Файл: Правовая основа облачных сервисов.pdf

Провайдеры облака (как процессоры) обязаны обеспечить конфиденциальность. Директива 95/46 ЕС гласит о том, что: "Любой человек, действующий под руководством контроллера или процессора, в том числе сами процессоры, которые имеют доступ к персональным данным, не должны обрабатывать их, за исключением команд контроллера, если он не требуется сделать это по закону". Доступ провайдера к данным во время его предоставления услуг также принципиально регулируются требованием соблюдать положения статьи Директивы.

Процессоры должны принимать во внимание тип облака в вопросе (государственные, частные, общественные или гибридные - IaaS, SaaS или PaaS) и вид услуги по контракту с клиентом. Процессоры отвечают за принятие мер безопасности в соответствие с нормами законодательства ЕС. Процессоры должны также оказывать поддержку и помощь контроллеру в соблюдении прав (осуществлении) субъекта данных.

Услуги облачных вычислений могут повлечь за собой участие в контракте ряда сторон, которые выступают в качестве процессоров. Это стандартная процедура для дополнительных суб-процессоров, которые затем получают доступ к персональным данным. Также процессоры, предоставляющие услуги субподряда, обязаны сделать доступной для клиента информацию, в которой подробно указаныусловия заключения субподряда, характеристика текущих или потенциальных субподрядчиков и гарантия того, что эти организации предлагают услуги облачных вычислений в соответствии с Директивой 95/46/ЕС.

Все соответствующие обязательства должны применяться к суб-процессорам на основе контракта между поставщиком облака и субподрядчика, который отражает условия договора между клиентом облака и его провайдером. Множеством процессоров в случаях, когда процессоры могут иметь прямую связь с контроллером или работать в качестве субподрядчиков, где процессоры в качестве аутсорсинга выполняют только порученную часть работы. Ничто, связанное с организационными требованиями согласно Директиве, не мешает нескольким субъектам, обозначенным как процессоры или суб-процессоры, назначать соответствующие задачи путем разделения. Тем не менее, все они должны соблюдать указания контроллера при выполнении обработки информации^[7].

В таких случаях, обязательства и обязанности, вытекающие из законодательства о защите данных, должны быть изложены четко, а не разбросаны по всей цепочке процесса аутсорсинга или субподряда, в целях обеспечения эффективного контроля и четкого распределения ответственности за обработку информации.

Возможная модель гарантий, которая может быть использована для уточнения обязанностей и обязательств процессоров, выступающих в роли субподряда по обработке данных, впервые была введенарешением комиссии от 5 февраля 2010 года по стандартным статьям договора о передаче личных данных процессоров в учреждения третьих стран^[8]. В этой модели субподряд на обработку допускается только с предварительным письменным согласием контроллера и с письменным соглашениемвсех участвующих в процессе субподрядчиков. В случаях невыполнения субподрядчиком своих обязательств по защите данных, на которые он дал письменное согласие, на основе договора виновная сторона несет за это полную ответственность перед контроллером. Для обеспечения необходимых гарантий, положения такого рода используются в любых договорных условиях между контроллером и поставщиком облачных сервисов, где последний намерен предоставлять услуги на основе субподряда.

Недавно комиссией по общим положениям о защите данных было предложено аналогичное решение относительно гарантий в ходе суб-обработки. Акты процессоры должны регулироваться контрактом или иными правовыми актами, связывающие процессор с контроллером и предусматривающие, в частности, что, наряду с другими требованиями, процессор пользуется услугами другого процессора только с предварительного разрешения контроллера.

Провайдер может подрядить сторонние организации для выполнения своей деятельностиисключительно только на основании согласия контроллера^[9]. Данное согласие, как правило, заключается перед началом оказания услуг. В нем четко распределены обязанности для процессора, обязующие последнего сообщать клиенту о любых планируемых изменениях, о добавление или замене субподрядчиков. За клиентом все время остается право возразить против такого изменения или расторгнуть договор. В обязательство провайдера входит указать в данном соглашении всех субподрядчиков процесса. Кроме того, договор, отражающий условия договора между клиентом и провайдером, должен быть подписан между поставщиком облака и субподрядчиками. Договор должен содержать условия, касательно действий, возникающих в случае нарушения субподрядчиками условий. Это может быть организовано путем того, что процессор берет на себя ответственность перед контроллером за любые нарушения, вызванные любыми привлеченными подпроцессорами. Или путем создания в контракте третьей стороны-бенефициара в пользу контроллера, подписанным между процессором и суб-процессорами. Или также возможно, что эти контракты будут подписаны напрямую от имени контроллера данных, что позже войдет в основной договор, как его часть.

