A különböző szervereink (webszerver, levelezőszerver, fileszerver, alkalmazásszerver stb.) elég sok féle adatot gyűjtenek a működésük közben. A szervernaplók olyan állományok, amelyeket a szervereink automatikusan hoznak létre és gyűjtenek benne adatokat, viszont mi hangolhatjuk őket a saját igényeink szerint. Például a cég weboldalát kiszolgáló webszerver gyűjtheti a weboldal felhasználóinak IP-címét. A GDPR rendelet 4. cikk (1) bekezdése az IP-címet mint „online azonosító”-t, személyes adatnak tekinti.
Különböző típusú naplófájlok léteznek:
- Hozzáférési naplók (rögzítheti az egyes fájlok iránti kérelmeket, amelyeket a felhasználók kértek)
- Hiba naplók (különféle típusú hibák nyomon követése és rögzítése)
- Biztonsági naplók (nyomon követheti és rögzítheti a biztonsággal kapcsolatos eseményeket, például: bejelentkezési és kijelentkezési tevékenységek, jogosulatlan hozzáférési kísérletek, stb.)
Mindezeket a szervezetünk jogos üzleti érdekeinek tekinthetjük, azaz például gyűjthetjük az IP-címeket a szervernaplókba, kifejezett felhasználói hozzájárulás nélkül is.
GDPR rendelet, 6. cikk („Az adatkezelés jogszerűsége”), 1. pont:
„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
…
- f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.”
Mindentől függetlenül, továbbra is meg kell győződnünk arról , hogy a személyes adatok feldolgozása biztonságos-e, és nem gyűjtünk-e több személyes adatot, mint amennyire feltétlenül szükségünk van.
Ezt például az alábbi módon tudjuk ellenőrizni:
- Ellenőrizni kell a szerver naplóit, hogy megnézzük, milyen típusú személyes adatokat gyűjtünk valójában.
- Mennyi ideig őrizzük a hozzáférési, hiba- és biztonsági naplókat, mielőtt automatikusan törli őket?
- Automatizálható a régi naplófájlok törlése, például X nap után?
- Titkosítjuk a naplófájlokat? Meddig tart a naplók titkosítatlan állapota az első rögzítéskor?
- Milyen intézkedéseket tettünk a naplóadatok biztonságossá tétele és a szerver meghibásodása esetén a károk korlátozása érdekében?
Egy nagyobb szervezet esetében ettől persze egy „picit” bonyolultabb a helyzet, de az alapelvek ugyanezek lesznek.