Контролер даних

Що це означає

Контролер за GDPR - фірма, відомство чи особа, яка сама або разом з іншими визначає мету й засоби обробки персональних даних. Інакше кажучи, він вирішує, навіщо й як обробляються дані, і несе за обробку основну відповідальність.

Кожна фірма є контролером принаймні в деяких сферах. Роботодавець обробляє дані працівників для зарплат і кадрів, інтернет-магазин - дані клієнтів для виконання замовлень, офіс - дані постачальників і контактних осіб. Щодо кожної з цих діяльностей контролер має обов’язки.

Контролера треба відрізняти від обробника, який обробляє дані від імені контролера й за його вказівками. Коли фірма, наприклад, доручає зарплати бухгалтерському бюро, фірма залишається контролером, а бюро - обробником. Їхні відносини регулює договір про обробку даних.

Як це працює на практиці

Налаштовуючи захист даних клієнта, ми починаємо з переліку діяльностей, де він контролер. Для кожної визначаємо мету, правову підставу, строк зберігання й отримувачів. Результат - реєстр операцій обробки, основа всієї роботи.

Контролер має надавати суб’єктам даних інформацію про обробку, опрацьовувати їхні запити, наприклад щодо права на доступ, захищати дані пропорційними заходами й повідомляти відомство про витоки, якщо вони несуть ризик.

У зовнішніх постачальників, як-от хмарних сервісів, зарплатної програми чи маркетингових інструментів, ми перевіряємо, чи є вони обробниками і чи укладено з ними договір. Контролер відповідає й за те, що обрав надійного обробника.

На що звернути увагу

Фірми часто думають, що, доручивши роботу зовнішньому постачальникові, передали йому й відповідальність. Це не так: контролер лишається відповідальним за законність обробки, і в разі витоку даних у хмарі саме він має розбиратися з інцидентом і повідомляти про нього.

Іноді дві фірми - спільні контролери, наприклад під час спільної маркетингової акції. Тоді вони мають договором розподілити обов’язки, а суб’єкт даних може пред’явити свої права будь-якій із них. Це варто вирішити заздалегідь.