Izvršitelj i podizvršitelj: osigurati revizijski trag i dokaz o uputama

Izvršitelj obrade može koristiti podizvršitelje za pojedine korake obrade, ali njihovo angažovanje mora biti uključeno u pouzdan lanac kontrole. Rukovalac treba imati jasan pregled usluge, pristupa podacima, uputa, mjera zaštite i dokaza revizije tako da obrada ostane provjerljiva do posljednjeg pružaoca u lancu.

U središtu je provjera prije i tokom angažovanja. Član 28 GDPR-a traži odgovarajuće garancije, dokumentovane upute, obaveze zaštite podataka i dokaze o njihovom ispunjavanju. Ovaj tekst obrađuje revizijski trag i dokaz o uputama. Prethodno razvrstavanje SaaS uloga i postupanje nakon stvarne povrede podataka ostaju odvojene teme.

Provjera počinje konkretnim opisom. Zabilježite zadatak podizvršitelja, sisteme, vrste podataka, grupe lica, mjesto i planirani pristup. Podrška, daljinsko održavanje, rezervne kopije i oporavak nakon kvara pripadaju toku podataka ako pružalac kroz njih može pristupiti ličnim podacima.

Član 28 stav 3 GDPR-a traži opis predmeta i trajanja, prirode i svrhe obrade, vrsta podataka i kategorija lica na koja se podaci odnose. Ti podaci moraju ostati vidljivi u cijelom lancu. Spisak društava ne pokazuje koji pružalac obavlja koji dio obrade.

Prije korištenja drugog izvršitelja prvi izvršitelj treba prethodno posebno ili opšte pismeno odobrenje rukovaoca. Kod opšteg odobrenja mora obavijestiti rukovaoca o planiranim promjenama i omogućiti mu prigovor. Odobrenje i prateću dokumentaciju treba čuvati tako da se mogu pronaći u provjernoj dokumentaciji. Pismena forma može biti i elektronska.

Stranica o izvršiteljima obrade i pružaocima usluga objašnjava organizacioni okvir. Ova provjera polazi od već razvrstane obrade i usredsređuje se na pružaoca niže u lancu.

Prvi izvršitelj može izabrati podizvršitelja, ali treba moći objasniti zašto je taj pružalac prikladan za konkretnu obradu. Član 28 stav 1 GDPR-a traži dovoljne garancije za odgovarajuće tehničke i organizacione mjere i poštovanje Uredbe. Procjena zato zavisi od zadatka, podataka, pristupa i rizika pojedinačnog koraka obrade.

Dokumentacija može sadržati ovlaštenja, šifrovanje, zapisivanje pristupa, odvajanje okruženja, obnovu, brisanje i sigurnosnu organizaciju. Sertifikati ili upitnici pružaoca mogu podržati procjenu. Njihova vrijednost zavisi od toga da li obuhvataju područje, period i stvarnu uslugu pružaoca.

Član 32 GDPR-a traži nivo sigurnosti koji odgovara riziku. Dokaze pružaoca zato treba povezati sa stvarnim tokom podataka. Posebne kategorije podataka, široka administratorska ovlaštenja ili više karika u lancu zahtijevaju preciznije obrazloženje.

Prema članu 28 stav 3 tačka a GDPR-a, izvršitelj obrađuje lične podatke samo prema dokumentovanim uputama rukovaoca, osim ako pravo Unije ili države nalaže obradu. Prvi izvršitelj mora tu vezanost prenijeti na podizvršitelja. Podugovor zato treba razumljivo opisati svrhe, obim podataka, dozvoljene radnje, grupe sa pristupom i pravila brisanja ili vraćanja.

Član 32 stav 4 GDPR-a proširuje lanac na fizička lica koja imaju pristup ličnim podacima. Ona smiju obrađivati podatke samo prema uputama, osim kada postoji zakonska obaveza. Dokaz treba povezati uputu rukovaoca sa odgovornim licima izvršitelja i ovlaštenim korisnicima koji mogu pristupiti podacima.

Provjerite i kako se nove upute izdaju, potvrđuju i sprovode. Sistem za zadatke, odobrena uputa ili verzionirani prilog mogu nositi dokaz ako su vidljivi sadržaj, pošiljalac, primalac, vrijeme i korak obrade. Unutrašnja oznaka proizvoda sama po sebi ne daje te podatke.

