RODO i hosting w chmurze: region UE nie wystarczy

Wybór regionu dostawcy usług w chmurze zwykle zmienia jedną konkretną rzecz: obszar geograficzny, w którym główna baza danych przechowuje swoje pliki. AWS RDS w eu-west-1, Cloud SQL w europe-west1lub odpowiednik w BaaS: to ustawienie określa centrum danych, w którym znajdują się tabele i indeksy podczas normalnego działania. Są to informacje prawdziwe i możliwe do sprawdzenia, jednak obejmują jedynie wycinek łańcucha przetwarzania danych osobowych.

Projekt Postgres generuje dane gdzie indziej niż w swoich głównych tabelach: dzienniki zapytań, metryki monitorowania, ślady debugowania, pamięci podręczne aplikacji, kopie zapasowe. Każdy z tych przepływów może kierować się polityką lokalizacyjną odrębną od podstawowej bazy danych, konfigurowaną osobno, czasem nawet domyślnie bez dedykowanego ekranu w konsoli. Ustawienie regionu nie obejmuje ich automatycznie.

Dobrą praktyką jest poproszenie dostawcy o dokładny diagram jego architektury danych, a nie tylko o nazwę regionu wyświetlaną na dashboardzie. Poważny dostawca dokumentuje tę architekturę. Dostawca, który odpowiada jedynie „przestrzegamy RODO”, bez sprawdzalnych szczegółów technicznych, pozostawia sygnał do zakwestionowania.

Nawet jeśli baza danych i kopie zapasowe znajdują się fizycznie w UE, dostawca podlega amerykańskiej ustawie CLOUD, gdy tylko obsługująca go firma uzyska legalną obecność w Stanach Zjednoczonych. Prawo dotyczy osoby prawnej, a nie centrum danych: obowiązek nakłada narodowość firmy, a nie lokalizacja dysku twardego.

Mechanizm ten jest szczegółowo opisany w naszej analizie , dlaczego ustawa CLOUD zmienia wybór Twojego BaaS oraz w naszym artykule poświęconym narodowości dostawcy. Ta sekcja ogranicza się do metody szybkiego sprawdzania.

Aby zweryfikować ten punkt bez wcześniejszej porady prawnej, poszukaj słów „administrator danych” lub „administrator danych” w polityce prywatności dostawcy oraz klauzuli obowiązującego prawa w jego ogólnych warunkach. Te dwie linijki są na ogół wystarczające do zidentyfikowania faktycznego podmiotu zamawiającego, niezależnie od marki wyświetlanej na stronie.

Zarządzana baza danych Postgres zazwyczaj replikuje swoje kopie zapasowe do pamięci obiektowej oddzielnie od maszyny podstawowej, ze względu na trwałość i plan odzyskiwania po awarii. Ta pamięć ma własną konfigurację sieci (punkt końcowy, zasobnik, czasami region), która nie jest automatycznie wyświetlana w selektorze konsoli głównej.

Sprawdzone w repozytorium wdrożeniowym Aurabase (values.hetzner.yaml): zmienna, która wskazuje kopie zapasowe CloudNativePG na obiekt pamięci masowej, brzmi fsn1.your-objectstorage.com, punkt końcowy Hetzner firmy Falkenstein, w tym samym niemieckim obwodzie co klaster podstawowy, a nie wiadro innej firmy zlokalizowane gdzie indziej. To jest dokładnie ten typ wiersza konfiguracji, o który należy zapytać dowolnego dostawcę przed podpisaniem: nie „czy Twoje kopie zapasowe są bezpieczne”, ale „na jaki adres URL punktu końcowego wskazują”.

Jeśli sprzedawca nie może odpowiedzieć na to konkretne pytanie lub zawiera jedynie łącze do ogólnej strony marketingowej, potraktuj odpowiedź jako niezweryfikowaną, a nie uspokajającą.

Backend prawie nigdy nie jest odizolowaną usługą. Opiera się na podwykonawcach: narzędziu obsługi klienta, usłudze transakcyjnej wysyłki e-maili, platformie analitycznej czy śledzącej błędy. Każde z tych narzędzi może przetwarzać, nawet krótko, dane przechodzące przez Twoją aplikację, mając własną lokalizację, niezależną od regionu wybranego dla bazy danych.

RODO wymaga, aby administrator danych znał ten ciąg (art. 28 i 30). Poważny dostawca publikuje listę własnych podprzetwarzających, wraz z ich rolą i lokalizacją. Brakująca lub nieaktualna lista jest sygnałem do zakwestionowania przed podpisaniem, a nie po narzuconym przez klienta audycie zgodności. Przykładowy dokument tego typu można znaleźć na stronie DPA Aurabase.

Jest to metoda weryfikacji faktów przytoczonych w tym przewodniku, mająca zastosowanie do każdego dostawcy usług w chmurze lub BaaS w czasie krótszym niż godzina, bez wcześniejszej porady prawnej.

Zebrane te sześć odpowiedzi zazwyczaj mieści się na jednej stronie. Zachowaj je: służą również jako dowód podczas audytu zgodności lub kontroli przeprowadzanej przez DPO.

Rejestr czynności przetwarzania (art. 30 RODO) wymaga udokumentowania dla każdego podwykonawcy jego lokalizacji oraz obowiązujących gwarancji transferu. Pole regionu zaznaczone bez szczegółów dotyczących kopii zapasowych, dzienników i kolejnych podwykonawców powoduje, że rejestr ten jest niekompletny, co jest zwykle zauważane podczas pierwszej wizyty audytora lub zewnętrznego inspektora ochrony danych.

W przypadku przetwarzania obarczonego wysokim ryzykiem, danych dotyczących zdrowia, danych biometrycznych i profilowania na dużą skalę obowiązkowa staje się analiza skutków dla ochrony danych (DPIA, art. 35). Bezpośrednią podstawę tej analizy stanowi sześć odpowiedzi z poprzedniej listy kontrolnej: odpowiadają one na główne pytanie, dokąd dane faktycznie trafiają i pod jakim nadzorem.

Aby zapoznać się z pełnymi ramami RODO oraz arbitrażem dotyczącym samodzielnego hostingu a suwerennym arbitrażem BaaS, zapoznaj się z naszym przewodnikiem zgodnym z RODO i suwerennym UE. Aby zapoznać się z dokumentacją zgodności Aurabase, zobacz RODO.