tym zbadano kwestie dotyczące prywatności i ochrony danych w przetwarzaniu danych w chmurze obliczeniowej i podkreślono, że przetwarzanie danych w chmurze nie może prowadzić do obniżenia norm ochrony danych w porównaniu ze standardowym przetwarzaniem danych. 2. Zagrożenia dla ochrony danych w chmurze obliczeniowej Ponieważ w niniejszej opinii skoncentrowano się na operacjach przetwarzania danych osobowych przy użyciu usług przetwarzania danych w chmurze, uwzględniono jedynie szczególne zagrożenia powiązane z tym kontekstem 3. Większość zagrożeń należy do dwóch pojemnych kategorii: chodzi mianowicie o brak kontroli nad danymi i niewystarczające informacje w odniesieniu do samej operacji przetwarzania (brak przejrzystości). Szczególne rodzaje zagrożeń przetwarzania danych w chmurze uwzględnione w niniejszej opinii obejmują: Brak kontroli Ze względu na powierzenie danych osobowych systemom zarządzanym przez dostawcę usług w chmurze jego klienci mogą utracić wyłączną kontrolę nad tymi danymi i nie mogą zastosować środków technicznych i organizacyjnych, by zapewnić dostępność danych, ich integralność, poufność, przejrzystość, odizolowanie 4, możliwość interwencji i przenoszenia danych. Brak kontroli może przejawiać się w poniższy sposób. o Brak dostępności z powodu braku interoperacyjności (uzależnienie od określonego dostawcy): jeżeli dostawca usług przetwarzania danych w chmurze opiera się na zastrzeżonej technologii, klientowi usług przetwarzania danych w chmurze może być trudno przenosić dane i dokumenty między różnymi systemami opartymi na usługach w chmurze (przenoszenie danych) lub wymieniać się informacjami z podmiotami Ponadto oprócz zagrożeń związanych z przetwarzaniem danych osobowych w chmurze wyraźnie wymienionych w niniejszej opinii, należy również uwzględnić wszystkie zagrożenia związane z outsourcingiem przetwarzania danych osobowych. W Niemczech wprowadzono szersze pojęcie, mianowicie niepołączalność. Por. przypis 24 poniżej. 6
7 korzystającymi z usług przetwarzania danych w chmurze zarządzanych przez innych dostawców (interoperacyjność). o Brak integralności spowodowany dzieleniem się zasobami: chmura obliczeniowa składa się ze współdzielonych systemów i infrastruktur. Dostawcy usług w chmurze przetwarzają dane osobowe pochodzące z wielu źródeł pod względem osób, których dane dotyczą, oraz organizacji i istnieje możliwość, że dojdzie do konfliktu interesów lub istnienia różnych celów. o Brak poufności w kontekście wniosków organów ścigania skierowanych bezpośrednio do dostawcy usług w chmurze: dane osobowe przetwarzane w chmurze obliczeniowej mogą stać się przedmiotem wniosków organów ścigania wydanych przez organy ścigania państw członkowskich UE i państw trzecich. Istnieje zagrożenie, że dane osobowe mogą zostać ujawnione (obcym) organom ścigania bez ważnej unijnej podstawy prawnej, a zatem doszłoby do naruszenia prawa UE z zakresu ochrony danych. o Brak możliwości interwencji z powodu złożoności i dynamiki łańcucha outsourcingu: usługa przetwarzania danych w chmurze proponowana przez jednego dostawcę może być wykonana przez połączenie usług wielu innych dostawców, które można w zależności od sytuacji dodawać lub usuwać w czasie trwania umowy z klientem. o Brak możliwości interwencji (prawa osób, których dotyczą dane): dostawca usług w chmurze nie zawsze zapewnia niezbędne środki i narzędzia, by wspomóc administratora danych w zarządzaniu danymi w odniesieniu do np. dostępu, usuwania lub poprawienia danych. o Brak odizolowania danych: dostawca usług w chmurze może wykorzystać fakt, że fizycznie kontroluje dane od różnych klientów, do połączenia danych osobowych. Jeżeli osoby zarządzające przetwarzaniem mają prawa wystarczająco uprzywilejowanego dostępu (role wysokiego ryzyka), mogą połączyć informacje od różnych klientów. Brak informacji dotyczących przetwarzania (przejrzystość) Niewystarczające informacje o operacjach przetwarzania w ramach usług w chmurze stanowią zagrożenia dla administratorów danych, jak również osób, których dane dotyczą, ponieważ mogą być oni nieświadomi potencjalnych niebezpieczeństw i zagrożeń, zatem nie mogą podjąć kroków, które uznają za właściwe. Niektóre potencjalne niebezpieczeństwa mogą wynikać z niewiedzy administratora danych na temat poniższych kwestii. o W przetwarzaniu biorą udział liczni przetwarzający i podwykonawcy. o Dane osobowe są przetwarzane w różnych lokalizacjach geograficznych na terytorium EOG. Wpływa to bezpośrednio na prawo właściwe w razie sporów z zakresu ochrony danych, które mogą powstać między użytkownikiem a dostawcą. o Dane osobowe są przekazywane do państw trzecich poza EOG. Państwa trzecie nie zawsze zapewniają odpowiedni poziom ochrony danych, a operacje przekazania mogą nie być zabezpieczone odpowiednimi środkami (np. standardowymi klauzulami umownymi lub wiążącymi regułami korporacyjnymi), a zatem mogą być niezgodne z prawem. Wymaga się, by osoby, których dane dotyczą, a których dane osobowe są przetwarzane w chmurze, były informowane o tożsamości administratora oraz celu przetwarzania danych (istniejący wymóg dla wszystkich administratorów danych na podstawie dyrektywy w 7
8 sprawie ochrony danych 95/46/WE). Uwzględniając potencjalną złożoność łańcuchów przetwarzania w środowisku przetwarzania danych w chmurze, administratorzy danych powinni również, w ramach dobrych praktyk, przekazywać informacje dotyczące (pod-) przetwarzających świadczących usługi w chmurze, aby zagwarantować rzetelność przetwarzania w odniesieniu do osoby, której dane dotyczą (art. 10 dyrektywy 95/46/WE). 