ΟΜΑΔΑ ΕΡΓΑΣΙΑΣ ΤΟΥ ΑΡΘΡΟΥ 29 ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΔΕΔΟΜΕΝΩΝ

Transcript

1 ΟΜΑΔΑ ΕΡΓΑΣΙΑΣ ΤΟΥ ΑΡΘΡΟΥ 29 ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΔΕΔΟΜΕΝΩΝ 01037/12/EL WP 196 Γνώμη 05/2012 σχετικά με τη νεφοϋπολογιστική της 1ης Ιουλίου 2012 Η εν λόγω ομάδα εργασίας συστάθηκε δυνάμει του άρθρου 29 της οδηγίας 95/46/ΕΚ. Είναι ανεξάρτητο ευρωπαϊκό συμβουλευτικό όργανο για την προστασία των δεδομένων και της ιδιωτικής ζωής. Τα καθήκοντά της περιγράφονται στο άρθρο 30 της οδηγίας 95/46/ΕΚ και στο άρθρο 15 της οδηγίας 2002/58/ΕΚ. Χρέη γραμματείας της ομάδας ασκεί η ιεύθυνση C (Θεμελιώδη δικαιώματα και ιθαγένεια της Ένωσης) της Ευρωπαϊκής Επιτροπής, Γενική ιεύθυνση ικαιοσύνης, B-1049 Brussels, Belgium, Γραφείο MO-59 02/013. ικτυακός τόπος: 1

2 Περίληψη Στην παρούσα γνώμη η ομάδα εργασίας του άρθρου 29 εξετάζει αναλυτικά όλα τα θέματα που σχετίζονται με τους παρόχους υπηρεσιών νεφοϋπολογιστικής οι οποίοι δραστηριοποιούνται στον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ) και με τους πελάτες τους, αναφέροντας αναλυτικά όλες τις εφαρμοστέες αρχές της οδηγίας 95/46/ΕΚ για την προστασία των δεδομένων και της οδηγίας 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (όπως αναθεωρήθηκε με την οδηγία 2009/136/ΕΚ) κατά περίπτωση. Τα οφέλη της νεφοϋπολογιστικής σε οικονομικό και κοινωνικό επίπεδο είναι ευρέως αναγνωρισμένα. Η παρούσα γνώμη, εντούτοις, εστιάζει στους κινδύνους που μπορεί να εγκυμονεί η ευρεία ανάπτυξη υπηρεσιών νεφοϋπολογιστικής για την προστασία των δεδομένων, με κυριότερους την έλλειψη ελέγχου επί των δεδομένων προσωπικού χαρακτήρα και την ανεπάρκεια πληροφοριών σχετικά με τον τρόπο με τον οποίο, πού και από ποιον (υπό-)εκτελείται η επεξεργασία των δεδομένων. Οι δημόσιοι φορείς και οι ιδιωτικές επιχειρήσεις πρέπει να προβαίνουν σε προσεκτική αξιολόγηση των εν λόγω κινδύνων όταν εξετάζουν το ενδεχόμενο να χρησιμοποιήσουν τις υπηρεσίες κάποιου παρόχου υπηρεσιών νεφοϋπολογιστικής. Η παρούσα γνώμη εξετάζει ζητήματα που σχετίζονται με τον επιμερισμό πόρων μεταξύ διαφόρων χρηστών, με την έλλειψη διαφάνειας κατά μήκος της ενδεχόμενης αλυσίδας εξωτερικής ανάθεσης που αποτελείται από πολυάριθμους εκτελούντες την επεξεργασία και υπεργολάβους, με την απουσία κοινού παγκόσμιου πλαισίου φορητότητας δεδομένων, και με την αβεβαιότητα που περιβάλλει το παραδεκτό της διαβίβασης δεδομένων προσωπικού χαρακτήρα σε παρόχους υπηρεσιών νεφοϋπολογιστικής με έδρα εκτός του ΕΟΧ. Η γνώμη επισημαίνει ακόμη ως ζήτημα ιδιαίτερης σοβαρότητας την έλλειψη διαφάνειας που περιβάλλει τις πληροφορίες τις οποίες είναι σε θέση να παρέχει ο υπεύθυνος της επεξεργασίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα σχετικά με τον τρόπο επεξεργασίας των προσωπικών τους δεδομένων. Τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει 1 να πληροφορούνται ποιος επεξεργάζεται τα δεδομένα τους και για ποιους σκοπούς, και για να μπορούν να ασκούν τα δικαιώματα που διαθέτουν στο συγκεκριμένο θέμα. Βασικό συμπέρασμα της παρούσας γνώμης είναι ότι οι επιχειρήσεις και οι διοικητικές αρχές που επιθυμούν να κάνουν χρήση υπηρεσιών νεφοϋπολογιστικής προτείνεται να προβαίνουν καταρχάς σε ολοκληρωμένη και διεξοδική ανάλυση κινδύνων. Όλοι οι πάροχοι υπηρεσιών νεφοϋπολογιστικής που δραστηριοποιούνται εντός του ΕΟΧ προτείνεται να παρέχουν στους πελάτες τους όλες τις πληροφορίες που απαιτούνται ώστε οι τελευταίοι να μπορούν να αξιολογούν σωστά τα πλεονεκτήματα και τα μειονεκτήματα που έχει η χρήση των συγκεκριμένων υπηρεσιών. Η ασφάλεια των δεδομένων, η διαφάνεια και η ασφάλεια δικαίου προτείνεται να αποτελούν τους βασικούς άξονες της προσφοράς υπηρεσιών νεφοϋπολογιστικής σε πελάτες. 1 Στο παρόν έγγραφο, οι λέξεις-κλειδιά «ΠΡΕΠΕΙ ΝΑ», «ΔΕΝ ΠΡΕΠΕΙ ΝΑ», «ΑΠΑΙΤΕΙΤΑΙ», «ΘΑ ΠΡΕΠΕΙ ΝΑ», «ΔΕΝ ΘΑ ΠΡΕΠΕΙ ΝΑ», «ΠΡΟΤΕΙΝΕΤΑΙ ΝΑ», «ΔΕΝ ΠΡΟΤΕΙΝΕΤΑΙ ΝΑ», «ΣΥΝΙΣΤΑΤΑΙ ΝΑ», «ΔΥΝΑΤΑΙ ΝΑ» και «ΠΡΟΑΙΡΕΤΙΚΑ» πρέπει να ερμηνεύονται όπως περιγράφεται στο αίτημα για σχολιασμό (RFC) Το έγγραφο είναι διαθέσιμο στον δικτυακό τόπο Πάντως για λόγους διευκόλυνσης της ανάγνωσης της παρούσας γνώμης, οι προαναφερθείσες λέξεις δεν γράφονται με κεφαλαία γράμματα. 2

3 Όσον αφορά τις συστάσεις που διατυπώνονται στην παρούσα γνώμη, επισημαίνονται οι ευθύνες του πελάτη υπηρεσιών νεφοϋπολογιστικής ως υπεύθυνου της επεξεργασίας και συνιστάται, ως εκ τούτου, να επιλέγει ο πελάτης πάροχο υπηρεσιών νεφοϋπολογιστικής που εγγυάται τη συμμόρφωση προς τη νομοθεσία της ΕΕ περί προστασίας των δεδομένων. Στη γνώμη εξετάζεται ακόμη το ζήτημα των κατάλληλων συμβατικών εγγυήσεων και προτείνεται η σύμβαση μεταξύ του πελάτη και του παρόχου υπηρεσιών νεφοϋπολογιστικής να προβλέπει, ως απαίτηση, επαρκείς εγγυήσεις σε επίπεδο τεχνικών και οργανωτικών μέτρων. Εξέχουσας σημασίας είναι επίσης η σύσταση σύμφωνα με την οποία προτείνεται να εξακριβώνει ο πελάτης υπηρεσιών νεφοϋπολογιστικής εάν ο πάροχος υπηρεσιών νεφοϋπολογιστικής μπορεί να εγγυηθεί τη νομιμότητα ενδεχόμενης διεθνούς διαβίβασης δεδομένων. Όπως κάθε εξελικτική διαδικασία, η ανάπτυξη της νεφοϋπολογιστικής ως παγκόσμιου τεχνολογικού προτύπου κρύβει προκλήσεις. Αυτή καθαυτή η παρούσα γνώμη μπορεί να θεωρηθεί ως σημαντικό βήμα προς την κατεύθυνση του καθορισμού των συναφών καθηκόντων που καλούνται να αναλάβουν στο άμεσο μέλλον οι αρμόδιοι φορείς προστασίας των δεδομένων. 3

4 Περιεχόμενα Περίληψη Εισαγωγή Οι κίνδυνοι που εγκυμονεί η νεφοϋπολογιστική για την προστασία των δεδομένων Νομικό πλαίσιο Το πλαίσιο προστασίας των δεδομένων Εφαρμοστέο δίκαιο Καθήκοντα και ευθύνες των διαφόρων παραγόντων Πελάτης υπηρεσιών νεφοϋπολογιστικής και πάροχος υπηρεσιών νεφοϋπολογιστικής Υπεργολάβοι Απαιτήσεις περί προστασίας των δεδομένων στο πλαίσιο της σχέσης πελάτη-παρόχου Συμμόρφωση προς τις βασικές αρχές Διαφάνεια Προσδιορισμός και περιορισμός του σκοπού Διαγραφή δεδομένων Συμβατικές εγγυήσεις στο πλαίσιο της σχέσης (ή των σχέσεων) μεταξύ «υπεύθυνου της επεξεργασίας» και «εκτελούντος την επεξεργασία» Τεχνικά και οργανωτικά μέτρα προστασίας και ασφάλειας των δεδομένων Διαθεσιμότητα Ακεραιότητα Απόρρητο Διαφάνεια Απομόνωση των δεδομένων (περιορισμός του σκοπού) Δυνατότητα παρέμβασης Φορητότητα Λογοδοσία Διεθνής διαβίβαση δεδομένων Χώρες που τηρούν τις αρχές ασφαλούς λιμένα και χώρες που παρέχουν επαρκή προστασία Εξαιρέσεις Τυποποιημένες συμβατικές ρήτρες Δεσμευτικοί εταιρικοί κανόνες: προς μια παγκόσμια προσέγγιση Συμπεράσματα και συστάσεις Κατευθυντήριες γραμμές για πελάτες και παρόχους υπηρεσιών νεφοϋπολογιστικής Πιστοποιήσεις προστασίας των δεδομένων από τρίτους Συστάσεις: Μελλοντικές εξελίξεις ΠΑΡΑΡΤΗΜΑ α) Μοντέλα ανάπτυξης υπολογιστικού νέφους β) Μοντέλα παροχής υπηρεσιών

