Preverjanje ponudnikov klepetalnikov: DPA, podobdelovalci in prenosi v tretje države

Ponudnik klepetalnika ima lahko prepričljivo predstavitev, regijo v EU in pripravljeno pogodbo o obdelavi podatkov (DPA) – pa kljub temu ostajajo ključna vprašanja odprta. Podatkov namreč ne obdeluje le vidni klepetalnik. Pri storitvi pogosto sodelujejo API-ji modelov, gostovanje, vektorske zbirke podatkov, analiza napak, orodja za podporo, e-poštne storitve in varnostne kopije. Za upravljavce spletnih mest je zato pomembna preverljiva veriga obdelave, ne le krilatica o varstvu podatkov na prodajni strani.

Ta kontrolni seznam pomaga pri strukturiranem preverjanju ponudnika pred nakupom in zagonom. Služi kot praktična usmeritev in ni pravno svetovanje. Vloge, pravne podlage, obveznosti obveščanja in prenosne mehanizme je treba preveriti za konkretno uporabo; pri povečanem tveganju, posebnih kategorijah podatkov ali odprtih pogodbenih vprašanjih je treba vključiti pooblaščeno osebo za varstvo podatkov ali poiskati kvalificirano pravno pomoč.

Najprej razumite podatkovni tok, nato ocenite pogodbo

Osrednje vprašanje se ne glasi le »Kje stoji strežnik?«, temveč: Kateri osebni podatki kdaj dosežejo katero pravno osebo, iz katerega razloga in za koliko časa? Obiskovalec lahko v klepet vnese imena, e-poštne naslove, številke strank ali prosto besedilo. Poleg tega nastajajo IP-naslovi, časovni žigi, informacije o napravi, identifikatorji sej, zgodovina pogovorov, ocene in tehnični dnevniki. Tudi iz domnevno anonimnega pogovora lahko s kombinacijo več lastnosti nastane povezava s posameznikom.

Pred pregledom pogodbe zato izrišite preprost zemljevid podatkovnih tokov. Vsebovati mora vsaj pripomoček (widget) v brskalniku, platformo klepetalnika, bazo znanja, ponudnika modela, analitične storitve in storitve za analizo napak, dostope za podporo, varnostne kopije ter poti izbrisa. Za vsako postajo se zabeležijo upravljavec, država, namen, kategorije podatkov, trajanje hrambe in možni oddaljeni dostopi. Izjava o »gostovanju v EU« na primer ne odgovori na vprašanje, ali lahko ekipa za podporo zunaj Evropskega gospodarskega prostora dostopa do produkcijskih dnevnikov.

Določitev vlog glede varstva podatkov za vsak namen

Ali je ponudnik obdelovalec ali za posamezne namene samostojni upravljavec, izhaja iz njegove dejanske dejavnosti. Smernice 07/2020 Evropskega odbora za varstvo podatkov (EDPB) pojasnjujejo to razmejitev. Ponudnik lahko na primer obdeluje podatke o pogovorih po dokumentiranih navodilih, za določene lastne varnostne, obračunske ali izdelčne namene pa zahteva drugačno vlogo. Poskrbite, da bo za vsak namen izrecno določena ustrezna vloga in pravna podlaga. DPA samodejno ne krije samostojnih namenov ponudnika.

Preverjanje DPA: Obvezne vsebine se morajo ujemati z dejansko storitvijo

Člen 28 Splošne uredbe o varstvu podatkov (GDPR) zahteva, da upravljavci uporabljajo le tiste obdelovalce, ki zagotavljajo zadostna jamstva za izvedbo ustreznih tehničnih in organizacijskih ukrepov. Pogodba mora med drugim določati predmet in trajanje, vrsto in namen, vrste podatkov, kategorije posameznikov ter pravice in obveznosti upravljavca. Sem spadajo tudi dokumentirana navodila, zaupnost, varnost, pomoč pri pravicah posameznikov in obveznostih varstva podatkov, izbris ali vračilo ter informacije in sodelovanje pri revizijah.

