GDPR och CDN:s: att hålla europeiska data i Europa
Ett CDN sitter mellan dina besökare och din webbplats, vilket innebär att den hanterar deras data. Vad GDPR faktiskt frågar dig, varför överföringsfrågan är den besvärliga och det korta sättet att undvika det.
"Behöver jag nämna mitt CDN i min integritetspolicy?" är en av de frågor där det ärliga svaret är ja, det tar en mening, och anledningen till att det tar en mening är värt att förstå - eftersom samma resonemang bestämmer flera andra saker du förmodligen inte har tänkt på.
Här är resonemanget. Varje begäran till din webbplats går igenom ditt CDN. En begäran har en IP-adress. Enligt GDPR är en IP-adress personuppgifter - detta avgjordes av domstolen i Breyer tillbaka i 2016, med hänvisning till att den kan kombineras med annan information för att identifiera någon. Därför behandlar ditt CDN personuppgifter för din räkning, vilket gör det till en processor och du en kontrollant, och kontrollanter har specifika skyldigheter gentemot sina processorer.
Inget av detta är dramatiskt. Men det betyder några konkreta saker.
Detta är en praktisk översikt skriven av ingenjörer, inte juridisk rådgivning. Om du hanterar hälsodata, ekonomiska data eller något annat i en särskild kategori, prata med någon kvalificerad - den allmänna formen nedan gäller fortfarande, men detaljerna kommer inte att räcka.
Vad du verkligen behöver på plats
Ett databehandlingsavtal
Artikel 28 kräver ett skriftligt avtal mellan registeransvarig och registerförare. Varje seriös CDN publicerar en standard DPA; du accepterar vanligtvis det i dina kontoinställningar eller det utgör en del av de villkor du redan har godkänt. Saken att kontrollera är att den finns, att du vet var den är, och att den listar underprocessorer - parterna som ditt CDN i sin tur förlitar sig på, som också behandlar dina besökares data.
Listan över underprocessorer är den del som folk hoppar över och den del som betyder något. En leverantör vars stack är helt beroende av infrastruktur i tre andra jurisdiktioner har gett dig ytterligare tre frågor att besvara.
En laglig grund och en mening i din sekretesspolicy
Att använda ett CDN för att leverera och säkra din webbplats är ett läroboksberättigat intresse, och det är normalt grunden som åberopas - ingen samtyckesbanner krävs, eftersom det inte är spårning. Vad som krävs är öppenhet: säg i din integritetspolicy att ett CDN behandlar förfrågningar om att leverera innehåll och skydda tjänsten och namnge den. En mening.
Notera skillnadessamtycke till cookies. Om du också injicerar analytics eller marknadsföringsskript genom det CDN, behöver de samtycke - inte på grund av CDN, men på grund av vad skripten gör.
Ett svar på frågan om överföring
Och det är den som verkligen är besvärlig.
Varför överföringar är svåra biten
Kapitel V i GDPR begränsar överföringen av personuppgifter utanför EES, såvida inte destinationen ger ett likvärdigt skydd. För Förenta staterna som har varit ett ovanligt händelserikt rättsområde: Safe Harbor slogs ner 2015, Privacy Shield slogs ner 2020 (Schrems II) och det nuvarande ramverket - EU-USA Data Privacy Ramverket, som antogs i juli 2023, har själv ställts inför rättsliga utmaningar.
Den praktiska konsekvensen för dig är inte att överföringar är förbjudna. Det är att alla arrangemang beroende på ett visst beslut om tillräcklighet beror på något som har upphävts två gånger på ett decennium. Att bygga din efterlevnadshistoria på den innebär att du återkommer till den historien närhelst den juridiska grunden ändras, vilket den gör.
Ett globalt CDN skickar förfrågningar till den kant som är närmast. Utan konfiguration kan en europeisk besökares begäran hanteras var som helst i det nätverket, vilket innebär att överföringsfrågan gäller för din vanliga dagliga trafik snarare än för någon säkerhetskopieringsprocess som du kan resonera Om separat.
Den korta vägen ut
Du kan undvika hela diskussionen genom att inte överföra. Om europeiska besökare betjänas av europeiska edge-servrar och ditt ursprung är i Europa, lämnar uppgifterna aldrig EES, kapitel V engagerar aldrig och du behöver inte spåra den aktuella statusen för något beslut om adekvat skyddsnivå.
Det är värt att vara exakt om vad "europeiska" har att täcka, eftersom det finns mer än ett ben:
- Kanterna som betjänar din trafik. Den självklara.
- Där loggar lagras och bearbetas. Ofta ett annat system på en annan plats än själva kanterna.
- Där kontrollplanet och stödverktyget kör. Om supportpersonal utanför EES kan se loggfiler för begäranden är det en överföring.
- Varje underentreprenör. Tillbaka till listan – kedjan är bara så europeisk som dess svagaste länk.
