Спільні контролери

Що це означає

Спільні контролери - це дві або більше організацій, які разом визначають цілі та засоби обробки персональних даних. Типовий приклад - компанії групи зі спільною базою клієнтів або партнери, що разом організовують захід і збирають дані учасників.

Поняття походить з GDPR і відрізняється від відносин контролера та обробника. Обробник працює з даними лише за вказівками, а спільний контролер сам впливає на те, навіщо і як дані обробляються.

Спільне контролювання не обов'язково означає рівну участь у рішеннях. Досить, щоб кожна сторона впливала хоча б на частину обробки у власних цілях, наприклад коли компанія розміщує на сайті сторонній інструмент, що збирає дані відвідувачів і для його постачальника.

Як це працює на практиці

Спільні контролери мають укласти між собою угоду, де визначено, хто виконує обов'язок інформування, хто опрацьовує запити суб'єктів даних, хто займається інцидентами безпеки і хто спілкується з наглядовим органом. Суть угоди має бути доступна і суб'єктам даних.

На практиці угоду часто додають до рамкового договору між компаніями групи або до договору про співпрацю над спільним проєктом. Спільну обробку варто відобразити і в реєстрах операцій обробки кожної зі сторін, щоб було зрозуміло, за які операції вона відповідає.

Якщо у відносинах бере участь зовнішній постачальник, наприклад провайдер CRM чи бухгалтерська фірма, треба розрізняти, чи він обробник одного з контролерів, чи всіх одразу. Від цього залежать договори про обробку даних і вказівки, які йому дають.

На що звернути увагу

Угода між контролерами не обмежує прав суб'єкта даних. Він може звернутися до будь-якого з них, і кожен може відповідати за всю шкоду, хоча потім має право стягнути її частину з партнера. Розподіл обов'язків - насамперед внутрішнє питання між компаніями.

Під час перевірки з боку Управління із захисту персональних даних оцінюють фактичний стан, а не назву договору. Якщо компанія стверджує, що вона обробник, але насправді вирішує про цілі обробки, відомство може визнати її спільним контролером з усіма обов'язками.