Pogodbe DPA ne primerjajte le z vzorčnim seznamom, temveč z vašim zemljevidom podatkovnih tokov in dejansko izbranim paketom. Dobra pogodba jasno opredeljuje delovanje klepeta, usposabljanje oziroma indeksiranje baze znanja, beleženje dnevnikov, dostope za podporo in izbirne funkcije. Nejasne zbirne izraze, kot je »izboljšanje storitve«, je treba razčleniti na konkretne podatke, namene, možnosti izbire in vloge.

• Navodilo: Je jasno, da se vsebina in metapodatki obdelujejo le za dokumentirane namene stranke? Katera konfiguracija velja za navodilo?
• Uporaba za modele: Ali se pozivi (prompti), odgovori ali naložene vsebine uporabljajo za splošno usposabljanje modelov ali izboljšanje izdelka? Če ne, mora biti to pogodbeno in tehnično sledljivo; če da, je treba vlogo in pravno podlago oceniti ločeno.
• Izbris: Ali obstajajo konkretni roki za zgodovino pogovorov, dnevnike, vektorske indekse, varnostne kopije in kopije za podporo? Kaj se zgodi po poteku pogodbe?
• Varnost: Ali so opisani nadzor dostopa, ločevanje strank, šifriranje, beleženje dnevnikov, upravljanje ranljivosti in procesi ob incidentih?
• Pomoč: Ali DPA praktično ureja izvoz, popravek, izbris, informacije, varnostne incidente in po potrebi ocene učinka na varstvo podatkov?
• Dokazila: Ali so na voljo revizijska poročila, certifikati ali druga zanesljiva dokazila in ali veljajo natanko za uporabljene storitve in lokacije?

Certifikati in revizijska poročila lahko ponudijo pomembne namige, vendar ne nadomeščajo preverjanja konkretnega postopka obdelave niti ustreznih pogodbenih določil. Tudi standardizirani DPA je le tako dober, kot so izpolnjene njegove priloge in njegova skladnost s tehnično realnostjo.

Podobdelovalci: Nadzorujte imena, naloge in spremembe

V skladu s členom 28(2) GDPR obdelovalec ne sme zaposliti drugega obdelovalca brez predhodne posebne ali splošne pisne odobritve upravljavca. Pri splošni odobritvi mora obdelovalec upravljavca obvestiti o vseh nameravanih spremembah glede dodajanja ali zamenjave ter mu dati možnost ugovora. Vprašanja in odgovori Evropske komisije o standardnih pogodbenih klavzulah prav tako pojasnjujejo, da zgolj kategorije ne zadoščajo: posamezni podobdelovalci morajo biti poimensko navedeni.

Zahtevajte posodobljen seznam v obliki, ki jo je mogoče izvoziti, s pravnim imenom, državo, konkretno storitvijo in zadevnimi podatki. Preverite tudi, ali je podjetje le pogodbeni partner ali dejansko obdeluje podatke na več lokacijah. Posebej pomembni so ponudniki modelov in vgradenj (embeddings), gostovanje v oblaku, podatkovne baze, CDN, spremljanje, analiza napak, podpora, e-pošta in varnostne kopije. Za vsak vnos mora biti razvidno, ali se podatki shranjujejo, le prenašajo ali pa lahko do njih dostopa osebje.

Proces sprememb je prav tako del ocene: Kako so stranke obveščene, kolikšen je rok pred spremembo in kaj se zgodi v primeru utemeljenega ugovora? E-poštno sporočilo na dan spremembe brez tehnično ali pogodbeno uporabne reakcije ima majhno vrednost. Razčistite, ali je možna alternativna konfiguracija, izklop funkcije ali po potrebi urejena prekinitev z izvozom podatkov. Za nadaljnje podobdelovalce morajo veljati enake obveznosti glede varstva podatkov; prvi obdelovalec ostaja odgovoren upravljavcu za izpolnjevanje njihovih obveznosti.

