Begin met de werkelijke entiteiten
Identificeer de contracterende provider, de infrastructuurbeheerder en relevante subverwerkers. Een bedrijf kan een juridische vestigingsplaats hebben die verschilt van de fysieke locatie van de server. Uw eigen locatie en de personen in uw data kunnen ook van belang zijn.
Begrijp het regionale kader
Zweden en Finland behoren tot de EU; Noorwegen en IJsland nemen deel aan de EER. Specifieke verplichtingen hangen nog steeds af van de dienst, activiteit en partijen. Raadpleeg gekwalificeerd advies voor een concrete juridische of regelgevende vereiste.
Inspecteer de datamap
Leg vast waar de primaire server, back-ups, logs en supporttoegang zich bevinden. Een server in de EU of EER betekent niet automatisch dat elke verwerker en beheerder op dezelfde plek blijft.
Geef de voorkeur aan een gedocumenteerde toezegging
Een voltooide overeenkomst, verwerkingsvoorwaarden en een duidelijk beleid zijn sterker bewijs dan een verklaring dat een regio van nature privé is. Bevestig de exploitant, de toepasselijke overeenkomst en de daadwerkelijke faciliteit voor de bestelling die je beoordeelt.
Neem geen juridische claims van een andere provider over
Een verklaring over één bedrijf, faciliteit of gerechtelijke procedure is niet van toepassing op een nieuw gebrande service. Controleer de daadwerkelijke exploitant en laat de relevante beleidsregels voor die regeling beoordelen. Bevestig KoalaVPS-exploitantinformatie rechtstreeks in plaats van de identiteit, registraties of geschiedenis van een andere provider eraan toe te schrijven.
Houd de beoordeling actueel
Leg de datum en versie vast van de overeenkomst en het beleid waarop u zich hebt gebaseerd. Herzie de gegevenskaart na een wijziging van locatie, betaalverwerker, supporttool of back-upbestemming. Een compliancebeoordeling moet het systeem beschrijven zoals het vandaag bestaat.
Gebruik de vier landen als uitgangspunt voor beoordeling
Zweden en Finland zijn EU-landen; Noorwegen en IJsland zijn EER-landen buiten de EU. Hun gegevensbeschermingsautoriteiten bieden een nuttig officieel startpunt: Zweden's IMY, Finland's Bureau van de Ombudsman voor Gegevensbescherming, Noorwegen's Datatilsynet en IJsland's Persónuvernd. Dit rangschikt geen enkel land als immuun voor wettige openbaarmaking en stelt niet vast welke autoriteit bevoegd is voor een specifieke klacht.
- Stockholm / Zweden: verifieer de daadwerkelijke exploitant en diens contractuele verplichtingen voordat u op de locatie vertrouwt.
- Helsinki / Finland: controleer primaire opslag, back-upgeografie en supporttoegang afzonderlijk.
- Oslo / Noorwegen: onderscheid deelname aan EER-gegevensbescherming van EU-lidmaatschap.
- Reykjavík / IJsland: beoordeel de contracterende entiteit, netwerkroutes en het back-upplan in plaats van een immuniteit af te leiden uit de landsnaam.
Officiële documentatie: EDPB: nationale toezichthoudende autoriteiten
Vraag wie toegang heeft tot gegevens, niet alleen waar de schijf staat
Maak een dataflow-registratie voor productie, replica's, back-ups, telemetrie en support. Een afzonderlijke organisatie buiten de EER die persoonsgegevens ontvangt of er toegang toe heeft, kan onder de relevante voorwaarden vragen over internationale doorgifte oproepen; een regionaal serverlabel alleen beslecht de analyse niet. Vraag de provider zijn subverwerkers en toegangsregelingen te identificeren. Laat de daadwerkelijke verwerking en het contract beoordelen voor uw workload wanneer deze juridische verplichtingen creëert.
- Bepaal uw rol en de rol van de provider voor elke verwerkingsactiviteit, in plaats van aan te nemen dat elke dienstrelatie identiek is.
- Vraag de verwerkingsovereenkomst, de procedure voor wijziging van subprocessors, de verwijderingsvoorwaarden en het incidentcontact op.
- Wanneer een supporttool of back-upbestemming verandert, werkt u de beoordeling bij voordat u vertrouwt op de oude locatieverklaring.
Officiële documentatie: EDPB: internationale gegevensoverdrachten · EDPB: verantwoordelijkheden van verwerkingsverantwoordelijke en verwerker