Két szerep, két felelősség
A GDPR két szereplőt különböztet meg. Az adatkezelő az, aki eldönti, milyen adatot miért gyűjt – ha a te alkalmazásod regisztrációt kér és rendeléseket tárol, ez te vagy. Az adatfeldolgozó az, aki az adatkezelő megbízásából tárolja vagy kezeli az adatot, de nem ő dönt róla – ez a hosting-szolgáltatód, amelynek szerverén az adatbázisod fut.
A felelősség nem száll át. Attól, hogy az adat egy szolgáltató szerverén van, az ügyfeleid felé te maradsz a felelős: neked kell tájékoztatnod őket, neked kell teljesítened a törlési vagy hozzáférési kérésüket, és te felelsz azért, hogy megfelelő szolgáltatót választottál. A szolgáltató felelőssége az, hogy a rá bízott adatot a megállapodás szerint és biztonságosan kezelje.
Mit kell tudnod a szolgáltatódról?
Három dolgot, és ezeket a szolgáltató dokumentációjából vagy szerződéséből kell tudnod kiolvasni.
- Hol tárolja az adatot. Az EU-n belüli tárolás egyszerűbb helyzet: a harmadik országba történő adattovábbítás külön feltételeivel nem kell foglalkoznod. Ha a szolgáltató EU-n kívüli szervereket vagy alvállalkozókat használ, az adattovábbítás külön feltételekhez kötött, és ezt neked is le kell írnod. Ha a szolgáltató nem mondja meg egyértelműen, hol vannak a szerverei, az önmagában válasz.
- Van-e adatfeldolgozási megállapodása. A GDPR előírja, hogy az adatkezelő és az adatfeldolgozó között írásbeli megállapodás legyen, amely rögzíti, mit tehet a feldolgozó az adattal. Ez sok szolgáltatónál az ÁSZF része vagy külön dokumentum; ha nem találod, kérd el.
- Milyen alvállalkozókat használ. A hosting-szolgáltató maga is használhat további szolgáltatókat – például a hálózati védelemhez vagy a levélküldéshez. Ehhez a GDPR szerint a te előzetes írásbeli felhatalmazásod kell, és ha a kör változik, a szolgáltatónak szólnia kell, mert az adat rajtuk is átmegy.
Mit kell leírnod a saját tájékoztatódban?
Az ügyfeleid felé szóló adatkezelési tájékoztatóban meg kell adnod, kik az adatok címzettjei – vagyis azt is, hogy az adatok tárolásához adatfeldolgozót veszel igénybe. A GDPR a címzettek kategóriáját is elfogadja, de az érintettnek egyértelműbb, ha a szolgáltatót néven nevezed. Nem kell a szerver típusát vagy a technikai részleteket leírni; az kell, hogy az érintett lássa: ki fér hozzá az adatához és hol. Ha a szolgáltató EU-n belül tárol, ezt érdemes kimondani – ez az ügyfél számára egyszerű, megnyugtató információ.
Ugyanez érvényes minden más szolgáltatásra, amely az adatokat érinti: levélküldő, fizetési szolgáltató, analitika. A hosting az egyik a listán, gyakran az első.
A leggyakoribb mulasztás
A tájékoztató egy sablonból készül, amelyben az adatfeldolgozók helyén egy másik cég szolgáltatói szerepelnek – vagy senki. Egy tájékoztató, amely nem a te tényleges szolgáltatóidat sorolja, nem tájékoztat. Ha váltasz hosztot, ezt a listát is frissíteni kell.
Mi a te dolgod a biztonságban?
A GDPR megfelelő technikai és szervezési intézkedéseket vár el, és ezt a felelősséget is megosztja. A szolgáltató felel a szerverért, a hálózatért, a fizikai hozzáférésért és a saját rendszereiért. Te felelsz az alkalmazásodért: hogy a jelszavakat ne nyílt szövegben tárold, hogy az adminisztrációs felület ne legyen bárki számára nyitva, hogy a titkos kulcsok ne a kódban legyenek. A legjobb hoszt sem véd meg egy nyitva hagyott admin-oldaltól.
Ide tartozik a mentés is. Az adat elvesztése ugyanúgy adatvédelmi incidens lehet, mint a kiszivárgása. Tudd, készül-e mentés, és ha igen, milyen gyakran – sok platformon, a NextHubon is, a mentést neked kell beállítanod. Próbáld ki egyszer a visszaállítást is, de ne incidens közben.
Mi történik egy incidensnél?
Ha az adat illetéktelen kézbe kerül vagy elvész, az adatkezelőnek – neked – lehetőleg 72 órán belül jelentenie kell a felügyeleti hatóságnak, kivéve, ha az incidens valószínűleg nem jár kockázattal; magas kockázatnál az érintetteket is értesítenie kell. A szolgáltató kötelessége, hogy a saját rendszereiben észlelt incidensről indokolatlan késedelem nélkül tájékoztasson téged, mert nélküle nem tudsz határidőre jelenteni. Ezt is a megállapodásban kell rögzíteni.
Röviden
Te vagy az adatkezelő, a hoszt az adatfeldolgozó – a felelősség a tiéd marad. Tudd, hol tárol, van-e megállapodása, kiket használ. Írd le a tájékoztatódban. A biztonság megosztott: a szerver az övé, az alkalmazás a tiéd. A NextHub szerverei Magyarországon, az EU-n belül működnek, és az adatvédelmi tájékoztatója felsorolja, milyen közreműködőket vesz igénybe. Ha a saját ügyfeleid adataira adatfeldolgozási megállapodást kérsz, írj a [email protected] címre. A saját tájékoztatódat ettől még neked kell megírnod, és a saját helyzetedről az adatvédelmi tanácsadód vagy jogászod tud felelősséggel nyilatkozni.