IKÜM lühidalt, kui kasutad pilveteenust

Moodul 1: Miks valida Euroopa pilv? · Lugemisaeg: 11 minutit

Õpieesmärk: pärast seda tundi oskad nimetada IKÜM-ist tulenevaid rolle ja kohustusi, mis kehtivad pilveteenuse kasutamisel, ning selgitada, miks sina jääd vastutavaks ka siis, kui andmed asuvad kellegi teise juures.

Põhimõisted: IKÜM (GDPR), isikuandmed, töötlemine, vastutav töötleja, volitatud töötleja, alltöötleja, põhimõtted (art 5), vastutuse aruandekohustus, isikuandmete töötlemise leping (art 28), turvalisus (art 32), andmete edastamine (V peatükk), Andmekaitse Inspektsioon, trahvid (art 83)

Miks see tund IKÜM-ist räägib

IKÜM (isikuandmete kaitse üldmäärus, inglise keeles GDPR) on Euroopa määrus: määrus (EL) 2016/679. See kehtib alates 25. maist 2018 vahetult kõigis EL-i liikmesriikides. Hollandis teostab järelevalvet Autoriteit Persoonsgegevens (AP), Eestis on selleks Andmekaitse Inspektsioon (AKI) ja igas teises EL-i riigis on oma järelevalveasutus.

Võid arvata, et IKÜM puudutab vaid suuri ettevõtteid, kellel on kliendiandmebaasid. Aga ka Bakkerij De Korrel käib selle alla. Postkastis on tellimused nimede, aadresside ja telefoninumbritega. Veebipõhistes kaustades on tööajagraafikud, palgalehed ja ühe uue töötaja isikut tõendava dokumendi koopia. Kalendris on klientide nimed kättetoimetamiskohtumiste juures. Kõik see on isikuandmed: igasugune teave tuvastatud või tuvastatava isiku kohta (art 4 punkt 1). Ja salvestamine, meilitsaamine, jagamine ning kustutamine on kõik töötlemine (art 4 punkt 2).

Erand: see, mida teed puhtalt eraviisiliselt, näiteks oma pereala pildid, jääb IKÜM-i kohaldamisalast välja (nn kodumajapidamise erand, art 2 lõige 2 punkt c). Niipea kui tegemist on sinu töö, ettevõtte või ühinguga, kehtib IKÜM siiski.

See on selgitus, mitte õigusnõustamine.

Kolm rolli: kes on kes?

Kõige olulisem mõte: vastutus ei kandu andmetega kaasa. Pagariäri jääb vastutavaks töötlejaks ka siis, kui andmed asuvad pilveteenuses. Kui pilveteenus lubab midagi ja asi läheb untsu, peab pagariäri ikkagi suutma näidata, et ta tegi läbimõeldud valiku ja sõlmis head kokkulepped. Seda nimetatakse vastutuse aruandekohustuseks (art 5 lõige 2 ja art 24).

Pane tähele: pilveteenus ei ole alati ainult volitatud töötleja. Kui teenusepakkuja kasutab sinu andmeid ka omaenda eesmärkidel, näiteks tootearenduseks, reklaamiks või oma süsteemide treenimiseks, on ta selles osas ise vastutav töötleja. See on üks asi, mida kontrollid tingimustest ja isikuandmete töötlemise lepingust (tund 9.2).

Põhimõtted, mis puudutavad pilve

Artikkel 5 loetleb põhimõtted, millele iga töötlemine peab vastama. Pilveteenuse valikul on kõige olulisemad järgmised:

• Eesmärgi piiritlemine: kasutad andmeid ainult eesmärgil, mille jaoks need kogusid. Teenus, mis kasutab sinu kliendiandmeid oma eesmärkidel, läheb sellega vastuollu.
• Võimalikult väheste andmete töötlemine: ei hoita rohkem andmeid kui vaja. Üleminek on hea hetk koristamiseks (tund 3.2).
• Säilitamise piiramine: andmeid ei hoita kauem kui vaja. Mõtle vanadele tööavaldustele postkastis.
• Usaldusväärsus ja konfidentsiaalsus: asjakohane kaitse kadumise, varguse ja volitamata juurdepääsu eest. Seda käsitletakse täpsemalt artiklis 32: rakendad meetmeid, mis vastavad riskile, näiteks krüpteerimine, juurdepääsuhaldus, taastamine pärast rikke ja regulaarne testimine.

