Coraz większa popularność rozwiązań cloud computing i szerokie możliwości wykorzystywania tej technologii w procesach związanych z przetwarzaniem danych osobowych rodzi szereg pytań. Czy dane w chmurze są bezpieczne? Czy przetwarzanie danych w takiej formule jest legalne? Dziś kilka słów na temat chmury i zagrożeń, które są z nią związane.
Usługa cloud computing, czyli przetwarzania w chmurze obliczeniowej, w dużym skrócie, polega na umożliwieniu jej odbiorcy wykorzystania dostępnych zdalnie zasobów do przetwarzania informacji. Użytkownik chmury nie nabywa określonego nośnika, na którym może przechowywać dane, czy też egzemplarza programu komputerowego, uzyskuje możliwość dostępu i wykorzystania rozproszonych zasobów obliczeniowych. Usługa taka może więc w rezultacie przyjąć jedną z następujących postaci:
IaaS (Infrastructure as a Service) – usługi polegającej na udostępnieniu użytkownikowi infrastruktury informatycznej, np. przestrzeni dyskowej lub mocy obliczeniowej, możliwej do wykorzystania online, bez konieczności zakupu i stałego utrzymywania określonych urządzeń.
SaaS (Software as a Service) – usługi polegającej na udostępnieniu użytkownikowi oprogramowania pracującego w chmurze i dostępnego zdalnie, bez konieczności jego instalacji na urządzeniu końcowym.
PaaS (Platform as a Service) – usługi udostępnienia całej platformy obliczeniowej, obejmującej infrastrukturę oraz system operacyjny.
W każdym z tych wariantów może dojść do przetwarzania danych osobowych. Przedsiębiorcy masowo wykorzystują udostępnianą im przestrzeń dyskową do przechowywania dokumentacji kadrowej zawierającej dane osobowe pracowników i kandydatów do pracy. Bardzo częste staje się również korzystanie w ramach prowadzonej działalności z oprogramowania dostarczanego w modelu SaaS, a służącego np. do obsługi masowej korespondencji mailowej z klientami. Czy takie wykorzystanie chmury jest zgodne z prawem? Tak, choć pod pewnymi warunkami…
Usługi cloud computing należą obecnie do najpopularniejszych usług IT dla biznesu. W pierwszej kolejności przedsiębiorca chcący wykorzystać chmurę do wykonywania operacji na danych osobowych, jako ich administrator, winien pamiętać o podstawowym obowiązku jaki nakłada na niego ustawa o ochronie danych osobowych w każdym przypadku zaangażowania podmiotu trzeciego w proces przetwarzania danych. Mowa tu o konieczności zawarcia pisemnej umowy o powierzenie przetwarzania danych osobowych. Temat ten, dziś jedynie sygnalizowany, z uwagi na swoją praktyczną doniosłość, zasługuje na osoby wpis. Dlatego też, na temat umowy o powierzeniu szerzej w kolejnych notkach.
Wracając jednak do tematu cloud computing, korzystanie z chmury w celu przetwarzania danych osobowych zawsze budzi wątplwiości w zakresie bezpieczeństwa tych danych. Podmioty oferujące usługę cloud computing korzystają często z infrastruktury zewnętrznej, również współdzielonej przez kilku usługodawców. Równie często podmioty te, z uwagi na złożoność procesów zachodzących w chmurze, posiłkują się szeregiem podwykonawców, odpowiedzialnych za poszczególne elementy kompleksowej usługi cloud computing. Powoduje to, że operacje na danych umieszczonych w chmurze podejmują liczne, często anonimowe dla administratora podmioty. Sytuacja taka, z punktu widzenia przepisów ustawy o ochronie danych osobowych, jest niedopuszczalna.
Przedsiębiorca, jako administrator danych musi zadbać, aby umowa z dostawcą usługi wyraźnie określała jakie podmioty i w jakim zakresie uzyskują dostęp do przetwarzanych w chmurze danych osobowych oraz wskazywać, czy podmioty te spełniają wszelkie, narzucone przez ustawę wymogi bezpieczeństwa danych.
Specyfika chmury, opartej jak wspomniano na założeniu wykorzystania zasobów dostępnych zdalnie, lecz fizycznie położonych w wielu, nieokreślonych bliżej lokalizacjach rodzi problem określenia miejsca przetwarzania powierzonych danych osobowych. Z jednej strony, powoduje to częściową utratę przez administratora kontroli nad procesem przetwarzania danych, z drugiej zaś grozi przekazaniem danych do państwa trzeciego, co obwarowane jest szczególnymi wymogami.
Dlatego też, umowa o powierzeniu przetwarzania danych winna określać fizyczną lokalizację serwerów, na których przechowywane będą dane osobowe, a w przypadku, gdy lokalizacja ta nie znajduje się na terytorium Europejskiego Obszaru Gospodarczego, również gwarantować, że podmiot przetwarzający dane na zlecenie administratora spełnia wymogi określone w tzw. programie Safe Harbor (więcej na temat „Bezpiecznej Przystani” już niebawem!).
Jak widać, chmura nie zawsze jest bezpiecznym środowiskiem dla przetwarzanych danych osobowych. Choć GIODO w swych wytycznych wyraźnie dopuszcza wykorzystanie narzędzi cloud computing do wykonywania operacji na danych, procesy te muszą być wykonywane w ściśle określonych warunkach, zapewniających bezpieczeństwo przetwarzania. Warunki te stosunkowo łatwo spełni przedsiębiorca wykorzystujący chmurę prywatną, wykorzystywaną wyłącznie w ramach jednej organizacji, np. grupy kapitałowej. W przypadku chmury publicznej, jak wspomniano, kwestia ta jest już bardziej złożona.
Jak widzicie, temat ochrony danych osobowych w kontekście cloud computing jest dość złożony. Dziś starałem się naświetlić najważniejsze aspekty tego zagadnienia, ale mając na uwadze jego aktualność, myślę że nie raz do niego powrócę.
