Hosting a GDPR: jurisdikcia, logy a súkromie na webe

Keď prevádzkujete web, návštevníci vám zanechávajú údaje: IP adresy, informácie o prehliadači, prípadne formuláre. Tieto údaje sa nachádzajú na serveroch poskytovateľa hostingu. Pri téme hosting a GDPR z toho vyplýva niekoľko otázok o súkromí. Kto má k údajom prístup, kde sa nachádzajú a aké pravidlá sa na ne vzťahujú? Článok ponúka základnú orientáciu a nenahrádza právnu radu.

Prevádzkovateľ a sprostredkovateľ

Podľa GDPR (nariadenie (EÚ) 2016/679) je prevádzkovateľom ten, kto určuje účel a prostriedky spracúvania osobných údajov. Zvyčajne je to prevádzkovateľ webu. Poskytovateľ hostingu údaje spracúva v jeho mene, a preto je spravidla sprostredkovateľom. Vzťah má upravovať zmluva, ktorá stanoví povinnosti a zabezpečenie údajov.

Pred výberom služby si preto overte, či poskytovateľ takúto zmluvu ponúka a aké bezpečnostné opatrenia deklaruje. Pre konkrétne povinnosti vo vašej situácii sa poraďte s právnikom alebo s dozorným orgánom. Prehľad pojmov nájdete v slovníku.

Poloha serverov a jurisdikcia

Server sa fyzicky nachádza v nejakej krajine, no právny režim určuje aj sídlo poskytovateľa a jeho vlastnícka štruktúra. Pre prenos osobných údajov mimo Európskeho hospodárskeho priestoru platia osobitné pravidlá v kapitole V GDPR. Ak teda spracúvate údaje obyvateľov EÚ, zvyčajne je jednoduchšie zvoliť poskytovateľa, ktorý ich uchováva v EÚ.

Poloha neznamená bezpečnosť. Rozhoduje aj to, aké zabezpečenie poskytovateľ uplatňuje a ako reaguje na žiadosti orgánov. Pre projekty so zvýšenými nárokmi na súkromie je dobré zvážiť, ako sa údaje šifrujú a kto drží kľúče. Podobné otázky sa týkajú VPN a iných služieb, pri ktorých ide o dôveru.

Logy webového servera

Webové servery štandardne zapisujú záznamy o každej požiadavke vrátane IP adresy návštevníka. IP adresa môže byť podľa okolností osobný údaj. Preto je dobré rozhodnúť, aké logy skutočne potrebujete, ako dlho ich uchovávate a či sa dajú adresy skrátiť alebo anonymizovať. Podrobnosti o adresách sme opísali v článku o IP adrese.

Logy zároveň slúžia na bezpečnosť, pretože pomáhajú odhaliť útoky a chyby. Medzi súkromím a bezpečnosťou treba nájsť rozumný kompromis a ten zdokumentovať. Prístup k logom obmedzte a po uplynutí doby uchovávania ich pravidelne mažte.

Externé služby na webe

Súkromie návštevníkov neovplyvňuje len hosting. Vložené písma, skripty, mapy a analytické nástroje z cudzích serverov posielajú ich údaje tretím stranám. Ak chcete minimalizovať únik údajov, prevádzkujte potrebné súčasti vlastným hostingom a zbytočné odstráňte. Návštevník tak komunikuje len s jedným serverom.

Informujte návštevníkov o tom, aké údaje spracúvate, jasným a zrozumiteľným textom. Zásady spracúvania majú zodpovedať skutočnosti. Viac o ochrane údajov nájdete v kategórii osobné údaje a o šifrovaní prenosu v prehľade prehliadačov.

Čo si zapísať do vlastnej dokumentácie

Užitočné je viesť jednoduchý prehľad: kde sú servery, kto je poskytovateľ, aká zmluva je uzavretá, aké logy sa zapisujú a ako dlho sa uchovávajú. Takýto dokument pomôže pri odpovedi na žiadosť dotknutej osoby aj pri výbere nového poskytovateľa. Nemusí byť dlhý, dôležité je, aby zodpovedal skutočnosti.

Pri zmene poskytovateľa alebo pri väčšej úprave webu prehľad prejdite znova. Ak sa niečo zmenilo, aktualizujte ho. Právne otázky, najmä pri komplikovanejšom spracúvaní alebo prenose údajov, konzultujte s odborníkom, pretože konkrétne povinnosti závisia od vašej situácie.