Certifikat zaštite podataka u IT ugovoru: šta je zaista certificirano?

Oznaka zaštite podataka potvrđuje određenu certificiranu obradu koja uključuje lične podatke. IT ugovor zato mora pokazati koja je obrada provjerena, koje komponente obuhvataju kriteriji i koje je akreditovano tijelo izdalo certifikat. Sama oznaka ne pretvara softverski proizvod u opštu dozvolu sa stanovišta zaštite podataka.

Pri pregledu ugovora važna je veza između certifikata, ugovorene usluge i stvarne upotrebe. Organizacija upoređuje certificirani predmet sa tokovima podataka, konfiguracijom, lokacijama i ulogama. Tako se vidi koji dio informacija pružaoca dokaz obuhvata i koje provjere još ostaju otvorene.

Član 42 GDPR-a povezuje certifikaciju sa postupcima, oznakama i certifikatima koji su usmjereni na zaštitu podataka. Austrijska Agencija za zaštitu podataka objašnjava da predmet uvijek čine obrade povezane sa ličnim podacima. Softverski proizvod zato ne može biti neposredno certificiran prema članu 42 bez povezane obrade.

Predmet mora pokazati koje su obrade uključene, a koje nisu. Kod IT usluge to može obuhvatiti modul, svrhu, kategorije podataka i procijenjene komponente. Naziv proizvoda bez tih granica ne pokazuje šta oznaka znači za ugovor.

Dokaz čitajte od njegovog predmeta. Pitajte koju obradu pružalac namjerava koristiti prema ugovoru i da li certifikacija opisuje istu uslugu. Vlastita provjera počinje tamo gdje se planirani tok podataka razlikuje od opisanog predmeta.

Rukovaoci i izvršioci obrade mogu zatražiti certifikaciju zaštite podataka od certifikacionog tijela koje je za to akreditovano. U Austriji Agencija za zaštitu podataka sama ne izdaje te certifikate. Ona odlukom akredituje certifikaciona tijela.

IT ugovor treba jasno označiti tijelo koje je izdalo certifikat. Logo pružaoca ili opšta tvrdnja da je izvršena provjera ne zamjenjuju dokaz o tijelu. Uz ugovorne dokumente sačuvajte naziv, vezu sa akreditacijom i podatke koji certifikat povezuju sa konkretnom uslugom.

Ova provjera odgovara na posebno pitanje: ko je smio sprovesti postupak certifikacije zaštite podataka? Ona ne pokazuje da stvarna konfiguracija odgovara certificiranoj obradi. Za to je potrebno drugo poređenje sa tehničkim i ugovornim obimom.

Procjena se zasniva na odobrenim kriterijima certifikacije. Član 43 stav 2 tačka b GDPR-a zahtijeva da ih certifikaciono tijelo primijeni. Austrijska Agencija za zaštitu podataka navodi kao moguće oblasti procjene načela GDPR-a, prava lica, zaštitu podataka po dizajnu prema članu 25, odgovarajuće tehničke i organizacione mjere prema članu 32 i mjere u okviru procjene uticaja na zaštitu podataka.

Za pregled ugovora važna je veza kriterija i komponenti. Kriterij se može odnositi na korak obrade, tehničku funkciju ili organizaciono pravilo. Zabilježite koji su dijelovi usluge procijenjeni i koji kriteriji podupiru tvrdnju.

Kriteriji ne zamjenjuju pregled ugovora. Oni čine standard procjene razumljivim. Organizacija tako može preciznije utvrditi da li su pitanja sigurnosti, brisanja, prava lica i konfiguracije obuhvaćena ili ih treba posebno urediti.

Ugovor treba opisati uslugu tako da se certificirani obim može uporediti sa stvarnom upotrebom. Provjerite module, uključene funkcije, kategorije podataka, primaoce, mjesta čuvanja i pristup podrške. Dodatna funkcija može izmijeniti obradu ako uvodi nove svrhe, podatke ili prava pristupa.

