Zadanie nie jest takie proste. Dostawca może występować w roli przetwarzającego (procesora), a niekiedy być wręcz administratorem danych co istotnie wpływa na ryzyko. Załączam materiał z prezentacji. Więcej informacji oraz filmik z warsztatów można znaleźć tutaj: https://www.cyberlaw.pl/bezpieczenstwo-teleinformatyczne/wybrac-dostawce-chmurowego/

1. Jak wdrożyć bezpiecznie chmurę?
Aspekty prawne.
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

2. T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl
Wybrałeś chmurę? Co znalazło się w umowie?

3. Nie bądź potem zdziwiony konsekwencjami
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

4. Nie bądź potem zdziwiony konsekwencjami
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

5. Wybór usługodawcy (analiza GRC)
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

6. Jak zapewnić zgodność prawną?
Regulacje Rekomendacje Decyzje
Wybrane: ustawa o ochronie Opinia Grupy Roboczej gmina Odense (2010r.)
danych osobowych art. 29 5/2012 , 2/2015
RODO/GDPR Memorandum Sopockie
ustawa P. bankowe Rekomendacja D
uchwała 379/2008
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

7. Ustawa o ochronie danych osobowych (t.j. Dz. U. z 2016 r. poz. 922.)
Art. 7 pkt. 2b -> zabezpieczanie danych osobowych to wdrożenie
i eksploatacja stosownych środków technicznych i organizacyjnych
zapewniających ochronę danych przed ich nieuprawnionym
przetwarzaniem
Art. 7 pkt. 4 ->
ADO decyduje o celach i środkach przetwarzania danych osobowych
Art. 26 ust.1 ->
ADO powinien dołożyć szczególnej staranności w celu ochrony interesów
osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby
dane te były:
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

8. Ustawa o ochronie danych osobowych (t.j. Dz. U. z 2016 r. poz. 922.)
Art. 26 ust.1 ->
1) przetwarzane zgodnie z prawem,
2) zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane
dalszemu przetwarzaniu niezgodnemu z tymi celami (wyjątek art. 26 ust.2)
3) merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są
przetwarzane,
4) przechowywane w postaci umożliwiającej identyfikację osób, których
dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania.
Art. 36-39a ->
Obowiązki zabezpieczania danych przez ADO
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

9. Ustawa o ochronie danych osobowych (t.j. Dz. U. z 2016 r. poz. 922.)
Art. 31 ->
ADO może powierzyć przetwarzanie danych wyłącznie w drodze pisemnej
umowy powierzenia, która określa:
- zakres i cel przetwarzania danych
- spełnienie przez przetwarzającego środków zabezpieczających zbiór danych,
o których mowa w art. 36-39, oraz spełnienie wymagań określonych w prze-
pisach, o których mowa w art. 39a. (w zakresie przestrzegania tych przepisów
przetwarzający ponosi odpowiedzialność jak ADO).
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

11. Opinia Grupy Roboczej art. 29 w sprawie przetwarzania
danych w chmurze obliczeniowej 5/2012
* dotyczy przedsiębiorstw i organów administracji publicznej
Umowa powierzenia powinna zawierać:
1. Szczegółowe informacje na temat (zakresu i rodzajów) instrukcji klienta
dla dostawcy w ramach świadczenia usługi
2. infromacje na temat gwarantowanego poziomu usług (SLA)
3. sankcje finansowe lub inne w przypadku braku zapewnienia zgodności przez
przetwarzającego
4. określenie środków bezpieczeństwa wdrożonych przez przetwarzającego
(co najmniej takich jak ma wdrożone ADO)
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

12. Opinia Grupy Roboczej art. 29 w sprawie przetwarzania
danych w chmurze obliczeniowej 5/2012
5. ramy czasowe umowy o świadczenei usługi
6. rodzaje przetwarzanych danych, zakres, cel i sposób przetwarzania
7. określenie warunków wyjścia/migracji/usunięcia danych (na wniosek)
8. określenie klauzuli poufności (osoby upoważnione mogą mieć dostęp)
9. obowiązek współpracy przetwarzającego w zakresie zapewnienia realizacji
praw osób, których dane dotyczą (np. prawo dostępu do treści swoich danych)
10. brak możliwości przekazywania danych osobom trzecim, nawet w celach
zatrzymania.
11. zgodę /sprzeciw dla podpowierzenia
12. wykaz podmiotów, którym przetwarzający zamierza podpowierzać
przetwarzanie danych osobowych + zobowiązanie do takich samych zapisów
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

