Börja med de faktiska enheterna
Identifiera den avtalsslutande leverantören, infrastrukturoperatören och relevanta underleverantörer. Ett företag kan ha ett juridiskt säte som skiljer sig från serverns fysiska plats. Din egen plats och personerna i dina data kan också spela roll.
Förstå den regionala ramen
Sverige och Finland tillhör EU; Norge och Island deltar i EES. Specifika skyldigheter beror fortfarande på tjänsten, aktiviteten och parterna. Använd kvalificerad rådgivning för ett konkret juridiskt eller regulatoriskt krav.
Granska datakartan
Dokumentera platsen för primärservern, säkerhetskopior, loggar och supportåtkomst. En server i EU eller EES innebär inte automatiskt att varje personuppgiftsbiträde och administratör finns på samma plats.
Föredra ett dokumenterat åtagande
Ett slutfört avtal, behandlingsvillkor och en tydlig policy är starkare bevis än ett påstående om att en region är privat till sin natur. Bekräfta operatören, tillämpligt avtal och den faktiska anläggningen för den beställning du utvärderar.
Ärv inte juridiska påståenden från en annan leverantör
Ett uttalande om ett företag, en anläggning eller en domstolsprocess överförs inte till en nyvarumärkt tjänst. Verifiera den faktiska operatören och låt relevanta policyer granskas för den överenskommelsen. Bekräfta KoalaVPS operatörsinformation direkt istället för att tillskriva den en annan leverantörs identitet, registreringar eller historik.
Håll granskningen aktuell
Anteckna datum och version för det avtal och den policy du förlitade dig på. Gå igenom datakartan igen efter att ha ändrat en plats, betalningsbehandlare, supportverktyg eller backupmål. En efterlevnadsgranskning bör beskriva det system som finns idag.
Använd de fyra länderna som utgångspunkter för granskning
Sverige och Finland är EU-länder; Norge och Island är EES-länder utanför EU. Deras dataskyddsmyndigheter utgör en användbar officiell utgångspunkt: Sveriges IMY, Finlands dataombudsmannens byrå, Norges Datatilsynet och Islands Persónuvernd. Detta rangordnar inte ett land som immunt mot laglig utlämning eller fastställer vilken myndighet som är behörig för ett visst klagomål.
- Stockholm / Sverige: verifiera den faktiska operatören och dess avtalsenliga åtaganden innan du förlitar dig på platsen.
- Helsinki / Finland: kontrollera primär lagring, säkerhetskopieringens geografi och supportåtkomst separat.
- Oslo / Norge: skilj EES-deltagande i dataskydd från EU-medlemskap.
- Reykjavík / Island: utvärdera det avtalsslutande organet, nätverksrutterna och säkerhetskopieringsplanen i stället för att anta en immunitet utifrån landsnamnet.
Officiell dokumentation: EDPB: nationella tillsynsmyndigheter
Fråga vem som kan komma åt data, inte bara var disken finns
Skapa en dataflödesregistrering som omfattar produktion, repliker, säkerhetskopior, telemetri och support. En separat organisation utanför EES som tar emot eller får åtkomst till personuppgifter kan väcka frågor om internationella överföringar under de relevanta förutsättningarna; enbart en regional serverbeteckning avgör inte analysen. Be leverantören identifiera sina underleverantörer och åtkomstarrangemang. Låt den faktiska behandlingen och avtalet bedömas för din arbetsbelastning när det skapar rättsliga skyldigheter.
- Identifiera din roll och leverantörens roll för varje behandlingsaktivitet i stället för att anta att varje tjänsteförhållande är identiskt.
- Begär personuppgiftsbiträdesavtalet, rutinen för ändring av underbiträden, villkoren för radering och kontaktuppgifter för incidenter.
- När ett supportverktyg eller säkerhetskopieringsmål ändras, uppdatera granskningen innan du förlitar dig på det gamla platsuttalandet.
Officiell dokumentation: EDPB: internationella dataöverföringar · EDPB: personuppgiftsansvarigas och personuppgiftsbiträdens ansvar