Стандартные договорные положения

Что это значит

Стандартные договорные положения, по-английски standard contractual clauses или SCC, - типовые договорные условия, принятые Европейской комиссией. Они служат надлежащей гарантией для передачи персональных данных в третьи страны, для которых нет решения о достаточности. Подписав их, получатель вне ЕС обязуется защищать данные по правилам, сопоставимым с GDPR.

Актуальная версия положений модульная. Она содержит модули для разных ситуаций: передача от контролёра контролёру, от контролёра обработчику, от обработчика обработчику и от обработчика обратно контролёру. Стороны выбирают модуль по своей роли и заполняют приложения с описанием передачи и мер безопасности.

Текст положений менять нельзя. Стороны могут добавить другие условия, но они не должны противоречить положениям или снижать уровень защиты. Положения можно включить в другой договор, например в договор с обработчиком, или подписать как отдельный документ.

Как это работает на практике

Перед использованием положений нужно провести оценку воздействия передачи. Оценивают, не позволяют ли право и практика страны получателя, прежде всего доступ государственных органов к данным, обходить обязательства из положений. Если да, нужно добавить меры, например шифрование, псевдонимизацию или минимизацию данных, либо отказаться от передачи.

У крупных облачных поставщиков положения обычно входят в договорные условия, и фирма принимает их вместе с услугой. С небольшими поставщиками вне ЕС их нужно готовить и подписывать индивидуально. Положения входят в документацию по защите данных, и при проверке их может запросить Управление по защите персональных данных.

Работа с положениями включает и контроль субподрядчиков получателя. Если обработчик вне ЕС привлекает других обработчиков, он должен обязать их теми же правилами. Об изменениях в цепочке нужно сообщать контролёру. При масштабной или рискованной обработке может понадобиться и DPIA.

На что обратить внимание

Самая частая ошибка - подписание положений без оценки передачи и без заполнения приложений. Формально подписанный документ без реального содержания не защитит фирму при проверке. Приложения должны точно описывать, какие данные передаются, с какой целью, кому и с какими мерами.

Старые версии положений уже не действуют, и договоры на их основе нужно было заменить новыми. Фирме, которая давно не проверяла договоры с поставщиками вне ЕС, стоит убедиться, на какой версии положений они основаны, и при необходимости обновить их.