2.3 Требования по защите данных в отношениях сторон

Законность обработки персональных данных в облаке зависит от соблюдения основных принципов закона ЕС о защите данных, а именно: должна быть гарантирована прозрачность в отношении субъекта данных, спецификация и ограничения по цели должны быть соблюдены и персональные данные должны быть стерты, как только необходимость в них исчезает. Кроме того, должны быть приняты соответствующие технические и организационные меры для обеспечения адекватного уровня защиты данных и их безопасности.

Прозрачность

Принцип прозрачности имеет ключевое значение для справедливой и законной обработки персональных данных. Директива 95/46/ЕС обязывает клиента предоставить информацию о предмете данных, с информацией о его идентичности и цели обработки.Клиент должен также предоставить любую дополнительную информацию, такую как на получатели или категорию получателей данных, которые могут также включать процессоры и суб-процессоры^[10]. Такая дополнительная информация необходима, чтобы гарантировать справедливое рассмотрение прав в отношении субъекта данных.

Прозрачность должна быть обеспечена также в отношениях между клиентом, поставщиком облака и субподрядчиками (если таковые имеются). Клиент способен только дать оценку законности обработки персональных данных в облаке, если поставщик информирует клиента обо всех соответствующих вопросах.Контроллер, рассматриваемый привлечение услуг облака, должен внимательно проверить условия оказания услуг облачных вычислений, оценить их с точки зрения защиты данных.

Прозрачность в облаке означает, что для клиента необходимо быть в курсе всех субподрядчиков предоставляющих содействие соответствующей услуги облака, а также расположение всех центров обработки данных (ЦОД), где персональные данные могут быть обработаны.

Если предоставление услуги требует установки программного обеспечения на системе клиента (например, подключаемые модули браузера), провайдер облака должен, как это предусмотрено надлежащей практикой, информировать клиента об этом обстоятельстве и, в частности, о его последствиях влияющих на защиту данных, с точки зрения безопасности. И наоборот, клиент должен поднять этот вопрос, если он не будет уверен в достаточной степени облачных услуг.

Определение и ограничение цели

Принцип определения и ограничения цели требует, что личные данные должны быть собраны для определенных, явных и законных целей и не подвергались дополнительной обработке,расходящейся с этими целями^[11]. Клиент должен определить цель обработки до момента самого сбора персональных данных и быть проинформированным о этом моменте. Клиент не должен передавать данные для других целей, которые не совместимы с оригинальными.

Кроме того, должно быть обеспечено, чтобы персональные данные не были (нелегально) обработаны для дальнейших целей поставщика облака или одного из его субподрядчиков. В типичном сценарии облако может легко включать большое количество субподрядчиков, поэтому риск обработки личных данных для дальнейших несовместимых целей должен быть оценен как достаточно высокий. Для минимизации данного риска, договор между поставщиком облака и клиентом должен включать технические и организационные меры по снижению этого риска и предоставлять гарантии для протоколирования и аудита соответствующих операций обработки персональных данных, которые выполняются поставщиком облака или субподрядчиками. Если законодательство о защите данных нарушено, штрафы на поставщика или субподрядчика должны быть наложены в соответствии с условиями договора.

Удаление данных

В соответствии с Директивой 95/46/ЕС, персональные данные должны храниться в форме, позволяющей идентифицировать субъекты данных, не дольше, чем это необходимо для целей, для которых данные были собраны илидля которых они обрабатывались^[12]. Личные данные, которые больше не нужны, должны быть удалены или переведены в статусанонимных. Если эти данные не могут быть удалены из-за юридических правил хранения (например, налогового законодательства), доступ к этим личным данным должен быть заблокирован. Ответственность за удаление персональных данных, как только они перестают быть необходимыми в условиях спецификации и ограничения цели, возлагается на провайдера облачных вычислений.

Принцип стирания данных распространяется на персональные данные, независимо от того, хранятся на жестких дисках или других носителях (например, ленты с резервными копиями). Так как личные данные могут избыточно быть на разных серверах и в разных местах, поставщик должен обеспечить, чтобы каждый экземпляр стирался безвозвратно (т.е. предыдущие версии, временные файлы и даже фрагменты файла должны быть удалены).

Клиенты должны быть осведомлены о том, что данные журнала, содействующие контролю, например, хранения, модификации или уничтожения данных, могут также квалифицироваться, как персональные данные, связанные с человеком, который инициировал соответствующие операции обработки.

Безопасное стирание персональных данных требует, чтобы, либо носители должны быть уничтожены или размагничивается, либо личные данные удалялись эффективно через перезапись. Для перезаписи данных личного характера используются специальные программные средства, которые переписывают данные несколько раз и с использованием соответствующей признанной спецификацией.

Клиент должен убедиться, что облака провайдера обеспечивают безопасное стирание, в вышеуказанном смысле, и что контракт между поставщиком и клиентом содержит ясные указания по стиранию личной информации. То же самое относится и к контрактам между облачными провайдерами и субподрядчиков.

