Parti dalle entità effettive
Identifica il fornitore contraente, l'operatore dell'infrastruttura e i subresponsabili pertinenti. Un'azienda può avere una sede legale diversa dalla posizione fisica del server. Anche la tua posizione e le persone nei tuoi dati possono essere rilevanti.
Comprendi il quadro regionale
Svezia e Finlandia appartengono all'UE; Norvegia e Islanda partecipano al SEE. Gli obblighi specifici dipendono comunque dal servizio, dall'attività e dalle parti. Per un requisito legale o normativo concreto rivolgiti a una consulenza qualificata.
Ispeziona la mappa dei dati
Registra l'ubicazione del server principale, dei backup, dei log e dell'accesso al supporto. Un server nell'UE o nel SEE non significa automaticamente che ogni responsabile del trattamento e amministratore rimanga nello stesso luogo.
Preferisci un impegno documentato
Un contratto concluso, termini di trattamento e una policy chiara sono prove più solide di una dichiarazione secondo cui una regione è privata per natura. Conferma l'operatore, l'accordo applicabile e la struttura effettiva per l'ordine che stai valutando.
Non ereditare affermazioni legali da un altro fornitore
Un'affermazione su una singola azienda, struttura o procedimento giudiziario non si trasferisce a un servizio con un nuovo marchio. Verifica l'effettivo operatore e fai rivedere le politiche pertinenti per quella specifica configurazione. Conferma direttamente le informazioni sull'operatore KoalaVPS anziché attribuirgli l'identità, le registrazioni o la storia di un altro fornitore.
Mantieni la revisione aggiornata
Registra la data e la versione dell'accordo e della politica su cui ti sei basato. Rivedi la mappa dei dati dopo aver cambiato una sede, un processore di pagamento, uno strumento di supporto o una destinazione di backup. Una revisione di conformità dovrebbe descrivere il sistema esistente oggi.
Usa i quattro paesi come punti di partenza per la valutazione
Svezia e Finlandia sono paesi UE; Norvegia e Islanda sono paesi SEE al di fuori dell'UE. Le loro autorità di protezione dei dati offrono un utile punto di partenza ufficiale: l'IMY svedese, l'Ufficio del Garante per la protezione dei dati finlandese, il Datatilsynet norvegese e il Persónuvernd islandese. Ciò non classifica un paese come immune a divulgazioni lecite né stabilisce quale autorità sia competente per un particolare reclamo.
- Stockholm / Svezia: verifica l'effettivo operatore e i suoi impegni contrattuali prima di affidarti all'ubicazione.
- Helsinki / Finlandia: verifica separatamente l'archiviazione primaria, la geografia dei backup e l'accesso all'assistenza.
- Oslo / Norvegia: distingui la partecipazione alla protezione dei dati SEE dall'appartenenza all'UE.
- Reykjavík / Islanda: valuta l'entità contraente, le rotte di rete e il piano di backup invece di dedurre un'immunità dal nome del paese.
Documentazione ufficiale: EDPB: autorità nazionali di controllo
Chiedi chi può accedere ai dati, non solo dove si trova il disco
Crea un registro dei flussi di dati che copra produzione, repliche, backup, telemetria e assistenza. Un'organizzazione separata al di fuori del SEE che riceve o accede a dati personali può sollevare questioni di trasferimento internazionale alle condizioni pertinenti; una semplice etichetta di server regionale non risolve l'analisi. Chiedi al fornitore di identificare i suoi subresponsabili e le modalità di accesso. Fai valutare il trattamento effettivo e il contratto per il tuo carico di lavoro quando genera obblighi legali.
- Identifica il tuo ruolo e il ruolo del fornitore per ciascuna attività di trattamento, invece di presumere che ogni rapporto di servizio sia identico.
- Richiedi l'accordo sul trattamento, la procedura di modifica dei subresponsabili, i termini di cancellazione e il contatto per gli incidenti.
- Quando cambia uno strumento di supporto o una destinazione di backup, aggiorna la revisione prima di fare affidamento sulla vecchia dichiarazione di ubicazione.
Documentazione ufficiale: EDPB: trasferimenti internazionali di dati · EDPB: responsabilità del titolare e del responsabile del trattamento