Bắt đầu với các thực thể thực tế
Xác định nhà cung cấp hợp đồng, đơn vị vận hành hạ tầng và các bên xử lý phụ liên quan. Một công ty có thể có trụ sở pháp lý khác với vị trí vật lý của máy chủ. Vị trí của bạn và những người trong dữ liệu của bạn cũng có thể quan trọng.
Hiểu khung khu vực
Thụy Điển và Phần Lan thuộc EU; Na Uy và Iceland tham gia EEA. Các nghĩa vụ cụ thể vẫn phụ thuộc vào dịch vụ, hoạt động và các bên. Hãy sử dụng tư vấn đủ trình độ cho một yêu cầu pháp lý hoặc quy định cụ thể.
Kiểm tra bản đồ dữ liệu
Ghi lại vị trí của máy chủ chính, bản sao lưu, log và quyền truy cập hỗ trợ. Máy chủ tại EU hoặc EEA không tự động có nghĩa là mọi bên xử lý và quản trị viên đều ở cùng một nơi.
Ưu tiên cam kết được ghi nhận bằng văn bản
Một hợp đồng đã hoàn tất, các điều khoản xử lý và một chính sách rõ ràng là bằng chứng mạnh mẽ hơn một tuyên bố rằng một khu vực vốn dĩ riêng tư. Xác nhận nhà vận hành, thỏa thuận áp dụng và cơ sở thực tế cho đơn hàng bạn đang đánh giá.
Không kế thừa các tuyên bố pháp lý từ nhà cung cấp khác
Một tuyên bố về một công ty, cơ sở hoặc quy trình tòa án không chuyển sang một dịch vụ mới được đặt thương hiệu. Hãy xác minh nhà điều hành thực tế và yêu cầu xem xét các chính sách liên quan cho thỏa thuận đó. Xác nhận trực tiếp thông tin nhà điều hành KoalaVPS thay vì gán danh tính, đăng ký hoặc lịch sử của nhà cung cấp khác cho dịch vụ đó.
Giữ việc đánh giá luôn cập nhật
Ghi lại ngày và phiên bản của thỏa thuận và chính sách mà bạn đã dựa vào. Xem lại bản đồ dữ liệu sau khi thay đổi vị trí, bộ xử lý thanh toán, công cụ hỗ trợ hoặc đích sao lưu. Một đánh giá tuân thủ nên mô tả hệ thống đang tồn tại hiện nay.
Dùng bốn quốc gia làm điểm khởi đầu để xem xét
Thụy Điển và Phần Lan là các quốc gia EU; Na Uy và Iceland là các quốc gia EEA ngoài EU. Các cơ quan bảo vệ dữ liệu của họ cung cấp một điểm khởi đầu chính thức hữu ích: IMY của Thụy Điển, Văn phòng Thanh tra Bảo vệ Dữ liệu của Phần Lan, Datatilsynet của Na Uy và Persónuvernd của Iceland. Điều này không xếp hạng một quốc gia nào là miễn nhiễm với việc tiết lộ hợp pháp hay xác lập cơ quan nào có thẩm quyền đối với một khiếu nại cụ thể.
- Stockholm / Thụy Điển: xác minh nhà vận hành thực tế và các cam kết hợp đồng của họ trước khi dựa vào vị trí.
- Helsinki / Phần Lan: kiểm tra riêng lưu trữ chính, vị trí địa lý sao lưu và quyền truy cập hỗ trợ.
- Oslo / Na Uy: phân biệt việc tham gia bảo vệ dữ liệu EEA với tư cách thành viên EU.
- Reykjavík / Iceland: đánh giá pháp nhân ký kết, tuyến mạng và kế hoạch sao lưu thay vì suy ra quyền miễn trừ từ tên quốc gia.
Tài liệu chính thức: EDPB: cơ quan giám sát quốc gia
Hỏi ai có thể truy cập dữ liệu, không chỉ đĩa nằm ở đâu
Tạo hồ sơ luồng dữ liệu bao gồm sản xuất, bản sao, sao lưu, dữ liệu đo từ xa và hỗ trợ. Một tổ chức riêng biệt ngoài EEA nhận hoặc truy cập dữ liệu cá nhân có thể làm phát sinh các câu hỏi về chuyển dữ liệu quốc tế theo các điều kiện liên quan; chỉ nhãn máy chủ khu vực không giải quyết được phân tích. Yêu cầu nhà cung cấp xác định các bên xử lý phụ và thỏa thuận truy cập của họ. Đánh giá việc xử lý và hợp đồng thực tế cho khối lượng công việc của bạn khi nó tạo ra nghĩa vụ pháp lý.
- Xác định vai trò của bạn và vai trò của nhà cung cấp cho từng hoạt động xử lý, thay vì giả định mọi quan hệ dịch vụ đều giống nhau.
- Yêu cầu thỏa thuận xử lý dữ liệu, quy trình thay đổi bên xử lý phụ, điều khoản xóa dữ liệu và đầu mối liên hệ sự cố.
- Khi một công cụ hỗ trợ hoặc đích sao lưu thay đổi, hãy cập nhật đánh giá trước khi dựa vào tuyên bố vị trí cũ.
Tài liệu chính thức: EDPB: chuyển dữ liệu quốc tế · EDPB: trách nhiệm của bên kiểm soát và bên xử lý