Prenosi v tretje države: Preverite mehanizem in dejanski učinek

Poglavje V GDPR velja za prenose osebnih podatkov v tretje države in za nadaljnje prenose. Prenos ne nastane le s trajnim shranjevanjem; relevanten je lahko tudi administrativni dostop, dostop podpornega osebja ali dostop storitve zunaj EGP. Zato vsaki puščici na zemljevidu podatkovnih tokov pripišite ciljno državo, prejemnika in prenosni mehanizem.

1. Sklep o ustreznosti: Na redno posodobljenem seznamu Evropske komisije preverite, ali so zajeti sklep, območje, sektor in konkretni prejemnik. Pri omejenih okvirih zgolj prisotnost podružnice v državi ne zadošča.
2. Ustrezna jamstva: Če ustreznega sklepa o ustreznosti ni, pridejo glede na konfiguracijo v poštev mehanizmi iz člena 46 GDPR. Pogosto se uporabljajo standardne pogodbene klavzule Evropske komisije. Modul, stranke, priloge, opis prenosa in tehnični ukrepi se morajo ujemati z dejansko verigo.
3. Preverjanje učinkovitosti: Podpisani dokument SCC ne zaključi avtomatsko preverjanja. Končna priporočila EDPB 01/2020 opisujejo proces, temelječ na tveganju: poznavanje prenosov, določitev mehanizma, ocena zakonodaje in prakse tretje države, po potrebi določitev dopolnilnih ukrepov, izvedba formalnih korakov in redno ponovno ocenjevanje.

Dopolnilni tehnični ukrepi se morajo ujemati s konkretnim tveganjem. Šifriranje je na primer vsebinsko pomembno le, če so upoštevani upravljanje ključev, pravice dostopa in namen obdelave. Ponudnik modela, ki mora obdelovati nešifrirano besedilo in ima sam dostop do ključev, predstavlja drugačno situacijo kot čisto šifrirano shranjevanje varnostnih kopij. Splošne izjave, kot sta »AES-256« ali »skladno z GDPR«, ne nadomeščajo tega razmisleka. Odstopanja po členu 49 GDPR prav tako niso udobna standardna pot za načrtovano, ponavljajočo se obdelavo v modelu SaaS.

Praktični primer: Regija EU z globalno verigo storitev

Predpostavimo, da klepetalnik svojo glavno podatkovno bazo hrani v Frankfurtu. Odgovore pa ustvarja modelni API ameriškega podjetja, poročila o napakah gredo drugi storitvi, globalna ekipa za podporo pa lahko ob stopnjevanju težav odpre dnevnike pogovorov. »Hramba podatkov v EU« v tem primeru opisuje le del sistema.

Skrbni pregled ločuje štiri vprašanja: Katere vsebine zapustijo EGP za ustvarjanje odgovorov z modelom? Ali se tam pozivi shranjujejo ali uporabljajo za druge namene? Ali poročila o napakah vsebujejo nešifrirano besedilo, identifikatorje ali le minimizirane tehnične podatke? Pod katerimi pogoji lahko podporno osebje zunaj EGP dostopa do podatkov? Šele nato je mogoče oceniti prenosni mehanizem, dopolnilne ukrepe in preostalo negotovost.

Tehnično lahko upravljavec spletnega mesta tveganje pogosto zmanjša: izklopi nepotrebna polja dnevnikov, rediguje vnose pred zunanjimi klici, določi kratke roke hrambe, loči občutljiva območja od javnega bota, izolira vire znanja glede na stranko in omogoči beleženje dostopov podpornega osebja le ob odobritvi. Kako čisto ločiti javni bot in portal za stranke, prikazuje prispevek Javni AI klepetalnik vs. portal za stranke. Za naložene datoteke preverjanje ponudnika dopolnjuje kontrolni seznam za pregled datotek, varstvo podatkov in predajo človeku (handoff).