5 1. Εισαγωγή Για ορισμένους, η νεφοϋπολογιστική αποτελεί μία από τις μεγαλύτερες τεχνολογικές επαναστάσεις των τελευταίων ετών. Για άλλους, πάλι, δεν είναι παρά η φυσική εξέλιξη διαφόρων τεχνολογιών που επεδίωκαν την ανάπτυξη των επί μακρόν αναμενόμενων υπηρεσιών υπολογιστικής κοινής ωφέλειας (utility computing). Σε κάθε περίπτωση, πάντως, είναι μεγάλος ο αριθμός των ενδιαφερομένων που θέτουν τη νεφοϋπολογιστική στην πρώτη γραμμή της ανάπτυξης των τεχνολογικών στρατηγικών τους. Η νεφοϋπολογιστική συνίσταται σε ένα σύνολο τεχνολογιών και μοντέλων υπηρεσιών που εστιάζουν στη διαδικτυακή χρήση και παροχή εφαρμογών τεχνολογίας των πληροφοριών, στη δυνατότητα επεξεργασίας δεδομένων, στην παροχή χώρου αποθήκευσης δεδομένων και στην παροχή μνήμης. Η νεφοϋπολογιστική μπορεί να αποφέρει μεγάλα οικονομικά οφέλη, δεδομένου ότι η διαμόρφωση και η επέκταση των κατά παραγγελία πόρων στο Διαδίκτυο είναι πολύ εύκολες διαδικασίες, όπως και η πρόσβαση σε αυτούς. Εκτός από τα οικονομικά οφέλη, η νεφοϋπολογιστική δύναται να έχει οφέλη και σε επίπεδο ασφάλειας, καθώς οι επιχειρήσεις (κυρίως οι μικρομεσαίες) μπορούν να αποκτήσουν, με οριακό κόστος, κορυφαίες τεχνολογίες τις οποίες δεν θα είχαν τη δυνατότητα να αγοράσουν σε άλλη περίπτωση. Οι πάροχοι υπηρεσιών νεφοϋπολογιστικής προσφέρουν ευρύ φάσμα υπηρεσιών, που κυμαίνονται από συστήματα εικονικής επεξεργασίας (τα οποία αντικαθιστούν ή/και λειτουργούν παράλληλα με τους συμβατικούς διακομιστές υπό τον άμεσο έλεγχο του υπεύθυνου της επεξεργασίας) και υπηρεσίες που υποστηρίζουν την ανάπτυξη εφαρμογών και προηγμένες δυνατότητες φιλοξενίας, έως διαδικτυακές λύσεις λογισμικού οι οποίες μπορούν να αντικαταστήσουν τις συμβατικές εφαρμογές που εγκαθίστανται συνήθως στους προσωπικούς υπολογιστές των τελικών χρηστών. Σε αυτές περιλαμβάνονται εφαρμογές επεξεργασίας κειμένου, ατζέντες και ημερολόγια, συστήματα αρχειοθέτησης για επιγραμμική αποθήκευση εγγράφων και υπηρεσίες ηλεκτρονικού ταχυδρομείου παρεχόμενες από τρίτους. Στο παράρτημα της παρούσας γνώμης περιέχονται ορισμένοι από τους ευρύτερα χρησιμοποιούμενους ορισμούς για αυτούς τους διάφορους τύπους υπηρεσιών. Στην παρούσα γνώμη, η ομάδα εργασίας του άρθρου 29 εξετάζει αναλυτικά την ισχύουσα νομοθεσία και τις υποχρεώσεις που βαρύνουν τους υπεύθυνους της επεξεργασίας εντός του Ευρωπαϊκού Οικονομικού Χώρου (εφεξής «ΕΟΧ»), καθώς και τους παρόχους υπηρεσιών νεφοϋπολογιστικής που έχουν πελάτες εντός του ΕΟΧ. Η παρούσα γνώμη εξετάζει το θέμα από τη σκοπιά της σχέσης υπεύθυνου της επεξεργασίας-εκτελούντος την επεξεργασία, με τον πελάτη να θεωρείται ως υπεύθυνος της επεξεργασίας και τον πάροχο υπηρεσιών νεφοϋπολογιστικής να θεωρείται ως εκτελών την επεξεργασία. Σε περίπτωση που ο πάροχος υπηρεσιών νεφοϋπολογιστικής ενεργεί και ως υπεύθυνος της επεξεργασίας, τότε πρέπει να πληροί πρόσθετες απαιτήσεις. Ως εκ τούτου, προϋπόθεση για την αξιόπιστη και ασφαλή παροχή υπηρεσιών νεφοϋπολογιστικής είναι να προβαίνει ο υπεύθυνος της επεξεργασίας σε προσήκουσα εκτίμηση των κινδύνων, η οποία λαμβάνει υπόψη, μεταξύ άλλων, τις τοποθεσίες όπου βρίσκονται οι διακομιστές στους οποίους γίνεται η επεξεργασία των δεδομένων, καθώς επίσης να εξετάζει τους κινδύνους και τα οφέλη από τη σκοπιά της προστασίας των δεδομένων, σύμφωνα με τα κριτήρια που αναφέρονται στις παραγράφους που ακολουθούν. Η παρούσα γνώμη αναφέρει αναλυτικά τις βασικές αρχές της γενικής οδηγίας για την προστασία των δεδομένων (οδηγία 95/46/ΕΚ) που ισχύουν για τους υπεύθυνους της επεξεργασίας και τους εκτελούντες την επεξεργασία, όπως τον προσδιορισμό και τον 5

6 περιορισμό του σκοπού, τη διαγραφή δεδομένων και τα τεχνικά και οργανωτικά μέτρα. Η γνώμη παρέχει καθοδήγηση σχετικά με τις απαιτήσεις που πρέπει να προβλέπονται σε επίπεδο ασφάλειας, ως διαρθρωτικές αλλά και διαδικαστικές εγγυήσεις. Ιδιαίτερη έμφαση δίδεται στις συμβατικές ρυθμίσεις που προτείνεται να διέπουν εν προκειμένω τη σχέση μεταξύ του υπεύθυνου της επεξεργασίας και του εκτελούντος την επεξεργασία. Οι συνήθεις στόχοι της ασφάλειας των δεδομένων είναι η διαθεσιμότητα, η ακεραιότητα και το απόρρητο. Η προστασία των δεδομένων όμως δεν περιορίζεται στην ασφάλειά τους και, ως εκ τούτου, οι προαναφερθέντες στόχοι συμπληρώνονται με τους ειδικούς στόχους προστασίας των δεδομένων, ήτοι τη διαφάνεια, την απομόνωση, τη δυνατότητα παρέμβασης και τη φορητότητα, έτσι ώστε να υποστηρίζεται πλήρως το δικαίωμα του ατόμου στην προστασία των δεδομένων, το οποίο κατοχυρώνεται στο άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων της ΕΕ. Όσον αφορά τις διαδικασίες διαβίβασης δεδομένων προσωπικού χαρακτήρα εκτός του ΕΟΧ, εξετάζονται αναλυτικά διάφορα μέσα όπως οι τυποποιημένες συμβατικές ρήτρες που έχει υιοθετήσει η Ευρωπαϊκή Επιτροπή, οι διαπιστώσεις περί επαρκούς προστασίας των δεδομένων, η ενδεχόμενη μελλοντική θέσπιση δεσμευτικών εταιρικών κανόνων για εκτελούντες την επεξεργασία, καθώς και οι κίνδυνοι που εγκυμονεί για την προστασία των δεδομένων η υποβολή αιτημάτων επιβολής του νόμου σε διεθνές επίπεδο. Στην τελευταία ενότητα της παρούσας γνώμης διατυπώνονται συστάσεις προς τους πελάτες υπηρεσιών νεφοϋπολογιστικής με την ιδιότητα των υπευθύνων της επεξεργασίας, προς τους παρόχους υπηρεσιών νεφοϋπολογιστικής με την ιδιότητα των εκτελούντων την επεξεργασία, και προς την Ευρωπαϊκή Επιτροπή σχετικά με μελλοντικές αλλαγές στο ευρωπαϊκό πλαίσιο προστασίας δεδομένων. Τον Απρίλιο του 2012, η διεθνής ομάδα εργασίας του Βερολίνου για την προστασία των δεδομένων στις τηλεπικοινωνίες ενέκρινε το μνημόνιο Sopot 2, το οποίο εξετάζει ζητήματα που άπτονται της προστασίας της ιδιωτικής ζωής και των δεδομένων στο πλαίσιο της νεφοϋπολογιστικής, επισημαίνει δε ότι η τελευταία δεν πρέπει να οδηγήσει σε υποβάθμιση των προτύπων προστασίας των δεδομένων σε σύγκριση με τη συμβατική επεξεργασία δεδομένων. 2. Οι κίνδυνοι που εγκυμονεί η νεφοϋπολογιστική για την προστασία των δεδομένων Η παρούσα γνώμη εστιάζει στις διαδικασίες επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο υπηρεσιών νεφοϋπολογιστικής. Ως εκ τούτου, εξετάζει μόνο τους κινδύνους που σχετίζονται άμεσα με το συγκεκριμένο θέμα 3. Οι κίνδυνοι αυτοί διακρίνονται στην πλειονότητα τους σε δύο μεγάλες κατηγορίες: στην έλλειψη ελέγχου επί των δεδομένων και στην ανεπάρκεια πληροφοριών σχετικά με την ίδια την επεξεργασία (έλλειψη διαφάνειας). Οι κίνδυνοι που εξετάζει η παρούσα γνώμη είναι αναλυτικά οι ακόλουθοι: Έλλειψη ελέγχου Εκτός από τους κινδύνους που σχετίζονται με τα δεδομένα προσωπικού χαρακτήρα τα οποία υφίστανται επεξεργασία «εντός του υπολογιστικού νέφους», οι οποίοι αναφέρονται ρητώς στην παρούσα γνώμη, πρέπει να λαμβάνονται υπόψη και όλοι οι κίνδυνοι που σχετίζονται με την ανάθεση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα σε τρίτους. 6