3. Ramy prawne 3.1 Ramy prawne ochrony danych Odpowiednimi ramami prawnymi jest dyrektywa w sprawie ochrony danych 95/46/WE. Dyrektywę tę stosuje się w każdym przypadku, w którym przetwarzane są dane osobowe w następstwie korzystania z usług przetwarzania danych w chmurze obliczeniowej. Dyrektywę o prywatności i łączności elektronicznej 2002/58/WE (zmienioną dyrektywą 2009/136/WE) stosuje się do przetwarzania danych osobowych w związku z dostarczaniem publicznie dostępnych usług łączności elektronicznej w publicznych sieciach łączności (operatorzy telekomunikacyjni), a zatem jest ona właściwa, jeżeli takie usługi są dostarczane w drodze przetwarzania w chmurze Prawo właściwe Kryteria ustalenia prawa właściwego zostały określone w art. 4 dyrektywy 95/46/WE odnoszącym się do prawa mającego zastosowanie do administratorów danych 6, którzy mają co najmniej jedną siedzibę na terytorium EOG, jak również prawa mającego zastosowanie do administratorów danych działających poza EOG, którzy w celu przetwarzania danych osobowych użytkują jednak urządzenia zlokalizowane w EOG. Grupa Robocza Art. 29 przeanalizowała tę kwestię w opinii 8/2010 w sprawie prawa właściwego 7. W pierwszym przypadku czynnikiem decydującym o zastosowaniu prawa UE w stosunku do administratora danych jest lokalizacja jego siedziby, zgodnie z art. 4 ust. 1 lit. a) dyrektywy, bez względu na rodzaj modelu usług przetwarzania w chmurze. Właściwym ustawodawstwem jest prawo kraju, w którym siedzibę ma administrator danych zlecający usługi w chmurze obliczeniowej, a nie miejsce, w którym zlokalizowani są dostawcy usług przetwarzania danych w chmurze obliczeniowej. Jeżeli administrator ma siedziby w różnych państwach członkowskich i przetwarza dane w ramach swojej działalności gospodarczej w tych krajach, prawem właściwym jest prawo każdego z państw członkowskich, w którym dochodzi do przetwarzania Dyrektywa o prywatności i łączności elektronicznej 2002/58/WE (zmieniona dyrektywą 2009/136/WE): Dyrektywa 2002/58/WE o prywatności w sektorze telekomunikacji stosuje się do dostawców publicznie dostępnych usług łączności elektronicznej i nakłada wymóg, by zapewnić zgodność z obowiązkami odnoszącymi się do poufności komunikacji i ochrony danych osobowych, jak również praw i obowiązków w odniesieniu do usług i sieci łączności elektronicznej. W przypadkach gdy dostawcy przetwarzania danych w chmurze obliczeniowej działają jako dostawcy publicznie dostępnej usługi łączności elektronicznej, będą podlegać tej dyrektywie. Pojęcie administratora można znaleźć w art. 2 lit. h) dyrektywy i zostało ono przeanalizowane przez Grupę Roboczą Art. 29 w jej opinii 1/2010 w sprawie pojęć administrator danych i przetwarzający. 8
9 Artykuł 4 ust. 1 lit. c) 8 odnosi się do sposobu zastosowania przepisów dotyczących ochrony danych do administratorów danych, którzy nie mają siedziby na terytorium EOG, ale używają zautomatyzowanych lub niezautomatyzowanych urządzeń zlokalizowanych na terytorium danego państwa członkowskiego, z wyjątkiem gdy urządzenia te służą jedynie do celów tranzytu. Oznacza to, że jeżeli klient usług w chmurze ma siedzibę poza EOG, ale zleca usługę w chmurze dostawcy zlokalizowanemu na terenie EOG, wówczas przepisy dotyczące ochrony danych mają zastosowanie wobec klienta. 3.3 Obowiązki i odpowiedzialność różnych podmiotów Jak wskazano wcześniej przetwarzanie danych w chmurze obliczeniowej obejmuje szereg różnych podmiotów. Istotne jest, by ocenić i wyjaśnić rolę każdego z tych podmiotów w celu ustalenia ich konkretnych obowiązków w odniesieniu do obowiązujących przepisów z zakresu ochrony danych. Należy przywołać, że Grupa Robocza Art. 29 wskazała w swojej opinii 1/2010 w sprawie pojęć administrator danych i przetwarzający, że w przypadku pojęcia administratora danych podstawową i najważniejszą rolą jest określenie, kto odpowiada za zgodność z zasadami ochrony danych i w jaki sposób osoby, których dane dotyczą, mogą w praktyce wykonywać swoje prawa. Innymi słowy: powierzenie odpowiedzialności. W trakcie przedmiotowej analizy zainteresowane podmioty powinny pamiętać o tych dwóch podstawowych kryteriach wpływających na zgodność i powierzanie odpowiedzialności Klient i dostawca usług w chmurze Od klienta usług w chmurze zależy ostateczny cel przetwarzania i to on podejmuje decyzje dotyczące outsourcingu przetwarzania i delegowania organizacji zewnętrznej całej lub części działalności związanej z przetwarzaniem. Klient usług w chmurze działa zatem w charakterze administratora danych. Dyrektywa definiuje administratora danych jako osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych. Klient usług w chmurze jako administrator danych musi przyjąć odpowiedzialność za przestrzeganie przepisów prawnych dotyczących ochrony danych, jest odpowiedzialny za wypełnienie wszystkich obowiązków prawnych, o których mowa w dyrektywie 95/46/WE, oraz im podlega. Klient usług w chmurze może powierzyć dostawcy usług w chmurze zadanie wyboru metody oraz środków technicznych i organizacyjnych, które zostaną użyte, by osiągnąć cele administratora danych. Dostawca usług w chmurze jest podmiotem, który świadczy usługi przetwarzania danych w chmurze obliczeniowej w różnych omówionych powyżej formach. Kiedy dostawca usług w chmurze dostarcza środki oraz platformę, działając w imieniu klienta usług w chmurze, dostawcę tego uznaje się za przetwarzającego dane, a zatem zgodnie z dyrektywą 95/46/WE za osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych Artykuł 4 ust. 1 lit. c) stanowi, że ustawodawstwo państwa członkowskiego stosuje się, gdy administrator danych nie prowadzi działalności gospodarczej na terytorium Wspólnoty a do celów przetwarzania danych osobowych wykorzystuje środki, zarówno zautomatyzowane jak i inne, znajdujące się na terytorium wymienionego państwa członkowskiego, o ile środki te nie są wykorzystywane wyłącznie do celów tranzytu przez terytorium Wspólnoty. Niniejsza opinia koncentruje się jedynie na klasycznym stosunku administrator danych przetwarzający. 9