Poređenje zabilježite u kratkoj raspodjeli: šta obuhvata certificirani predmet, koja je upotreba planirana ugovorom i koji dijelovi ostaju izvan dokaza. Tako se opšta certifikacija ne prenosi prećutno na svaku uslugu pružaoca.

Kod razlike mogu biti potrebni ograničenje konfiguracije, dodatna provjera ili dodatna ugovorna zaštita. Odluka mora pratiti stvarni tok podataka. Nastaviti oslanjanje na oznaku bez rješavanja razlike ne otklanja problem.

Adresati certifikacije zaštite podataka su rukovaoci ili izvršioci obrade. Dokaz zato ima funkciju u zaštiti podataka i određeni predmet obrade. On ne zamjenjuje odvojenu procjenu ko prema IT ugovoru odlučuje o svrhama i bitnim sredstvima.

Pružalac može biti certificiran za obradu u ime klijenta, dok za drugu obradu treba procijeniti njegovu vlastitu odgovornost. Klijent ostaje odgovoran za svoj izbor, konfiguraciju i upotrebu. Certifikacija pomaže procjeni, ali ne uklanja analizu uloga i rizika.

Kod pregleda izvršioca zajedno čitajte certifikat, opis usluge, upute, podizvršioce i prava kontrole. Tekst o SaaS ulogama obrađuje prethodno određivanje. Dokumentovanje tehničkih i organizacijskih mjera objašnjava vlastiti sigurnosni dokaz.

Agencija za zaštitu podataka opisuje certifikacije kao instrument usklađenosti. One se mogu uzeti u obzir pri procjeni obaveza rukovaoca i tehničkih i organizacionih mjera. Dokaz je zato koristan, ali ne stvara opštu dozvolu za cijeli proizvod.

Provjerite i usluge izvan procijenjenog obima. Zavisno od ugovora to mogu biti dodatni moduli, pojedinačne postavke, kanali podrške, novi podizvršioci ili tokovi podataka koji nisu u certificiranom predmetu. Dokumenti moraju pokazati da li je određena tačka obuhvaćena.

Obim se može promijeniti upotrebom. Kada se usluga ili obrada promijeni, ažurirajte poređenje i provjerite da li dokaz još odgovara. Pregled izvršilaca obrade i pružalaca usluga ostaje poseban korak za ugovorne i tehničke mjere.

Zatražite potpuni dokaz certifikacije i opis njenog predmeta. Dodajte podatke o akreditovanom tijelu i odobrenim kriterijima. Za poređenje sa ugovorom potrebni su i opis usluge, tok podataka, korišteni moduli i relevantne informacije o konfiguraciji.

Povežite dokumente sa konkretnom odlukom. Zabilježite koju obradu oznaka obuhvata, koje tačke ostaju izvan nje i koje dodatne mjere ugovor zahtijeva. Kod izvršioca obrade uključite i redovnu provjeru informacija koje pružalac dostavlja.

Poređenje sačuvajte tako da kasnija provjera može pratiti obrazloženje. Ponovo ga procijenite kada se promijene usluga, podaci ili podizvršioci. Evidencija aktivnosti obrade može pomoći da se povežu obrada, usluga i tok podataka.

Počnite sa tokom podataka i odredite konkretnu obradu. Pored nje stavite certifikat, tijelo i kriterije. Zatim uporedite stvarnu upotrebu sa navedenim obimom i zabilježite svaku razliku.

Za svaku otvorenu tačku odlučite da li ugovor treba jasnu klauzulu, tehničko ograničenje ili dodatni dokaz. Odvojite certificirani dio od opštih izjava pružaoca i od vlastitih obaveza rukovaoca. Tako značenje oznake ostaje precizno.

Poređenje ponovite kada se usluga promijeni. Provjera promjene podizvršitelja dopunjuje kontrolu kada se promijeni lanac obrade.