7 Διαθέτοντας δεδομένα προσωπικού χαρακτήρα στα συστήματα που τελούν υπό τη διαχείριση παρόχων υπηρεσιών νεφοϋπολογιστικής, οι πελάτες υπηρεσιών νεφοϋπολογιστικής ενδέχεται να χάνουν τον αποκλειστικό έλεγχο των συγκεκριμένων δεδομένων και να μην μπορούν πια να εφαρμόζουν τα τεχνικά και οργανωτικά μέτρα που απαιτούνται για τη διασφάλιση της διαθεσιμότητας, της ακεραιότητας, του απορρήτου, της διαφάνειας, της απομόνωσης 4, της δυνατότητας παρέμβασης και της φορητότητας των δεδομένων. Η έλλειψη ελέγχου δύναται να εκδηλωθεί με τους ακόλουθους τρόπους: o Έλλειψη διαθεσιμότητας λόγω έλλειψης διαλειτουργικότητας (εξάρτηση από τον εκάστοτε προμηθευτή): Εάν ο πάροχος υπηρεσιών νεφοϋπολογιστικής χρησιμοποιεί ιδιόκτητη τεχνολογία, ο πελάτης υπηρεσιών νεφοϋπολογιστικής ενδέχεται να δυσκολευτεί να μεταφέρει τα δεδομένα και τα έγγραφά του από ένα σύστημα που έχει ως βάση τη νεφοϋπολογιστική σε άλλο (φορητότητα δεδομένων) ή να ανταλλάξει πληροφορίες με οντότητες που χρησιμοποιούν υπηρεσίες νεφοϋπολογιστικής οι οποίες τελούν υπό τη διαχείριση διαφορετικών παρόχων (διαλειτουργικότητα). o Έλλειψη ακεραιότητας λόγω επιμερισμού των πόρων: Κάθε νέφος αποτελείται από επιμερισμένα συστήματα και υποδομές. Οι πάροχοι υπηρεσιών νεφοϋπολογιστικής επεξεργάζονται δεδομένα προσωπικού χαρακτήρα τα οποία προέρχονται από ευρύ φάσμα πηγών, τόσο από πρόσωπα στα οποία αναφέρονται τα δεδομένα όσο και από οργανισμούς, με επακόλουθο την πιθανότητα ύπαρξης αντικρουόμενων συμφερόντων ή/και διαφορετικών στόχων. o Μη τήρηση του απορρήτου σε περίπτωση υποβολής αιτημάτων για σκοπούς επιβολής του νόμου απευθείας σε παρόχους υπηρεσιών νεφοϋπολογιστικής: Οι αρχές επιβολής του νόμου των κρατών μελών της ΕΕ και τρίτων χωρών δύνανται να υποβάλλουν αιτήματα επιβολής του νόμου ζητώντας την κοινοποίηση δεδομένων προσωπικού χαρακτήρα που υφίστανται επεξεργασία εντός του υπολογιστικού νέφους. Ελλοχεύει έτσι ο κίνδυνος κοινοποίησης δεδομένων προσωπικού χαρακτήρα σε (ξένες) αρχές επιβολής του νόμου χωρίς έγκυρη ενωσιακή νομική βάση, με αποτέλεσμα να παραβιάζεται η νομοθεσία της ΕΕ περί προστασίας των δεδομένων. o Αδυναμία παρέμβασης λόγω της πολυπλοκότητας και της δυναμικής της αλυσίδας εξωτερικής ανάθεσης: Κάθε υπηρεσία νεφοϋπολογιστικής που παρέχεται από έναν πάροχο μπορεί να είναι αποτέλεσμα συνδυασμού υπηρεσιών οι οποίες παρέχονται από διάφορους άλλους παρόχους, ο αριθμός των οποίων μπορεί να αυξομειώνεται δυναμικά κατά τη διάρκεια ισχύος της σύμβασης του πελάτη. o Αδυναμία παρέμβασης (δικαιώματα των προσώπων στα οποία αναφέρονται τα δεδομένα): Οι πάροχοι υπηρεσιών νεφοϋπολογιστικής είναι πιθανό να μην παρέχουν στον υπεύθυνο της επεξεργασίας τα μέτρα και τα εργαλεία που χρειάζεται για να διαχειρίζεται ευκολότερα τα δεδομένα (π.χ. πρόσβαση σε αυτά και διόρθωση ή διαγραφή τους). o Έλλειψη απομόνωσης των δεδομένων: Οι πάροχοι υπηρεσιών νεφοϋπολογιστικής είναι πιθανό να εκμεταλλεύονται τον φυσικό έλεγχο που ασκούν επί δεδομένων που προέρχονται από διαφορετικούς πελάτες με σκοπό τη σύνδεση των δεδομένων προσωπικού χαρακτήρα μεταξύ τους. Εάν παρέχονται στους διαχειριστές επαρκώς προνομιακά δικαιώματα πρόσβασης που διευκολύνουν το έργο τους (ρόλοι υψηλού κινδύνου), τότε μπορούν κάλλιστα να συνδέουν τις πληροφορίες που προέρχονται από διαφορετικούς πελάτες. 4 Στη Γερμανία χρησιμοποιείται πλέον η ευρύτερη έννοια της «μη συνδεσιμότητας». Πρβλ. υποσημείωση 24 ακολούθως. 7

8 Έλλειψη πληροφοριών όσον αφορά την επεξεργασία (διαφάνεια) Η μη παροχή επαρκών πληροφοριών σχετικά με τις διαδικασίες επεξεργασίας που εκπονούνται στο πλαίσιο της παροχής υπηρεσιών νεφοϋπολογιστικής εγκυμονεί κινδύνους για τους υπεύθυνους της επεξεργασίας καθώς και για τα πρόσωπα στα οποία αναφέρονται τα δεδομένα, καθώς δεν τους επιτρέπει να γνωρίζουν τις πιθανές απειλές και τους κινδύνους, με αποτέλεσμα να μην λαμβάνουν τα μέτρα που θεωρούν αναγκαία. Για κάποιες δυνητικές απειλές δύναται μάλιστα να ευθύνεται ο υπεύθυνος της επεξεργασίας ο οποίος δεν γνωρίζει ότι o τα δεδομένα υφίστανται αλυσιδωτή επεξεργασία στην οποία συμμετέχουν πολυάριθμοι εκτελούντες την επεξεργασία και υπεργολάβοι. o τα δεδομένα προσωπικού χαρακτήρα υφίστανται επεξεργασία σε διαφορετικές γεωγραφικές τοποθεσίες εντός του ΕΟΧ, γεγονός που έχει άμεσο αντίκτυπο στη νομοθεσία η οποία διέπει τις διαφορές που ενδέχεται να προκύψουν μεταξύ χρήστη και παρόχου όσον αφορά την προστασία των δεδομένων. o τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε τρίτες χώρες εκτός του ΕΟΧ. Είναι πιθανόν οι τρίτες χώρες να μην εξασφαλίζουν επαρκές επίπεδο προστασίας των δεδομένων και η διαβίβαση των τελευταίων να μην προστατεύεται από κατάλληλα μέτρα (π.χ. τυποποιημένες συμβατικές ρήτρες ή δεσμευτικούς εταιρικούς κανόνες), και, ως εκ τούτου, ενδέχεται να είναι παράνομη. Τα πρόσωπα στα οποία αναφέρονται τα δεδομένα προσωπικού χαρακτήρα που υφίστανται επεξεργασία εντός του υπολογιστικού νέφους πρέπει οπωσδήποτε να ενημερώνονται για την ταυτότητα του υπεύθυνου της επεξεργασίας των δεδομένων και για τον σκοπό της επεξεργασίας (απαίτηση η οποία προβλέπεται ήδη για όλους τους υπεύθυνους της επεξεργασίας στην οδηγία 95/46/ΕΚ για την προστασία των δεδομένων). Λόγω της ενδεχόμενης πολυπλοκότητας των αλυσιδωτών διαδικασιών επεξεργασίας εντός του εκάστοτε υπολογιστικού νέφους, για να εξασφαλίζεται η θεμιτή επεξεργασία έναντι του προσώπου στο οποίο αναφέροντα τα δεδομένα (άρθρο 10 της οδηγίας 95/46/ΕΚ), οι υπεύθυνοι της επεξεργασίας προτείνεται επίσης, στο πλαίσιο ορθής πρακτικής, να παρέχουν περαιτέρω πληροφορίες σχετικά με τους (υπό-)εκτελούντες την επεξεργασία που παρέχουν τις υπηρεσίες νεφοϋπολογιστικής. 3. Νομικό πλαίσιο 3.1 Το πλαίσιο προστασίας των δεδομένων Το συναφές νομικό πλαίσιο είναι η οδηγία 95/46/ΕΚ για την προστασία των δεδομένων, η οποία ισχύει σε κάθε περίπτωση στην οποία γίνεται επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τη χρήση υπηρεσιών νεφοϋπολογιστικής. Η οδηγία 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (όπως αναθεωρήθηκε με την οδηγία 2009/136/ΕΚ) ισχύει σε περιπτώσεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που σχετίζονται με την παροχή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών σε δημόσια δίκτυα επικοινωνιών (φορείς εκμετάλλευσης τηλεπικοινωνιών) και, ως εκ τούτου, εφαρμόζεται όταν οι συναφείς υπηρεσίες παρέχονται μέσω υπολογιστικού νέφους 5. 5 Οδηγία 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στις τηλεπικοινωνίες (όπως τροποποιήθηκε με την οδηγία 2009/136/ΕΚ): Η οδηγία 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές 8

9 3.2 Εφαρμοστέο δίκαιο Τα κριτήρια βάσει των οποίων προσδιορίζεται το εκάστοτε εφαρμοστέο δίκαιο παρατίθενται στο άρθρο 4 της οδηγίας 95/46/ΕΚ, το οποίο αναφέρεται στη νομοθεσία που διέπει τους εγκατεστημένους σε ένα ή περισσότερα σημεία εντός του ΕΟΧ υπεύθυνους της επεξεργασίας 6, καθώς επίσης και στη νομοθεσία που διέπει τους εγκατεστημένους εκτός του ΕΟΧ υπεύθυνους της επεξεργασίας οι οποίοι όμως χρησιμοποιούν για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα μέσα εγκατεστημένα εντός του ΕΟΧ. Η ομάδα εργασίας του άρθρου 29 έχει εξετάσει το ζήτημα αυτό στη γνώμη 8/2010 που έχει εκδώσει για το εφαρμοστέο δίκαιο 7. Στην πρώτη περίπτωση, το κριτήριο για την εφαρμογή ή όχι της νομοθεσίας της ΕΕ στον υπεύθυνο της επεξεργασίας είναι η τοποθεσία όπου είναι εγκατεστημένος και οι δραστηριότητες που επιτελεί, σύμφωνα με το άρθρο 4 παράγραφος 1 στοιχείο α) της οδηγίας, ενώ κανέναν ρόλο δεν παίζει το μοντέλο παροχής υπηρεσιών νεφοϋπολογιστικής. Στην περίπτωση αυτή, εφαρμόζεται το δίκαιο της χώρας στην οποία είναι εγκατεστημένος ο υπεύθυνος της επεξεργασίας που έχει συνάψει σύμβαση για την παροχή υπηρεσιών νεφοϋπολογιστικής και όχι το δίκαιο της χώρας στην οποία είναι εγκατεστημένοι οι πάροχοι υπηρεσιών νεφοϋπολογιστικής. Εάν ο υπεύθυνος της επεξεργασίας είναι εγκατεστημένος στο έδαφος περισσότερων του ενός κρατών μελών και προβαίνει σε επεξεργασία των δεδομένων στο πλαίσιο των δραστηριοτήτων του στις χώρες αυτές, τότε εφαρμόζεται το δίκαιο καθενός εκ των κρατών μελών στο οποίο λαμβάνει χώρα η εν λόγω επεξεργασία. Το άρθρο 4 παράγραφος 1 στοιχείο γ) 8 αναφέρεται στον τρόπο εφαρμογής της νομοθεσίας περί προστασίας των δεδομένων στους υπεύθυνους της επεξεργασίας που δεν είναι μεν εγκατεστημένοι στον ΕΟΧ, αλλά χρησιμοποιούν μέσα, αυτοματοποιημένα ή όχι, ευρισκόμενα στο έδαφος κράτους μέλους, εκτός εάν τα μέσα αυτά χρησιμοποιούνται μόνο με σκοπό τη διέλευση. Αυτό σημαίνει ότι εάν κάποιος πελάτης υπηρεσιών νεφοϋπολογιστικής είναι εγκατεστημένος εκτός του ΕΟΧ αλλά έχει προσλάβει πάροχο υπηρεσιών νεφοϋπολογιστικής εγκατεστημένο εντός του ΕΟΧ, η νομοθεσία περί προστασίας των δεδομένων που διέπει τον πάροχο επεκτείνεται και στον πελάτη. 3.3 Καθήκοντα και ευθύνες των διαφόρων παραγόντων Όπως προαναφέρθηκε, στην παροχή υπηρεσιών νεφοϋπολογιστικής εμπλέκονται πολλοί και διάφοροι φορείς. Η αξιολόγηση και η αποσαφήνιση του ρόλου κάθε επιμέρους φορέα είναι επικοινωνίες ισχύει για τους παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών που διατίθενται στο κοινό και τους υποχρεώνει να διασφαλίζουν τη συμμόρφωση προς τις υποχρεώσεις που απορρέουν από το απόρρητο των επικοινωνιών και την προστασία των δεδομένων προσωπικού χαρακτήρα, καθώς και τα δικαιώματα και τις υποχρεώσεις σε ό,τι αφορά δίκτυα και υπηρεσίες ηλεκτρονικών επικοινωνιών. Εάν οι πάροχοι υπηρεσιών νεφοϋπολογιστικής ενεργούν και ως πάροχοι υπηρεσιών ηλεκτρονικών επικοινωνιών που διατίθενται στο κοινό, τότε διέπονται από τη συγκεκριμένη οδηγία. Η έννοια του «υπεύθυνου της επεξεργασίας» ορίζεται στο άρθρο 2 στοιχείο η) της οδηγίας και έχει εξεταστεί αναλυτικά από την ομάδα εργασίας του άρθρου 29 στη γνώμη 1/2010 που έχει εκδώσει σχετικά με τις έννοιες του «υπεύθυνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία». Σύμφωνα με το άρθρο 4 παράγραφος 1 στοιχείο γ), εάν «ο υπεύθυνος της επεξεργασίας δεν είναι εγκατεστημένος στο έδαφος της Κοινότητας και για τους σκοπούς της επεξεργασίας δεδομένων προσωπικού χαρακτήρα προσφεύγει σε μέσα, αυτοματοποιημένα ή όχι, ευρισκόμενα στο έδαφος του κράτους μέλους, εκτός εάν τα μέσα αυτά χρησιμοποιούνται μόνο με σκοπό τη διέλευση από το έδαφος της Ευρωπαϊκής Κοινότητας, τότε εφαρμόζεται η νομοθεσία του εν λόγω κράτους μέλους». 9