10 Jak stwierdzono w opinii 1/2010, niektóre kryteria 11 można zastosować do oceny sprawowania kontroli nad przetwarzaniem. W rzeczywistości może dojść do sytuacji, w których dostawcę usług w chmurze można uznać albo za współadministratora danych, albo za samego administratora danych w zależności od konkretnych okoliczności. Ma to miejsce na przykład wtedy, gdy dostawca przetwarza dane dla swoich własnych celów. Należy podkreślić, że nawet w złożonych środowiskach przetwarzania danych, w których przetwarzaniem danych osobowych zajmują się różni administratorzy danych, należy jednoznacznie określić, kto ponosi odpowiedzialność za zapewnienie zgodności z przepisami dotyczącymi ochrony danych i za ewentualne naruszenie tych przepisów, by uniknąć sytuacji, w której ochrona danych zostanie ograniczona lub powstanie negatywny spór kompetencyjny oraz luki, z powodu których niektóre zobowiązania i prawa wynikające z dyrektywy nie będą wykonywane przez żadną ze stron. Obecnie w kontekście przetwarzania danych w chmurze obliczeniowej klienci tych usług nie zawsze mają pole manewru w negocjacjach warunków umownych korzystania z usług w chmurze, ponieważ cechą wielu takich usług są wzorce umowne. Ostatecznie jednak to klient decyduje, czy całość lub część ogółu operacji przetwarzania dla konkretnych celów zostanie objęta usługami w chmurze; dostawca usług w chmurze będzie odgrywał w stosunku do klienta rolę zleceniobiorcy, co jest w tym przypadku najważniejszym elementem. W opinii 1/ w sprawie pojęć administrator danych i przetwarzający Grupa Robocza Art. 29 stwierdziła, że nie należy uznawać nierównowagi w określonych w umowie uprawnieniach małego administratora danych w stosunku do dużego usługodawcy, jako uzasadnienia przyjmowania przez administratora danych klauzul i warunków umów niezgodnych z przepisami dotyczącymi ochrony danych. Z tego względu administrator danych musi wybrać takiego dostawcę usług w chmurze, który zagwarantuje zgodność z przepisami dotyczącymi ochrony danych. Szczególną uwagę należy zwrócić na cechy obowiązujących umów muszą one obejmować zestaw standardowych zabezpieczeń dotyczących ochrony danych, w tym tych wymienionych przez Grupę Roboczą Art. 29 w pkt (Środki techniczne i organizacyjne) i w pkt 3.5 (Przepływy danych o charakterze transgranicznym) jak również wszelkie dodatkowe mechanizmy, które mogą okazać się odpowiednie, by ułatwić zapewnienie należnej staranności i rozliczalności (tj. audyty niezależnych stron trzecich i certyfikacja usług dostawców zob. pkt 4.2). Dostawcy usług w chmurze (jako przetwarzający) mają obowiązek zapewnić poufność. Dyrektywa 95/46/WE stanowi, że: Żadna osoba działająca z upoważnienia administratora danych lub przetwarzającego, włączając samego przetwarzającego, który ma dostęp do danych osobowych, nie może przetwarzać ich bez polecenia administratora danych, chyba że wymaga tego prawo. Dostęp do danych przez dostawcę usług w chmurze w trakcie świadczenia usług jest również unormowany co do zasady wymogiem zachowania zgodności z przepisami art. 17 dyrektywy zob. pkt Środowisko przetwarzania danych w chmurze obliczeniowej może być również wykorzystane przez osoby fizyczne (użytkowników) do wykonywania działalności o charakterze wyłącznie osobistym lub domowym. W takim przypadku należy dokładnie przeanalizować, czy ma zastosowanie tzw. wyjątek ze względu na domowy charakter działania, powodujący wyłączenie użytkowników z kategorii administratorów. Kwestia ta pozostaje jednak poza zakresem niniejszej opinii. Na przykład szczegółowość poleceń, monitorowanie przez klienta usług w chmurze, wiedza ekspercka stron. Opinia 1/2010 w sprawie pojęć administrator danych i przetwarzający 10
11 Przetwarzający muszą uwzględnić rodzaj danej chmury (publiczna, prywatna, środowiskowa czy hybrydowa / IaaS, SaaS lub PaaS [zob. załącznik a) Modele wdrożenia - b) Modele świadczenia usług]) oraz rodzaj usługi zleconej przez klienta. Przetwarzający są odpowiedzialni za przyjmowanie środków bezpieczeństwa zgodnie z prawodawstwem UE stosowanym w jurysdykcji administratora danych i przetwarzającego. Przetwarzający muszą również wspierać i wspomagać administratora danych w przestrzeganiu (wykonywanych) praw osób, których dane dotyczą Podwykonawcy Usługi przetwarzania danych w chmurze obliczeniowej mogą wiązać się z zaangażowaniem szeregu stron, którym powierzono usługi i które działają w charakterze przetwarzających. Powszechne jest również podzlecanie usług przez przetwarzających dodatkowym podprzetwarzającym, którzy następnie zyskują dostęp do danych osobowych. Jeżeli przetwarzający zlecają świadczenie usług podprzetwarzającym, są zobowiązani do udostępnienia tej informacji klientowi, wskazując dokładnie rodzaj podzleconej usługi, cechy obecnych i potencjalnych podwykonawców i gwarancje, jakie podmioty te przedstawiły dostawcy usług w chmurze obliczeniowej na dowód, iż będą przestrzegać dyrektywy 95/46/EC. Wszystkie odpowiednie zobowiązania muszą się zatem stosować także do podprzetwarzających w drodze umów zawieranych między dostawcą usług w chmurze i podwykonawcą, odzwierciedlając postanowienia umowy między dostawcą i klientem usług w chmurze. W swojej opinii 1/2010 w sprawie pojęć administrator danych i przetwarzający Grupa Robocza Art. 29 odniosła się do faktu istnienia wielu przetwarzających w sprawach, w których przetwarzający mogą być bezpośrednio powiązani z administratorem danych lub działać jako podwykonawcy, gdy przetwarzający zlecają na zewnątrz część przetwarzania, które zostało im powierzone. Żaden z przepisów dyrektywy nie zabrania, aby ze względu na wymogi organizacyjne, jako wykonawców lub podwykonawców przetwarzania danych można było wyznaczyć szereg podmiotów, również poprzez podział odnośnych zadań. Przetwarzając dane, wszystkie takie podmioty mają jednak obowiązek przestrzegać instrukcji wydanych przez administratora danych. 13. W takich wariantach obowiązki i odpowiedzialność wynikające z przepisów prawnych dotyczących ochrony danych powinny być jednoznacznie określone, a nie rozproszone wzdłuż całego łańcucha outsourcingu lub podwykonawstwa, by zapewnić skuteczną kontrolę nad działaniami związanymi z przetwarzaniem i jednoznaczny podział odpowiedzialności za te działania. Potencjalny model gwarancji, który może być stosowany, by wyjaśnić obowiązki i zobowiązania przetwarzających, w sytuacji gdy podzlecają przetwarzanie danych, został wprowadzony po raz pierwszy decyzją Komisji z dnia 5 lutego 2010 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych podmiotom przetwarzającym dane mającym siedzibę w krajach trzecich 14. W tym modelu podprzetwarzanie jest dozwolone jedynie w razie uzyskania uprzedniej pisemnej zgody administratora danych i zawarcia pisemnej umowy nakładającej na podprzetwarzającego te same obowiązki, które zostały nałożone na przetwarzającego. Jeżeli podprzetwarzający na podstawie takiej umowy pisemnej nie wypełnia swoich obowiązków w zakresie ochrony Por. WP 169, s. 30, Opinia 1/2010 w sprawie pojęć administrator danych i przetwarzający (http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp169_pl.pdf). Zob. Często zadawane pytania (FAQ) II.5 w WP
