Технические аспекты ВВП в вопросах и ответах

Технические аспекты ВВП в вопросах и ответах - это предложение для всех тех, кто все еще волнует вопросы, связанные с регулированием GDPR. Мы надеемся, что этот набор вопросов и ответов поможет в еще лучшей реализации правил безопасности. от RODO в ваших компаниях и организациях.

Может ли брандмауэр, защищающий сеть от внешнего доступа, находиться на том же сервере, на котором обрабатываются данные - логически разделенным (виртуализация), или это должно быть отдельное устройство?
Нет конкретных указаний по применению безопасности. Если мы имеем дело, например, с одним сервером, все, что вам нужно, это хорошо настроенный брандмауэр. Если кто-то обрабатывает какие-либо сложные данные или они очень важны, стоит инвестировать в выделенные устройства, которые защищают всю сеть.

Как Google Analytics будет реализовывать GDPR? Речь идет об использовании сценариев GA на страницах с личными данными. Как собрать согласие на такую ​​деятельность?
Google беспокоится о данных, хранящихся в GA. Если личные данные или данные, которые могут идентифицировать людей, не отправляются и не связаны с GA, вам не нужно об этом беспокоиться, и вам не нужно подписывать отдельное соглашение с Google. Тем не менее, вы должны быть осторожны, потому что GA дает вам возможность персонализировать отчеты и отправлять информацию, среди которых можно найти личные данные.

Нужно ли вести учет операций обработки в интернет-магазине? Достаточно ли одного регистра?
Реестры, в принципе, должны вестись с исключениями, указанными в Регламенте. Это может быть даже простой файл Excel, в котором мы собираем необходимую информацию. Стоит вести реестр, потому что будет крайне сложно доказать, что он не обязан его вести.

Можно ли назначить более одного сотрудника по защите данных в компании?
Если существует обязанность назначить сотрудника по защите данных, это должен быть один человек, но он должен быть обеспечен условиями для надлежащего выполнения обязанностей. В большой организации это может просто означать дополнительную помощь.

Каков минимальный набор предлагаемых мер безопасности для сервера, содержащего личные данные?
Прежде всего, вам необходимо определить, где личная информация вообще. Мы рекомендуем, чтобы это была только база данных без возможности записи данных на диск. Если у нас уже есть данные, они должны быть надежно защищены в виде шифрования. Это правда RODO не обеспечивает непосредственное принудительное шифрование сохраненных данных (однако заставляет их шифроваться в процессе передачи), но это защитит нас от ситуации, когда у нас есть общий хостинг, мы предоставляем ресурсы, и не все диски очищаются или некоторые из них повреждены. Сервер, на котором расположены данные, должен быть максимально отрезан от Интернета. Мы общаемся с веб-сайтом / веб-сайтом только с помощью комбинации, зашифрованной SSH, SFTP и т. Д., Ограничивающей доступ к услугам для определенного пула адресов. Одним из самых простых способов защиты, который вы можете ввести, является двухфакторная аутентификация, которую вы можете использовать, например, Google Authenticator. Мы также делаем зашифрованные копии копий и отправляем их таким образом, и храним данные в совершенно другом месте, например, где-то в облаке AWS. Чтобы полностью знать, кто имел доступ к данным, мы рекомендуем регистрировать все соединения. В идеале логи должны быть на внешнем устройстве. Сегодня очень легко поставить на передний план серверные решения WAF (брандмауэр веб-приложений) - службу, которая анализирует трафик и позволяет обрезать попытки атак. Это такой минимальный набор безопасности. Мы также должны помнить, что рекомендуемый набор обеспечения всегда будет зависеть от конкретной оценки риска.

Как RODO в контексте текущих клиентов компании? Старые согласия на обработку данных все еще действительны или должны быть обновлены?
Все предыдущие согласия, на основании которых мы обрабатываем данные, должны быть обновлены в течение двух лет. RODO также позволяет обрабатывать данные на основе старых согласий, если они соответствуют условиям, определенным в новом регламенте. В большинстве случаев это может быть затруднено, потому что новый регламент расширил информационные обязательства, которые должны быть выполнены в процессе получения согласия.

