Od początku funkcjonowania kancelarii organizowaliśmy naszą pracę tak, aby mieć zdalny dostęp do dokumentów i móc pracować na nich zdalnie. Z racji specyfiki świadczonych przez nas usług musieliśmy zadbać aby praca zdalna odbywała się z poszanowaniem tajemnicy zawodowej, w sposób zapewniający bezpieczeństwo danych naszych klientów i dostęp do nich 24h/365 dni w roku). Możemy wykonywać codzienną pracę kancelaryjną bez względu na to gdzie się znajdujemy. Jedynym warunkiem jest dostęp do Internetu.

Organizacja pracy zdalnej

Teraz, gdy z uwagi na koronawirusa spotkania w realu zostały zastąpione spotkaniami on line, a w miejsce spotkań przy naszym okrągłym stole mamy wideokonferencje i dzielone ekrany, przychodzi refleksja, że ponoszone przez lata nakłady na sprzęt i infrastrukturę, dają sprawdzone rozwiązania i pozwalają na pracę bez zakłóceń. Model pracy zdalnej jest możliwy m.in. dlatego, że wszystkie nasze dokumenty mają zdigitalizowane kopie przechowywane w chmurze obliczeniowej.

Ostatnio klienci przenosząc swoje biznesy do Internetu, pytają o bezpieczeństwo rozwiązań chmurowych. Możemy z tym pytaniem zmierzyć się od strony prawnej.

Czym jest chmura?

Chmura obliczeniowa to najprościej ujmując usługa m.in. przechowywania danych świadczona przez podmiot, który dysponuje sprzętem/infrastrukturą IT (serwerem czy innym wirtualnym magazynem do przechowywania danych). Dzięki chmurze można zrezygnować z utrzymywania własnej infrastruktury informatycznej i nakładów na zapewnienie bezpieczeństwa tej infrastruktury i aktualizacji. Niestety „ceną” za to, jest oddanie danych do podmiotu, który organizuje chmurę i liczenie się z tym, że dane te mogą zostać utracone a także z tym, że dostęp do nich mogą mieć osoby niepożądane. Stąd bardzo istotne jest jak zabezpieczona jest chmura, którą wybierzemy.

Typy chmur

Możemy wyróżnić 4 typy chmur obliczeniowych, z których każdy ma plusy i minusy, różne są prawne konsekwencje korzystania z nich:

• chmury publiczne – najtańsze, a czasami bezpłatne; to zasoby takie jak serwery i magazyny należące do zewnętrznych dostawców, którzy je obsługują i dostarczają tych zasobów za pośrednictwem Internetu. Cały sprzęt, oprogramowanie należą do dostawcy chmury. To dostawca nimi zarządza i organizuje współdzielenie miejsca pomiędzy użytkownikami. Z tego względu, że zasoby należące do dostawcy chmury są udostępniane do korzystania przez bardzo dużą grupę odbiorców, dla użytkownika koszt korzystania z chmury publicznej jest zwykle niski a nawet bezpłatny. Po prostu dostawca chmury udostępniając ją bardzo wielu użytkownikom koszt utrzymania i zabezpieczenia chmury rozkłada na dużą ilość użytkowników. Konsekwencją wyboru chmury publicznej jest liczenie się z tym, że kontrola nad danymi w znacznym zakresie jest przekazana dostawcy chmury publicznej, który nie będzie tych danych traktował wyjątkowo.
• chmury prywatne – to infrastruktura informatyczna, która jest przeznaczona dla jednej organizacji, organizacja ponosi koszt stworzenia i utrzymania chmury, brak jest dostawcy zewnętrznego, serwery należą do tej organizacji, zwykle infrastruktura jest ulokowana na terenie organizacji lub też jej zarządzanie zleca się na zewnątrz osobie trzeciej, która podlega rygorystycznej kontroli administratora danych, to rozwiązanie jest najdroższe.
• chmury hybrydowe – są połączeniem modelu dwóch powyższych tj. część danych i aplikacji użytkownika funkcjonuje w chmurze prywatnej a druga część w publicznej.
• chmury środowiskowe – to takie, w których infrastruktura informatyczna jest współdzielona przez kilka organizacji na rzecz społeczności konkretnego użytkownika (np. chmura stworzona i dzielona przez kancelarie prawne, przez banki, przez instytucje ubezpieczeniowe).