Član 28 stav 3 tačka h GDPR-a obavezuje izvršitelja da dostavi sve informacije potrebne za dokazivanje obaveza i da omogući i podrži provjere, uključujući inspekcije rukovaoca ili ovlaštenog revizora. Ugovor treba povezati provjeru sa uslugom, dostupnim dokazima i konkretnim rizikom.

Korisna revizijska dokumentacija može povezati ugovorni prilog, opis usluge, aktuelni spisak podizvršitelja, sigurnosne dokaze, zapise uputa, izvještaj o provjeri i otvorene mjere. Za svaki nalaz treba biti jasno ko ga je procijenio, koja je mjera dogovorena i da li je njena primjena naknadno provjerena.

GDPR ne propisuje jednu opštu zakonsku učestalost revizije. Učestalost i dubina zavise od obrade, rizika, promjena i ranijih nalaza. Kontrolna lista za izvršitelja obrade pomaže pri sređivanju materijala. Ona ne zamjenjuje odluku o obimu i povodu provjere prema riziku.

Član 28 stav 4 GDPR-a traži da drugi izvršitelj preuzme iste obaveze zaštite podataka koje glavni ugovor određuje za prvog izvršitelja. Zavisno od obrade, to obuhvata upute, povjerljivost, sigurnost, pomoć, dokaze i vraćanje ili brisanje.

Prenos obaveza mora biti provjerljiv. Uporedite glavni ugovor i podugovor i označite razlike u pristupu, podugovaranju, prijavi incidenata, podršci kod prava ispitanika i postupanju po završetku usluge. Prvi izvršitelj ostaje odgovoran prema rukovaocu za poštovanje obaveza drugog izvršitelja.

Ova odgovornost ne uklanja potrebu za procjenom činjenica. Ona pokazuje gdje treba pribaviti dokaze i pratiti mjere. Tekst o SaaS ulogama dolazi ranije u analizi i pomaže odrediti da li se član 28 i u kom obimu primjenjuje na glavnog pružaoca.

Provjera ne završava potpisivanjem podugovora. Novi sistemi, dodatni pristup, promjena mjesta, drugačije brisanje ili izmijenjena usluga mogu promijeniti početnu procjenu. Odredite signale koji pokreću novo poređenje opisa usluge, uputa, mjera i revizijskih dokaza.

Član 28 stav 2 GDPR-a odnosi se na informacije o planiranim promjenama kod drugih izvršitelja i mogućnost prigovora. Konkretna zamjena već angažovanog podizvršitelja obrađena je u tekstu o prethodnoj obavijesti i roku za reakciju. Ovdje je naglasak na tekućoj kontroli i dokazima.

Sigurnosni događaj pokreće vlastiti postupak prijave i istrage. Tekst o povredi kod izvršitelja obrade obrađuje brzo obavještavanje rukovaoca i zajedničku procjenu. Revizijski dokazi mogu pomoći tom radu, ali ga ne zamjenjuju.

Obrada: Zabilježite zadatak, vrste podataka, grupe lica, sisteme, mjesta i pristup podizvršitelja.

Upute: Povežite dokumentovane upute, dozvoljene svrhe, grupe sa pristupom, povjerljivost i pravila brisanja ili vraćanja sa korakom obrade.

Mjere: Procijenite tehničke i organizacione mjere prema stvarnom riziku i usluzi. Otvorene dokaze zabilježite uz odgovorno lice i narednu kontrolu.

Revizija: Uredite prava na informacije, povode provjere, kontakte, izvještaj, otklanjanje nedostataka i praćenje. GDPR ne određuje jedan opšti interval.

Lanac: Uporedite glavni ugovor sa podugovorom. Nakon promjene ponovo provjerite da li se tok podataka, upute, mjere i dokazi podudaraju.

Zajedno provjeravamo korak obrade, tok podataka, upute, mjere, podugovor, revizijske dokaze i otvorene mjere. Za prvu procjenu korisni su ugovor o obradi, aktuelni spisak pružalaca, opis usluge, zapisi uputa i sigurnosna dokumentacija podizvršitelja. Tako se vidi koji dokazi još trebaju prije odobrenja i kako se može organizovati tekuća kontrola.