12 danych, przetwarzający na jej podstawie ponosi pełną odpowiedzialność wobec administratora za wykonanie obowiązków podprzetwarzającego. Postanowienie tego rodzaju mogłoby być stosowane we wszelkich klauzulach umownych między administratorem danych i dostawcą usług w chmurze, jeśli zamierza on świadczyć usługi w drodze podwykonawstwa, by zapewnić wymagane gwarancje dotyczące podprzetwarzania. Podobne rozwiązanie dotyczące gwarancji w toku podwykonawstwa zostało ostatnio zaproponowane przez Komisję we wniosku dotyczącym ogólnego rozporządzenia o ochronie danych 15. Przetwarzanie przez podmiot przetwarzający musi być regulowane umową lub innym aktem prawnym wiążącym podmiot przetwarzający z administratorem i stanowiącym w szczególności, że oprócz innych wymogów podmiot przetwarzający zatrudnia inny podmiot przetwarzający jedynie za uprzednią zgodą administratora (art. 26 ust. 2 wniosku). W opinii Grupy Roboczej Art. 29 przetwarzający może podzlecić swoją działalność jedynie na podstawie zgody administratora danych, która co do zasady może być udzielona na początku świadczenia usługi 16, przy jednoznacznym zachowaniu obowiązku informowania administratora danych o wszelkich zamierzonych zmianach dotyczących dodania nowych lub zastąpienia dotychczasowych podwykonawców, przy czym administrator danych w każdym momencie ma możliwość wyrażenia sprzeciwu co do tych zmian lub rozwiązania umowy. Dostawca usług w chmurze powinien być jednoznacznie zobowiązany do wskazania podwykonawców, którym powierzył zlecenie. Ponadto dostawca usług w chmurze powinien podpisać umowę z podwykonawcą, która odzwierciedlałaby postanowienia umowy między klientem i dostawcą usług w chmurze. Administrator danych powinien być w stanie skorzystać z możliwości dochodzenia odszkodowania z tytułu niewykonania umowy przez podprzetwarzających. Można to osiągnąć w drodze zapewnienia bezpośredniej odpowiedzialności przetwarzającego przed administratorem danych za wszelkie naruszenia spowodowane przez któregokolwiek z podprzetwarzających zatrudnionych przez podmiot przetwarzający, w drodze wpisania prawa świadczenia na rzecz osoby trzeciej, mianowicie administratora danych, do umów zawartych przez przetwarzającego i podprzetwarzających, lub też w drodze podpisania umów w imieniu administratora danych, który stanie się następnie stroną umowy. 3.4 Wymogi dotyczące ochrony danych w stosunku klient-dostawca Zgodność z podstawowymi zasadami Legalność przetwarzania danych osobowych w chmurze jest uwarunkowana przestrzeganiem podstawowych zasad prawa UE z zakresu ochrony danych. Chodzi o to, by zagwarantować przejrzystość w stosunku do osoby, której dane dotyczą, zgodność z zasadą określenia i ograniczenia celu, oraz by dane osobowe zostały usunięte z chwilą, kiedy ich zatrzymywanie nie jest już potrzebne. Ponadto należy wdrożyć odpowiednie środki techniczne i organizacyjne, by zapewnić odpowiedni poziom ochrony danych i ich bezpieczeństwa Przejrzystość Zachowanie przejrzystości jest szczególnie istotne w rzetelnym i zgodnym z prawem przetwarzaniu danych osobowych. Dyrektywa 95/46/WE zobowiązuje klienta usług w chmurze do dostarczenia informacji osobie, której dane dotyczą i od której zbierane są dane Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych, r. Zob. Często zadawane pytania (FAQ), II, 1 WP 176, przyjęto dnia 12 lipca 2010 r. 12
13 na jej temat, informacji na temat swojej tożsamości oraz celu przetwarzania. Klient usług w chmurze powinien również zapewnić wszelkie dalsze informacje, m.in. dotyczące odbiorców lub kategorii odbiorców danych, które mogą również obejmować przetwarzającego i podprzetwarzających, w zakresie w jakim te dalsze informacje są potrzebne, by zagwarantować rzetelne przetwarzanie danych w odniesieniu do osoby, której dane dotyczą (por. art. 10 dyrektywy) 17. Przejrzystość musi być również zapewniona w stosunkach między klientem usług w chmurze, dostawcą takich usług i podwykonawcami (o ile występują). Klient usług w chmurze jest w stanie ocenić zgodność z prawem przetwarzania danych osobowych w chmurze jedynie w sytuacji, gdy dostawca przekaże mu informacje na temat wszystkich istotnych kwestii. Administrator danych rozważający zatrudnienie dostawcy usług w chmurze powinien dokładnie sprawdzić warunki tego dostawcy i ocenić je z punktu widzenia ochrony danych. Przejrzystość przetwarzania w chmurze oznacza, że konieczne jest informowanie klienta usług w chmurze o wszystkich podwykonawcach mających wkład w realizację danej usługi w chmurze, jak również o lokalizacji wszystkich ośrodków danych, w których dane osobowe mogą być przetwarzane 18. W razie gdy świadczenie usługi wymaga zainstalowania oprogramowania (np. wtyczek przeglądarki) w systemach klienta usług w chmurze, jej dostawca powinien w ramach dobrych praktyk poinformować klienta o tej okoliczności, a w szczególności o implikacjach z punktu widzenia ochrony i bezpieczeństwa danych. Z drugiej strony klient usług w chmurze powinien podnieść tę kwestię ex ante, jeśli nie została ona omówiona w sposób wystarczający przez dostawcę usług w chmurze Określenie i ograniczenie celu Zasada określenia i ograniczenia celu wymaga, by dane osobowe były zbierane w określonych, jednoznacznych i zgodnych z prawem celach oraz by nie były dalej przetwarzane w sposób niezgody z tymi celami (por. art. 6 ust. 1 lit. b) dyrektywy 95/46/WE). Klient usług w chmurze musi określić cele przetwarzania przed rozpoczęciem zbierania danych osobowych od osoby, której dane dotyczą, i poinformować o nim tę osobę. Nie jest dopuszczalne, by klient usług w chmurze przetwarzał dane osobowy w innych celach, które nie są zgodne z celami