10 ζωτικής σημασίας για τον προσδιορισμό των συγκεκριμένων υποχρεώσεών τους που απορρέουν από τη νομοθεσία περί προστασίας των δεδομένων. Υπενθυμίζεται στο σημείο αυτό ότι η ομάδα εργασίας του άρθρου 29 επισημαίνει στη γνώμη 1/2010 που έχει εκδώσει σχετικά με τις έννοιες του «υπεύθυνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία» ότι «ο πρώτος και βασικός ρόλος της έννοιας του υπεύθυνου της επεξεργασίας είναι να καθορίζει ποιος είναι υπεύθυνος για τη συμμόρφωση προς τους κανόνες προστασίας των δεδομένων, και με ποιον τρόπο τα πρόσωπα στα οποία αναφέρονται τα δεδομένα μπορούν να ασκήσουν τα δικαιώματά τους στην πράξη. Με άλλα λόγια: η κατανομή αρμοδιοτήτων.» Οι φορείς τους οποίους αφορά η παρούσα ανάλυση προτείνεται να έχουν πάντοτε υπόψη τους αυτά τα δύο γενικά κριτήρια, ήτοι τη συμμόρφωση και την κατανομή αρμοδιοτήτων Πελάτης υπηρεσιών νεφοϋπολογιστικής και πάροχος υπηρεσιών νεφοϋπολογιστικής Ο πελάτης υπηρεσιών νεφοϋπολογιστικής καθορίζει τον τελικό σκοπό της επεξεργασίας και αποφασίζει ή όχι να αναθέσει την επεξεργασία και την εκχώρηση του συνόλου ή μέρους των δραστηριοτήτων επεξεργασίας σε εξωτερικό τρίτο οργανισμό. Ο πελάτης υπηρεσιών νεφοϋπολογιστικής ενεργεί, επομένως, ως υπεύθυνος της επεξεργασίας δεδομένων. Σύμφωνα με την οδηγία, ως υπεύθυνος της επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή οποιοσδήποτε άλλος φορέας που μόνος ή από κοινού με άλλους καθορίζει τους στόχους και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα». Ο πελάτης υπηρεσιών νεφοϋπολογιστικής, ως υπεύθυνος της επεξεργασίας, πρέπει να αποδέχεται την ευθύνη της συμμόρφωσης προς τη νομοθεσία περί προστασίας των δεδομένων, είναι δε υπεύθυνος για όλες τις νομικές υποχρεώσεις που αναφέρονται στην οδηγία 95/46/ΕΚ. Ο πελάτης υπηρεσιών νεφοϋπολογιστικής δύναται να αναθέτει στον πάροχο υπηρεσιών νεφοϋπολογιστικής το καθήκον να επιλέγει τις μεθόδους και τα τεχνικά ή οργανωτικά μέσα που θα χρησιμοποιήσει για να επιτύχει τους σκοπούς του υπευθύνου της επεξεργασίας. Ο πάροχος υπηρεσιών νεφοϋπολογιστικής είναι η οντότητα που παρέχει τις υπηρεσίες νεφοϋπολογιστικής στις διάφορες προαναφερθείσες μορφές. Όταν ο πάροχος υπηρεσιών νεφοϋπολογιστικής παρέχει τα μέσα και την πλατφόρμα, ενεργώντας εξ ονόματος του πελάτη υπηρεσιών νεφοϋπολογιστικής, τότε θεωρείται ως εκτελών την επεξεργασία, ήτοι σύμφωνα με την οδηγία 95/46/ΕΚ «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή οποιοσδήποτε άλλος φορέας που επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας» 9,10. Όπως αναφέρεται στη γνώμη 1/2010, μπορούν να χρησιμοποιηθούν ορισμένα κριτήρια 11 για την αξιολόγηση της ευθύνης της επεξεργασίας. Είναι γεγονός ότι μπορεί να υπάρχουν περιπτώσεις στις οποίες ο πάροχος υπηρεσιών νεφοϋπολογιστικής δύναται να θεωρείται είτε Η παρούσα γνώμη εστιάζει μόνο στη συνήθη σχέση υπεύθυνου της επεξεργασίας-εκτελούντος την επεξεργασία. Η νεφοϋπολογιστική μπορεί επίσης να χρησιμοποιηθεί από φυσικά πρόσωπα (χρήστες) για την επιτέλεση αποκλειστικά προσωπικών ή οικιακών δραστηριοτήτων. Σε αυτήν την περίπτωση, πρέπει να εξετάζεται αναλυτικά εάν ισχύει η εξαίρεση περί των οικιακών δραστηριοτήτων δυνάμει της οποίας οι χρήστες δεν χαρακτηρίζονται ως υπεύθυνοι της επεξεργασίας. Το συγκεκριμένο ζήτημα, πάντως, δεν εμπίπτει στο πεδίο εφαρμογής της παρούσας γνώμης. Π.χ. επίπεδο εντολών, παρακολούθηση από τον πελάτη υπηρεσιών νεφοϋπολογιστικής, εμπειρογνωμοσύνη των μερών 10

11 ως υπεύθυνος της επεξεργασίας από κοινού με άλλους είτε ως μόνος υπεύθυνος της επεξεργασίας, αναλόγως των πραγματικών περιστάσεων. Τέτοια περίπτωση είναι, π.χ., η επεξεργασία δεδομένων εκ μέρους του παρόχου για δικούς του σκοπούς. Επισημαίνεται ότι οι υποχρεώσεις συμμόρφωσης προς τους κανόνες προστασίας των δεδομένων και οι ευθύνες σε περίπτωση πιθανής παραβίασής τους πρέπει να κατανέμονται με σαφήνεια ακόμη και σε περίπλοκα περιβάλλοντα επεξεργασίας δεδομένων, όπως κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα όπου εμπλέκονται διάφοροι υπεύθυνοι της επεξεργασίας, ώστε να αποφεύγεται το ενδεχόμενο υποβάθμισης του επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα ή «αρνητικής σύγκρουσης αρμοδιοτήτων» και εμφάνισης κενών που θα είχαν ως αποτέλεσμα τη μη διασφάλιση από κανέναν συμβαλλόμενο ορισμένων υποχρεώσεων ή δικαιωμάτων που απορρέουν από την οδηγία. Στο σενάριο νεφοϋπολογιστικής που εξετάζεται επί του παρόντος, οι πελάτες υπηρεσιών νεφοϋπολογιστικής είναι πιθανό να μην έχουν περιθώρια διαπραγμάτευσης των συμβατικών όρων χρήσης των υπηρεσιών νεφοϋπολογιστικής, καθώς πολλές υπηρεσίες νεφοϋπολογιστικής παρέχονται βάσει τυποποιημένων συμβάσεων. Ο πελάτης είναι, εντούτοις, αυτός που αποφασίζει τελικά να εκχωρήσει ή όχι μέρος ή το σύνολο των διαδικασιών επεξεργασίας σε υπηρεσίες νεφοϋπολογιστικής για συγκεκριμένους σκοπούς. Ο πάροχος υπηρεσιών νεφοϋπολογιστικής αναλαμβάνει έτσι ρόλο εργολάβου έναντι του πελάτη, και αυτό είναι εν προκειμένω το σημαντικό στοιχείο. Όπως αναφέρεται στη γνώμη 1/2010 της ομάδας εργασίας του άρθρου σχετικά με τις έννοιες του «υπεύθυνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία», «η ανισότητα διαπραγματευτικής ισχύος μεταξύ ενός μικρού υπεύθυνου της επεξεργασίας δεδομένων και μεγάλων παρόχων υπηρεσιών δεν πρέπει να θεωρείται δικαιολογία για τον υπεύθυνο της επεξεργασίας ώστε να δεχθεί συμβατικές ρήτρες και όρους οι οποίοι δεν είναι σύμφωνοι προς τη νομοθεσία για την προστασία των δεδομένων». Για τον λόγο αυτόν, ο υπεύθυνος της επεξεργασίας πρέπει να επιλέγει παρόχους υπηρεσιών νεφοϋπολογιστικής που εγγυώνται τη συμμόρφωση προς τη νομοθεσία περί προστασίας των δεδομένων. Ιδιαίτερη έμφαση πρέπει να δίδεται στα χαρακτηριστικά των ισχυουσών συμβάσεων οι οποίες πρέπει να περιέχουν μια δέσμη τυποποιημένων εγγυήσεων προστασίας των δεδομένων, μεταξύ των οποίων και τις εγγυήσεις που σκιαγραφούνται από την ομάδα εργασίας του άρθρου 29 στην ενότητα (Τεχνικά και οργανωτικά μέτρα) και στην ενότητα 3.5 (Διασυνοριακές ροές δεδομένων). Επίσης, έμφαση πρέπει να δίδεται και στους τυχόν πρόσθετους μηχανισμούς που συμβάλλουν στη δέουσα επιμέλεια και λογοδοσία (όπως ανεξάρτητους ελέγχους από τρίτους και πιστοποιήσεις των υπηρεσιών του εκάστοτε παρόχου βλ. ενότητα 4.2). Οι πάροχοι υπηρεσιών νεφοϋπολογιστικής (ως εκτελούντες την επεξεργασία) έχουν καθήκον να διασφαλίζουν το απόρρητο. Σύμφωνα με την οδηγία 95/46/ΕΚ: «Κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου της επεξεργασίας ή του εκτελούντος την επεξεργασία, περιλαμβανομένου του ιδίου του εκτελούντος την επεξεργασία, και έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, μπορεί να τα επεξεργασθεί μόνο κατ' εντολή του υπευθύνου της επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το νόμο». Η πρόσβαση του παρόχου υπηρεσιών νεφοϋπολογιστικής σε δεδομένα κατά τη διάρκεια της εκ μέρους του παροχής των συναφών υπηρεσιών διέπεται επίσης ρητά από την απαίτηση συμμόρφωσης προς τις διατάξεις του άρθρου 17 της οδηγίας βλ. ενότητα Γνώμη 1/2010 σχετικά με τις έννοιες του «υπεύθυνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία»