Там, где клиенты решили принять договор об оказании услуг облачных вычислений, контроллеры обязаны выбрать процессор, предоставляющий достаточные гарантии в отношении технических и организационных мер по обеспечению безопасности мер, проводить регулирование обработки, и должны обеспечивать соблюдение этих мер^[13]. Кроме того, они по закону обязаны подписать официальный контракт с поставщиком облачных сервисов, как указано в Директиве 95/46/ЕС. Согласно Директиве устанавливаются требования к договору или иному правовому акту, обязательно определяющего взаимосвязь между контроллером и процессором. В цели сохранения доказательств, часть договора или правового акта, касающегося защиты данных и требований к ней, а также касающегося технических и организационных мер должна быть в письменной или в другой эквивалентной форме^[14].

В договоре должны, как минимум, установить факт, что процессор должен конкретно следовать указаниям контроллера, и процессор должен осуществлять технические и организационные меры для адекватной защиты персональных данных.

Для обеспечения правовой определенности в договоре должны также быть изложены следующие вопросы:

1. Подробная информация о (степень и формы) инструкций клиента по отношению к поставщику, особенно в касательно применимых соглашений об уровне обслуживания (которая должна быть объективной измеримой) и соответствующих санкций (финансовых или иных, включая возможностьподать в суд на поставщика в случае несоблюдения).
2. Спецификация мер безопасности:провайдер облака должен соответствовать всем требованиям, в зависимости от рисков, связанных с обработкой и характером данных, которые должны быть защищены. Имеет большое значение, какие конкретные технические и организационные меры указаны (такие меры будут разобраны ниже). Это рассматривается без ущерба при применении более жестких мер, если таковые могут быть предусмотрены национальным законодательством клиента.
3. Предмет и временные рамки облачных сервисов, предоставляемых провайдером облака; степень, характер и цели обработки персональных данных облачных услуг, а также типы обрабатываемых личных данных.
4. Необходимо указывать, какие условия для возвращения и разрушения (персональных) данных будут применяться. Кроме того, необходимо обеспечить, чтобы личные данные стирались безопасно и по просьбе клиента облака.
5. Включение пункта о конфиденциальности обязует соблюдение ее как провайдером на облаке, так и всех сотрудников сервиса облачных вычислений, которые смогут получить доступ к данным. Только уполномоченные лица могут получить доступ к данным.
6. Обязательство со стороны провайдера для поддержки клиента в содействии реализации прав субъектов данных для доступа, исправления или удаления своих данных.
7. В контракте должно быть конкретно установлено, что провайдер облака не имеет права сообщать данные третьим лицам, даже в целях хранения, если привлечение субподрядчиков не предусмотрено в договоре. В таких случаях, договор должен указать, что именно субподрядчикам может быть поручено на основе согласия, которые обычно задается контроллером в соответствии с четкими обязанностями процессора для информирования контроллера о любых планируемых изменениях в этой связи. За контроллером всегда сохранением возможность возразить против такого изменения или расторгнуть договор. В обязанности провайдера входит предоставление всей необходимой информации обо всех задействованных в процессе субподрядчиков (например, указать все в общественном цифрового регистре).Необходимо убедиться, что контракты между поставщиком облака и субподрядчиками отражают условия договора между клиентом облака и его провайдером (то есть, чтобысуб-процессоры исполняли те же договорные обязанности, чтопровайдер облака). В частности, необходима гарантия, что поставщик облака и все субподрядчики действуют только по поручению клиента облака. Вся цепочка ответственности должна быть предельно ясно отражена в договоре: сформулированы все обязательства, сформулированы международные переводы.
8. В случае любого нарушения данных, которое влияет на данные пользователя, провайдеру необходимо немедленно уведомлять клиента облака об этом.
9. В обязанность облачных сервисов входит предоставление списка мест, в которых данные могут быть обработаны.
10. Также в договоре должны быть изложены права контроллера по мониторингу процесса и соответствующие обязательства облачных сервисов к сотрудничеству в этом деле.
11. Следует установить в договоре, что поставщик облака должен сообщить клиенту о соответствующих изменениях, касающихся данных облачных сервисов, например, таких как осуществление внедрения дополнительных функций.
12. Договор должен предусматривать регистрацию и проверку соответствующих операций обработки персональных данных, которые выполняются поставщиком облака или субподрядчиком.
13. Уведомление клиента о любых юридически обязательных запросах, касательно раскрытия персональных данных правоохранительным органом, если иное не запрещено, например, запрет в соответствии с уголовным кодексом - сохранять конфиденциальность расследования правоохранительных органов.
14. Общие обязательства со стороны провайдера - дать гарантию того, что организация его внутренней обработки данных и механизмы (а также его суб-процессоров, если таковые имеются) соответствуют действующим национальным и международным правовым требованиям и стандартам.