brak dokumentacji transferu danych poza EOG

Brak dokumentacji transferu danych poza EOG to luka zgodności uniemożliwiająca wykazanie podstawy prawnej przekazywania informacji poza obszar gospodarczy.

Brak dokumentacji transferu danych poza EOG – czym jest ten problem

Brak dokumentacji transferu danych poza Europejski Obszar Gospodarczy oznacza, że nie można w sposób uporządkowany wykazać, jakie informacje są przekazywane do państwa trzeciego, komu są udostępniane, w jakim celu odbywa się przekazanie oraz na jakiej podstawie prawnej jest ono dopuszczalne. Nie chodzi wyłącznie o brak jednego formularza. Zwykle jest to szersza luka w dokumentacji ochrony danych, obejmująca brak mapy przepływu informacji, nieustalone role podmiotów uczestniczących w operacji, niewskazanie lokalizacji przetwarzania oraz brak dowodów potwierdzających zastosowanie odpowiednich zabezpieczeń.

Za transfer poza EOG może zostać uznane między innymi przekazanie danych do odbiorcy znajdującego się poza tym obszarem, udostępnienie ich dostawcy usługi mającemu dostęp z państwa trzeciego albo umożliwienie zdalnego dostępu do danych osobowych z takiej lokalizacji. Znaczenie ma rzeczywisty kierunek i sposób przetwarzania informacji, a nie tylko adres siedziby podmiotu, z którym zawarto umowę. W dokumentacji powinno się więc uwzględnić także dalszych przetwarzających, lokalizacje kopii, centra danych, narzędzia pomocnicze oraz ewentualne podmioty, którym informacje mogą zostać przekazane w ramach obsługi technicznej.

Uzupełnienie dokumentacji powinno pozwalać odtworzyć cały proces: kategorię danych, osoby, których dane dotyczą, cel operacji, odbiorcę, państwo docelowe, podstawę transferu, zastosowane zabezpieczenia i zasady usunięcia lub zwrotu informacji. Przydatne są również daty przeglądów, osoby odpowiedzialne za ocenę oraz wskazanie dokumentów źródłowych, takich jak umowy, regulaminy usług, oceny ryzyka lub oświadczenia dostawców.

Znaczenie prawne i techniczne w porównaniu z typową dokumentacją przetwarzania

Zwykły opis procesu przetwarzania danych może wskazywać cel, zakres informacji i podstawę prawną, ale nie zawsze odpowiada na pytanie, czy dane opuszczają EOG oraz czy warunki takiego przekazania zostały sprawdzone. Dokumentacja transferu powinna tworzyć dodatkową warstwę kontroli. Powinno się w niej rozróżnić przetwarzanie prowadzone wyłącznie na terenie EOG od sytuacji, w której dane są przechowywane, przeglądane, kopiowane lub wspierane z państwa trzeciego.

Podstawą przekazania może być decyzja stwierdzająca odpowiedni stopień ochrony, odpowiedni instrument umowny albo inny mechanizm dopuszczony przez przepisy. Samo powołanie się na umowę z usługodawcą nie przesądza jeszcze o zgodności. Konieczne może być określenie dodatkowych środków ochrony, sprawdzenie prawa obowiązującego w państwie odbiorcy oraz ocena, czy ryzyko dostępu do danych przez organy publiczne zostało należycie rozpoznane. W zależności od przypadku analizie podlegają między innymi szyfrowanie, zarządzanie kluczami, ograniczenie uprawnień, pseudonimizacja, rejestrowanie dostępu i procedura reagowania na żądania ujawnienia informacji.

Istotna jest także różnica między transferem danych a samym korzystaniem z narzędzia informatycznego. Narzędzie może być oferowane przez podmiot działający w EOG, lecz jego infrastruktura, wsparcie lub podwykonawcy mogą znajdować się poza tym obszarem. Z tego powodu potrzebne jest ustalenie faktycznego łańcucha przetwarzania, a nie tylko analiza nazwy usługi. W razie zmiany dostawcy, lokalizacji danych, warunków umowy lub funkcji produktu dokumentacja powinna zostać ponownie zweryfikowana.