12 Οι εκτελούντες την επεξεργασία πρέπει να λαμβάνουν υπόψη τους τον τύπο του εκάστοτε νεφοϋπολογιστικού συστήματος (δημόσιο, ιδιωτικό, κοινοτικό ή υβριδικό / IaaS, SaaS ή PaaS [βλ. παράρτημα α) μοντέλα ανάπτυξης νεφοϋπολογιστικού συστήματος - β) μοντέλα παροχής υπηρεσιών]) και το είδος της υπηρεσίας για την οποία έχει συνάψει σύμβαση ο πελάτης. Οι εκτελούντες την επεξεργασία οφείλουν να λαμβάνουν μέτρα ασφαλείας αντίστοιχα με εκείνα που προβλέπονται στη νομοθεσία της ΕΕ, όπως εφαρμόζονται στις δικαιοδοσίες του υπεύθυνου της επεξεργασίας και του εκτελούντος την επεξεργασία. Οι εκτελούντες την επεξεργασία πρέπει ακόμη να στηρίζουν και να συνδράμουν τον υπεύθυνο της επεξεργασίας στο καθήκον της συμμόρφωσής του προς τα (ασκούμενα) δικαιώματα των προσώπων στα οποία αναφέρονται τα δεδομένα Υπεργολάβοι Στην παροχή υπηρεσιών νεφοϋπολογιστικής δύναται να εμπλέκονται διάφοροι συμβαλλόμενοι που ενεργούν ως εκτελούντες την επεξεργασία. Συνηθίζεται επίσης οι εκτελούντες την επεξεργασία να προσλαμβάνουν με υπεργολαβία πρόσθετους (υπό- )εκτελούντες την επεξεργασία, οι οποίοι αποκτούν με τη σειρά τους πρόσβαση στα δεδομένα προσωπικού χαρακτήρα. Εάν οι εκτελούντες την επεξεργασία αναθέτουν με υπεργολαβία υπηρεσίες σε (υπό-)εκτελούντες την επεξεργασία, υποχρεούνται να κοινοποιούν τις συναφείς πληροφορίες στον πελάτη, αναφέροντας αναλυτικά το είδος των υπηρεσιών που έχουν ανατεθεί με υπεργολαβία, τα χαρακτηριστικά των τρεχόντων ή δυνητικών υπεργολάβων και τις εγγυήσεις συμμόρφωσης προς την οδηγία 95/46/ΕΚ που παρέχουν οι τελευταίοι στον πάροχο υπηρεσιών νεφοϋπολογιστικής. Όλες οι συναφείς υποχρεώσεις πρέπει, επομένως, να ισχύουν και για τους (υπό-)εκτελούντες την επεξεργασία μέσω συμβάσεων μεταξύ του παρόχου υπηρεσιών νεφοϋπολογιστικής και του υπεργολάβου, οι οποίες αντικατοπτρίζουν τις διατάξεις της σύμβασης ανάμεσα στον πελάτη και στον πάροχο υπηρεσιών νεφοϋπολογιστικής. Στη γνώμη 1/2010 που έχει εκδώσει σχετικά με τις έννοιες του «υπεύθυνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία», η ομάδα εργασίας του άρθρου 29 αναφέρεται στην πληθώρα των εκτελούντων την επεξεργασία σε περιπτώσεις στις οποίες οι εκτελούντες την επεξεργασία έχουν ενδεχομένως άμεση σχέση με τον υπεύθυνο της επεξεργασίας ή ενεργούν ως υπεργολάβοι στους οποίους οι εκτελούντες την επεξεργασία έχουν εκχωρήσει με εξωτερική ανάθεση μέρος του έργου της επεξεργασίας με το οποίο είναι επιφορτισμένοι. «Καμία διάταξη της οδηγίας δεν εμποδίζει να ορισθούν, λόγω οργανωτικών απαιτήσεων, περισσότερες οντότητες ως εκτελούντες την επεξεργασία ή ως (υπό-)εκτελούντες την επεξεργασία των δεδομένων υποδιαιρώντας επίσης τα σχετικά καθήκοντα. Ωστόσο, όλες πρέπει να συμμορφώνονται προς τις εντολές του υπευθύνου της επεξεργασίας των δεδομένων κατά την εκτέλεση της επεξεργασίας» 13. Σε τέτοια σενάρια, προτείνεται να καθορίζονται με σαφήνεια οι υποχρεώσεις και οι αρμοδιότητες που απορρέουν από τη νομοθεσία περί προστασίας των δεδομένων και να μην διασκορπίζονται σε ολόκληρη την αλυσίδα εξωτερικής ανάθεσης ή υπεργολαβίας, έτσι ώστε να διασφαλίζεται ο αποτελεσματικός έλεγχος των δραστηριοτήτων επεξεργασίας και να αποδίδονται με σαφήνεια οι αντίστοιχες ευθύνες. Ένα μοντέλο εγγυήσεων που μπορεί ενδεχομένως να χρησιμοποιηθεί για τον σαφή καθορισμό των καθηκόντων και των υποχρεώσεων των εκτελούντων την επεξεργασία όταν 13 Πρβλ. WP169, σελ. 29, Γνώμη 1/2010 σχετικά με τις έννοιες του «υπεύθυνου της επεξεργασίας» και του «εκτελούντος την επεξεργασία» ( 12

13 αναθέτουν με υπεργολαβία την επεξεργασία δεδομένων θεσπίστηκε για πρώτη φορά με την απόφαση της Επιτροπής της 5ης Φεβρουαρίου 2010 σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες 14. Στο συγκεκριμένο μοντέλο, η υπό-εκτέλεση της επεξεργασίας επιτρέπεται μόνο με την προηγούμενη γραπτή συγκατάθεση του υπευθύνου της επεξεργασίας και δυνάμει γραπτής συμφωνίας η οποία επιβάλλει στον υπό-εκτελούντα την επεξεργασία τις ίδιες ακριβώς υποχρεώσεις που βαρύνουν τον εκτελούντα την επεξεργασία. Σε περίπτωση που ο υπό-εκτελών την επεξεργασία αδυνατεί να ανταποκριθεί στις συναφείς με την προστασία των δεδομένων υποχρεώσεις του που απορρέουν από τη γραπτή συμφωνία, ο εκτελών την επεξεργασία διατηρεί την πλήρη και απεριόριστη ευθύνη έναντι του υπευθύνου της επεξεργασίας για την εκπλήρωση των υποχρεώσεων του υπόεκτελούντος την επεξεργασία που απορρέουν από τη συμφωνία. Μια τέτοια διάταξη θα μπορούσε να χρησιμοποιείται σε όλες τις συμβατικές ρήτρες μεταξύ του υπεύθυνου της επεξεργασίας και του παρόχου υπηρεσιών νεφοϋπολογιστικής, όταν ο τελευταίος σκοπεύει να παρέχει υπηρεσίες μέσω συμβάσεων υπεργολαβίας, έτσι ώστε να διασφαλίζονται οι απαιτούμενες εγγυήσεις για την υπό-εκτέλεση της επεξεργασίας. Παρόμοια λύση αναφορικά με τις εγγυήσεις κατά την υπό-εκτέλεση της επεξεργασίας προτάθηκε πρόσφατα από την Επιτροπή στην πρόταση γενικού κανονισμού για την προστασία δεδομένων 15. Οι ενέργειες του εκτελούντος την επεξεργασία πρέπει να διέπονται από σύμβαση ή άλλη δικαιοπραξία η οποία συνδέει τον εκτελούντα την επεξεργασία με τον υπεύθυνο επεξεργασίας, προβλέπει δε ειδικότερα, μεταξύ άλλων απαιτήσεων, ότι ο εκτελών την επεξεργασία προσλαμβάνει άλλον εκτελούντα την επεξεργασία μόνον με την προηγούμενη άδεια του υπευθύνου επεξεργασίας (άρθρο 26 παράγραφος 2 της πρότασης). Κατά την άποψη της ομάδας εργασίας του άρθρου 29, ο εκτελών την επεξεργασία μπορεί να αναθέτει με υπεργολαβία τις δραστηριότητές του μόνο εφόσον έχει τη συγκατάθεση του υπευθύνου της επεξεργασίας, η οποία δύναται να δίδεται γενικώς κατά την έναρξη της παροχής της υπηρεσίας 16 με τη σαφή υποχρέωση του εκτελούντος την επεξεργασία να ενημερώνει τον υπεύθυνο της επεξεργασίας για τυχόν σκοπούμενες αλλαγές που αφορούν την προσθήκη ή την αντικατάσταση υπεργολάβων, με τον υπεύθυνο δε της επεξεργασίας να διατηρεί πάντοτε τη δυνατότητα να αντιταχθεί στις αλλαγές αυτές ή να τερματίσει τη σύμβαση. Προτείνεται να βαρύνεται ο πάροχος υπηρεσιών νεφοϋπολογιστικής με τη σαφή υποχρέωση να κοινοποιεί τα ονόματα όλων των υπεργολάβων που προσλαμβάνει. Ακόμη, προτείνεται η υπογραφή σύμβασης μεταξύ του παρόχου υπηρεσιών νεφοϋπολογιστικής και του υπεργολάβου η οποία να αντικατοπτρίζει τις διατάξεις της σύμβασης ανάμεσα στον πελάτη υπηρεσιών νεφοϋπολογιστικής και στον πάροχο υπηρεσιών νεφοϋπολογιστικής. Η σύμβαση προτείνεται να παρέχει στον υπεύθυνο της επεξεργασίας δυνατότητες προσφυγής στη δικαιοσύνη σε περίπτωση παραβίασης των συμβάσεων εκ μέρους των υπό-εκτελούντων την επεξεργασία. Αυτό θα μπορούσε να ρυθμιστεί είτε καθιστώντας τον εκτελούντα την επεξεργασία άμεσα υπεύθυνο έναντι του υπευθύνου της επεξεργασίας για τυχόν παραβιάσεις της νομοθεσίας εκ μέρους των υπό-εκτελούντων την επεξεργασία τους οποίους έχει προσλάβει, είτε προβλέποντας δικαίωμα τρίτου επικαρπωτή προς όφελος του υπευθύνου της επεξεργασίας στις συμβάσεις που υπογράφονται μεταξύ του εκτελούντος την επεξεργασία και των υπό-εκτελούντων την επεξεργασία, είτε, τέλος, μεριμνώντας για την υπογραφή των Βλ. συχνή ερώτηση II.5, WP176. Πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, Βλ. συχνή ερώτηση II, 1), WP176, της 12ης Ιουλίου

