Обработчик данных

Что это значит

Обработчик по GDPR - фирма или лицо, которое обрабатывает персональные данные от имени оператора и по его указаниям. Сам он не решает о цели обработки, а лишь выполняет работу, которую ему поручил оператор.

Типичные обработчики - бухгалтерские бюро и зарплатные службы, провайдеры хостинга и облачных сервисов, поставщики CRM или e-mail-маркетинга, IT-сервис с доступом к системам фирмы или фирмы, которые уничтожают документы. У каждой фирмы таких обработчиков несколько.

Отношения оператора и обработчика должен регулировать письменный договор об обработке персональных данных. В нём определяют предмет, срок, характер и цель обработки, тип данных, обязанности обработчика по безопасности и конфиденциальности и что будет с данными после окончания сотрудничества.

Как это работает на практике

Как бухгалтерское бюро мы для клиентов обработчик при расчёте зарплат и обработке учётных документов с персональными данными. Поэтому с каждым клиентом заключаем договор об обработке, который ясно определяет, что мы делаем с данными и как их защищаем.

При ревизии защиты данных у клиентов мы составляем список всех обработчиков и проверяем, есть ли с ними договор. У крупных облачных провайдеров договор обычно входит в условия использования, но нужно проверить, где хранятся данные и передаются ли они за пределы ЕС.

Обработчик может привлечь следующего обработчика, например дата-центр, только с согласия оператора. Оператору стоит иметь обзор всей цепочки и указать в реестре операций обработки, кому он передаёт данные.

На что обратить внимание

Самая частая ошибка - пользоваться сервисами, о которых фирма даже не знает, что это обработка, например бесплатными онлайн-инструментами или приложениями сотрудников. Такое теневое IT означает обработку без договора и без контроля над тем, где окажутся данные.

Обработчик, который начинает делать с данными что-то сверх указаний, например использует их для своего маркетинга, в этом объёме становится оператором и нарушает закон. Поэтому оператору стоит оговорить в договоре право на контроль и аудит.