pierwotnymi. Ponadto należy zagwarantować, by dane osobowe nie były (niezgodnie z prawem) przetwarzane w innych celach przez dostawcę usług w chmurze lub jednego z jego podwykonawców. Ponieważ w typowym schemacie przetwarzania danych w chmurze może występować wielu podwykonawców, ryzyko przetwarzania danych osobowych w innych, niezgodnych z pierwotnymi, celach należy ocenić jako dość wysokie. Aby je zminimalizować, umowa między dostawcą usług w chmurze a klientem powinna obejmować środki techniczne i organizacyjne ograniczające ryzyko i gwarantować rejestrowanie i audytowanie właściwych operacji przetwarzania danych osobowych, wykonywanych przez pracowników dostawcy usług w chmurze lub jego podwykonawców 19. Umowa powinna przewidywać kary dla dostawcy lub podwykonawcy, jeżeli naruszone zostały przepisy prawne dotyczące ochrony danych Istnieje odpowiadający temu obowiązek informowania osoby, której dane dotyczą, w przypadku gromadzenia lub ujawniania osobie trzeciej danych, pozyskanych z innych źródeł niż ta osoba, (por. art. 11). Jedynie wtedy będzie on w stanie ocenić, czy dane osobowe mogą być przekazane do tzw. państwa trzeciego poza EOG, które nie zapewnia odpowiedniego poziomu ochrony w rozumieniu dyrektywy 95/46/WE. Por. również pkt poniżej. Por. pkt poniżej. 13
14 Usuwanie danych Zgodnie z art. 6 ust. 1 lit. e) dyrektywy 95/46/WE dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to konieczne do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane. Dane osobowe, które nie są już potrzebne, muszą zostać usunięte lub faktycznie zanonimizowane. Jeżeli dane te nie mogą być usunięte ze względu na przepisy prawne dotyczące zatrzymywania (np. przepisy podatkowe), należy zablokować do nich dostęp. To klient usług w chmurze jest odpowiedzialny za dopilnowanie, by dane osobowe zostały usunięte z chwilą, kiedy nie będą już potrzebne w wyżej wymienionych celach 20. Zasada usuwania danych stosuje się do danych osobowych niezależnie od tego, czy są przechowywane na dyskach twardych czy innych nośnikach służących do przechowywania (np. taśmy zapasowe). Ponieważ dane osobowe mogą być nadmiarowo przechowywane na kilku serwerach w różnych lokalizacjach, należy zagwarantować, by w każdym przypadku zostały usunięte nieodwracalnie (tj. wcześniejsze wersje, pliki tymczasowe, a nawet części plików muszą być również usunięte). Klienci usług w chmurze muszą być świadomi, że dane w rejestrze 21 ułatwiające audytowanie, np. dotyczące przechowywania, modyfikowania, lub usuwania danych, mogą być również zaklasyfikowane jako dane osobowe dotyczące osoby, która wszczęła daną operację przetwarzania 22. Bezpieczne usuwanie danych osobowych wymaga, by nośniki służące do przechowywania zostały zniszczone lub rozmagnetyzowane, albo by przechowywane dane osobowe zostały skutecznie usunięte w drodze nadpisania (overwriting). W celu nadpisywania przestrzeni zajętej przez dane osobowe powinno się używać specjalnego oprogramowania, które nadpisuje wielokrotnie dane zgodnie z uznaną specyfikacją. Klient usług w chmurze powinien się upewnić, że dostawca usług w chmurze zapewnia bezpieczne usuwanie danych, tak jak przedstawiono to powyżej, oraz dopilnować, by umowa między dostawcą a klientem zawierała postanowienie dotyczące usuwania danych osobowych 23. Odnosi się to również do stosunków między dostawcami usług w chmurze a podwykonawcami Zabezpieczenia umowne stosunku administrator danych przetwarzający W sytuacji gdy administratorzy danych decydują się na zlecenie usług przetwarzania danych w chmurze, istnieje wymóg, by wybrali przetwarzającego dającego wystarczające gwarancje w odniesieniu do środków bezpieczeństwa technicznego i organizacyjnego regulujących przetwarzanie, które ma się odbyć, i zapewniającego przestrzeganie tych środków (art. 17 ust. 2 dyrektywy 95/46/WE). Ponadto są prawnie zobowiązani do podpisania formalnej umowy z dostawcą usług w chmurze, co zostało określone w art. 17 ust. 3 dyrektywy 95/46/WE. Artykuł ten ustanawia wymóg, aby podpisano umowę lub zawarto inny wiążący akt prawny regulujący stosunek między administratorem danych i przetwarzającym. Do celów dowodowych części umowy lub aktu prawnego dotyczące ochrony danych i wymogów Usuwanie danych jest istotną kwestią tak w czasie czasu trwania umowy w sprawie przetwarzania danych w chmurze obliczeniowej, jak również z chwilą jej rozwiązania. Ma ono również znaczenie w przypadku zastąpienia lub wycofania się podwykonawcy. Uwagi dotyczące wymogów rejestracji są opisane poniżej w pkt Oznacza to, że należy określić rozsądne okresy przechowywania plików rejestru i wdrożyć procedury gwarantujące usuwanie lub anonimizację tych danych w określonym terminie. Por. pkt poniżej. 14
15 odnoszących się do środków technicznych i organizacyjnych są sporządzane na piśmie lub w innej równorzędnej formie. Umowa w szczególności musi przynajmniej stanowić, że przetwarzający powinien przestrzegać poleceń administratora danych oraz że przetwarzający musi wdrożyć środki techniczne i organizacyjne, by odpowiednio chronić dane osobowe. Aby zapewnić pewność prawną, umowa powinna również obejmować następujące zagadnienia: 1. szczegółowe informacje na temat (zakresu i rodzajów) poleceń klienta, które zostaną przekazane dostawcy, ze szczególnym uwzględnieniem obowiązujących umów o gwarantowanym poziomie usług (co powinno być obiektywne i wymierne) oraz stosownych kar (finansowych lub w inny sposób umożliwiających wszczęcie postępowania przeciwko dostawcy za niewywiązanie się z warunków umowy); 2. specyfikację środków bezpieczeństwa, których dostawca usług w chmurze musi przestrzegać, w zależności od zagrożeń związanych z przetwarzaniem i charakterem danych, które mają być chronione. Jest szczególnie istotne, by określono konkretne środki techniczne i organizacyjne, takie jak te przedstawione w pkt poniżej. Pozostaje to bez uszczerbku dla stosowania bardziej surowych środków, jeżeli takie istnieją, które mogą być przewidziane prawem krajowym klienta; 3. przedmiot, czas trwania usługi w chmurze, którą będzie świadczył dostawca usług w chmurze, zakres, sposób i cel przetwarzania