14 εν λόγω συμβάσεων εξ ονόματος του υπευθύνου της επεξεργασίας δεδομένων, γεγονός που καθιστά τον τελευταίο ως αντισυμβαλλόμενο. 3.4 Απαιτήσεις περί προστασίας των δεδομένων στο πλαίσιο της σχέσης πελάτη-παρόχου Συμμόρφωση προς τις βασικές αρχές Η νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εντός του υπολογιστικού νέφους εξαρτάται από τη συμμόρφωση προς τις βασικές αρχές της νομοθεσίας της ΕΕ που διέπει την προστασία των δεδομένων. Συγκεκριμένα, πρέπει να διασφαλίζεται η διαφάνεια έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα, πρέπει να τηρείται η αρχή του προσδιορισμού και του περιορισμού του σκοπού, καθώς και να διαγράφονται τα δεδομένα προσωπικού χαρακτήρα μόλις πάψει να είναι πλέον απαραίτητη η διατήρησή τους. Πρέπει, επιπλέον, να εφαρμόζονται κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να διασφαλίζεται επαρκές επίπεδο προστασίας και ασφάλειας των δεδομένων Διαφάνεια Η διαφάνεια είναι καθοριστικής σημασίας για τη θεμιτή και νόμιμη επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Σύμφωνα με την οδηγία 95/46/ΕΚ, ο πελάτης υπηρεσιών νεφοϋπολογιστικής πρέπει να παρέχει στο πρόσωπο από το οποίο συλλέγονται δεδομένα που το αφορούν πληροφορίες για την ταυτότητά του και τον σκοπό της επεξεργασίας. Προτείνεται επίσης να παρέχει ο πελάτης υπηρεσιών νεφοϋπολογιστικής οποιαδήποτε περαιτέρω πληροφορία, όπως τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων, όπου μπορεί κάλλιστα να περιλαμβάνονται, μεταξύ άλλων, εκτελούντες και υπό-εκτελούντες την επεξεργασία, εφόσον οι πληροφορίες αυτές είναι αναγκαίες ώστε να εξασφαλίζεται η θεμιτή επεξεργασία έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα (πρβλ. άρθρο 10 της οδηγίας) 17. Η διαφάνεια πρέπει να διασφαλίζεται και στο πλαίσιο της σχέσης (ή των σχέσεων) μεταξύ πελάτη υπηρεσιών νεφοϋπολογιστικής, παρόχου υπηρεσιών νεφοϋπολογιστικής και υπεργολάβων (εάν υπάρχουν). Ο πελάτης υπηρεσιών νεφοϋπολογιστικής είναι σε θέση να αξιολογεί τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εντός του υπολογιστικού νέφους μόνο εάν ο πάροχος τον ενημερώνει για όλα τα συναφή ζητήματα. Ο υπεύθυνος της επεξεργασίας που προτίθεται να προσλάβει πάροχο υπηρεσιών νεφοϋπολογιστικής προτείνεται να ελέγχει προσεκτικά τους γενικούς και ειδικούς όρους της σύμβασης του παρόχου υπηρεσιών νεφοϋπολογιστικής και να τους αξιολογεί από τη σκοπιά της προστασίας των δεδομένων. Διαφάνεια εντός του υπολογιστικού νέφους σημαίνει ότι ο πελάτης υπηρεσιών νεφοϋπολογιστικής πρέπει να ενημερώνεται απαραιτήτως για όλους τους υπεργολάβους που συμβάλλουν στην παροχή της εκάστοτε υπηρεσίας νεφοϋπολογιστικής, καθώς και για όλες τις τοποθεσίες όπου βρίσκονται κέντρα δεδομένων στα οποία δύναται να γίνεται επεξεργασία δεδομένων προσωπικού χαρακτήρα Αντίστοιχη υποχρέωση ενημέρωσης του προσώπου στο οποίο αναφέρονται τα δεδομένα προβλέπεται σε περίπτωση συλλογής των δεδομένων όχι από το πρόσωπο στο οποίο αναφέρονται αλλά από άλλες πηγές, καθώς και σε περίπτωση καταγραφής ή κοινοποίησής τους σε τρίτους (πρβλ. άρθρο 11). Μόνο τότε θα είναι σε θέση να αξιολογήσει εάν τα δεδομένα προσωπικού χαρακτήρα μπορούν να διαβιβαστούν σε τρίτη χώρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ) η οποία δεν διασφαλίζει κατάλληλο επίπεδο προστασίας υπό την έννοια της οδηγίας 95/46/ΕΚ. Πρβλ. επίσης ενότητα ακολούθως. 14

15 Εάν η παροχή της υπηρεσίας απαιτεί την εγκατάσταση λογισμικού στα συστήματα του πελάτη υπηρεσιών νεφοϋπολογιστικής, όπως π.χ. αρθρώματα (plug-ins) φυλλομετρητών, ο πάροχος υπηρεσιών νεφοϋπολογιστικής προτείνεται, στο πλαίσιο της ορθής πρακτικής, να ενημερώνει σχετικά τον πελάτη και να τον πληροφορεί κυρίως για τις επιπτώσεις στην προστασία και την ασφάλεια των δεδομένων. Αντιστρόφως, προτείνεται ο πελάτης υπηρεσιών νεφοϋπολογιστικής να αναφέρει εξαρχής το συγκεκριμένο θέμα, όταν αυτό δεν θίγεται επαρκώς από τον πάροχο υπηρεσιών νεφοϋπολογιστικής Προσδιορισμός και περιορισμός του σκοπού Σύμφωνα με την αρχή του προσδιορισμού και του περιορισμού του σκοπού, τα δεδομένα προσωπικού χαρακτήρα πρέπει να συλλέγονται για καθορισμένους, σαφείς και νόμιμους σκοπούς και η μεταγενέστερη επεξεργασία τους να συμβιβάζεται με τους σκοπούς αυτούς (πρβλ. άρθρο 6 παράγραφος 1 στοιχείο β) της οδηγίας 95/46/ΕΚ). Ο πελάτης υπηρεσιών νεφοϋπολογιστικής πρέπει να προσδιορίζει τον ή τους σκοπούς της επεξεργασίας πριν από τη συλλογή δεδομένων προσωπικού χαρακτήρα από το πρόσωπο στο οποίο αναφέρονται και να ενημερώνει σχετικά το τελευταίο. Ο πελάτης υπηρεσιών νεφοϋπολογιστικής δεν πρέπει να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για άλλους σκοπούς μη συμβατούς με τους αρχικούς. Επιπλέον, πρέπει να διασφαλίζεται ότι τα δεδομένα προσωπικού χαρακτήρα δεν υφίστανται (παράνομη) επεξεργασία για περαιτέρω σκοπούς από τον πάροχο υπηρεσιών νεφοϋπολογιστικής ή από κάποιον υπεργολάβο του. Δεδομένου ότι στα συνήθη σενάρια παροχής υπηρεσιών νεφοϋπολογιστικής εμπλέκονται συνήθως πολλοί υπεργολάβοι, ο κίνδυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα για περαιτέρω, ασύμβατους σκοπούς πρέπει, ως εκ τούτου, να αξιολογείται ως ιδιαίτερα υψηλός. Για την ελαχιστοποίηση του εν λόγω κινδύνου, η σύμβαση μεταξύ του παρόχου και του πελάτη υπηρεσιών νεφοϋπολογιστικής προτείνεται να περιλαμβάνει, μεταξύ άλλων, τεχνικά και οργανωτικά μέτρα μετριασμού του συγκεκριμένου κινδύνου και να παρέχει εγγυήσεις όσον αφορά την καταγραφή και τον έλεγχο των συναφών διαδικασιών επεξεργασίας δεδομένων προσωπικού χαρακτήρα οι οποίες επιτελούνται από υπαλλήλους του παρόχου υπηρεσιών νεφοϋπολογιστικής ή από τους εργολάβους 19. Η σύμβαση θα πρέπει να προβλέπει την επιβολή κυρώσεων στον πάροχο ή στον εργολάβο σε περίπτωση παραβίασης της νομοθεσίας περί προστασίας των δεδομένων Διαγραφή δεδομένων Σύμφωνα με το άρθρο 6 παράγραφος 1 στοιχείο ε) της οδηγίας 95/46/ΕΚ, τα δεδομένα προσωπικού χαρακτήρα πρέπει να διατηρούνται με μορφή που επιτρέπει τον προσδιορισμό της ταυτότητας των προσώπων στα οποία αναφέρονται μόνο κατά τη διάρκεια περιόδου που δεν υπερβαίνει την απαιτούμενη για την επίτευξη των σκοπών για τους οποίους έχουν συλλεγεί ή για τους οποίους αργότερα υφίστανται επεξεργασία. Τα δεδομένα προσωπικού χαρακτήρα που δεν χρειάζονται πια πρέπει να διαγράφονται ή να καθίστανται απολύτως ανώνυμα. Εάν τα εν λόγω δεδομένα προσωπικού χαρακτήρα δεν μπορούν να διαγραφούν λόγω νομικών κανόνων που υπαγορεύουν τη διατήρησή τους (π.χ. φορολογικές ρυθμίσεις), προτείνεται να εμποδίζεται η πρόσβαση σε αυτά. Είναι ευθύνη του πελάτη υπηρεσιών 19 Πρβλ. ενότητα ακολούθως. 15

16 νεφοϋπολογιστικής να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα διαγράφονται μόλις πάψουν να είναι πλέον απαραίτητα υπό την ανωτέρω έννοια 20. Η αρχή της διαγραφής δεδομένων ισχύει για τα δεδομένα προσωπικού χαρακτήρα ανεξάρτητα από το εάν αυτά αποθηκεύονται σε σκληρούς δίσκους ή σε άλλα μέσα αποθήκευσης (π.χ. εφεδρικές ταινίες). Καθώς τα δεδομένα προσωπικού χαρακτήρα μπορεί να φυλάσσονται σε πολλαπλά αντίγραφα σε διάφορους διακομιστές και σε διαφορετικές τοποθεσίες, πρέπει να διασφαλίζεται η πλήρης και αμετάκλητη διαγραφή τους από παντού (ήτοι πρέπει να διαγράφονται όλες οι προηγούμενες εκδόσεις, τα προσωρινά αρχεία αλλά και τα τμήματα αρχείων). Οι πελάτες υπηρεσιών νεφοϋπολογιστικής πρέπει να έχουν υπόψη τους ότι τα δεδομένα καταγραφής 21 που διευκολύνουν τη δυνατότητα ελέγχου, π.χ. της αποθήκευσης, των τροποποιήσεων ή της διαγραφής δεδομένων, δύνανται επίσης να χαρακτηριστούν ως δεδομένα προσωπικού χαρακτήρα τα οποία σχετίζονται με το πρόσωπο που ξεκίνησε την αντίστοιχη διαδικασία επεξεργασίας 22. Ως ασφαλής διαγραφή δεδομένων προσωπικού χαρακτήρα νοείται είτε η καταστροφή ή ο απομαγνητισμός του μέσου αποθήκευσης είτε η αποτελεσματική διαγραφή των αποθηκευμένων δεδομένων προσωπικού χαρακτήρα με τη μέθοδο της επεγγραφής (overwriting). Για την επεγγραφή δεδομένων προσωπικού χαρακτήρα προτείνεται να χρησιμοποιούνται ειδικά λογισμικά που επεγγράφουν δεδομένα πολλές φορές βάσει αναγνωρισμένων προδιαγραφών. Ο πελάτης υπηρεσιών νεφοϋπολογιστικής προτείνεται να βεβαιώνεται ότι ο πάροχος υπηρεσιών νεφοϋπολογιστικής διασφαλίζει την ασφαλή διαγραφή των δεδομένων υπό την ανωτέρω έννοια και ότι η σύμβαση μεταξύ του παρόχου και του πελάτη περιέχει σαφή διάταξη περί διαγραφής των δεδομένων προσωπικού χαρακτήρα 23. Το ίδιο ισχύει για τις συμβάσεις μεταξύ παρόχων υπηρεσιών νεφοϋπολογιστικής και υπεργολάβων Συμβατικές εγγυήσεις στο πλαίσιο της σχέσης (ή των σχέσεων) μεταξύ «υπεύθυνου της επεξεργασίας» και «εκτελούντος την επεξεργασία» Όταν ο υπεύθυνος της επεξεργασίας αποφασίζει να συνάψει σύμβαση παροχής υπηρεσιών νεφοϋπολογιστικής για λογαριασμό του, οφείλει να επιλέγει προς εκτέλεση της επεξεργασίας πρόσωπο το οποίο παρέχει επαρκείς εγγυήσεις όσον αφορά τα μέτρα τεχνικής ασφάλειας και οργάνωσης της επεξεργασίας και να εξασφαλίζει την τήρηση των μέτρων αυτών (άρθρο 17 παράγραφος 2 της οδηγίας 95/46/ΕΚ). Υποχρεούται, ακόμη, από τον νόμο να υπογράφει επίσημη σύμβαση με τον πάροχο υπηρεσιών νεφοϋπολογιστικής, σύμφωνα με τα προβλεπόμενα στο άρθρο 17 παράγραφος 3 της οδηγίας 95/46/ΕΚ. Το εν λόγω άρθρο θεσπίζει την απαίτηση η σχέση ανάμεσα στον υπεύθυνο της επεξεργασίας και τον εκτελούντα την επεξεργασία να διέπεται από σύμβαση ή δικαιοπραξία. Για αποδεικτικούς λόγους, τα τμήματα της σύμβασης ή δικαιοπραξίας που αφορούν την προστασία των δεδομένων και τις απαιτήσεις σχετικά με τα τεχνικά και οργανωτικά μέτρα καταρτίζονται εγγράφως ή σε άλλη ανάλογη μορφή Η διαγραφή δεδομένων τίθεται ως ζήτημα τόσο κατά τη διάρκεια ισχύος όσο και μετά τον τερματισμό της εκάστοτε σύμβασης παροχής υπηρεσιών νεφοϋπολογιστικής. Τίθεται επίσης σε περίπτωση αντικατάστασης ή αποχώρησης κάποιου υπεργολάβου. Παρατηρήσεις σχετικά με τις απαιτήσεις καταγραφής διατυπώνονται στην ενότητα ακολούθως. Αυτό σημαίνει ότι πρέπει να καθορίζονται εύλογα χρονικά διαστήματα διατήρησης των αρχείων καταγραφής και να εφαρμόζονται διαδικασίες που διασφαλίζουν την έγκαιρη διαγραφή ή ανωνυμοποίηση των εν λόγω δεδομένων. Πρβλ. ενότητα ακολούθως. 16

