Договор об обработке данных

Что это значит

Соглашение об обработке данных регулирует отношения между контролёром, который определяет цель и средства обработки, и обработчиком, который обрабатывает данные от его имени. GDPR требует его всегда, когда такие отношения возникают.

Оно должно содержать предмет и срок обработки, характер и цель, категории данных и субъектов и обязанности обеих сторон, включая конфиденциальность, меры безопасности и судьбу данных после завершения сотрудничества.

Не каждый поставщик, который видит персональные данные, является обработчиком. Аудитор, адвокат или банк обрабатывают данные в собственных целях по специальным законам и выступают самостоятельными операторами; договор об обработке с ними не заключают, хотя конфиденциальность и защиту данных в этих отношениях регулируют другие правила.

Как это работает на практике

В компании это касается обычных подрядчиков: бухгалтерской фирмы, зарплатной системы, облачного хранилища, почтового сервиса, CRM, маркетинговых инструментов и ИТ-поддержки. Это не формальность для крупных компаний, а стандартное приложение к договору.

Оно решает и вопрос субобработчиков: подрядчик не вправе привлекать субподрядчика без согласия и обязан перенести на него те же обязанности. Поэтому при аутсорсинге мы спрашиваем, где данные физически находятся.

С каждым клиентом, которому мы ведём зарплату, заключаем договор об обработке как обработчик. Клиент затем указывает его в реестре операций по обработке при зарплатном учёте, и при проверке может показать, кто имеет доступ к данным работников и на каком основании.

На что обратить внимание

Отсутствие соглашения - нарушение, выявляемое при первой же проверке, причём на стороне контролёра, то есть вашей. Но самого документа мало: ему должны соответствовать реальные доступы и меры вроде псевдонимизации или шифрования.

Если у поставщика серверы или поддержка за пределами ЕС, одного договора об обработке мало: передача в третью страну требует собственного правового основания, например стандартных договорных положений. Если его нет, нарушение несёт оператор, и штраф и расходы на инцидент киберстрахование покрывать не обязано.