Что необходимо изменить в содержании политики использования файлов cookie на веб-сайте?
На данный момент это не так, но мы все еще ждем конкретного толкования того, нужно ли вам иметь согласие, а не просто выполнять информационное обязательство.

Почему в контексте RODO / GDPR мне пришлось бы использовать Amazon Web Services (AWS) ?
Прежде всего, AWS как крупная компания незамедлительно предоставляет инструменты для удовлетворения требований RODO. У нас есть, например, возможность использовать решения для создания виртуальных сетей с соответствующими правами доступа. Мы можем генерировать ключи доступа, шифровать тома, не используя передовые решения в рамках инфраструктуры. Мы также получаем готовый инструмент для регистрации любых изменений и операций в инфраструктуре, WAF, анализатора безопасности и многого другого. Все это доступно сразу.

Я занимаюсь разработкой сайтов. Поскольку г-н Х отправит мне запрос, я добавлю его в качестве контакта и укажу в качестве возможности продажи. Каково мнение РОДО? Мне нужно разрешение потенциального клиента, чтобы добавить его в CRM? Конечно, данные только для личного пользования (обслуживание клиентов). Иногда клиент возвращается через несколько месяцев после запроса.
Когда мы сохраняем данные потенциального клиента в какой-либо базе данных для последующей обработки, вам необходимо получить соответствующее согласие и выполнить все требования RODO.

У меня есть сомнения относительно политики конфиденциальности на сайтах. Требуется ли предоставление процессора, являющегося хостинг-провайдером, в контексте ВВП?
Да. С каждым хостинг-провайдером и другой сторонней компанией по обработке данных вы должны подписать соответствующие соглашения и учесть их присутствие в политике конфиденциальности.

Как выглядит проблема персонализированных электронных писем в контексте RODO? Могу ли я отправлять пользователям электронной почты, например, их имена и фамилии (например, «Привет, Яцек» или «Привет, Яцек, Partyka!»)? Я спрашиваю об этом прежде всего в контексте шифрования данных.
В данном конкретном случае мы имеем дело с обработкой данных, поэтому мы не обязаны шифровать ее. Однако необходимо соблюдать требования RODO, то есть иметь соответствующие согласия и правовую основу. В противном случае ситуация будет выглядеть, когда мы хотели бы включить, например, базу клиентов или другую базу данных с личными данными. Тогда такая база данных должна быть должным образом защищена.

Наши базы данных расположены на сервере компании, которая предоставляет нам услуги хостинга (shared hosting). Наши клиенты платят нам за ведение (размещение) своего веб-сайта / магазина, и они имеют доступ к личным данным своих клиентов через панель CMS (например, по заказу / рассылке). Мы, как агентство, также имеем физический доступ к этим данным (поскольку они находятся на арендуемом сервере, поэтому мы можем войти в базу данных и просматривать данные в любое время), но мы не используем эти данные. Кто несет ответственность за эти личные данные? Мы как агентство? Наш клиент? Провайдер услуг хостинга? Кто и что должен позаботиться о соблюдении новых нормативных актов ВРПЧ?
Администратором данных в этом случае является клиент (владелец сайта или магазина). Он должен подписать письменный договор на обработку этих данных с хостинг-провайдером, который должен соответствовать всем требованиям безопасности GDPR. Агентство несет ответственность за личные данные в том объеме, в котором клиент доверил их ему на основании договора.

Должен ли клиент иметь доступ к счетам (PDF) на своем веб-сайте (в разделе для клиентов) после запроса забвения?
По нашему мнению - нет. Сохранение клиентской зоны и обмен данными там происходит обработка.

Если в службу поддержки поступает запрос о: «Удалить мою учетную запись», означает ли это удаление всех личных данных такого пользователя? Может ли это быть просто деактивация / удаление учетной записи, но с сохранением его личных данных?
Это будет зависеть от обстоятельств, и на такой вопрос невозможно дать однозначный ответ. Намерение клиента важно - если он намеревается удалить свою учетную запись вместе со всеми обработанными данными, то его запрос должен быть сделан.

