Que cobre unha VPN nunha revisión de protección de datos do RXPD

Unha base de datos na nube contén datos persoais, a VPN restrinxe quen pode chegar a ela e alguén pregunta se iso fai que a instalación sexa conforme. Non o fai, e a pregunta ten a forma equivocada. Unha VPN é un control técnico de acceso entre varios, e unha revisión que se detén no tráfico cifrado respondeu unha pregunta de seguridade mentres deixa aberta cada pregunta de protección de datos. Traballade as comprobacións de abaixo por orde, comezando antes de que exista a regra de rede.

Comprobación 1: describide o tratamento antes do túnel

Anotade a finalidade, as categorías de datos persoais que realmente se necesitan, as persoas autorizadas a usalos e o período de conservación previsto. Identificade a base xurídica na que vos apoiades e a vía que segue unha persoa para exercer os seus dereitos. Un rango de IP restrinxido non pode responder nada diso.

Tede en conta que os datos persoais son máis amplos ca unha lista de identificadores evidentes. Os rexistros cifrados ou pseudonimizados seguen sendo datos persoais cando a reidentificación é posible, así que unha base de datos chea de identificadores hash non queda automaticamente fóra de alcance.

Comprobación 2: nomeade os roles

Decidide quen determina o tratamento e quen actúa en nome desa parte, e despois revisade os termos entre eles: instrucións documentadas, confidencialidade, compromisos de seguridade e subencargados permitidos. Para unha instalación típica na nube este é o acordo entre responsable e encargado, e as orientacións de aplicación da Comisión explican os roles e o acto vinculante esixido.

Un diagrama de rede normalmente non nomea nada disto, e por iso a pregunta da VPN por si soa atasca. Os roles deciden quen responde a unha solicitude de dereitos. Tamén deciden quen responde cando algo falla. Debuxade as dúas caixas antes de escribir unha soa regra de cortalumes.

Comprobación 3: trazade onde viven realmente os datos

Listade o almacenamento principal, as réplicas, as copias de seguridade e as rutas de acceso administrativo. As copias de seguridade son a omisión habitual, e un túnel cifrado non cambia onde se sitúa unha instantánea.

Avaliade calquera cuestión de transferencia internacional dentro do seu propio marco. O país de saída dunha VPN é un feito de encamiñamento, non unha afirmación sobre onde o provedor trata os datos. Os equipos cambian habitualmente a rexión de saída do túnel e cren que cambiaron a transferencia. Cambiaron desde que enderezo parece chegar o tráfico.

Comprobación 4: decidide que acada cada control

Unha lista de IP permitidas limita que fontes de rede se poden conectar. Unha VPN protexe un camiño definido e pode reducir a exposición directa. Ningunha das dúas debería dar a cada persoa tras a pasarela os mesmos permisos de base de datos, porque o túnel autentica un camiño, non unha persoa.

Usade autenticación individual e acceso baseado en roles, e retirade o acceso cando alguén cambia de rol. Despois revisade o cifrado e a custodia de chaves, os parches, a recuperación e a xestión de incidentes xunto aos controis de rede, nos termos axeitados ao risco que usa a orientación de seguridade en lugar dunha lista fixa.

Comprobación 5: conservade a evidencia

Conservade a descrición do tratamento, o contrato de servizo, as decisións de acceso, a avaliación de riscos e os responsables nomeados. A evidencia é o que converte un deseño en algo revisable un ano despois.

Dúas decisións merecen respostas explícitas en lugar de suposicións. Esíxese unha avaliación de impacto relativa á protección de datos cando é probable que o tratamento entrañe un risco alto, e un delegado de protección de datos só é obrigatorio en circunstancias especificadas. Ningunha das dúas se deduce automaticamente de almacenar datos na nube, e ningunha queda excluída por iso.

Que di a revisión rematada

Unha revisión útil explica por que está a VPN, que non cobre e que obrigas quedan fóra. É un documento curto, e é moito máis defendible ca unha afirmación de que o tráfico está cifrado.

Facede que os especialistas de privacidade e seguridade responsables avalién o conxunto completo en lugar de asinar só o túnel.