Обробник даних

Що це означає

Обробник за GDPR - фірма чи особа, яка обробляє персональні дані від імені контролера й за його вказівками. Сам він не вирішує про мету обробки, а лише виконує роботу, яку йому доручив контролер.

Типові обробники - бухгалтерські бюро й зарплатні служби, провайдери хостингу й хмарних сервісів, постачальники CRM чи e-mail-маркетингу, IT-сервіс із доступом до систем фірми або фірми, що знищують документи. Кожна фірма має кількох таких обробників.

Відносини контролера й обробника має регулювати письмовий договір про обробку персональних даних. У ньому визначають предмет, строк, характер і мету обробки, тип даних, обов’язки обробника щодо безпеки й конфіденційності і що буде з даними після закінчення співпраці.

Як це працює на практиці

Як бухгалтерське бюро ми для клієнтів обробник під час розрахунку зарплат і опрацювання облікових документів із персональними даними. Тому з кожним клієнтом укладаємо договір про обробку, який ясно визначає, що ми робимо з даними і як їх захищаємо.

Під час ревізії захисту даних у клієнтів ми складаємо список усіх обробників і перевіряємо, чи є з ними договір. У великих хмарних провайдерів договір зазвичай входить до умов використання, але треба перевірити, де зберігаються дані і чи передаються вони за межі ЄС.

Обробник може залучити наступного обробника, наприклад дата-центр, лише за згодою контролера. Контролерові варто мати огляд усього ланцюга й зазначити в реєстрі операцій обробки, кому він передає дані.

На що звернути увагу

Найчастіша помилка - користуватися сервісами, про які фірма навіть не знає, що це обробка, наприклад безкоштовними онлайн-інструментами чи застосунками працівників. Таке тіньове IT означає обробку без договору й без контролю над тим, де опиняться дані.

Обробник, який починає робити з даними щось понад вказівки, наприклад використовує їх для власного маркетингу, у цьому обсязі стає контролером і порушує закон. Тому контролерові варто обумовити в договорі право на контроль і аудит.