GDPR og CDN'er: Opbevaring af europæiske data i Europa
Et CDN sidder mellem dine besøgende og dit websted, hvilket betyder, at det håndterer deres data. Hvad GDPR rent faktisk beder dig om, hvorfor spørgsmålet om overførsel er det mest pinlige, og hvordan du undgår det.
"Behøver jeg at nævne mit CDN i min privatlivspolitik?" er et af de spørgsmål, hvor det ærlige svar er ja, det tager en sætning, og grunden til, at det tager en sætning, er værd at forstå - fordi det samme ræsonnement afgør flere andre ting, du sandsynligvis ikke har tænkt på.
Her er begrundelsen. Hver anmodning til dit websted går igennem dit CDN. En anmodning indeholder en IP-adresse. Under GDPR er en IP-adresse personoplysninger - dette blev afgjort af Domstolen i Breyer tilbage i 2016, med den begrundelse, at den kan kombineres med andre oplysninger for at identificere nogen. Derfor behandler dit CDN personoplysninger på dine vegne, hvilket gør det til en databehandler og dig til en dataansvarlig, og dataansvarlige har specifikke forpligtelser over for deres databehandlere.
Intet af det er dramatisk. Men det betyder et par konkrete ting.
Dette er en praktisk oversigt skrevet af ingeniører, ikke juridisk rådgivning. Hvis du håndterer sundhedsdata, økonomiske data eller noget andet i en særlig kategori, skal du tale med en kvalificeret person - den generelle form nedenfor gælder stadig, men detaljerne vil ikke være nok.
Hvad du rent faktisk har brug for på plads
En databehandleraftale
Artikel 28 kræver en skriftlig aftale mellem den dataansvarlige og databehandleren. Hver seriøs CDN udgiver en standard DPA; du accepterer normalt det i dine kontoindstillinger eller det udgør en del af de vilkår, du allerede har accepteret. Tingen at kontrollere er, at den eksisterer, at du ved, hvor den er, og at den lister underbehandlere - de parter, som din CDN igen er afhængig af, som også behandler dine besøgendes data.
Denne liste over underprocessorer er den del, folk springer over, og den del, der betyder noget. En udbyder, hvis stak afhænger af infrastrukturen i tre andre jurisdiktioner, har givet dig yderligere tre spørgsmål om overførsel, som du skal besvare.
Et lovligt grundlag og en sætning i din privatlivspolitik
Ved hjælp af en CDN til at levere og sikre dit websted er en lærebog legitim interesse, og det er normalt grundlaget påberåbes - ingen samtykke banner kræves, fordi dette ikke er sporing. Det, der kræves, er gennemsigtighed: Sig i din privatlivspolitik, at et CDN behandler anmodninger om at levere indhold og beskytte tjenesten og navngive den. Én sætning.
Bemærk forskellen, fordisse. Hvis du også injicere analytics eller marketing scripts gennem denne CDN, de har brug for samtykke - ikke på grund af CDN, men på grund af, hvad scripts gør.
Et svar på spørgsmålet om overførsel
Og det er den, der virkelig er ubehagelig.
Hvorfor overførsler er den svære bit
Kapitel V i GDPR begrænser afsendelse af personoplysninger uden for EØS, medmindre destinationen giver tilsvarende beskyttelse. For USA, der har været et usædvanligt begivenhedsrigt område af loven: Safe Harbor blev slået ned i 2015, Privacy Shield blev slået ned i 2020 (Schrems II), og den nuværende ramme EU-US Data Privacy Rammen, der blev vedtaget i juli 2023, har selv stået over for juridiske udfordringer.
Den praktiske konsekvens for dig er ikke, at overførsler er forbudt. Det er, at enhver ordning afhængigt af en bestemt tilstrækkelighed beslutning er afhængig af noget, der er blevet omstødt to gange i et årti. At bygge din historie om overholdelse på den betyder, at du skal gennemgå den historie igen, når det juridiske grundlag ændres, hvilket den gør.
Et globalt CDN sender anmodninger til den kant, der er nærmest. Uden konfiguration kan en europæisk besøgendes anmodning håndteres hvor som helst i netværket, hvilket betyder, at overførselsspørgsmålet gælder for din almindelige daglige trafik i stedet for for en sikkerhedskopieringsproces, du kan ræsonnere Om særskilt.
Den korte vej ud
Du kan undgå hele diskussionen ved ikke at overføre. Hvis europæiske besøgende betjenes af europæiske edge-servere, og din oprindelse er i Europa, forlader dataene aldrig EØS, kapitel V engagerer aldrig, og du behøver ikke at spore den aktuelle status for enhver tilstrækkelighedsbeslutning.
Det er værd at være præcis om, hvad "europæisk" skal dække, fordi der er mere end et ben:
- Kanterne, der betjener din trafik. Den indlysende.
- Hvor logfiler gemmes og behandles. Ofte et andet system et andet sted end selve kanterne.
- Hvor kontrolplanet og støtteværktøjet kører. Hvis supportpersonale uden for EØS kan se anmodningslogfiler, er det en overførsel.
- Hver eneste underprocessor. Tilbage til denne liste kæden er kun så europæisk som dens svageste led.