17 Η σύμβαση πρέπει, κατ ελάχιστον, να προβλέπει συγκεκριμένα ότι ο εκτελών την επεξεργασία οφείλει να τηρεί τις οδηγίες του υπεύθυνου της επεξεργασίας και να εφαρμόζει τεχνικά και οργανωτικά μέτρα με γνώμονα την επαρκή προστασία των δεδομένων προσωπικού χαρακτήρα. Για να διασφαλίζεται η ασφάλεια δικαίου, η σύμβαση προτείνεται επίσης να προβλέπει τα ακόλουθα θέματα: 1. Αναλυτικές πληροφορίες (έκταση και λεπτομέρειες) για τις οδηγίες που πρόκειται να δίνει ο πελάτης στον πάροχο, με ιδιαίτερη έμφαση στις ισχύουσες συμφωνίες επιπέδου εξυπηρέτησης (οι οποίες προτείνεται να είναι αντικειμενικές και μετρήσιμες) και στις συναφείς κυρώσεις (οικονομικές ή άλλες, συμπεριλαμβανομένης της δυνατότητας προσφυγής στη δικαιοσύνη εναντίον του παρόχου σε περίπτωση μη συμμόρφωσης). 2. Προσδιορισμός των μέτρων ασφαλείας προς τα οποία πρέπει να συμμορφώνεται ο πάροχος υπηρεσιών νεφοϋπολογιστικής, αναλόγως κάθε φορά των κινδύνων που ενέχει η επεξεργασία και της φύσης των δεδομένων που χρήζουν προστασίας. Ιδιαίτερης σημασίας κρίνεται ο καθορισμός συγκεκριμένων τεχνικών και οργανωτικών μέτρων όπως αυτά που σκιαγραφούνται στην ενότητα ακολούθως, υπό την επιφύλαξη πάντοτε της εφαρμογής αυστηρότερων μέτρων, εάν υπάρχουν, τα οποία δύναται να προβλέπει το εθνικό δίκαιο του πελάτη. 3. Το αντικείμενο και το χρονοδιάγραμμα της υπηρεσίας νεφοϋπολογιστικής που πρόκειται να προσφέρει ο πάροχος υπηρεσιών νεφοϋπολογιστικής, την έκταση, τον τρόπο και τον σκοπό της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τον πάροχο υπηρεσιών νεφοϋπολογιστικής, καθώς και τις κατηγορίες των δεδομένων προσωπικού χαρακτήρα που υφίστανται επεξεργασία. 4. Προσδιορισμός των προϋποθέσεων επιστροφής των δεδομένων (προσωπικού χαρακτήρα) ή καταστροφής τους μόλις ολοκληρωθεί η παροχή της υπηρεσίας. Ακόμη, πρέπει να υπάρχει μέριμνα για την ασφαλή διαγραφή των δεδομένων προσωπικού χαρακτήρα κατόπιν αιτήματος του πελάτη υπηρεσιών νεφοϋπολογιστικής. 5. Συμπερίληψη ρήτρας εμπιστευτικότητας, που θα είναι δεσμευτική για τον πάροχο υπηρεσιών νεφοϋπολογιστικής και για όσους υπαλλήλους του έχουν ενδεχομένως πρόσβαση στα δεδομένα. Η πρόσβαση στα δεδομένα πρέπει να επιτρέπεται μόνο σε όσους έχουν σχετική άδεια. 6. Υποχρέωση του παρόχου να παρέχει στήριξη στον πελάτη όσον αφορά τη διευκόλυνση της άσκησης των δικαιωμάτων που έχουν τα πρόσωπα στα οποία αναφέρονται τα δεδομένα, και συγκεκριμένα των δικαιωμάτων της πρόσβασης στα δεδομένα και της διόρθωσης ή της διαγραφής τους. 7. Στη σύμβαση προτείνεται να αναφέρεται ρητά ότι ο πάροχος υπηρεσιών νεφοϋπολογιστικής δεν δύναται να κοινοποιεί τα δεδομένα σε τρίτους, ακόμη και για σκοπούς διατήρησης, εκτός και αν προβλέπεται στη σύμβαση η ύπαρξη υπεργολάβων. Προτείνεται να αναφέρεται ρητώς στη σύμβαση ότι η πρόσληψη υπό-εκτελούντων την επεξεργασία είναι δυνατή μόνο βάσει συγκατάθεσης η οποία μπορεί γενικώς να δίδεται από τον υπεύθυνο της επεξεργασίας σε συνδυασμό με τη σαφή υποχρέωση του εκτελούντος την επεξεργασία να ενημερώνει τον υπεύθυνο της επεξεργασίας για τυχόν σκοπούμενες συναφείς αλλαγές, με τον δε υπεύθυνο της επεξεργασίας να διατηρεί πάντοτε τη δυνατότητα να αντιταχθεί στις αλλαγές αυτές ή να τερματίσει τη σύμβαση. Ο πάροχος υπηρεσιών νεφοϋπολογιστικής προτείνεται να βαρύνεται με τη σαφή υποχρέωση να κοινοποιεί τα ονόματα όλων των υπεργολάβων που προσλαμβάνει (π.χ., σε δημόσιο ψηφιακό μητρώο). Πρέπει να διασφαλίζεται ότι οι 17

18 συμβάσεις μεταξύ παρόχου υπηρεσιών νεφοϋπολογιστικής και υπεργολάβου αντικατοπτρίζουν τις διατάξεις της σύμβασης ανάμεσα στον πελάτη και στον πάροχο υπηρεσιών νεφοϋπολογιστικής (δηλαδή οι υπό-εκτελούντες την επεξεργασία πρέπει να βαρύνονται με τις ίδιες ακριβώς συμβατικές υποχρεώσεις που βαρύνουν τον πάροχο υπηρεσιών νεφοϋπολογιστικής). Πρέπει να διασφαλίζεται, συγκεκριμένα, ότι ο πάροχος υπηρεσιών νεφοϋπολογιστικής και όλοι οι υπεργολάβοι ενεργούν αποκλειστικά και μόνο βάσει των οδηγιών του πελάτη υπηρεσιών νεφοϋπολογιστικής. Όπως διευκρινίζεται στο κεφάλαιο για την υπό-εκτέλεση της επεξεργασίας, προτείνεται να καθορίζονται με σαφήνεια στη σύμβαση οι αλυσιδωτές ευθύνες. Προτείνεται να προβλέπεται η υποχρέωση του εκτελούντος την επεξεργασία να οριοθετεί τις διαδικασίες διεθνούς διαβίβασης δεδομένων, π.χ. υπογράφοντας συμβάσεις με τους υπό-εκτελούντες την επεξεργασία, έχοντας ως βάση τις τυποποιημένες συμβατικές ρήτρες της απόφασης 2010/87/ΕΕ. 8. Σαφής καθορισμός των ευθυνών του παρόχου υπηρεσιών νεφοϋπολογιστικής όσον αφορά την ενημέρωση του πελάτη υπηρεσιών νεφοϋπολογιστικής σε περίπτωση παραβίασης δεδομένων η οποία θίγει τα δεδομένα του τελευταίου. 9. Υποχρέωση του παρόχου υπηρεσιών νεφοϋπολογιστικής να παρέχει κατάλογο των τοποθεσιών στις οποίες δύναται να γίνεται επεξεργασία των δεδομένων. 10. Το δικαίωμα του υπευθύνου της επεξεργασίας να παρακολουθεί τις διαδικασίες επεξεργασίας του παρόχου υπηρεσιών νεφοϋπολογιστικής και την αντίστοιχη υποχρέωση του τελευταίου να συνεργάζεται. 11. Προτείνεται να καθορίζεται στη σύμβαση ότι ο πάροχος υπηρεσιών νεφοϋπολογιστικής πρέπει να ενημερώνει τον πελάτη για συναφείς αλλαγές που αφορούν την εκάστοτε παρεχόμενη υπηρεσία νεφοϋπολογιστικής όπως, για παράδειγμα, η εκτέλεση πρόσθετων λειτουργιών. 12. Προτείνεται η σύμβαση να προβλέπει την καταγραφή και τον έλεγχο των συναφών διαδικασιών επεξεργασίας δεδομένων προσωπικού χαρακτήρα που επιτελούνται από τον πάροχο υπηρεσιών νεφοϋπολογιστικής ή τους υπεργολάβους. 13. Ενημέρωση του πελάτη υπηρεσιών νεφοϋπολογιστικής σχετικά με κάθε νομικά δεσμευτικό αίτημα κοινοποίησης των δεδομένων προσωπικού χαρακτήρα που υποβάλλεται από αρχή επιβολής του νόμου, εκτός αν υπάρχει σχετική απαγόρευση, όπως απαγόρευση συνοδευόμενη από ποινικές κυρώσεις για τη διατήρηση του εμπιστευτικού χαρακτήρα αστυνομικής έρευνας. 14. Γενική υποχρέωση του παρόχου να παρέχει διαβεβαιώσεις ότι οι ρυθμίσεις οργάνωσης και επεξεργασίας δεδομένων που εφαρμόζει ο ίδιος (όπως και οι αντίστοιχες ρυθμίσεις που εφαρμόζουν οι υπό-εκτελούντες της επεξεργασία τους οποίους έχει ενδεχομένως προσλάβει) συμμορφώνονται προς τις ισχύουσες επιταγές και τα πρότυπα της εθνικής και διεθνούς νομοθεσίας. Σε περίπτωση παραβίασης από τον υπεύθυνο της επεξεργασίας, κάθε πρόσωπο το οποίο υπέστη ζημία ως αποτέλεσμα αθέμιτης επεξεργασίας δικαιούται αποζημίωσης από τον υπεύθυνο της επεξεργασίας για τη ζημία που υπέστη. Σε περίπτωση που οι εκτελούντες την επεξεργασία χρησιμοποιούν τα δεδομένα για άλλους σκοπούς ή τα κοινοποιούν ή τα χρησιμοποιούν κατά τρόπο που συνιστά παραβίαση της σύμβασης, θα πρέπει επίσης να θεωρούνται ως υπεύθυνοι της επεξεργασίας και να φέρουν την ευθύνη για τις παραβιάσεις στις οποίες συμμετείχαν προσωπικά. Επισημαίνεται ότι σε πολλές περιπτώσεις οι πάροχοι υπηρεσιών νεφοϋπολογιστικής παρέχουν τυποποιημένες υπηρεσίες και συμβάσεις προς υπογραφή από τους υπευθύνους της 18

