Hosting a GDPR: jurisdikce, logy a soukromí na webu

Když provozujete web, návštěvníci vám zanechávají údaje: IP adresy, informace o prohlížeči, případně formuláře. Tyto údaje se nacházejí na serverech poskytovatele hostingu. U tématu hosting a GDPR z toho vyplývá několik otázek o soukromí. Kdo má k údajům přístup, kde se nacházejí a jaká pravidla se na ně vztahují? Článek nabízí základní orientaci a nenahrazuje právní radu.

Správce a zpracovatel

Podle GDPR (nařízení (EU) 2016/679) je správcem ten, kdo určuje účel a prostředky zpracování osobních údajů. Obvykle je to provozovatel webu. Poskytovatel hostingu údaje zpracovává jeho jménem, a proto je zpravidla zpracovatelem. Vztah má upravovat smlouva, která stanoví povinnosti a zabezpečení údajů.

Před výběrem služby si proto ověřte, zda poskytovatel takovou smlouvu nabízí a jaká bezpečnostní opatření deklaruje. Ohledně konkrétních povinností ve vaší situaci se poraďte s právníkem nebo s dozorovým úřadem, v Česku s Úřadem pro ochranu osobních údajů (ÚOOÚ). Přehled pojmů najdete ve slovníku.

Poloha serverů a jurisdikce

Server se fyzicky nachází v nějaké zemi, právní režim však určuje i sídlo poskytovatele a jeho vlastnická struktura. Pro předávání osobních údajů mimo Evropský hospodářský prostor platí zvláštní pravidla v kapitole V GDPR. Pokud tedy zpracováváte údaje obyvatel EU, je obvykle jednodušší zvolit poskytovatele, který je uchovává v EU.

Poloha neznamená bezpečnost. Rozhoduje i to, jaké zabezpečení poskytovatel uplatňuje a jak reaguje na žádosti úřadů. U projektů se zvýšenými nároky na soukromí je dobré zvážit, jak se údaje šifrují a kdo drží klíče. Podobné otázky se týkají VPN a dalších služeb, u kterých jde o důvěru.

Logy webového serveru

Webové servery standardně zapisují záznamy o každém požadavku včetně IP adresy návštěvníka. IP adresa může být podle okolností osobním údajem. Proto je dobré rozhodnout, jaké logy skutečně potřebujete, jak dlouho je uchováváte a zda lze adresy zkrátit nebo anonymizovat. Podrobnosti o adresách jsme popsali v článku o IP adrese.

Logy zároveň slouží bezpečnosti, protože pomáhají odhalit útoky a chyby. Mezi soukromím a bezpečností je třeba najít rozumný kompromis a ten zdokumentovat. Přístup k logům omezte a po uplynutí doby uchovávání je pravidelně mažte.

Externí služby na webu

Soukromí návštěvníků neovlivňuje jen hosting. Vložená písma, skripty, mapy a analytické nástroje z cizích serverů posílají jejich údaje třetím stranám. Pokud chcete minimalizovat únik údajů, provozujte potřebné součásti na vlastním hostingu a zbytečné odstraňte. Návštěvník tak komunikuje jen s jedním serverem.

Informujte návštěvníky o tom, jaké údaje zpracováváte, jasným a srozumitelným textem. Zásady zpracování mají odpovídat skutečnosti. Více o ochraně údajů najdete v kategorii osobní údaje a o šifrování přenosu v přehledu prohlížečů.

Co si zapsat do vlastní dokumentace

Užitečné je vést jednoduchý přehled: kde jsou servery, kdo je poskytovatel, jaká smlouva je uzavřená, jaké logy se zapisují a jak dlouho se uchovávají. Takový dokument pomůže při odpovědi na žádost subjektu údajů i při výběru nového poskytovatele. Nemusí být dlouhý, důležité je, aby odpovídal skutečnosti.

Při změně poskytovatele nebo při větší úpravě webu přehled projděte znovu. Pokud se něco změnilo, aktualizujte ho. Právní otázky, zejména u složitějšího zpracování nebo předávání údajů, konzultujte s odborníkem, protože konkrétní povinnosti závisí na vaší situaci.