Odločitev s semaforjem namesto občutka v trebuhu

Točka preverjanja	Zeleno	Rumeno	Rdeče
Podatkovni tok	Popoln, posodobljen in vezan na paket	Posamezni dostopi ali lokacije shranjevanja nepojasnjeni	Le marketinška izjava o regiji EU
DPA	Nameni, podatki, roki in pomoč konkretno določeni	Potrebne dopolnitve pred zagonom	Brez jasne vezanosti na navodila ali pravil izbrisa
Podobdelovalci	Poimenski seznam z državo in nalogo	Proces sprememb nepraktičen	Le kategorije ali neznana veriga
Prenos v tretje države	Mehanizem, obseg in ocena dokazani	Ukrepi še čakajo na preveritev	»Strežnik v EU« naj bi pojasnil vse prenose
Delovanje	Skrbnik, termin pregleda in izstop testirani	Dokazila brez fiksnega pregleda	Brez spremljanja po sklenitvi pogodbe

Rumena točka ne pomeni samodejno zavrnitve ponudnika. Vendar pa zahteva odgovorno osebo, rok in preverljiv kriterij sprejetja. Rdeča točka v osrednji verigi obdelave bi morala blokirati zagon v produkciji, dokler se ne prilagodijo pogodba, konfiguracija ali izbira ponudnika. Dokumentirajte tudi sprejeta preostala tveganja in osebo, ki je sprejela to odločitev.

Kratek kontrolni seznam za zagon za upravljavce spletnih mest

• Zemljevid podatkovnih tokov in vloge za vsak namen so odobreni.
• DPA in priloge ustrezajo paketu, funkcijam, vrstam podatkov in rokom hrambe.
• Vsi podobdelovalci so poimensko dokumentirani z državo, nalogo in postopkom obveščanja o spremembah.
• Vsak prenos v tretjo državo ima ustrezen, trenutno preverjen mehanizem in po potrebi dopolnilne ukrepe.
• Usposabljanje modelov ali druga lastna uporaba podatkov klepeta je razčiščena in konfigurirana, kot je bilo dogovorjeno.
• Beleženje dnevnikov, dostop podpornega osebja, izvoz podatkov, izbris in prenehanje pogodbe so bili praktično testirani.
• Obvestilo o varstvu podatkov in vmesnik klepeta razumljivo pojasnjujeta obdelavo; uporabniki niso napeljani k vnosu nepotrebnih občutljivih podatkov.
• Preverjeno je, ali je za konkretno uporabo potrebna ocena učinka na varstvo podatkov.
• Skrbnik (owner) spremlja spremembe pri podobdelovalcih, prenosnih mehanizmih, funkcijah in varnostnih dokazilih.

Poleg tega se splača primerjava z osnovnim pregledom AI klepetalnik in GDPR ter z navodili za podatkovno varčno analitiko klepetalnikov. S tem se nabava, tehnična konfiguracija in tekoče delovanje ne obravnavajo kot ločeni projekti.

Preverjanje se nadaljuje tudi po sklenitvi pogodbe

Skrbni pregled ni enkratna mapa s dokumenti PDF. Določite vsaj ritem rednih pregledov in preverjanja ob dogodkih. Sprožilci so novi podobdelovalci, drug ponudnik modela, nove funkcije izdelka, spremenjene lokacije shranjevanja, varnostni incident, potek dokazil ali spremembe sklepa o ustreznosti. Trenutni seznam podobdelovalcev in ključne različice pogodb je treba arhivirati z datumom, da ostanejo poznejše spremembe sledljive.

Praktično merilo je preprosto: Ali lahko vaša ekipa za vsak relevanten podatkovni tok razloži, kdo kaj in zakaj obdeluje, kje se to dogaja, kako dolgo podatki ostanejo, kateri zaščitni ukrep deluje in kako poteka izstop? Ko so ti odgovori dokazani, se iz splošne trditve o varstvu podatkov razvije zanesljiva nabavna odločitev. Če ključne postaje ostanejo neznane, klepetalnik ne bi smel delati s pravimi podatki obiskovalcev.