Chmura a RODO

Dostawca chmury obliczeniowej w zakresie przetwarzania danych osobowych pełni bardzo ważną rolę zarówno o charakterze technicznym, jak i organizacyjnym chmury. W chmurze publicznej, hybrydowej czy środowiskowej – ten podmiot odpowiedzialny jest za całą techniczną infrastrukturę chmury, a więc zarówno za zapisywanie, przechowywanie, jak i udostępnianie danych osobowych, czyli za ich przetwarzanie. Zgodnie z definicją zawartą w art. 4 RODO – “przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Jeśli jesteś administratorem danych osobowych zbieranych od klientów i kontrahentów, to „oddając” dostawcy chmury te dane, powierzasz je dostawcy chmury do przetwarzania. Dlatego musi istnieć umowa regulująca zasady przetwarzania Twoich danych. Powierzenie przetwarzania danych osobowych dostawcy chmury nie zwalnia Cię jako administratora danych z odpowiedzialności za przestrzeganie RODO. Z tego względu bardzo ważne jest, abyś w umowie z dostawcą chmury zapewnił sobie możliwość wykonywania obowiązków administratora danych osobowych wobec osób, których dane osobowe są przetwarzane zgodnie z wymogami art. 28 ust. 3 RODO, np.:

• realizację wniosków osób, których dane dotyczą o zaprzestanie przetwarzania, o usuniecie danych,
• zgłaszanie incydentów naruszenia ochrony danych osobowych, za które jesteś odpowiedzialny jako administrator danych
• ustalenie czy dane są przekazywane poza Unię Europejską i jeśli tak, czy wdrożone zostały środki ochrony danych

Inne ryzyka

Poza ryzykiem związanym z przetwarzaniem danych osobowych korzystanie z chmury wiąże się z szeregiem innych ryzyk prawnych, które należy zabezpieczyć w umowach z dostawcami chmury:

• ryzyko dostępu osób trzecich do danych – skutkować może utratą poufności, należy wiec czy procedury i technologie, które stosuje dostawca chmury zapewniają skuteczną kontrolę dostępu do danych zgromadzonych w jego infrastrukturze chmurowej
• ryzyko niewłaściwego fizycznego zabezpieczenia centrów danych, w których świadczone są usługi „chmurowe” – dostawca chmury musi wykazać jakie stosuje zabezpieczenia swoich centrów danych, łącznie ze wskazaniem czy, a jeśli tak, to gdzie, zlokalizowany jest ośrodek zapasowy; wykazać się stosownymi certyfikacjami potwierdzającymi bezpieczeństwo jego centrów przetwarzania danych
• ryzyko wycieku danych podczas komunikacji z usługą „chmurową” – dostawca powinien wskazać w jaki techniczny sposób zabezpiecza Twoją komunikację z usługą „chmurową”, czy stosuje szyfrowanie połączeń w oparciu o wiarygodny protokół szyfrowania lub inne mechanizmy zabezpieczeń, w jaki sposób przechowywane i udostępniane są klucze kryptograficzne itd.
• ryzyko niedotrzymywania ustalonego SLA (czyli service level agreement – zagwarantowanie poziomu świadczenia usługi, reagowanie na wszelkie nieprawidłowości, usuwanie błędów) – może skutkować m.in. utratą dostępu do danych, brakiem możliwości ich odtworzenia, a w konsekwencji brakiem możliwości korzystania przez Ciebie z Twoich danych

i szczególnie ważne teraz

• ryzyko niewłaściwego wyboru dostawcy chmury, polega na tym, że wybrany przez Ciebie dostawca może nie zapewnić infrastruktury umożliwiającej sprawny dostęp do danych lokowanych w „chmurze” (np. z powodu wzmożonego korzystania z Internetu z powodu pracy zdalnej zbyt dużej liczby osób) i wtedy miałbyś utrudniony dostęp do swoich danych

Z tego względu trzeba bardzo ostrożnie dobrać dostawcę chmury. Na pewno odradzałbym rozwiązania darmowe.

Chmura to usługa

Z punktu widzenia użytkownika chmury, dostęp do chmury to możliwość korzystania z różnych przydanych usług i narzędzi (np. służących komunikacji, rejestrowaniu działań, prowadzeniu spraw) oraz bezpieczna przestrzeń służąca przechowywaniu danych (plików, dokumentów w sposób uporządkowany).

