Договір про обробку даних

Що це означає

Угода про обробку даних регулює відносини між контролером, який визначає мету і засоби обробки, та обробником, який обробляє дані від його імені. GDPR вимагає її завжди, коли такі відносини виникають.

Вона має містити предмет і строк обробки, характер і мету, категорії даних і суб’єктів та обов’язки обох сторін, включно з конфіденційністю, заходами безпеки і долею даних після завершення співпраці.

Не кожен постачальник, який бачить персональні дані, є обробником. Аудитор, адвокат чи банк обробляють дані у власних цілях за спеціальними законами і виступають самостійними контролерами; договір про обробку з ними не укладають, хоча конфіденційність і захист даних у цих відносинах регулюють інші правила.

Як це працює на практиці

У компанії це стосується звичайних підрядників: бухгалтерської фірми, зарплатної системи, хмарного сховища, поштового сервісу, CRM, маркетингових інструментів та ІТ-підтримки. Це не формальність для великих компаній, а стандартний додаток до договору.

Вона вирішує й питання субобробників: підрядник не вправі залучати субпідрядника без згоди і зобов’язаний перенести на нього ті самі обов’язки. Тому за аутсорсингу ми питаємо, де дані фізично перебувають.

З кожним клієнтом, якому ми ведемо зарплату, укладаємо договір про обробку як обробник. Клієнт потім зазначає його в записі про операції з обробки для зарплатного обліку, і під час перевірки може показати, хто має доступ до даних працівників і на якій підставі.

На що звернути увагу

Відсутність угоди - порушення, що виявляється під час першої ж перевірки, причому на боці контролера, тобто вашому. Але самого документа замало: йому мають відповідати реальні доступи і заходи на кшталт псевдонімізації чи шифрування.

Якщо в постачальника сервери чи підтримка за межами ЄС, самого договору про обробку замало: передавання до третьої країни потребує власної правової підстави, наприклад стандартних договірних положень. Якщо її немає, порушення несе контролер, і штраф та витрати на інцидент кіберстрахування покривати не зобов’язане.