Începe cu entitățile reale
Identifică furnizorul contractant, operatorul infrastructurii și subcontractanții relevanți. O companie poate avea un sediu legal diferit de locația fizică a serverului. Pot conta și propria ta locație și persoanele din datele tale.
Înțelege cadrul regional
Suedia și Finlanda fac parte din UE; Norvegia și Islanda participă la SEE. Obligațiile specifice depind totuși de serviciu, activitate și părți. Apelați la consultanță calificată pentru o cerință juridică sau de reglementare concretă.
Inspectează harta datelor
Înregistrați locația serverului principal, a backupurilor, a jurnalelor și a accesului de asistență. Un server din UE sau SEE nu înseamnă automat că fiecare persoană împuternicită și fiecare administrator rămân în același loc.
Preferați un angajament documentat
Un contract finalizat, termeni de procesare și o politică clară sunt dovezi mai puternice decât o afirmație că o regiune este privată prin natura sa. Confirmați operatorul, acordul aplicabil și facilitatea reală pentru comanda pe care o evaluați.
Nu prelua pretenții legale de la alt furnizor
O afirmație despre o companie, o facilitate sau un proces judecătoresc nu se transferă asupra unui serviciu cu brand nou. Verificați operatorul real și solicitați revizuirea politicilor relevante pentru acea înțelegere. Confirmați direct informațiile despre operatorul KoalaVPS în loc să îi atribuiți identitatea, înregistrările sau istoricul altui furnizor.
Mențineți evaluarea actuală
Înregistrați data și versiunea acordului și ale politicii pe care v-ați bazat. Revedeți harta datelor după schimbarea unei locații, a unui procesator de plăți, a unui instrument de asistență sau a unei destinații de backup. O revizuire de conformitate ar trebui să descrie sistemul care există astăzi.
Folosește cele patru țări ca puncte de plecare pentru evaluare
Suedia și Finlanda sunt țări UE; Norvegia și Islanda sunt țări SEE din afara UE. Autoritățile lor de protecție a datelor oferă un punct de plecare oficial util: IMY din Suedia, Biroul Ombudsmanului pentru Protecția Datelor din Finlanda, Datatilsynet din Norvegia și Persónuvernd din Islanda. Aceasta nu clasează o țară ca imună la divulgarea legală și nu stabilește ce autoritate este competentă pentru o anumită plângere.
- Stockholm / Suedia: verificați operatorul real și angajamentele sale contractuale înainte de a vă baza pe locație.
- Helsinki / Finlanda: verificați separat stocarea principală, geografia backupului și accesul la asistență.
- Oslo / Norvegia: distinge participarea la protecția datelor SEE de calitatea de membru UE.
- Reykjavík / Islanda: evaluați entitatea contractantă, rutele de rețea și planul de backup, în loc să deduceți o imunitate din numele țării.
Documentație oficială: EDPB: autoritățile naționale de supraveghere
Întrebați cine poate accesa datele, nu doar unde se află discul
Creați o evidență a fluxului de date care să acopere producția, replicile, backup-urile, telemetria și asistența. O organizație separată din afara SEE care primește sau accesează date cu caracter personal poate ridica întrebări privind transferurile internaționale în condițiile relevante; o etichetă de server regională singură nu încheie analiza. Cereți furnizorului să își identifice subcontractanții și modalitățile de acces. Solicitați evaluarea procesării și a contractului efective pentru încărcarea dvs. de lucru atunci când aceasta creează obligații legale.
- Identificați rolul dumneavoastră și rolul furnizorului pentru fiecare activitate de prelucrare, în loc să presupuneți că fiecare relație de serviciu este identică.
- Solicitați acordul de prelucrare, procedura de modificare a subprocesatorilor, termenii de ștergere și contactul pentru incidente.
- Când un instrument de asistență sau o destinație de rezervă se schimbă, actualizați analiza înainte de a vă baza pe declarația veche privind locația.
Documentație oficială: EDPB: transferuri internaționale de date · EDPB: responsabilitățile operatorului și ale persoanei împuternicite