Контролёр данных

Что это значит

Оператор по GDPR - фирма, ведомство или лицо, которое само или вместе с другими определяет цели и средства обработки персональных данных. Иначе говоря, он решает, зачем и как обрабатываются данные, и несёт за обработку основную ответственность.

Каждая фирма является оператором хотя бы в некоторых областях. Работодатель обрабатывает данные сотрудников для зарплат и кадров, интернет-магазин - данные клиентов для выполнения заказов, офис - данные поставщиков и контактных лиц. По каждой из этих деятельностей у оператора есть обязанности.

Оператора нужно отличать от обработчика, который обрабатывает данные от имени оператора и по его указаниям. Когда фирма, например, поручает зарплаты бухгалтерскому бюро, фирма остаётся оператором, а бюро - обработчиком. Их отношения регулирует договор об обработке данных.

Как это работает на практике

Настраивая защиту данных клиента, мы начинаем с перечня деятельностей, где он оператор. Для каждой определяем цель, правовое основание, срок хранения и получателей. Результат - реестр операций обработки, основа всей работы.

Оператор должен предоставлять субъектам данных информацию об обработке, обрабатывать их запросы, например по праву на доступ, защищать данные соразмерными мерами и сообщать ведомству об утечках, если они несут риск.

У внешних поставщиков, таких как облачные сервисы, зарплатная программа или маркетинговые инструменты, мы проверяем, являются ли они обработчиками и заключён ли с ними договор. Оператор отвечает и за то, что выбрал надёжного обработчика.

На что обратить внимание

Фирмы часто думают, что, поручив работу внешнему поставщику, передали ему и ответственность. Это не так: оператор остаётся ответственным за законность обработки, и при утечке данных в облаке именно он должен разбираться с инцидентом и сообщать о нём.

Иногда две фирмы - совместные операторы, например при общей маркетинговой акции. Тогда они должны договором распределить обязанности, а субъект данных может предъявить свои права любой из них. Это стоит решить заранее.