13. Opinia Grupy Roboczej art. 29 w sprawie przetwarzania
danych w chmurze obliczeniowej 5/2012
13. obowiązek informowania ADO o każdym naruszeniu przetwarzania
danych (kontroli przetwarzania przez organ typu GIODO)
14. wskazanie listy lokalizacji, w których dane mogą być przetwarzane
15. prawo do monitorowania/kontrolowania przetwarzającego przez ADO
16. zobowiązanie przetwarzajacego, że w przypadku wdrożenia dodatkowych
funkcji czy innych istotnych zmian w umowie musi poinformować on o tym
ADO przed ich wdrożeniem (a ADO może od umowy odstąpić)
17. prawo do rejestru i kontroli istotnych operacji przetwarzania danych
18. zobowiązanie przetwarzającego do informowania o każdym wniosku udo-
stępniania danych o ile nie jest to prawnie zabronione (patrz: prawo właściwe!)
19. oświadczenie, że wewnętrzne procedury i organizacja pracy przetwarzają-
cego jest zgodna z prawem właściwym dla ADO (+wyniki audytów)
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

14. Opinia Grupy Roboczej art. 29 w sprawie przetwarzania
danych w chmurze obliczeniowej 5/2012
20. zobowiązanie do zachowania integralności, poufności, rozliczalności,
przejrzystości przetwarzania danych
21. zobowiązanie, że dane zostaną odizolowane (chmura prywatna, różne
poziomy dostępów do danych, odpowiednie zarządzanie współdzielonymi
zasobami)
22. szczegółowe adnotacje na temat transferu poza EOG, a w przypadku
informacji o certyfikacji (np. safe harbour) ADO powinien załączyć dowód +
określić szczegółowe postanowienia związane z bezpieczeństwem
23. zobowiązanie, że dane nie będą przekazywane do państw trzecich bez
zapewniania dodatkowych gwarancji (jak wyżej)
24. w przypadku transgranicznego przekazywania danych wyjściowe są SCC
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

15. Opinia Grupy Roboczej art. 29 w sprawie przetwarzania
danych w chmurze obliczeniowej 5/2012
25. zobowiązanie do ponoszenia odpowiedzialności/współodpowiedizalności
przetwarzającego
26. w przypadku braku oparcia się na SCC wdrożenie lub/i BCR
! Umowa powinna zostać zawarta w formie pisemnej albo innej równoważnej
! ADO może załączyć do umowy kopię certyfikatu strony trzeciej w zakresie
przeprowadzonego audytu
! Ważne kwestie: prawo właściwe, odpłatność, język umowy, zmiany umowy
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

16. Opinia Grupy Roboczej art. 29 w sprawie kodeksu postępowa-
nia dotyczącego przetwarzania danych w chmurze opracowane-
go przez grupę roboczą C-SIG , 2/2015
* są to wytyczne dla dostawców usług w chmurze
1. rozliczalność/odpowiedzialność
2. ewentualna certyfikacja zgodnie z RODO/GDPR i przynależność do BCR
3. rola dostawcy usługi: współadministrator / ado / procesor i zobowiązania
4. przejrzystość dotycząca lokalizacji przetwarzania danych
5. zastosowanie europejskiej definicji danych osobowych
6. wymogi dotyczące międzynarodowego przekazywania danych oraz wnio-
sków o dostęp do danych na potrzeby egzekwowania prawa
7. środki bezpieczeństwa oraz poziom szczegółowości tych środków
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

17. Opinia Grupy Roboczej art. 29 w sprawie kodeksu postępowa-
nia dotyczącego przetwarzania danych w chmurze opracowane-
go przez grupę roboczą C-SIG , 2/2015
8. prawo do prowadzenia audytów IT
9. odniesienie do możliwości przenoszenia danych jako kluczowego prawa
użytkowników (prawo do przenoszenia danych zgodnie z RODO/GDPR)
10. usługi w chmurze powinny być dedykowane przetwarzaniu danych
szczególnie chronionych
11. rozpatrywanie skarg/wniosków podmiotów danych oraz potrzeba prowa-
dzenia w tym celu przez dostawcę usługi w chmurze współpracy z klientami
12. oparcie bezpieczeństwa przetwarzania na zarządzaniu ryzykiem
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

