GDPR والاستضافة السحابية: منطقة أوروبية وحدها لا تكفي

عادةً ما يقوم محدد المنطقة الخاص بموفر السحابة بتغيير شيء واحد محدد: المنطقة الجغرافية حيث تقوم قاعدة البيانات الأساسية بتخزين ملفاتها. AWS RDS في eu-west-1أو Cloud SQL في europe-west1أو ما يعادله في BaaS: يحدد هذا الإعداد مركز البيانات الذي يستضيف الجداول والفهارس في التشغيل العادي. هذه معلومات حقيقية ويمكن التحقق منها، ولكنها لا تغطي سوى جزء صغير من سلسلة معالجة البيانات الشخصية.

ينتج مشروع Postgres بيانات في مكان آخر غير جداوله الرئيسية: سجلات الاستعلام، ومقاييس المراقبة، وتتبعات التصحيح، وذاكرة التخزين المؤقت للتطبيق، والنسخ الاحتياطية. يمكن أن تتبع كل من هذه التدفقات سياسة موقع مختلفة عن قاعدة البيانات الأساسية، ويتم تكوينها بشكل منفصل، وأحيانًا بشكل افتراضي بدون شاشة مخصصة في وحدة التحكم. لا يغطيها إعداد المنطقة تلقائيًا.

من الممارسات الجيدة أن تطلب من الموفر رسمًا تخطيطيًا دقيقًا لبنية البيانات الخاصة به، وليس فقط اسم المنطقة المعروض في لوحة المعلومات. يقوم المورد الجاد بتوثيق هذه البنية. المورد الذي يجيب فقط "نحن متوافقون مع اللائحة العامة لحماية البيانات"، دون تفاصيل فنية يمكن التحقق منها، يترك إشارة موضع تساؤل.

حتى مع وجود قاعدة بيانات ونسخ احتياطية فعليًا في الاتحاد الأوروبي، يظل مقدم الخدمة خاضعًا لقانون CLOUD الأمريكي بمجرد أن يكون للشركة التي تديره وجود قانوني في الولايات المتحدة. يستهدف القانون الكيان القانوني، وليس مركز البيانات: فجنسية الشركة هي التي تؤدي إلى الالتزام، وليس موقع القرص الصلب.

تم تفصيل هذه الآلية في تحليلنا لماذا يغير قانون CLOUD اختيار BaaS وفي مقالتنا المخصصة لـ جنسية المزود. يقتصر هذا القسم على طريقة الفحص السريع.

للتحقق من هذه النقطة دون مشورة قانونية مسبقة، ابحث عن عبارة “مراقب البيانات” أو “مراقب البيانات” في سياسة الخصوصية الخاصة بالمزود، وبند القانون المعمول به في شروطه العامة. يعتبر هذان الخطان كافيين بشكل عام لتحديد جهة التعاقد الفعلية، بغض النظر عن اسم العلامة التجارية المعروض على الموقع.

تقوم قاعدة بيانات Postgres المُدارة عمومًا بنسخ النسخ الاحتياطية الخاصة بها إلى وحدة تخزين الكائنات بشكل منفصل عن الجهاز الأساسي، وذلك لأسباب تتعلق بالمتانة وخطة التعافي من الكوارث. يتبع هذا التخزين تكوين الشبكة الخاص به (نقطة النهاية، الحاوية، وأحيانًا المنطقة)، وهو ما لا يتم عرضه تلقائيًا في محدد وحدة التحكم الرئيسية.

تم التحقق منه في مستودع نشر Aurabase (values.hetzner.yaml): المتغير الذي يشير إلى نسخ CloudNativePG الاحتياطية إلى كائن التخزين يقرأ fsn1.your-objectstorage.com، نقطة نهاية Hetzner لـ Falkenstein، في نفس المحيط الألماني مثل المجموعة الأساسية، وليس مجموعة خارجية موجودة في مكان آخر. هذا هو بالضبط نوع سطر التكوين الذي يجب سؤاله لأي بائع قبل التوقيع: ليس "هل النسخ الاحتياطية الخاصة بك آمنة"، ولكن "ما عنوان URL لنقطة النهاية التي يشيرون إليها".

إذا لم يتمكن البائع من الإجابة على هذا السؤال المحدد، أو قام فقط بالارتباط بصفحة تسويق عامة، فتعامل مع الإجابة على أنها لم يتم التحقق منها بدلاً من أن تكون مطمئنة.

لا تعد الواجهة الخلفية أبدًا خدمة معزولة. وهي تعتمد على مقاولين من الباطن: أداة لدعم العملاء، أو خدمة إرسال البريد الإلكتروني للمعاملات، أو منصة تحليلية أو تتبع الأخطاء. يمكن لكل من هذه الأدوات معالجة، ولو لفترة وجيزة، البيانات التي تمر عبر التطبيق الخاص بك، بموقعها الخاص، بغض النظر عن المنطقة المختارة لقاعدة البيانات.

يتطلب القانون العام لحماية البيانات أن يعرف مراقب البيانات هذه السلسلة (المادة 28 و30). يقوم المورد الجاد بنشر قائمة المعالجات الفرعية الخاصة به، مع دورها وموقعها. تعتبر القائمة المفقودة أو القديمة بمثابة إشارة للتساؤل قبل التوقيع، وليس بعد تدقيق الامتثال الذي يفرضه العميل. راجع صفحة DPA Aurabase للحصول على مثال لهذا النوع من المستندات.

هذه هي الطريقة المستخدمة للتحقق من الحقائق المذكورة في هذا الدليل، والتي تنطبق على أي مزود سحابي أو BaaS في أقل من ساعة، دون مشورة قانونية مسبقة.

هذه الإجابات الستة تتناسب بشكل عام مع صفحة واحدة عند جمعها. احتفظ بها: فهي أيضًا بمثابة دليل أثناء تدقيق الامتثال أو المراجعة بواسطة DPO.

يتطلب سجل أنشطة المعالجة (المادة 30 من اللائحة العامة لحماية البيانات) توثيق موقع كل مقاول من الباطن وضمانات النقل المعمول بها. يؤدي تحديد مربع المنطقة دون تفاصيل النسخ الاحتياطية والسجلات والمقاولين من الباطن اللاحقين إلى ترك هذا السجل غير مكتمل، وهي نقطة يتم ملاحظتها بشكل عام من خلال الزيارة الأولى التي يقوم بها مدقق حسابات أو مسؤول حماية بيانات خارجي.

بالنسبة للمعالجة عالية المخاطر، والبيانات الصحية، والقياسات الحيوية، والتنميط على نطاق واسع، يصبح تحليل تأثير حماية البيانات (DPIA، المادة 35) إلزاميًا. توفر الإجابات الستة من القائمة المرجعية السابقة أساسًا مباشرًا لهذا التحليل: فهي تجيب على السؤال المركزي، أين تذهب البيانات فعليًا، وتحت أي سلطة.

للحصول على إطار العمل الكامل للقانون العام لحماية البيانات (GDPR) والتحكيم الذاتي مقابل التحكيم BaaS السيادي، راجع دليل المتوافق مع القانون العام لحماية البيانات (GDPR) ودليل الاتحاد الأوروبي. للحصول على وثائق الامتثال لـ Aurabase، راجع القانون العام لحماية البيانات.