Właściwą zatem umową z dostawcą chmury jest umowa o świadczenie usług. Przedmiotem umowy może być:

• SaaS czyli oprogramowanie jako usługa – korzystanie z gotowych do użycia aplikacji – w ramach tego modelu użytkownik ma możliwość korzystania z aplikacji udostępnianych przez dostawcę usług chmurowych (takich jak aplikacje biurowe, poczta elektroniczna, kalendarze, oprogramowanie umożliwiające edycję tekstów, arkusze kalkulacyjne, aplikacje do prowadzenia rozmów lub telekonferencji). Użytkownik nie ma kontroli nad systemami operacyjnymi czy serwerami na których uruchamiane są udostępniane mu aplikacje – pozostają one pod kontrolą dostawcy usług chmurowych. Ten model opiera się na zapewnianiu przez dostawcę usług chmurowych ciągłości działania usługi oraz ochronie i dostępności do danych, które użytkownicy przekazują do chmury. Dostawca usług chmurowych odpowiada za aktualizację i rozwój oferowanego oprogramowania.
• PaaS czyli platforma jako usługa – udostępnienie platformy, tj. wirtualnego środowiska pracy na serwerach dostawcy gotowego na zainstalowanie rozwiązań własnych klienta – to usługa, w ramach, której użytkownik uzyskuje dostęp do infrastruktury, a także do środowiska będącego narzędziem do instalowania, uruchamiania i rozwijania aplikacji przez użytkownika (np. wykorzystanie platformy do przechowywania i uzyskiwania dostępu do archiwizowania dokumentów klienta). Użytkownik nie ma dostępu do systemu operacyjnego, na którym jest uruchomiona platforma, ani do przestrzeni dyskowej, na której są składowane dane, ma natomiast dostęp do aplikacji które instaluje, uruchamia czy rozwija oraz do danych zawartych w takich aplikacjach. Dostawca usług chmurowych nie odpowiada za funkcjonowanie i wsparcie rozwiązania, które użytkownik lokalizuje w chmurze. Dostawca odpowiada za funkcjonowanie platformy.
• IaaS czyli infrastruktura jako usługa – udostępnienie wyłącznie warstwy sprzętowej i podstawowego oprogramowania jako infrastruktury informatycznej i jej utrzymywanie – w ramach tego modelu dostawca usług chmurowych umożliwia użytkownikowi korzystanie ze sprzętu informatycznego (hardware) za pośrednictwem Internetu (np. przestrzeń na wirtualnym dysku internetowym przeznaczona do zlokalizowania na nim strony internetowej przygotowanej i obsługiwanej przez klienta lub wirtualne dyski w chmurze służące do przechowywania i dzielenia się plikami). W tym modelu, dostawca usług chmurowych zapewnia jedynie infrastrukturę. Wykorzystanie, konfiguracja i obsługa systemów czy aplikacji zainstalowanych na takiej infrastrukturze jest po stronie użytkownika.

Jak w przypadku każdej usługi, umowa powinna zabezpieczać ciągłość jej wykonania, możliwość i warunki rezygnacji z usług lub warunki przedłużenia świadczenia usługi po upływie określonego terminu. Szczególną uwagę należy zwrócić na bezpieczeństwo danych, możliwość i koszt ich przeniesienia, gwarancje bezpieczeństwa danych i gwarancje wykonania usługi.

W kancelarii korzystamy z chmury środowiskowej dla prawników Kleos w której każdy nasz dokument jest szyfrowany, zdania i czas pracy przypisywane są do konkretnej sprawy, a to z kolei zintegrowane z modułem finansowym. Korzystamy także z Microsoft 365, który również daje nam możliwość pracy zdalnej, sharepointa – wspólnych plików, do których mają dostęp zaproszone przez nas osoby, pracy za pomocą zdalnego pulpitu, video/audio konferencji, czatu a także udostępniania ekranu i danych w ramach Microsoft Team.

Pełen komfort pracy zapewniają nam dobre łącza Internetowe i ciekawe zlecenia od klientów ????

Photo by Steve Harvey on Unsplash

Wpis powstał na podstawie ciekawego opracowania KIRP