La posizione di un server e la sua rilevanza per il GDPR

In particolare le aziende internet americane o cinesi si vantano di utilizzare server in Europa per le loro piattaforme online, al fine di dare un'immagine seria e prevenire la paura che i dati possano essere spostati all'estero o letti dai servizi segreti stranieri. Cosa significa tecnologicamente il luogo di un server per l'accesso ai dati?

Introduzione

L'accordo informale sulla protezione dei dati tra l'UE e gli Stati Uniti chiamato Privacy Shield era sempre stato invalido. L'UE aveva quindi istituito con gli USA il Data Privacy Framework (DPF). Non è cambiato molto. I diritti dei cittadini europei interessati sono rimasti in USA a un livello basso e non degno della GDPR. Ciò può essere letto da solo dal Prerogativa dell'ordine esecutivo degli Stati Uniti. Inoltre, si noti che tale ordine potrebbe essere revocato in qualsiasi momento, sia dall'attuale presidente o da un futuro presidente.

La problematizzazione dei servizi segreti è solo un tema. Mentalmente sembrano sentirsi meglio molti quando i dati sono archiviati nell'UE o elaborati in altro modo (temporaneamente). Tuttavia, questa mentalità non è appropriata, come si spiegherà brevemente di seguito.

Che cos'è un server?

Un server è un Calcolatrice magica. Offre un servizio o più servizi. Per i servizi utilizzati nell'Internet, è necessario che il server del servizio sia pubblicamente raggiungibile. Ciò avviene attraverso l'assegnazione di una pubblica indirizzo di rete. L'indirizzo di rete nel contesto dell'Internet viene anche chiamato indirizzo IP.

Teoricamente l'intera software per un servizio funziona su un server dedicato, che ad esempio si trova fisicamente a Colonia. In pratica la situazione spesso è diversa. Ne parleremo più avanti.

Il luogo di un server

Il luogo di un server deriva da una sola circostanza. Questa circostanza è il luogo fisico attuale del server. Non è l' indirizzo IP, che viene assegnato al server. Un indirizzo IP può essere assegnato a un server 4711 in Germania e nella prossima seconda a un server 0815 in Texas. L'utente dei server e degli indirizzi IP può cambiare questa assegnazione di indirizzi IP pubblicamente raggiungibili ai server ogni volta che vuole.

Se un server è collocato in un luogo, non può essere identificato dall'esterno. Il gestore del server deve comunicare e garantire il luogo di collocazione contrattualmente. Per i fornitori tedeschi o europei che sono abbastanza piccoli, la sicurezza è spesso anche possibile con un visitino al data center per poter vedere il server. Una protezione adeguata a livello software (forse anche con un dongle) garantirebbe forse che il server non venga sostituito da un altro in un altro luogo, facendo un backup e reindirizzando il traffico di rete.

Mentre cercavo di creare un'immagine per questo articolo utilizzando l'intelligenza artificiale, è emerso anche questo:

Il prompt per questa immagine aveva un riferimento alla Germania, poiché è la mia cittadinanza e questo contributo è stato scritto in lingua locale. Si può vedere l'umettatura di un paese più grande, verso il positivo, si potrebbe dire.

La elaborazione dei dati su un server

Prendiamo ad esempio Google Analytics come servizio che viene gestito su un server in Irlanda e offerto per la vostra web page. Inserite uno script di Google Analytics nella vostra web page. Ora succede questo con l'installazione standard del plugin di Google Analytics:

1. Qualcuno sta visitando il tuo sito web.
2. La loro pagina web carica lo script di Google Analytics.
3. Questo script stabilisce una connessione con un server di Google Analytics (che potrebbe essere ubicato ad esempio in Irlanda).
4. Il server Google Analytics in Irlanda invia al vostro server, su cui viene gestita la vostra web page (anche un servizio!), il codice per poter seguire gli utenti della vostra web page (Tracking chiamato).
5. Il visitatore del suo sito web (vedi 1) clicca e scorre sul suo sito web e potrebbe inserire dati in un modulo.
6. Il piccolo programma ricevuto oltre il 4° invia ora eventi di tracciamento sul visitatore del suo sito web al server Google Analytics, che si trova in Irlanda, trasferendo automaticamente sempre l'indirizzo IP del visitatore del suo sito web al server Google. Una riduzione non è possibile qui.
7. Il server Google in Irlanda elabora questi eventi di tracciamento.

Sembra abbastanza buono, anche se qui bisogna chiarire la base giuridica per i punti 6 e 7. Come base giuridica, rimane solo l'assenso (o un contratto) in questione. La spiegazione successiva e la tematica dei cookie lasciamo qui, per ragioni di chiarezza, da parte della visione d'insieme. A questo proposito ci sono numerosi contributi su Dr. GDPR.

Analisi dettagliata per Google Analytics

Così semplice come descritto sopra, non è però il caso di Google Analytics e molti altri servizi. Per esempio, per punto 3 bisogna determinare tramite un servizio di routing quale server si merita l'onore di rispondere alla vostra pagina web. Infatti, l'indirizzo del plugin è google-analytics.com. Questo indirizzo può essere, proprio come un indirizzo IP, reindirizzato su qualsiasi server in tutto il mondo (o anche nell'universo) e ciò può avvenire ogni volta che si vuole, a richiesta.

Sono quindi possibili ulteriori server coinvolti, fino a quando non è stato trovato il server che fornisce i servizi di Google Analytics per la sua pagina web. In questo processo vengono scambiati anche dati personali (ad esempio l'indirizzo IP o il fingerprint del browser).

