Wat een VPN dekt in een GDPR-privacybeoordeling

Een clouddatabase bevat persoonsgegevens, de VPN beperkt wie die kan bereiken, en iemand vraagt of dat de opzet conform maakt. Dat doet het niet, en de vraag heeft de verkeerde vorm. Een VPN is één technische toegangscontrole onder meerdere, en een beoordeling die bij versleuteld verkeer stopt, heeft een beveiligingsvraag beantwoord en elke privacyvraag open gelaten. Werk de onderstaande controles op volgorde af, beginnend voordat de netwerkregel bestaat.

Controle 1: beschrijf de verwerking vóór de tunnel

Schrijf het doel op, de categorieën persoonsgegevens die echt nodig zijn, de mensen die ze mogen gebruiken en de beoogde bewaartermijn. Bepaal de rechtsgrond waarop u zich baseert en de route die iemand volgt om zijn rechten uit te oefenen. Een beperkt IP-bereik kan geen van die vragen beantwoorden.

Bedenk dat persoonsgegevens breder zijn dan een lijst met voor de hand liggende identificatoren. Versleutelde of gepseudonimiseerde gegevens blijven persoonsgegevens waar heridentificatie mogelijk is, dus een database vol gehashte identificatoren valt niet automatisch buiten het bereik.

Controle 2: benoem de rollen

Bepaal wie de verwerking bepaalt en wie namens die partij handelt, en beoordeel daarna de voorwaarden tussen hen: gedocumenteerde instructies, vertrouwelijkheid, beveiligingsverplichtingen en toegestane subverwerkers. Voor een typische cloudopzet is dit de overeenkomst tussen verwerkingsverantwoordelijke en verwerker, en de toepassingsrichtsnoeren van de Commissie leggen de rollen en de vereiste bindende handeling uit.

Een netwerkdiagram noemt hier meestal niets van, en daarom loopt de VPN-vraag alleen vast. Rollen bepalen wie een rechtenverzoek beantwoordt. Ze bepalen ook wie verantwoordelijk is als er iets misgaat. Teken beide vakken voordat u één firewallregel schrijft.

Controle 3: breng in kaart waar de gegevens echt staan

Noem de primaire opslag, replica's, back-ups en administratieve toegangsroutes. Back-ups zijn de gebruikelijke omissie, en een versleutelde tunnel verandert niet waar een momentopname staat.

Beoordeel elke vraag over internationale doorgifte binnen het eigen kader. Het uitgangsland van een VPN is een routeringsfeit, geen uitspraak over waar de aanbieder de gegevens verwerkt. Teams wijzigen routinematig de uitgangsregio van de tunnel en denken dat ze de doorgifte hebben gewijzigd. Ze hebben gewijzigd vanaf welk adres het verkeer lijkt te komen.

Controle 4: zeg wat elke controle oplevert

Een IP-allowlist beperkt welke netwerkbronnen mogen verbinden. Een VPN beschermt een afgebakend pad en kan directe blootstelling verminderen. Geen van beide mag iedereen achter de gateway dezelfde databaserechten geven, omdat de tunnel een pad authenticeert, niet een persoon.

Gebruik individuele authenticatie en rolgebaseerde toegang, en verwijder toegang wanneer iemand van rol verandert. Beoordeel daarna versleuteling en sleutelbeheer, patching, herstel en incidentafhandeling naast de netwerkcontroles, in de risicogepaste termen die beveiligingsrichtlijnen gebruiken in plaats van een vaste checklist.

Controle 5: bewaar het bewijs

Bewaar de verwerkingsbeschrijving, de dienstverleningsovereenkomst, de toegangsbeslissingen, de risicobeoordeling en de genoemde eigenaren. Bewijs is wat een ontwerp verandert in iets dat een jaar later beoordeelbaar is.

Twee beslissingen verdienen expliciete antwoorden in plaats van aannames. Een gegevensbeschermingseffectbeoordeling is vereist waar verwerking waarschijnlijk een hoog risico oplevert, en een functionaris voor gegevensbescherming is alleen in bepaalde omstandigheden verplicht. Geen van beide volgt automatisch uit het opslaan van gegevens in de cloud, en geen van beide wordt daardoor uitgesloten.

Wat de afgeronde beoordeling zegt

Een bruikbare beoordeling legt uit waarom de VPN aanwezig is, wat die niet dekt en welke verplichtingen erbuiten liggen. Dat is een kort document, en het is veel verdedigbaarder dan een bewering dat het verkeer versleuteld is.

Laat de verantwoordelijke privacy- en beveiligingsspecialisten de volledige opzet beoordelen in plaats van alleen de tunnel af te tekenen.