Как интернет-магазину проверить, что человеку, совершившему покупку, исполнилось 16 лет? Достаточно ли утверждения в форме флажка? Может ли лицо в возрасте до 16 лет отказаться принять его заказ?
На наш взгляд, этого недостаточно. RODO требует, чтобы администратор, принимая во внимание доступную технологию, предпринял разумные шаги для проверки того, что согласие было выражено владельцем родительских прав. Недостаточно просто установить флажок или щелкнуть заявление, что легко может сделать ребенок, который хочет получить доступ к услуге. В случае, если человек не проходит процедуру проверки, ему или ей не следует предоставлять услуги.

А как насчет данных, например, сотрудников Office, опубликованных на страницах Бюллетеня общественной информации?
В соответствии с принципом ограничения времени, включенным в RODO, хранение информации в форме, позволяющей идентифицировать лиц, к которым они относятся, не должно длиться дольше, чем это необходимо для достижения цели обработки. Правила не регламентируют, как долго должны обрабатываться такие данные.

А как насчет данных, которые хостинговая компания не знает, вообще на своих серверах? Например, они продают пустой выделенный сервер клиенту. Клиент запускает любые службы на этом сервере, например, по почте, и все можно найти в электронных письмах, включая конфиденциальные данные ...
Хостинговая компания - это субъект, который обрабатывает данные в области, охватываемой договором. В этом случае будет необходим соответствующий уровень физической безопасности доступа к комнатам и серверам, процедуры стирания диска, обеспечение аварийного питания, охлаждения и видеонаблюдения. Он должен подписать контракт, чтобы доверить обработку, конечно, вышеупомянутому объему и только в этой степени он несет ответственность.

У меня есть клиент, который купил хостинг у меня, и я купил его в хостерах. Клиент поддерживает простую сеть на сервере без личных данных и почты, и поток электронной почты уже существует. Нужно ли иметь договор с клиентом и договор с хостерами на обработку данных?
В договоре между клиентом и опрашивающим должно быть регламентировано доверительное отношение к данным, а также предполагаемое предоставление данных с согласия администратора.

Обычно в формах присутствует информация в стиле «Я согласен на обработку персональных данных в соответствии с Законом о защите персональных данных». Должен ли я изменить его сейчас на содержание в соответствии с RODO?
Он должен быть адаптирован к GDPR. Такой пункт является слишком общим.

Требуется ли согласие пользователя на фильтр Paolo Alto (фильтр трафика для всей ссылки, безопасности и фильтрации), который можно использовать для профилирования пользователей?
По нашему мнению, это будет зависеть от того, будет ли инструмент использоваться для профилирования. Одного факта, что его можно использовать теоретически, недостаточно. Это не исключает других обязательств RODO, если при использовании инструмента личные данные собираются и обрабатываются без профилирования (например, может потребоваться выполнение информационных обязательств в отношении лиц, чьи данные были получены из других источников).

Можно ли соблюсти право забыть, если мы выставили счет-фактуру НДС клиенту? Можем ли мы выполнить этот закон только через 5 лет?
Право быть забытым касается конкретной области обработки и ее метода. Например, RODO позволяет хранить данные, необходимые из-за законного интереса администратора, необходимого для обработки процесса подачи жалоб или для подачи и применения претензий.

Совместимо ли использование веб-сайтов Google (почта, диск, листы и т. Д.) С RODO? Мы работаем с клиентской базой в Документах Google на учетной записи Google компании (домен также куплен у Google).
В рамках услуги GSuite можно заключить договор DPA. Затем Google гарантирует безопасность и местонахождение данных в ЕЭЗ.

Желая сохранить данные клиентов для будущих заказов, которые появляются даже каждые несколько лет, как обеспечить возможность хранения данных в течение длительного периода?
Де-факто до активного отзыва со стороны клиента. Чтобы иметь возможность обрабатывать личные данные, клиент (физическое лицо) должен дать согласие на обработку своих данных. При получении данных вы должны сообщить клиенту, что в целях обслуживания будущих заказов его данные будут обрабатываться даже после завершения текущего обслуживания и что у него есть соответствующие права.

Как RODO в контексте интернет-магазина, расположенного по всему миру?
Если клиентами являются или могут быть физические лица, расположенные в ЕС, то должны быть соблюдены требования RODO.

Смотрите также:

Интернет-хостинг для интернет-магазина
Перенос интернет-магазина в облако
Серверная инфраструктура без секретов. Выделенный сервер, VPS или облако?
Проведение рекламных кампаний электронной коммерции

Похожие