19 επεξεργασίας, οι οποίες προβλέπουν τυποποιημένο μορφότυπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Αυτή η ανισότητα διαπραγματευτικής ισχύος μεταξύ ενός μικρού υπευθύνου της επεξεργασίας δεδομένων και μεγάλων παρόχων υπηρεσιών δεν πρέπει να θεωρείται δικαιολογία για τον υπεύθυνο της επεξεργασίας ώστε να δεχθεί συμβατικές ρήτρες και όρους οι οποίοι δεν είναι σύμφωνοι προς τη νομοθεσία για την προστασία των δεδομένων Τεχνικά και οργανωτικά μέτρα προστασίας και ασφάλειας των δεδομένων Σύμφωνα με το άρθρο 17 παράγραφος 2 της οδηγίας 95/46/ΕΚ, οι πελάτες υπηρεσιών νεφοϋπολογιστικής (ως υπεύθυνοι της επεξεργασίας) βαρύνονται με την πλήρη ευθύνη να επιλέγουν παρόχους υπηρεσιών νεφοϋπολογιστικής που εφαρμόζουν προσήκοντα τεχνικά και οργανωτικά μέτρα ασφαλείας για την επαρκή προστασία των δεδομένων προσωπικού χαρακτήρα, όπως και να επιδεικνύουν υπευθυνότητα. Εκτός από τους βασικούς στόχους ασφάλειας των δεδομένων, δηλαδή τη διαθεσιμότητα, το απόρρητο και την ακεραιότητα, προσοχή πρέπει να δίδεται και στους συμπληρωματικούς στόχους προστασίας των δεδομένων, δηλαδή τη διαφάνεια (βλ. ενότητα ανωτέρω), την απομόνωση 24, τη δυνατότητα παρέμβασης, τη λογοδοσία και τη φορητότητα. Η παρούσα ενότητα δίνει έμφαση σε αυτούς τους σημαντικούς στόχους προστασίας των δεδομένων, με την επιφύλαξη τυχόν άλλης συμπληρωματικής ανάλυσης κινδύνων σχετικής με την ασφάλεια των δεδομένων Διαθεσιμότητα Ως εξασφάλιση διαθεσιμότητας νοείται η διασφάλιση έγκαιρης και αξιόπιστης πρόσβασης σε δεδομένα προσωπικού χαρακτήρα. Σοβαρή απειλή για τη διαθεσιμότητα εντός του υπολογιστικού νέφους συνιστά η τυχαία απώλεια της σύνδεσης δικτύου μεταξύ του πελάτη και του παρόχου ή η διακοπή της εύρυθμης λειτουργίας του διακομιστή λόγω κακόβουλων ενεργειών όπως οι επιθέσεις (κατανεμημένης) άρνησης υπηρεσίας (DoS) 26. Άλλοι κίνδυνοι που απειλούν τη διαθεσιμότητα είναι οι τυχαίες αστοχίες του υλισμικού τόσο στο δίκτυο και στο νεφοϋπολογιστικό σύστημα επεξεργασίας όσο και στο σύστημα αποθήκευσης δεδομένων, οι διακοπές ρεύματος και λοιπά προβλήματα υποδομής. Οι υπεύθυνοι της επεξεργασίας δεδομένων προτείνεται να ελέγχουν εάν ο πάροχος υπηρεσιών νεφοϋπολογιστικής λαμβάνει ή όχι εύλογα μέτρα για την αντιμετώπιση των διαφόρων συναφών κινδύνων, όπως εφεδρικούς διαδικτυακούς συνδέσμους δικτύου, μηχανισμούς πολλαπλής αποθήκευσης και αποτελεσματικής εφεδρικής αποθήκευσης δεδομένων Στη γερμανική νομοθεσία χρησιμοποιείται πλέον η ευρύτερη έννοια της «μη συνδεσιμότητας», η οποία προωθείται από τη διάσκεψη των Επιτρόπων προστασίας των δεδομένων. Πρβλ. π.χ. ENISA στον δικτυακό τόπο Ως επίθεση DoS νοείται η συντονισμένη απόπειρα να καταστεί μη διαθέσιμος ένας υπολογιστής ή ένα δίκτυο στους εγκεκριμένους χρήστες τους, είτε προσωρινά είτε επ αόριστον (π.χ. μέσω πολυάριθμων συστημάτων επίθεσης που παραλύουν τον στόχο τους μέσω της αποστολής πληθώρας εξωτερικών αιτημάτων επικοινωνίας). 19

20 Ακεραιότητα Ως ακεραιότητα νοείται η ιδιότητα των δεδομένων να διατηρούν τη γνησιότητά τους και να μην υφίστανται κακόβουλη ή τυχαία τροποποίηση κατά τη διάρκεια της επεξεργασίας, της αποθήκευσης ή της διαβίβασης. Η έννοια της ακεραιότητας μπορεί να επεκταθεί σε συστήματα τεχνολογιών της πληροφορίας, με την προϋπόθεση να παραμένει αμετάβλητη η επεξεργασία δεδομένων προσωπικού χαρακτήρα στα συστήματα αυτά. Τυχόν μεταβολές σε δεδομένα προσωπικού χαρακτήρα μπορούν να εντοπιστούν με τη βοήθεια κρυπτογραφικών μηχανισμών ελέγχου της γνησιότητας, όπως οι κωδικοί ή οι υπογραφές ελέγχου γνησιότητας μηνύματος. Απόπειρες παραβίασης της ακεραιότητας των συστημάτων τεχνολογιών της πληροφορίας εντός του υπολογιστικού νέφους μπορούν να προληφθούν ή να εντοπιστούν με τη βοήθεια συστημάτων εντοπισμού/πρόληψης εισβολών ((IPS/IDS). Αυτό είναι ιδιαίτερα σημαντικό για τα περιβάλλοντα ανοιχτού δικτύου στα οποία λειτουργούν συνήθως τα νέφη Απόρρητο Εντός του υπολογιστικού νέφους, η κρυπτογράφηση δύναται να συμβάλει καθοριστικά στην προστασία του απορρήτου των δεδομένων προσωπικού χαρακτήρα εφόσον εφαρμόζεται σωστά, παρότι δεν καθιστά τα δεδομένα προσωπικού χαρακτήρα αμετακλήτως ανώνυμα 27. Η κρυπτογράφηση δεδομένων προσωπικού χαρακτήρα προτείνεται να χρησιμοποιείται σε όλες τις περιπτώσεις κατά τις οποίες τα δεδομένα βρίσκονται «σε κίνηση» και, εφόσον είναι διαθέσιμη, όταν τα δεδομένα βρίσκονται «σε αδράνεια» 28. Σε ορισμένες περιπτώσεις (π.χ. υπηρεσία αποθήκευσης IaaS), ο πελάτης υπηρεσιών νεφοϋπολογιστικής δύναται να μην επιλέξει τη λύση της κρυπτογράφησης που προσφέρει ο πάροχος υπηρεσιών νεφοϋπολογιστικής, αλλά να προτιμήσει να προβεί σε κρυπτογράφηση των δεδομένων προσωπικού χαρακτήρα προτού τα στείλει στο υπολογιστικό νέφος. Η κρυπτογράφηση δεδομένων σε αδράνεια απαιτεί ιδιαίτερη προσοχή όσον αφορά τη διαχείριση των κρυπτογραφικών κλειδιών, δεδομένου ότι η ασφάλεια των δεδομένων εξαρτάται ουσιαστικά από την προστασία του απορρήτου των κλειδιών κρυπτογράφησης. Η επικοινωνία μεταξύ του παρόχου και του πελάτη υπηρεσιών νεφοϋπολογιστικής, καθώς και μεταξύ των κέντρων δεδομένων, προτείνεται να είναι κρυπτογραφημένη. Η εξ αποστάσεως διαχείριση της πλατφόρμας υπολογιστικού νέφους προτείνεται να γίνεται μόνο μέσω ασφαλούς διαύλου επικοινωνίας. Εάν κάποιος πελάτης σκοπεύει όχι μόνο να αποθηκεύσει, αλλά και να επεξεργαστεί σε περαιτέρω τα δεδομένα προσωπικού χαρακτήρα εντός του υπολογιστικού νέφους (π.χ., αναζήτηση καταχωρίσεων σε βάσεις δεδομένων), πρέπει να έχει υπόψη του ότι η κρυπτογράφηση δεν μπορεί να διατηρηθεί κατά τη διάρκεια της επεξεργασίας των δεδομένων (με εξαίρεση περιπτώσεις πολύ ειδικών υπολογισμών). Πρόσθετα τεχνικά μέτρα για τη διασφάλιση του απορρήτου είναι, μεταξύ άλλων, οι μηχανισμοί αδειοδότησης και αδιάβλητης πιστοποίησης (π.χ. έλεγχος γνησιότητας με δύο παράγοντες). Οι συμβατικές ρήτρες προτείνεται να επιβάλλουν υποχρεώσεις προστασίας του Σύμφωνα με την αιτιολογική σκέψη 26 της οδηγίας 95/46/ΕΚ: «(...) ότι οι αρχές της προστασίας δεν εφαρμόζονται σε δεδομένα που έχουν καταστεί ανώνυμα κατά τρόπο που δεν μπορεί να εξακριβωθεί πλέον η ταυτότητα του προσώπου στο οποίο αναφέρονται (...)». Αντίστοιχα, οι τεχνικές διαδικασίες κατακερματισμού των δεδομένων που δύνανται να χρησιμοποιηθούν στο πλαίσιο της παροχής υπηρεσιών νεφοϋπολογιστικής δεν εξασφαλίζουν την αμετάκλητη ανωνυμοποίηση των δεδομένων και, ως εκ τούτου, δεν συνεπάγονται μη τήρηση των υποχρεώσεων προστασίας των δεδομένων. Αυτό ισχύει ιδίως για υπεύθυνους της επεξεργασίας δεδομένων που σκοπεύουν να διαβιβάζουν ευαίσθητα δεδομένα υπό την έννοια του άρθρου 8 της οδηγίας 95/46/ΕΚ (π.χ. δεδομένα για την υγεία) στο υπολογιστικό νέφος ή που βαρύνονται από τον νόμο με ειδικές υποχρεώσεις επαγγελματικού απορρήτου. 20