danych osobowych przez dostawcę usług w chmurze, jak również rodzaje przetwarzanych danych osobowych; 4. specyfikację warunków zwrotu danych (osobowych) lub zniszczenia danych po zakończeniu świadczenia usługi. Ponadto należy zapewnić, by dane osobowe były bezpiecznie zniszczone na wniosek klienta usług w chmurze; 5. klauzulę poufności wiążącej tak dostawcę usług w chmurze, jak i wszelkich jego pracowników, którzy mogą mieć dostęp do danych. Jedynie osoby upoważnione mogą mieć dostęp do danych; 6. zobowiązanie po stronie dostawcy, że będzie wspierał klienta w ułatwianiu wykonywania praw przez osoby, których dane są przetwarzane, dostępu do swoich danych, ich poprawienia lub usunięcia; 7. umowa powinna wyraźnie stanowić, że dostawca usług w chmurze nie może przekazywać danych osobom trzecim, nawet w celu ich zabezpieczenia, chyba że umowa przewiduje korzystanie z usług podwykonawców. Umowa powinna stanowić, że można skorzystać z usług podprzetwarzających jedynie na podstawie zgody, która co do zasady jest udzielana przez administratora danych, zgodnie z jednoznacznym obowiązkiem przetwarzającego, by informować administratora danych o wszelkich zamierzonych zmianach w tej kwestii; jednocześnie administrator danych w każdym czasie ma możliwość złożenia sprzeciwu co do tych zmian i rozwiązania umowy. Dostawca usług w chmurze powinien być jednoznacznie zobowiązany do wskazania podwykonawców, którym powierzył zlecenie (np. w publicznym rejestrze cyfrowym). Należy zagwarantować, że umowy między dostawcą usług w chmurze i podwykonawcą odzwierciedlają postanowienia umowy między klientem usług w chmurze i dostawcą usług w chmurze (mianowicie, że podprzetwarzający podlegają tym samym zobowiązaniom umownym, co dostawca usług w chmurze). W szczególności należy zagwarantować, że tak dostawca usług w chmurze, jak i wszyscy podwykonawcy, działają tylko na podstawie poleceń klienta usług w chmurze. Jak wyjaśniono w rozdziale dotyczącym podprzetwarzania, hierarchia odpowiedzialności 15
16 powinna zostać jasno określona w umowie. Powinna ona określać zobowiązanie po stronie przetwarzającego do regulowania transgranicznego przekazywania danych, na przykład w drodze podpisania umów z podprzetwarzającymi, na podstawie standardowych klauzul umownych objętych decyzją 2010/87/WE; 8. wyjaśnienie zobowiązań dostawcy usług w chmurze do powiadamiania klienta usług w chmurze o każdym naruszeniu ochrony danych, które dotyczy danych klienta usług w chmurze; 9. zobowiązanie dostawcy usług w chmurze do przedstawienia listy lokalizacji, w których dane mogą być przetwarzane; 10. prawo administratora danych do monitorowania oraz odpowiadające temu zobowiązanie dostawcy usług w chmurze do współpracy; 11. należy umownie określić, że dostawca usług w chmurze musi poinformować klienta o istotnych zmianach dotyczących danej usługi w chmurze, takich jak wdrożenie dodatkowych funkcji; 12. umowa powinna zawierać postanowienia dotyczące rejestrowania i audytowania stosownych operacji przetwarzania danych osobowych, które są wykonywane przez dostawcę usług w chmurze lub podwykonawców; 13. zawiadomienie klienta usług w chmurze o każdym prawnie wiążącym wniosku o ujawnienie danych osobowych ze strony organów ścigania, o ile nie jest to zakazane w inny sposób, na przykład na podstawie prawa karnego w celu zachowania tajemnicy postępowania prowadzonego przez organy ścigania; 14. ogólne zobowiązanie po stronie dostawcy do zapewnienia, że ustalenia dotyczące jego wewnętrznej struktury i przetwarzania danych (oraz jego podprzetwarzających, jeżeli występują) są zgodne z właściwymi krajowymi i międzynarodowymi wymogami oraz standardami. W razie naruszenia prawa przez administratora każda osoba, która poniosła szkodę w następstwie niezgodnego z prawem przetwarzania, ma prawo do uzyskania odszkodowania za poniesioną szkodę od administratora danych. W przypadku wykorzystania danych przez przetwarzających do jakiegokolwiek innego celu lub przekazania ich lub użycia w sposób naruszający umowę zostaną oni również uznani za administratorów danych i będą odpowiedzialni za naruszenia, w które byli osobiście zaangażowani. Należy zauważyć, że w wielu przypadkach, dostawcy usług w chmurze oferują administratorom danych standardowe usługi i standardowe umowy do podpisania, określające standardowy format przetwarzania danych osobowych. Ten brak równowagi w uprawnieniach umownych małego administratora danych w odniesieniu do dużych dostawców usług nie może być uznany za uzasadnienie przyjmowania przez administratorów danych klauzul i warunków umów niezgodnych z przepisami dotyczącymi ochrony danych Środki techniczne i organizacyjne zapewniające ochronę i bezpieczeństwo danych Artykuł 17 ust. 2 dyrektywy 95/46/WE nakłada pełną odpowiedzialność na klientów usług przetwarzania w chmurze (działających jako administratorzy danych), by wybrali takich dostawców usług w chmurze, którzy wdrożą odpowiednie środki techniczne i organizacyjne, by chronić dane osobowe i być w stanie wykazać się realizacją zasady rozliczalności. Dodatkowo poza głównymi celami odnoszącymi się do bezpieczeństwa, które obejmują zapewnienie dostępności, poufności i integralności, należy zwrócić uwagę na uzupełniające 16
