Aloita todellisista kokonaisuuksista
Tunnista sopimuskumppani, infrastruktuurin operaattori ja asiaankuuluvat alikäsittelijät. Yrityksellä voi olla eri kotipaikka kuin palvelimen fyysinen sijainti. Myös oma sijaintisi ja tietojesi henkilöt voivat olla merkityksellisiä.
Ymmärrä alueellinen kehys
Ruotsi ja Suomi kuuluvat EU:hun; Norja ja Islanti osallistuvat ETA:an. Erityisvelvoitteet riippuvat silti palvelusta, toiminnasta ja osapuolista. Käytä pätevää neuvontaa konkreettiseen oikeudelliseen tai sääntelyvaatimukseen.
Tarkastele datakarttaa
Kirjaa ensisijaisen palvelimen, varmuuskopioiden, lokien ja tukipalvelun pääsyn sijainti. EU- tai ETA-palvelin ei automaattisesti tarkoita, että kaikki käsittelijät ja ylläpitäjät pysyvät samassa paikassa.
Suosi dokumentoitua sitoumusta
Toteutunut sopimus, käsittelyehdot ja selkeä käytäntö ovat vahvempaa näyttöä kuin väite alueen luontaisesta yksityisyydestä. Vahvista operaattori, sovellettava sopimus ja todellinen laitos arvioimallesi tilaukselle.
Älä peri oikeudellisia väitteitä toiselta palveluntarjoajalta
Lausunto yhdestä yrityksestä, laitoksesta tai oikeusprosessista ei siirry uudelleen brändättyyn palveluun. Varmista todellinen ylläpitäjä ja anna kyseisen järjestelyn kannalta olennaiset käytännöt tarkastettaviksi. Vahvista KoalaVPS-ylläpitäjän tiedot suoraan sen sijaan, että liittäisit siihen toisen palveluntarjoajan identiteetin, rekisteröinnit tai historian.
Pidä katselmus ajan tasalla
Kirjaa ylös sen sopimuksen ja käytännön päivämäärä ja versio, johon nojasit. Käy tietokartta uudelleen läpi, kun olet muuttanut sijaintia, maksunkäsittelijää, tukityökalua tai varmuuskopiointikohdetta. Vaatimustenmukaisuuskatsauksen tulisi kuvata nykyisin olemassa olevaa järjestelmää.
Käytä neljää maata tarkastelun lähtökohtina
Ruotsi ja Suomi ovat EU-maita; Norja ja Islanti ovat EU:n ulkopuolisia ETA-maita. Niiden tietosuojaviranomaiset tarjoavat hyödyllisen virallisen lähtökohdan: Ruotsin IMY, Suomen tietosuojavaltuutetun toimisto, Norjan Datatilsynet ja Islannin Persónuvernd. Tämä ei aseta yhtä maata laillisen paljastamisen ulkopuolelle eikä vahvista, mikä viranomainen on toimivaltainen tietyssä valituksessa.
- Stockholm / Ruotsi: varmista todellinen operaattori ja sen sopimusvelvoitteet ennen sijaintiin luottamista.
- Helsinki / Suomi: tarkista ensisijainen tallennus, varmuuskopioiden maantieteellinen sijainti ja tukipalvelun pääsy erikseen.
- Oslo / Norja: erota ETA:n tietosuojaosallistuminen EU-jäsenyydestä.
- Reykjavík / Islanti: arvioi sopimusosapuoli, verkkoreitit ja varmuuskopiostrategia sen sijaan, että päättelet maan nimestä koskemattomuutta.
Virallinen dokumentaatio: EDPB: kansalliset valvontaviranomaiset
Kysy, kuka voi käyttää tietoja, ei vain missä levy sijaitsee
Laadi tietovirran kuvaus, joka kattaa tuotannon, replikat, varmuuskopiot, telemetrian ja tuen. Erillinen ETA:n ulkopuolinen organisaatio, joka vastaanottaa tai käsittelee henkilötietoja, voi herättää kansainvälistä siirtoa koskevia kysymyksiä asiaankuuluvin edellytyksin; pelkkä alueellinen palvelinmerkintä ei ratkaise analyysia. Pyydä palveluntarjoajaa yksilöimään alikäsittelijänsä ja pääsyjärjestelynsä. Anna todellisen käsittelyn ja sopimuksen tulla arvioiduksi työkuormaasi varten, kun se synnyttää oikeudellisia velvoitteita.
- Tunnista oma roolisi ja tarjoajan rooli kussakin käsittelytoimessa sen sijaan, että olettaisit jokaisen palvelusuhteen olevan samanlainen.
- Pyydä käsittelysopimus, osakäsittelijöiden muutosmenettely, poistoehdot ja tietoturvahäiriöiden yhteyshenkilö.
- Kun tukityökalu tai varmuuskopiointikohde muuttuu, päivitä arviointi ennen kuin luotat vanhaan sijaintilausuntoon.
Virallinen dokumentaatio: EDPB: kansainväliset tietosiirrot · EDPB: rekisterinpitäjän ja käsittelijän vastuut