3 błędy w umowach powierzenia danych, które widzę co tydzień
Dział prawny często traktuje techniczne załączniki do umów GDPR jako zło konieczne. W 2024 roku w Itcompiled sprawdziliśmy 142 takie dokumenty dla biur z Kielc i okolic. W 83 przypadkach zapisy o bezpieczeństwie były tak ogólne, że w razie ataku hakerskiego klient zostałby z niczym.
Martwe prawo do audytu w serwerowni
Prawie każda umowa powierzenia danych (DPA) zawiera punkt o prawie do przeprowadzenia audytu u procesora. To standard, który ma uspokoić klienta. Jednak w 67% dokumentów, które analizowałem na warsztatach w Kielcach w ostatnim kwartale, brakuje konkretów o kosztach i terminach. Prawnik zapisuje, że firma może sprawdzić dostawcę, ale nie dodaje, z jakim wyprzedzeniem trzeba się zapowiedzieć.
Bez tych detali, firma IT po prostu odmówi wpuszczenia Waszego audytora do serwerowni w marcu, powołując się na natłok prac przy innych projektach. Prawnicy często zapominają, że audyt bezpieczeństwa to nie tylko przejrzenie papierów przy kawie. To realne 4 do 6 godzin pracy inżyniera systemowego, który musi przygotować logi i pokazać fizyczne zabezpieczenia maszyn. Jeśli w umowie nie ma zapisu, że audyt jest bezpłatny raz w roku, dostawca wystawi Wam fakturę na 3800 zł za samą obsługę tej wizyty.
Warto też sprawdzić, czy procesor pozwala na audyt zdalny. W czerwcu 2024 jeden z naszych klientów musiał jechać 300 kilometrów tylko po to, żeby zobaczyć certyfikat ISO na ścianie, bo umowa nie przewidywała wideokonferencji z udostępnianiem ekranu. To strata czasu i pieniędzy, której można uniknąć jednym dopiskiem o dopuszczalnych formach weryfikacji w załączniku technicznym.
Bez konkretnych terminów w umowie, dostawca IT zawsze znajdzie powód, żeby nie wpuścić Twojego audytora do serwerowni.
Pułapka ogólnych standardów technicznych
Zapisy typu 'stosujemy aktualne środki ochrony danych' to najczęstszy błąd, jaki widzę w umowach. Dla prawnika brzmi to profesjonalnie, ale dla informatyka nie znaczy kompletnie nic. W jednej z umów, którą poprawialiśmy w sierpniu 2024, procesor pod tym pojęciem rozumiał darmowy program antywirusowy sprzed 3 lat. Prawnik był przekonany, że dane są bezpieczne, bo dostawca podpisał się pod 'wysokimi standardami'.
Zamiast takich ogólników, w umowie musi pojawić się konkret techniczny. Wymagajcie wpisania szyfrowania AES-256 dla danych przechowywanych na dyskach oraz wymuszania dwuskładnikowego uwierzytelnienia (2FA) dla każdego pracownika procesora. To są mierzalne parametry. Jeśli dojdzie do wycieku, możecie łatwo udowodnić, że dostawca nie dotrzymał umowy, bo np. nie używał kluczy sprzętowych, które obiecał w załączniku.
Heads-up: Pamiętajcie o wersji protokołu TLS przy przesyłaniu danych przez przeglądarkę. Wymuszanie wersji 1.2 lub nowszej to dziś absolutne minimum. Jeśli umowa o tym milczy, dostawca może korzystać ze starych, dziurawych rozwiązań, które haker rozpracuje w 14 minut przy użyciu darmowego skryptu z sieci. W Itcompiled zawsze rekomendujemy wpisywanie konkretnych numerów norm ISO 27001 lub 22301 bezpośrednio do tekstu głównego umowy.
Termin zgłaszania incydentów: pułapka 24 godzin
Większość prawników wpisuje do umów, że procesor musi zgłosić wyciek danych 'niezwłocznie, nie później niż w 24 godziny'. Brzmi to bezpiecznie, ale w praktyce bywa martwym przepisem. W marcu 2024 widziałem sytuację, gdzie firma IT wysłała maila o incydencie o 3:14 nad ranem w Wielką Sobotę na ogólny adres biura. Prawnik odebrał wiadomość we wtorek po świętach. Czas na reakcję wobec UODO dawno minął.
W Itcompiled uczymy, że w umowie trzeba określić konkretną ścieżkę kontaktu. To powinien być dedykowany numer telefonu czynny także w weekendy oraz imienna lista osób uprawnionych do zgłoszenia. Sam e-mail to za mało, bo może wpaść do spamu lub zostać przeoczony przez pracownika na urlopie. Skuteczna umowa określa, że potwierdzenie odbioru zgłoszenia musi nastąpić w ciągu 2 godzin od jego wysłania.
Dodatkowo, warto dopisać obowiązek dostarczenia raportu wstępnego. Sam komunikat 'mamy problem' nic Wam nie daje. Prawnik potrzebuje wiedzieć, ile rekordów wyciekło i czy dotyczy to numerów PESEL, czy tylko adresów e-mail. Bez tych 5 kluczowych informacji, które procesor musi zebrać w 12 godzin od wykrycia ataku, nie będziecie w stanie ocenić ryzyka i podjąć decyzji o zawiadomieniu osób, których dane dotyczą.
Mail o wycieku danych wysłany w sobotę nad ranem na ogólną skrzynkę to prosta droga do kary z UODO.
Brak precyzji przy usuwaniu danych po umowie
Po rozwiązaniu współpracy dane powinny zostać usunięte. Proste? Dla informatyka to techniczny koszmar, jeśli prawnik nie doprecyzuje zasad. W 47 sprawdzanych przez nas wzorach umów nie było ani słowa o tym, co dzieje się z kopiami zapasowymi (backupami). Firmy IT zazwyczaj przechowują je przez 30 do 90 dni na wypadek awarii systemu. Jeśli wymusicie natychmiastowe usunięcie wszystkiego w poniedziałek, administrator będzie musiał edytować taśmy z backupem, co jest niewykonalne.
Realistyczny zapis to taki, który daje procesorowi 14 dni na wyczyszczenie aktywnych baz danych i 31 dni na nadpisanie backupów. Wymagajcie też pisemnego protokołu zniszczenia danych podpisanego przez osobę odpowiedzialną za IT u dostawcy. To dokument, który w razie kontroli z urzędu w Kielcach pokaże, że jako administrator danych dopełniliście należytej staranności i sprawdziliście, co stało się z informacjami o Waszych klientach.
Przy okazji, warto sprawdzić, czy procesor nie zostawia sobie anonimizowanych danych do 'celów statystycznych' lub trenowania algorytmów. Wiele nowoczesnych platform SaaS tak robi, a prawnicy rzadko to wyłapują. Jeśli Wasza umowa na to pozwala bez jasnych wytycznych, jak taka anonimizacja ma wyglądać, to technicznie tracicie kontrolę nad tym, co dzieje się z informacjami o 156 czy 187 kontrahentach, których dane wprowadziliście do systemu.