Typowe braki, błędy i sygnały ostrzegawcze

Częstym błędem jest przyjęcie, że brak informacji o transferze oznacza brak transferu. Takie założenie może wynikać z niepełnej ankiety dostawcy, nieaktualnej polityki prywatności albo nieuwzględnienia zdalnego wsparcia. Ryzyko rośnie również wtedy, gdy nie ma rejestru podmiotów przetwarzających, nie zachowano poprzednich wersji umów lub nie wiadomo, gdzie wykonywane są kopie zapasowe. W dokumentach może wtedy brakować spójności między opisem procesu, umową powierzenia, informacją dla osób oraz faktyczną konfiguracją usługi.

Problematyczne bywa także ogólne wskazanie regionu, bez podania konkretnego państwa lub kategorii odbiorcy. Nie powinno się pomijać dalszych podmiotów tylko dlatego, że dostęp do nich odbywa się za pośrednictwem głównego usługodawcy. Kolejnym uchybieniem jest brak dowodu przeprowadzenia oceny ryzyka albo brak uzasadnienia, dlaczego zastosowane zabezpieczenia uznano za wystarczające. Sama deklaracja poufności dostawcy nie zastępuje analizy prawnej i technicznej.

Warto zwrócić uwagę na rozbieżności między dokumentacją a ustawieniami urządzeń i usług. Niewłaściwie skonfigurowana synchronizacja, automatyczne tworzenie kopii, niezabezpieczony dostęp zdalny, współdzielone konto lub brak kontroli uprawnień mogą powodować przekazywanie danych poza przyjętym zakresem. Błędy obejmują również brak właściciela procesu, nieustalony harmonogram przeglądów, przechowywanie nieaktualnych danych oraz brak procedury na wypadek zmiany miejsca przetwarzania przez dostawcę.

Skutkiem może być niemożność wykazania zgodności podczas kontroli, niepełna realizacja obowiązku informacyjnego, zwiększone ryzyko nieuprawnionego dostępu oraz konieczność pilnego uzupełnienia umów i rejestrów. Jeżeli nie da się odtworzyć przebiegu transferu na podstawie zachowanych dowodów, należy traktować to jako sygnał wymagający uporządkowania procesu, a nie wyłącznie jako problem redakcyjny.

Kiedy warto zgłosić się do serwisu komputerowego - brak dokumentacji transferu danych poza EOG

Do serwisu warto zgłosić się wtedy, gdy brak dokumentacji może wynikać z problemów ze sprzętem lub konfiguracją używanych urządzeń, na przykład z nieustalonego działania kopii zapasowych, synchronizacji, zdalnego dostępu albo nośników wykorzystywanych do przenoszenia danych. W pierwszej kolejności powinno się zabezpieczyć istniejące informacje, ustalić zakres urządzeń i usług oraz zachować dostępne logi, umowy i ustawienia. Sama naprawa techniczna nie zastępuje oceny prawnej, ale może pomóc odtworzyć faktyczny sposób przepływu informacji potrzebny do rzetelnego uzupełnienia dokumentacji.

W Warszawie takie czynności można skonsultować z serwisem działającym pod nazwą Serwis laptopów i komputerów PC – Warszawa, gdzie przed dalszymi pracami wykonywana jest darmowa diagnoza laptopa. Przydatne może być sprawdzenie, czy urządzenie przechowuje lokalne kopie danych, łączy się z usługami spoza EOG, ma aktywne konta zdalne lub wykonuje automatyczną synchronizację. Po zebraniu ustaleń powinno się sporządzić aktualny opis przepływu, zweryfikować podstawę transferu, uzupełnić ocenę zabezpieczeń i ustalić termin kolejnego przeglądu.