Совместные операторы

Что это значит

Совместные операторы - это две или более организации, которые вместе определяют цели и средства обработки персональных данных. Типичный пример - компании группы с общей базой клиентов или партнёры, которые вместе организуют мероприятие и собирают данные участников.

Понятие происходит из GDPR и отличается от отношений оператора и обработчика. Обработчик работает с данными только по указаниям, а совместный оператор сам влияет на то, зачем и как данные обрабатываются.

Совместное управление не обязательно означает равное участие в решениях. Достаточно, чтобы каждая сторона влияла хотя бы на часть обработки в собственных целях, например когда компания размещает на сайте сторонний инструмент, который собирает данные посетителей и для его поставщика.

Как это работает на практике

Совместные операторы должны заключить между собой соглашение, где определено, кто выполняет обязанность информирования, кто обрабатывает запросы субъектов данных, кто занимается инцидентами безопасности и кто общается с надзорным органом. Суть соглашения должна быть доступна и субъектам данных.

На практике соглашение часто прилагается к рамочному договору между компаниями группы или к договору о сотрудничестве по общему проекту. Совместную обработку стоит отразить и в реестрах операций обработки каждой из сторон, чтобы было ясно, за какие операции она отвечает.

Если в отношениях участвует внешний поставщик, например провайдер CRM или бухгалтерская фирма, нужно различать, является ли он обработчиком одного из операторов или всех сразу. От этого зависят договоры об обработке данных и указания, которые ему дают.

На что обратить внимание

Соглашение между операторами не ограничивает права субъекта данных. Он может обратиться к любому из них, и каждый может отвечать за весь ущерб, хотя потом вправе взыскать его часть с партнёра. Распределение обязанностей - прежде всего внутренний вопрос между компаниями.

При проверке со стороны Управления по защите персональных данных оценивается фактическое положение, а не название договора. Если компания утверждает, что она обработчик, но на деле решает о целях обработки, ведомство может признать её совместным оператором со всеми обязанностями.