17 cele ochrony danych, mianowicie zapewnienie przejrzystości (zob powyżej), odizolowania 24, możliwości interwencji, rozliczalności i możliwości przenoszenia danych. W niniejszym punkcie podkreślono te właśnie najważniejsze cele ochrony danych, bez uszczerbku dla innych uzupełniających analiz ryzyka w zakresie bezpieczeństwa Dostępność Zapewnienie dostępności oznacza zapewnienie w odpowiednim terminie niezawodnego dostępu do danych osobowych. Jednym z poważnych zagrożeń dla dostępności w chmurze jest przypadkowa utrata połączenia sieciowego między klientem a dostawcą lub przeciążenie serwera spowodowane działaniami popełnionymi w złym zamiarze, takimi jak (rozproszona) odmowa usługi (ataki DoS) 26. Inne zagrożenia dla dostępności obejmują przypadkowe awarie sprzętu tak w sieci, jak i systemach przetwarzania w chmurze i przechowywania danych, awarie zasilania i inne problemy infrastrukturalne. Administratorzy danych powinni sprawdzać, czy dostawca usług w chmurze przyjął odpowiednie środki, by poradzić sobie z ryzykiem zakłóceń ciągłości działania, takie jak zapewnienie zapasowych łączy internetowych, nadmiarowego przechowywania oraz skutecznych mechanizmów wykonywania kopii zapasowych danych Integralność Integralność można zdefiniować jako właściwość danych polegającą na tym, że są one prawdziwe i nie zostały w złym zamiarze lub przypadkowo zmienione w toku przetwarzania, przechowywania lub przekazywania. Pojęcie integralności można rozszerzyć na systemy informatyczne, i oznacza ono wówczas wymóg, by przetwarzanie danych osobowych w tych systemach pozostało niezmienione. Zmiany wprowadzone do danych osobowych mogą być wykryte przy użyciu mechanizmów uwierzytelniania kryptograficznego, mianowicie kodów lub podpisów uwierzytelniających wiadomość. Próbom ingerencji w integralność systemów informatycznych w chmurze można zapobiec lub je wykryć przy użyciu systemów wykrywania i zapobiegania włamaniom (IPS / IDS). Jest to szczególnie istotne w przypadku takich rodzajów otwartych środowisk sieciowych, w których zazwyczaj funkcjonują chmury obliczeniowe Poufność W środowisku chmury obliczeniowej szyfrowanie może znacząco przyczynić się do poufności danych osobowych, jeżeli jest właściwe realizowane, chociaż nie anonimizuje to danych nieodwracalnie 27. Szyfrowanie danych osobowych powinno być stosowane we W Niemczech wprowadzono szersze pojęcie, mianowicie niepołączalność, które jest promowane przez Konferencję Rzeczników Ochrony Danych. Por. np. stronę internetową Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA): Atak DoS oznacza zorganizowaną próbę służącą uniedostępnieniu komputera lub zasobów sieciowych jego upoważnionym użytkownikom, albo na określony czas, albo na trwałe (na przykład za pośrednictwem wielu atakujących systemów paraliżujących ich cel przez liczne zewnętrzne żądania połączenia). Dyrektywa 95/46/WE, motyw 26 (...) zasady ochrony danych nie mają zastosowania do danych, którym nadano anonimowy charakter w taki sposób, że podmiot danych nie będzie mógł być zidentyfikowany; (...). Uwzględniając to samo założenie, techniczne procesy fragmentacji danych, które mogą być 17
18 wszystkich przypadkach danych w czasie tranzytu oraz w miarę dostępności dla danych odłożonych 28. W niektórych sytuacjach (np. świadczenia usługi przechowywania IaaS) klient usług w chmurze, zamiast korzystać z szyfrowania oferowanego przez dostawcę usług w chmurze, może zdecydować się na zaszyfrowanie danych osobowych przed wysłaniem ich do chmury. Szyfrowanie danych odłożonych wymaga zwrócenia szczególnej uwagi na zarządzanie kluczem kryptograficznym, ponieważ bezpieczeństwo danych zależy w takim przypadku ostatecznie od poufności kluczy szyfrujących. Komunikaty przesyłane między dostawcą usług w chmurze i klientem, jak również między ośrodkami danych, powinny być szyfrowane. Zarządzanie na odległość platformą chmury powinno się odbywać jedynie za pośrednictwem bezpiecznego kanału komunikacyjnego. W razie gdy klient planuje nie tylko przechowywanie, ale również dalsze przetwarzanie danych osobowych w chmurze (na przykład wyszukiwanie wpisów w bazach danych), musi pamiętać, że w toku przetwarzania danych nie można utrzymać szyfrowania (z wyjątkiem bardzo szczególnych obliczeń). Pozostałe środki techniczne służące zapewnieniu poufności obejmują mechanizmy uwierzytelniania oraz solidnego uwierzytelniania (na przykład uwierzytelniania dwuelementowego). Klauzule umowne powinny również nakładać obowiązek zachowania poufności na pracowników klientów usług w chmurze, dostawców usług w chmurze i podwykonawców Przejrzystość Środki techniczne i organizacyjne muszą wspierać przejrzystość, by umożliwić kontrolę, por. pkt Odizolowanie (ograniczenie celu) W infrastrukturze chmury zasoby takie jak przestrzeń dyskowa, pamięć i sieci są współdzielone przez wiele podmiotów. Stwarza to nowe zagrożenia, mianowicie ujawnienia i przetwarzania danych w celach niezgodnych z prawem. Odizolowanie, mające na celu ochronę, służy rozwiązaniu tego problemu oraz ma się przyczynić do zagwarantowania, że dane nie są używane do celów wychodzących poza cel pierwotny (art. 6 ust. 1 lit. b) dyrektywy 95/46/WE) i do utrzymania poufności i integralności 29. Zapewnienie odizolowania wymaga, po pierwsze, odpowiedniego zarządzania prawami i rolami w zakresie dostępu do danych osobowych, które podlega regularnej kontroli. Powinno się unikać wprowadzania ról z nadmiernie wysokimi poziomami uprawnień (np. żaden użytkownik lub administrator danych nie powinien mieć dostępu do całej chmury obliczeniowej). Na bardziej ogólnym poziomie administratorzy danych i użytkownicy powinni mieć dostęp tylko do tych informacji, które są im niezbędne do uzasadnionych celów (zasada jak najmniejszych przywilejów). Po drugie, odizolowanie zależy również od środków technicznych, takich jak wzmocnienie hipernadzorców i właściwe zarządzanie współdzielonymi zasobami, jeżeli maszyny wirtualne są użytkowane w celu współdzielenia zasobów fizycznych między różnych klientów usług w chmurze stosowane w ramach świadczenia usług w chmurze obliczeniowej, nie doprowadzą do nieodwracalnej anonimizacji, a zatem nie oznaczają, że obowiązki dotyczące ochrony danych nie mają zastosowania. Stosuje się to w szczególności do administratorów danych, którzy planują przesłanie danych szczególnie chronionych w rozumieniu art. 8 dyrektywy 95/46/WE (np. danych dotyczących zdrowia) do chmury lub którzy podlegają obowiązkom prawnym dotyczącym zachowania tajemnicy służbowej. Por. pkt