Samla mindre och problemet krymper
Data residency svarar "var", men GDPR frågar också "hur mycket", och artikel 5s minimeringsprincipen är den billigaste efterlevnadsvinsten som är tillgänglig för dig.
Truncing eller hashing IP-adresser i loggar, hålla begäran loggar för dagar snarare än år, och inte behålla fält du aldrig fråga alla minska din exponering utan att kosta dig något du använde. Det gör också en överträdelse anmälan en mycket kortare konversation, eftersom du inte kan läcka vad du inte hålla.
Checklistan
| Punkt | Status |
|---|---|
| DPA på plats med din CDN-leverantör | Nödvändigt |
| Underprocessorlista läst och förstådd | Nödvändigt |
| Integritetspolicy namnger CDN och varför | Nödvändigt |
| EU-besökare från EEA:s kanter | Rekommenderas starkt |
| Logglagring och support även inom EES | Rekommenderas starkt |
| IP-anonymisering i loggar | Rekommenderas |
| Logghållning inställd på något kort och avsiktligt | Rekommenderas |
| Överföringsmekanism dokumenterad, om några uppgifter lämnas | Nödvändigt om tillämpligt |
Vanliga frågor
Är en CDN GDPR kompatibel?
En CDN kan vara, men efterlevnad är en egenskap hos hur du använder den snarare än själva produkten. Du behöver ett databehandlingsavtal med leverantören, en laglig grund – normalt berättigat intresse – ett omnämnande i din integritetspolicy, och antingen en giltig överföringsmekanism eller ett arrangemang där europeisk trafik stanna inom EES. Samma CDN kan vara kompatibelt för en kund och inte för en annan.
Är en IP-adress personuppgifter enligt GDPR?
Jaha. Europeiska unionens domstol bekräftade i Breyer 2016 att en dynamisk IP-adress utgör personuppgifter när innehavaren har medel som rimligen kan användas för att identifiera individen, till exempel genom att kombinera den med information som innehas av en internetleverantör. Eftersom varje HTTP-begäran har en IP-adress, behandlar alla CDN-nätverk som hanterar din trafik personuppgifter.
Behöver jag cookie-samtycke för att använda ett CDN?
Nej. Att leverera och säkra din webbplats via ett CDN bygger på legitimt intresse, inte samtycke, och kräver inte en cookie-banner. Samtyckesskyldigheter uppstår från vad du placerar på sidan - analys-, reklam- eller marknadsföringsskript - oavsett om de levereras via ett CDN. Att visa din egen webbplats filer snabbare är inte att spåra.
Bryter en USA-baserad CDN GDPR?
Inte automatiskt, men det innebär att din efterlevnad beror på en överföringsmekanism som EU-USA: s datasekretessram eller standardavtalsklausuler. Svårigheten är hållbarhet snarare än laglighet: de två tidigare ramarna, Safe Harbor och Privacy Shield, ogiltigförklarades båda av domstolarna, och den nuvarande har ifrågasatts. Genom att hålla den europeiska trafiken på Europas kanter undanröjs detta beroende helt.
Vad är en DPA och behöver jag en med mitt CDN?
Ett databehandlingsavtal är det skriftliga avtalet i artikel 28 i GDPR som kräver mellan en personuppgiftsansvarig och en personuppgiftsbiträde som agerar på dess vägnar, och som anger vad personuppgiftsbiträdet kan göra med uppgifterna och vilka skyddsåtgärder som gäller. Du behöver en med ditt CDN. De flesta leverantörer publicerar en standard DPA som antingen accepteras i kontoinställningar eller införlivas i deras användarvillkor, och det bör lista sina underprocessorer.
Vad är datauppehållstillstånd och varför spelar det någon roll för ett CDN?
Datauppehåll innebär att man kontrollerar den geografiska plats där data lagras och bearbetas. För ett CDN spelar det roll eftersom förfrågningar dirigeras till närmaste tillgängliga kant som standard, så en europeisk besökares data kan hanteras utanför EES om inte nätverket är konfigurerat på annat sätt. Att begränsa trafiken till EU:s gränser håller uppgifterna inom EU:s jurisdiktion och undanröjer behovet av en överföringsmekanism.
Sammanfattningen är mindre alarmerande än ämnet låter. Skriv under dataskyddsavtalet, läs listan över underleverantörer, lägg till en mening i din integritetspolicy, håll europeisk trafik på europeisk infrastruktur och logga mindre än du tror att du behöver. Det täcker den stora majoriteten av det, och till skillnad från en överföringsmekanism slutar inget av det att vara sant när en domstol dömer igen.
Se hur NordicCDN gör detta för din webbplats:
Mads har arbetat inom IT – mestadels som värd – sedan han var 16. Han tog tidigt del i ett SaaS-företag och hjälpte till att växa fram till förvärvet av Visma, har byggt och drivit datacenternätverk och fungerat som CTO för ett danskt datacenter. Han startade NordicCDN för att göra snabb och säker infrastruktur enkel att använda.