Nel punto 7 sopra citato il server del servizio elabora la richiesta della sua pagina web. Nel nostro esempio si tratta di salvare un evento di tracciamento Google Analytics. Google afferma infatti, che tutti i dati di analisi di Google Analytics vengono sempre elaborati negli Stati Uniti. Quindi sono coinvolti ulteriori server, evidentemente né in Irlanda né in Europa, nell'elaborazione dei dati per la sua pagina web.

I server Google negli Stati Uniti possono a loro volta inviare i dati a qualsiasi altro server ulteriormente. Inoltre, i dati possono essere inviati a qualsiasi processore di commessa da Google. Questo processore di commessa si trova per Google Analytics in paesi come

• Filippine
• Egitto
• Argentina
• Singapore
• Stati Uniti d'America
• Australia
• Brasile
• Canada
• Colombia
• Emirati Uniti Arabi Uniti
• Israele,
• Kenia
• e altri paesi.

In tutti questi paesi vengono inviate dati potenzialmente, se il tuo sito web viene assegnato un server di Google Analytics in Irlanda come provider-server. Quale processore di ordini elabora quali dati e per quanto tempo, non lo spiega o lo spiega molto imprecisamente Google. La responsabilità dei responsabili come te (se utilizzi i servizi di Google con altri) dovrebbe essere in questo modo insoddisfatta.

I committenti e i sottocommittenti che ricevono dati personali e li trattano in conformità al GDPR, devono essere verificati legalmente e se possibile anche sul posto dal responsabile.

La verifica in loco presso i fornitori di servizi è una ulteriore assicurazione che aumenta la sicurezza giuridica e il cui obbligo può essere desunto dall'art. 28 GDPR.

Per ogni azienda di cui è stata mostrata la lista precedentemente, deve essere effettuato un controllo per verificare se sono state rispettate le norme sulla protezione dei dati. Lo stesso vale per ogni fornitore di servizi, indipendentemente dal paese in cui si trova. Ciò vale "solo" per i dati personali, ma sembra che nel caso di Google Analytics questi siano sempre presenti. Google può ad esempio identificare con precisione l'utente (nome e indirizzo!) utilizzando la sua GMail-Adresse o la sua Google Maps-Nutzung (preferiti?) e collegarla alla sua attuale IP-Address. Ogni valore dei dati che entra in contatto con i dati personali diventa automaticamente un valore di dati personali. Si veda ad esempio Cookies e IP adresses.

Se un gestore di sito web vuole consultare o analizzare in seguito i dati (ad esempio con Google Analytics) archiviati, sono rilevanti le ubicazioni dei dati. Queste sono spesso geograficamente distribuite anche per applicazioni tecnicamente distribuite. Da un server irlandese come ricevente di dati si passa improvvisamente a server in tutto il mondo che ricevono i dati. Se vengono archiviati o meno, è irrilevante rispetto al concetto di elaborazione dei dati (vedi Articolo 4, punto 2 GDPR). Anche un'assunzione temporanea dei dati nel registro di lavoro per un periodo molto breve può essere un problema, come ha stabilito anche la precedente autorità irlandese sulla protezione dei dati nel caso WhatsApp-Fall.

L'accesso a un server

Da la pandemia di Covid-19, ogni persona sa che esiste il concetto di Home-Office. Alcuni lo chiamano anche lavoro a distanza. In questo modo potete accedere al rete aziendale tramite internet.

Es è possibile accedere a un server in modo analogo, come sa ogni gestore di una pagina web o utente di un servizio cloud. Basta aprire una connessione protetta e si può accedere al server. Il luogo del server non ha alcuna importanza. È evidente che chiunque abbia i dati di accesso a un server possa accedervi da qualsiasi parte del mondo. Anche gli account di posta elettronica gratuite o pagati sono esempi di accessi remoti, in cui il luogo del server non ha alcuna importanza.

Con protocolli come FTP e SCP possono essere recuperati o trasferiti dati da un server. Così possono essere modificate le funzioni o estratti i dati elevate.

Con un accesso SSH possono essere inviati comunque comandi a un server in base alle autorizzazioni. SSH sta per Secure Shell. Con un accesso SSH a un server l'utente lavora in un terminale virtuale. Se il terminale si trova ora fisicamente là dove si trova anche l'utente, o no, non sembra avere alcuna importanza.

Il solo vero differenza rilevante tra accesso a distanza e presenza dell'utente sul luogo del server riguarda la possibilità di modificare l'hardware del server. Spesso ciò è necessario quando si devono sostituire parti difettose o obsolete con nuovi componenti.

Conclusione

Il luogo di posizionamento di un server non dice nulla sulle nazioni in cui i dati inviati al server sono effettivamente elaborati. Il luogo del server può essere determinato con difficoltà e deve essere garantito contrattualmente. I server come fornitore di popolari servizi cambiano spesso.

A chiunque un server invii i dati ricevuti, lo sa solo il fornitore del servizio, ad esempio Google nel caso di Google Analytics. Chi sono i destinatari dei dati, lo sa anche solo il fornitore del servizio.

A causa di normative giuridiche in paesi terzi, i servizi segreti o altre autorità nazionali possono accedere a qualsiasi server in tutto il mondo. Con un accesso remoto si può accedere a ogni server, indipendentemente dalla sua ubicazione fisica.

Il responsabile deve assicurarsi che tutti i destinatari dei dati rispettino la GDPR e che tutti i paesi di provenienza dei destinatari dei dati abbiano un livello di protezione adeguato alla GDPR.

Alle Bilder in diesem Beitrag wurden von einem Computer-Programm erzeugt. Verwendet wurde das selbst entwickelte KI-System von Dr. DSGVO, ähnlich zu Midjourney. Die Bilder dürfen auf Webseiten frei verwendet werden, mit der Bitte, eine Verlinkung auf diesen Blog zu setzen.