19 Możliwość interwencji Dyrektywa 95/46/WE przyznaje osobom, których dane dotyczą, prawo dostępu do danych, ich poprawienia, usunięcia, zablokowania i wyrażenia sprzeciwu (por. art. 12 i 14). Klient usług w chmurze musi zweryfikować, że dostawca usług w chmurze nie stwarza technicznych i organizacyjnych utrudnień dla realizacji tych wymogów, w tym w przypadkach gdy dane są dalej przetwarzane przez podwykonawców. Umowa między klientem i dostawcą powinna stanowić, że dostawca usług w chmurze jest zobowiązany do wspierania klienta w ułatwianiu wykonywania praw przez osoby, których dane dotyczą, oraz do dopilnowania, by to samo odnosiło się do jego stosunku z dowolnym podwykonawcą Możliwość przenoszenia danych Obecnie większość dostawców usług w chmurze nie wykorzystuje standardowych formatów danych i interfejsów usług ułatwiających interoperacyjność i możliwość przenoszenia danych między różnymi dostawcami usług w chmurze. W razie gdy klient usług w chmurze zdecyduje się na przeniesienie usługi w chmurze od jednego dostawcy do drugiego, ten brak interoperacyjności może skutkować niemożliwością lub przynajmniej trudnościami w przekazaniu danych (osobowych) klienta do nowego dostawcy usług w chmurze (tak zwane uzależnienie od określonego dostawcy). Odnosi się to również do usług, które klient świadczy na platformie zapewnionej przez pierwotnego dostawcę usług w chmurze (PaaS). Przed złożeniem zamówienia na usługę w chmurze klient usług w chmurze powinien sprawdzić, czy i jak dostawca zagwarantuje możliwość przenoszenia danych i usług Rozliczalność W sektorze IT rozliczalność można zdefiniować jako możliwość ustalenia działań danego podmiotu w danym momencie w przeszłości i sposobu ich wykonywania. W dziedzinie ochrony danych pojęcie to ma często szersze znaczenie i opisuje możliwość wykazania przez strony, że podjęły odpowiednie kroki w celu zapewnienia realizacji zasad ochrony danych. Rozliczalność w sektorze IT jest szczególnie ważna w kontekście prowadzenia dochodzeń w sprawie naruszenia ochrony danych osobowych, w sytuacji gdy każdy z podmiotów klienci usług w chmurze, dostawcy i podprzetwarzający może mieć udział w jakiejś części odpowiedzialności operacyjnej. Pod tym względem możliwość zapewniania przez platformę usług w chmurze wiarygodnego monitorowania i szeroko zakrojonych mechanizmów rejestrowania ma szczególne znaczenie. Ponadto dostawcy usług w chmurze powinni dostarczyć dokumentację poświadczającą zastosowanie właściwych i skutecznych środków zapewniających osiągnięcie rezultatów, jakie zakładają zasady ochrony danych opisane w poprzednich punktach. Przykładami takich środków są procedury zapewniające identyfikację wszystkich operacji przetwarzania danych, odpowiadanie na wnioski o dostęp, przydzielanie zasobów, w tym wyznaczanie inspektorów ochrony danych, którzy są odpowiedzialni za organizację przestrzegania zasad dotyczących ochrony danych, lub niezależne procedury certyfikacji. Dodatkowo administratorzy danych Por. pkt nr 6 powyżej. Dostawca może otrzymać nawet polecenie, by odpowiadać na wnioski w imieniu klienta. Najlepiej byłoby, aby dostawca korzystał ze standardowych lub otwartych formatów danych i interfejsów. W każdym przypadku powinno się uzgodnić klauzule umowne przewidujące zagwarantowanie formatów, zachowanie logicznych stosunków i odnoszące się do wszelkich kosztów wynikających z przeniesienia się do innego dostawcy usług w chmurze. 19
20 powinni zagwarantować, że są przygotowani do wykazania wdrożenia niezbędnych środków na wniosek właściwego organu nadzorczego Międzynarodowe przekazywanie danych Artykuły 25 i 26 dyrektywy 95/46/WE przewidują swobodny przepływ danych osobowych do państw poza EOG, jedynie jeżeli państwo lub odbiorca zapewni odpowiedni poziom ochrony danych. W przeciwnym razie administrator danych i jego współadministratorzy lub przetwarzający muszą wprowadzić szczególne zabezpieczenia. Przetwarzanie danych w chmurze obliczeniowej jest jednak najczęściej oparte na zupełnym braku stałej lokalizacji danych w ramach sieci dostawcy usług w chmurze. O godz. 14:00 dane mogą znajdować się w jednym ośrodku danych, a o 16:00 mogą być już na drugiej półkuli. Klient usług w chmurze rzadko znajduje się w sytuacji, że wie w czasie rzeczywistym, gdzie są zlokalizowane, przechowywane bądź przesyłane dane. W tym przypadku tradycyjne instrumenty prawne wprowadzające ramy regulujące przekazywanie danych do państw trzecich poza UE niezapewniających odpowiedniego poziomu ochrony mają ograniczenia Program Bezpieczna przystań ( Safe Harbor ) i państwa zapewniające odpowiedni poziom ochrony Ustalenia dotyczące odpowiedniego poziomu ochrony, w tym program Bezpieczna przystań, są ograniczone pod względem zakresu geograficznego, a zatem nie obejmują wszystkich operacji przekazywania w chmurze. Przekazywanie do organizacji w Stanach Zjednoczonych przestrzegających zasad może odbywać się zgodnie z prawem na podstawie przepisów UE, ponieważ organizacje będące odbiorcami uznaje się za zapewniające odpowiedni poziom ochrony przekazywanych danych. Jednak w opinii Grupy Roboczej Art. 29 sama auto-certyfikacja w ramach programu Bezpieczna przystań może nie wystarczyć, jeżeli zasady ochrony danych nie są sprawnie egzekwowane w środowisku chmury obliczeniowej. Ponadto art. 17 dyrektywy UE wymaga, by przetwarzający zawarł z administratorem danych wiążącą go umowę do celów przetwarzania, co zostało potwierdzone w pytaniu 10 (FAQ) w dokumentach ramowych programu Bezpieczna przystań Unia Europejska-Stany Zjednoczone. Umowa ta nie podlega wcześniejszej autoryzacji przez europejskie organy ochrony danych. Taka umowa określa rodzaj przetwarzania, które ma być wykonane, oraz wszelkie środki niezbędne do zapewnienia, że dane przechowywane są w bezpieczny sposób. Różne przepisy krajowe i organy ochrony danych mogą określać dodatkowe wymogi. Grupa Robocza Art. 29 uznaje, że spółki eksportujące dane nie powinny jedynie opierać się na oświadczeniu importera danych twierdzącego, że uzyskał certyfikację w ramach programu Bezpieczna przystań. Wręcz przeciwnie, spółka eksportująca dane powinna uzyskać dowody, że auto-certyfikacja w ramach programu Bezpieczna przystań istnieje i domagać się dowodów wykazujących, że przestrzegane są jej zasady. Jest to szczególnie istotne w odniesieniu do informacji przekazywanych osobom, których dane dotyczą, na które przetwarzanie danych miało wpływ 33, Grupa Robocza Art. 29 przedstawiła szczegółowe uwagi na temat rozliczalności w swojej opinii 3/2010 w sprawie zasady rozliczalności Zob. niemiecki organ ochrony danych: 20