Ochrona danych przechowywanych w chmurze - przepisy i umowy

– Chmura dla firmy to wygoda i elastyczność. Pozwala skupić się przedsiębiorstwu na celach biznesowych. Dzięki chmurze realizacja projektów informatycznych jest szybsza i tańsza. Mamy też gwarancję, że infrastruktura IT jest wspierana przez specjalistów najwyższej klasy bez angażowania własnych zasobów – mówi agencji informacyjnej Newseria Biznes Krzysztof Skowron z Capgemini Polska

Coraz więcej przedsiębiorców – zarówno duże korporacje, jak i małe i średnie firmy – przenosi swoje zasoby do chmury. Rośnie ich świadomość na temat aspektów technologicznych i ekonomicznych tych rozwiązań, natomiast zbyt mało uwagi poświęca się kwestiom prawnym.

– Istnieje wiele przepisów prawnych mogących mieć zastosowanie do usług chmurowych, ale niewiele z nich zostało stworzonych z uwzględnieniem realiów, w jakich świadczone są tego typu usługi – podkreśla Renata Zalewska, radca prawny firmy Microsoft – Przedsiębiorcy chcą zaufać chmurze i potrzebują prawników, którzy w sposób bezpieczny i zgodny z przepisami prawa pomogą im stosować najnowsze rozwiązania technologiczne.

Polecamy: 500 pytań o VAT odpowiedzi na trudne pytania z interpretacjami Ministerstwa Finansów (PDF)

Polecamy: Przewodnik po zmianach w ustawie o rachunkowości 2015/2016 (PDF)

Wykorzystanie chmury do przechowywania danych musi przede wszystkim być zgodne z krajowymi i unijnymi regulacjami dotyczącymi ochrony danych osobowych. Gwarantem bezpieczeństwa danych jest także odpowiednia umowa między ich administratorem a przetwarzającym, czyli między klientem a dostawcą chmury.

– Ważne jest, żeby w umowie dokładnie określić, kto za co odpowiada. Zgodnie z przepisami prawa przetwarzający dane odpowiada za elementy techniczne i organizacyjne związane z bezpieczeństwem danych. Warto sprawdzić, czy dostawca chmury nie tylko zachowuje podstawowe, standardowe elementy bezpieczeństwa, lecz także czy ma dodatkowe certyfikaty – wyjaśnia Marlena Wach, radca prawny z kancelarii K&L Gates.

Chodzi np. o certyfikat zgodności z normą ISO 27001 dotyczącą systemów zarządzania bezpieczeństwem informacji czy ISO 27018, czyli certyfikat zgody z normą poufności danych w chmurze. Ten dedykowany cloudowi standard narzuca na dostawcę m.in. obowiązek ujawnienia miejsca, gdzie zlokalizowane są dane klienta oraz konieczność raportowania wszelkich zaistniałych incydentów.

– Jeżeli jakiś organ zgłosi się do dostawcy chmury z prośbą o udostępnienie informacji w zakresie danych klienta, to dostawca musi przekazać swojemu klientowi informację, że takie zapytanie nastąpiło, chyba że jest to prawnie wyłączone – tłumaczy Marlena Wach. – Poza tym informacje, które są przechowywane w danej chmurze, nie mogą być wykorzystywane w celu świadczenia usług marketingowych. Ewentualnie tylko za zgodą klienta.