TIA (Transfer Impact Assessment)

TIA to ocena ryzyka transferu danych poza EOG, wymagana przy korzystaniu ze standardowych klauzul umownych.

Czym jest TIA i kiedy pojawia się przy transferze danych

TIA, czyli Transfer Impact Assessment, to udokumentowana ocena skutków i ryzyka przekazywania danych osobowych z Europejskiego Obszaru Gospodarczego do państwa trzeciego albo do organizacji międzynarodowej. W praktyce dotyczy między innymi korzystania z chmury, usług pocztowych, systemów analitycznych, platform obsługi klienta, narzędzi zdalnego wsparcia oraz dostawców oprogramowania, których infrastruktura lub podwykonawcy znajdują się poza EOG. TIA nie jest samą umową ani certyfikatem. Jest analizą tego, czy zastosowany mechanizm transferu zapewnia ochronę danych zasadniczo równoważną ochronie wymaganej w Unii Europejskiej.

Obowiązek przeprowadzenia takiej analizy wynika z podejścia przyjętego po wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie Schrems II, sygnatura C-311/18. Samo podpisanie standardowych klauzul umownych nie wystarcza, jeżeli prawo państwa odbiorcy pozwala organom publicznym na dostęp do danych w sposób wykraczający poza to, co konieczne i proporcjonalne. TIA służy więc sprawdzeniu nie tylko treści kontraktu, lecz także rzeczywistego przepływu danych, rodzaju informacji, możliwości dostępu administracyjnego oraz zabezpieczeń technicznych.

Jak odtworzyć rzeczywisty przepływ poza EOG

Prawidłowa ocena zaczyna się od ustalenia, jakie dane są przekazywane, skąd pochodzą, dokąd trafiają i kto może je odczytać. Należy wskazać administratora, procesora, dalszych podprocesorów, lokalizacje centrów danych, lokalizacje kopii zapasowych oraz państwa, z których prowadzona jest administracja systemem. Sam zapis w umowie, że dane są przechowywane w Unii Europejskiej, nie rozstrzyga jeszcze sprawy. Dostęp zdalny z państwa trzeciego, wsparcie techniczne, logowanie diagnostyczne lub przekazywanie kluczy szyfrujących mogą również mieć znaczenie dla oceny transferu.

W dokumentacji warto rozdzielić dane identyfikacyjne, treść dokumentów, dane uwierzytelniające, metadane, logi systemowe i informacje szczególnych kategorii. Znaczenie ma także skala i częstotliwość operacji, czas przechowywania oraz możliwość powiązania danych z konkretną osobą. Następnie analizuje się podstawę prawną transferu. Najczęściej stosowanym rozwiązaniem są standardowe klauzule umowne przyjęte decyzją wykonawczą Komisji Europejskiej 2021/914, ale mogą występować również decyzje stwierdzające odpowiedni stopień ochrony albo inne przesłanki wskazane w przepisach. TIA powinna jednoznacznie wskazywać, który moduł klauzul i który scenariusz przekazania ma zastosowanie.

Ocena prawa państwa odbiorcy i zabezpieczeń technicznych

Centralną częścią TIA jest analiza prawa oraz praktyki organów publicznych w państwie docelowym. Sprawdza się między innymi, czy przepisy dotyczące bezpieczeństwa narodowego, wywiadu, dostępu do danych elektronicznych lub obowiązków usługodawców mogą umożliwić żądanie informacji od dostawcy. Trzeba również ustalić, czy odbiorca może skutecznie zakwestionować takie żądanie, czy istnieje niezależny organ nadzorczy oraz czy osoba, której dane dotyczą, ma dostęp do skutecznych środków ochrony prawnej. Ocena nie powinna opierać się wyłącznie na ogólnym założeniu, że dane państwo jest albo nie jest bezpieczne.

Jeżeli ryzyko pozostaje istotne, analizuje się środki uzupełniające. Przykładem jest szyfrowanie danych przed przekazaniem, przy czym klucze muszą pozostawać pod kontrolą podmiotu znajdującego się poza zasięgiem niepożądanych żądań, a dostawca nie może mieć możliwości odszyfrowania treści. Innym środkiem może być pseudonimizacja, jeśli dodatkowe informacje potrzebne do identyfikacji są przechowywane oddzielnie i nie są dostępne odbiorcy. TLS chroni transmisję przed przechwyceniem podczas przesyłania, ale sam nie rozwiązuje problemu dostępu do danych w systemie usługodawcy. Dlatego w TIA trzeba opisać, przed jakim zagrożeniem chroni każde zabezpieczenie i jakie ograniczenia nadal pozostają.

Europejska Rada Ochrony Danych opisała podejście etapowe w zaleceniach 01/2020 dotyczących środków uzupełniających. W praktyce obejmuje ono poznanie transferów, wybór narzędzia transferowego, ocenę prawa i praktyki państwa, zastosowanie zabezpieczeń, wdrożenie formalnych procedur oraz okresową weryfikację. Wynik powinien być konkretny: transfer może zostać utrzymany, może wymagać dodatkowych warunków albo powinien zostać zawieszony. Nie wystarczy ogólne stwierdzenie, że dostawca stosuje szyfrowanie lub posiada certyfikat bezpieczeństwa.

Dokumentowanie, monitorowanie i skutki dla infrastruktury komputerowej

TIA powinna zawierać datę oceny, zakres systemów, opis danych, mapę odbiorców, zastosowany mechanizm transferu, źródła informacji o prawie państwa docelowego, zidentyfikowane zagrożenia, wdrożone zabezpieczenia oraz końcowy wniosek wraz z uzasadnieniem. Do dokumentacji można dołączyć umowy, wykazy podprocesorów, konfigurację szyfrowania, politykę zarządzania kluczami, wyniki przeglądu uprawnień i informacje o żądaniach organów publicznych. Jeśli dostawca zmieni lokalizację danych, podprocesora, model usługi albo sposób świadczenia wsparcia, ocena może wymagać aktualizacji.

W środowisku laptopów i komputerów PC TIA może dotyczyć na przykład programu synchronizującego firmowe pliki, usługi kopii zapasowych, narzędzia do zdalnej pomocy lub aplikacji, która wysyła logi do producenta. Diagnostyka techniczna powinna wtedy obejmować ustawienia regionu, adresy endpointów, certyfikaty, reguły zapory, zakres telemetrii i sposób przechowywania kluczy. Zablokowanie pojedynczego adresu IP nie jest pełną kontrolą, ponieważ dostawca może używać wielu domen, sieci dostarczania treści i zmiennych punktów końcowych. Bezpieczniejsza ocena opiera się na znanym przepływie danych, ograniczeniu uprawnień, minimalizacji informacji oraz regularnym przeglądzie konfiguracji.

Serwisowanie sprzętu nie zastępuje oceny prawnej transferu ani decyzji administratora danych. Może jednak pomóc ustalić, czy na komputerze działa synchronizacja z usługą poza EOG, gdzie znajdują się lokalne kopie, jakie procesy uruchamiają połączenia i czy nośnik jest zaszyfrowany. Takie ustalenia techniczne powinny zostać przekazane osobie odpowiedzialnej za zgodność i bezpieczeństwo, aby końcowa decyzja wynikała z pełnego obrazu systemu, a nie tylko z deklaracji producenta.