18. Memorandum Sopockie
dot. wszystkich podmiotów
Przed podpisaniem umowy należy sprawdzić:
1. Czy powierzenie przetwarzania może prowadzić do obniżenia standardów?
2. Czy została przeprowadzana analiza ryzyka (w tym PIA)?
3. Czy klauzule umowne są negocjowalne? Czy odpowiadają naszej zgodności?
4. Jakie procedury w celu ochrony danych wdrożył przetwarzający?
5. Czy jest certyfikowany?
6. Czy są prowadzone i udostępniane dzienniki lokalizacji danych?
7. Czy jest prowadzony i udostępniany automatycznie rejestrowany dziennik
kontroli kopiowania i usuwania?
8. Czy są sporządzane kopie zapasowe powyższych dokumentów?
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

19. Memorandum Sopockie
9. Jakiego rodzaju środki techniczne są wdrożone w celu zabezpieczenia da-
nych i nie przekazywania ich do jurysdykcji państw trzecich?
10. Czy dane są usuwane w skuteczny sposób, np. poprzez natychmiastowe
nadpisanie losowych danych?
11. Czy dane w spoczynku i transporcie są szyfrowane?
12. Czy jest prowadzona i udostępniana automatyczna rejestracja danych
każdego przetworzenia danych?
Umowa powierzenia powinna zawierać:
1. informacje na temat wszystkich fizycznych lokalizacji przetwarzania danych
2. zobowiązanie do nieprzekazywania danych poza tę lokalizację (np. EOG)
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

20. Memorandum Sopockie
Umowa powierzenia powinna zawierać:
3. zobowiązanie do przetwarzania danych zgodnie z instrukcjami ADO
4. uprawnienie do rozwiązania umowy, migracji danych w przypadku
jednostronnej zmiany umowy przez przetwarzającego
5. zobowiązanie do przetwarzania zgodnie z celami wskazanymi przez ADO
6. uprawnienie prawa wglądu/sprawdzenia lokalizacji przetwarzania (!)
7. uprawnienie do przeprowadzania audytów przez zaufane podmioty
8. zapisy aby uniknąć uzależnienia od dostawcy usług w chmurze (lock-in)
9. zapisy dotyczące współdziałania/procedur działania pomiędzy stronami
(ADO musi mieć możliwość prawidłowo realizować swoje obowiązki prawne)
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

21. Decyzja duńskiego rzecznika ochrony danych (sprawa Odense)
Przetwarzanie danych w szkolnictwie Google Aps
­Nie jest wskazane! dane wrażliwe
dane objęte tajemnicami
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

22. Ustawa Prawo bankowe (t.j. Dz. U. z 2017 r. , poz. 791.)
Art. 6a -> powierzenie wykonywania czynności w imieniu banku
(przetwarzający ma siedzibę w UE)
1. Forma pisemna umowy
2. W przypadku „innych czynności powierzanych do wykonania” zgoda KNF
3. Możliwość podpowierzenia w przypadku wyraźnego zezwolenia w umowie
Art. 6b -> określenie odpowiedzialności
Art. 6c ust.1 -> analiza ryzyka i ocena zgodności
(przetwarzający musi zapewniać co najmniej takie same standardy jak bank)
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

23. Ustawa Prawo bankowe (t.j. Dz. U. z 2017 r. , poz. 791.)
Art. 6c ust.2 -> powiadomienie KNF w przypadku planowanego transferu
poza EOG (14 dni przed podpisaniem umowy powierzenia)
Art. 6c ust.3 -> ewidencja umów (dane identyfikujące, zakres powierzonych
czynności i miejsce ich wykonywania, okres obowiązywania umów)
Art. 6c ust.5 -> KNF może nakazać rozwiązać umowę
Art. 6d -> powierzenie wykonywania czynności w imieniu banku
(przetwarzający nie ma siedziby w UE) wymagana zgoda KNF
T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

24. T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl

25. T: (+48) 500-435-372 Warszawa, 13 czerwca 2017r.
E: beata.marek@cyberlaw.pl
Rekomendacja D dotycząca zarządzania obszarami technologii
informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach
/zalecenia weszły w życie od 31 grudnia 2014 r./

26. Dziękuję za uwagę
T: (+48) 500-435-372
E: beata.marek@cyberlaw.pl
Warszawa, 13 czerwca 2017r.
Źródła grafik:
1) Startrek: źródło na dole zdjęcia
2) Strartrek i Lord Vader: http://www.sheldonsfans.com/img_articles/original/672.jpg
3) Frank: https://copperblog.s3.amazonaws.com/wp-content/uploads/2013/12/funny-dog-mugshot.png
4) Enterprise: https://c1.staticflickr.com/1/90/231478071_24bf502c2e.jpg