Neli kohustust, millega puutud kokku ülemineku ajal

1. Vali volitatud töötleja, kes pakub piisavaid tagatisi (art 28 lõige 1). Pead seega uurima, kuidas teenusepakkuja turvalisust tagab ja kus ta andmeid töötleb. Seda teed moodulis 2.
2. Sõlmi isikuandmete töötlemise leping (art 28 lõige 3). Selles on kohustuslikud teemad: mida töödeldakse, juhised, konfidentsiaalsus, turvalisus, alltöötlejad, abi andmeleketega ja mis saab andmetest, kui lõpetad teenuse kasutamise. Seda käsitleme tunnis 9.2.
3. Pea isikuandmete töötlemise toimingute registrit (art 30). See on sinu töötlemistoimingute nimekiri: millised andmed, miks, kellega jagatud, kui kaua säilitatud. Pärast üleminekut uuendad vastuvõtjaid ja säilituskohta (tund 9.3).
4. Järgi EMP-välise andmeedastuse reegleid (V peatükk, art 44 kuni 49). Kui andmed lähevad riiki väljaspool Euroopa Majanduspiirkonda, on see lubatud ainult juhul, kui sellel riigil on piisav kaitstuse tase (adekvaatsusotsus, art 45) või kasutatakse lisakaitsemeetmeid, näiteks standardsed lepingutingimused (art 46). Sellest räägib tund 1.4.

Mis juhtub, kui midagi läheb valesti?

Kui toimub andmeleke (näiteks häkitud konto, kus on kliendiandmed), peab vastutav töötleja sellest 72 tunni jooksul teavitama järelevalveasutust, välja arvatud juhul, kui see tõenäoliselt ei kujuta endast riski (art 33). Volitatud töötleja peab vastutavat töötlejat teavitama "põhjendamatu viivituseta" (art 33 lõige 2). Seepärast on heas isikuandmete töötlemise lepingus kirjas, kui kiiresti teenusepakkuja sind teavitab.

Järelevalveasutus võib määrata trahve. Kõige raskemate rikkumiste puhul on maksimaalne trahv 20 miljonit eurot või 4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem (art 83 lõige 5). Väikeste organisatsioonide jaoks ei ole trahv tavaliselt suurim risk. Tegelik risk on kahju klientidele ja töötajatele ning usalduse kaotus.

Miks see mõjutab sinu pilvevalikut

IKÜM ei keela Ameerika pilveteenuste kasutamist. Küll aga pead suutma selgitada, miks sinu valik on läbimõeldud: millised andmed, millised riskid, millised kokkulepped. Mida tundlikumad andmed (tervis, lapsed, rahandus, personalitoimikud), seda kaalukam see otsus on. Pagariäri jaoks on olukord lihtne, füsioteraapiapraksise või kooli jaoks kaalub see palju rohkem. Teenus, mis asub EMP-s, töötleb andmeid EMP-s ja kellel pole alltöötlejaid väljaspool EMP-d, teeb selle kaalumise palju lihtsamaks, sest andmeedastuse reeglid siis ei kehti.

Praktikas: nii näeb see välja teenusepakkuja juures

Teenusepakkujal, keda kasutatakse äriliselt, peaks olema isikuandmete töötlemise leping ja alltöötlejate loetelu. WebOké puhul on Nextcloudi juhendi korduma kippuvates küsimustes kirjas, et sõlmid isikuandmete töötlemise lepingu, kui kasutad Nextcloudi äriliselt ja hoiad selles teiste isikuandmeid. Teiste teenusepakkujate juures leiad sellise asja tavaliselt rubriigist "Isikuandmete töötlemise leping", "Data Processing Agreement (DPA)" või veebilehe allosas olevate õigusdokumentide seast.

Kokkuvõte

• Ka väike organisatsioon töötleb isikuandmeid e-kirjades, kalendris ja failides ning käib seega IKÜM-i alla.
• Sina oled vastutav töötleja, pilveteenus on volitatud töötleja, tema tarnijad on alltöötlejad.
• Vastutus ei kandu kaasa: pead valima volitatud töötleja, kes pakub piisavaid tagatisi, ja suutma seda selgitada.
• Olulised artiklid: 5 (põhimõtted), 28 (volitatud töötleja ja isikuandmete töötlemise leping), 30 (register), 32 (turvalisus), 33 (andmeleke 72 tunni jooksul), 44 kuni 49 (andmeedastus).
• Andmed, mis jäävad EMP piiridesse, teevad kaalumise lihtsamaks, sest siis ei kehti andmeedastuse reeglid.

Test

Ülesanne

Ülesanne E1.2: Sinu rollid ja andmed. Koosta lühike loetelu isikuandmetest, mis sinu organisatsioonil on pilves (e-post, kalender, failid, vestlus). Märgi iga liigi juurde, kes on vastutav töötleja, kes volitatud töötleja, ja kas tegu on tundlike andmetega.

Rohkem lugemist

Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste teenusepakkujate juures töötab see sarnaselt.

• Nextcloudi juhend 15.13: Korduma kippuvad küsimused turvalisuse ja privaatsuse kohta
• Nextcloudi juhend 3.1: Kuidas WebOké kaitseb sinu Nextcloudi?
• Määrus (EL) 2016/679 (IKÜM), artiklid 4, 5, 24, 28, 30, 32, 33, 44 kuni 49 ja 83, EUR-Lexis
• Autoriteit Persoonsgegevens (Hollandi andmekaitse järelevalveasutus), teemad "Isikuandmete töötlemise leping" ja "Andmelekkest teatamine": https://www.autoriteitpersoonsgegevens.nl