Saml mindre, og problemet svinder ind
Data residency svarer "hvor", men GDPR spørger også "hvor meget", og artikel 5's minimeringsprincip er den billigste compliance-gevinst, der er tilgængelig for dig.
Afkortning eller hashing af IP-adresser i logfiler, opbevaring af anmodningslogfiler i dage i stedet for år og ikke opbevaring af felter, du aldrig forespørger, reducerer alle din eksponering uden at koste dig noget, du brugte. Det gør også en overtrædelsesmeddelelse til en meget kortere samtale, da du ikke kan lække, hvad du ikke holdt.
Tjeklisten
| Punkt | Status |
|---|---|
| DPA på plads hos din CDN-udbyder | Påkrævet |
| Underprocessorliste læses og forstås | Påkrævet |
| Privatlivspolitik navngiver CDN og hvorfor | Påkrævet |
| EU-besøgende serveret fra EØS-kanter | Anbefales stærkt |
| Log storage og support adgang også i EØS | Anbefales stærkt |
| IP-anonymisering i logfiler | Anbefalet |
| Logretention indstillet til noget kort og bevidst | Anbefalet |
| Overførselsmekanisme dokumenteret, hvis data efterlades | Eventuelt påkrævet |
Ofte stillede spørgsmål
Er en CDN GDPR kompatibel?
En CDN kan være, men overholdelse er en egenskab ved, hvordan du bruger den i stedet for selve produktet. Du har brug for en databehandlingsaftale med udbyderen, et lovligt grundlag – normalt legitim interesse – en omtale i din privatlivspolitik og enten en gyldig overførselsmekanisme eller en ordning, hvor europæisk trafik opholder sig inden for EØS. Det samme CDN kan være kompatibelt for én kunde og ikke for en anden.
Er en IP-adresse personoplysninger omfattet af GDPR?
Ja, ja. EU-Domstolen bekræftede i Breyer i 2016, at en dynamisk IP-adresse udgør personoplysninger, når indehaveren har midler, der med rimelighed kan bruges til at identificere den enkelte, f.eks. ved at kombinere det med oplysninger fra en internetudbyder. Fordi hver HTTP-anmodning indeholder en IP-adresse, behandler alle CDN-netværk, der håndterer din trafik, personlige data.
Skal jeg have samtykke til brug af cookies for at kunne bruge et CDN?
Nej. Levering og sikring af dit websted via et CDN er baseret på legitim interesse, ikke samtykke, og kræver ikke et cookiebanner. Samtykkeforpligtelser opstår fra det, du placerer på siden - analytics, reklame eller marketing scripts - uanset om de leveres via et CDN. At betjene dit eget websteds filer hurtigere er ikke sporing.
Bryder brugen af en amerikansk baseret CDN GDPR?
Ikke automatisk, men det betyder, at din overholdelse afhænger af en overførselsmekanisme som f.eks. EU-US Data Privacy Framework eller standardkontraktbestemmelser. Vanskeligheden er holdbarhed snarere end lovlighed: de to tidligere rammer, Safe Harbor og Privacy Shield, blev begge ugyldiggjort af domstolene, og den nuværende er blevet anfægtet. Denne afhængighed fjernes fuldstændigt ved at holde den europæiske trafik tæt på de europæiske grænser.
Hvad er en DPA, og har jeg brug for en med mit CDN?
En databehandlingsaftale er den skriftlige kontrakt i artikel 28 i GDPR, der kræver mellem en dataansvarlig og enhver databehandler, der handler på dennes vegne, og som angiver, hvad databehandleren kan gøre med dataene, og hvilke sikkerhedsforanstaltninger der gælder. Du har brug for en med dit CDN. De fleste udbydere offentliggør en standard DPA, der enten accepteres i kontoindstillinger eller indarbejdes i deres servicevilkår, og det bør liste deres underprocessorer.
Hvad er dataresidency, og hvorfor betyder det noget for et CDN?
Dataophold betyder at kontrollere den geografiske placering, hvor data gemmes og behandles. For et CDN betyder det noget, fordi anmodninger dirigeres til den nærmeste tilgængelige kant som standard, så en europæisk besøgendes data kan håndteres uden for EØS, medmindre netværket er konfigureret på anden måde. Når trafikken begrænses til de europæiske grænser, holdes dataene inden for EU's jurisdiktion og behovet for en overførselsmekanisme fjernes.
Opsummeringen er mindre alarmerende end emnet lyder. Skriv under på DPA'en, læs listen over underdatabehandlere, tilføj en sætning til din privatlivspolitik, hold europæisk trafik på europæisk infrastruktur og log mindre, end du tror, du har brug for. Det dækker langt størstedelen af sagen, og i modsætning til en overførselsmekanisme ophører intet af det med at være sandt, når en domstol træffer afgørelse igen.
Se, hvordan NordicCDN gør dette for dit websted:
Mads har arbejdet med IT – mest som vært – siden han var 16. Han tog tidligt ejerskab i en SaaS-virksomhed og var med til at udvide den til Visma, har opbygget og drevet datacenternetværk og fungeret som CTO for et dansk datacenter. Han startede NordicCDN for at gøre hurtig og sikker infrastruktur enkel at bruge.
