Стандартні договірні положення

Що це означає

Стандартні договірні положення, англійською standard contractual clauses або SCC, - типові договірні умови, ухвалені Європейською комісією. Вони слугують належною гарантією для передання персональних даних до третіх країн, щодо яких немає рішення про належний рівень захисту. Підписавши їх, отримувач поза ЄС зобов'язується захищати дані за правилами, порівнянними з GDPR.

Актуальна версія положень модульна. Вона містить модулі для різних ситуацій: передання від контролера контролеру, від контролера обробнику, від обробника обробнику й від обробника назад контролеру. Сторони обирають модуль за своєю роллю й заповнюють додатки з описом передання та заходів безпеки.

Текст положень змінювати не можна. Сторони можуть додати інші умови, але вони не мають суперечити положенням чи знижувати рівень захисту. Положення можна включити до іншого договору, наприклад до договору з обробником, або підписати як окремий документ.

Як це працює на практиці

Перед використанням положень треба провести оцінку впливу передання. Оцінюють, чи не дозволяють право й практика країни отримувача, передусім доступ державних органів до даних, обходити зобов'язання з положень. Якщо так, треба додати заходи, наприклад шифрування, псевдонімізацію чи мінімізацію даних, або відмовитися від передання.

У великих хмарних постачальників положення зазвичай входять до договірних умов, і фірма приймає їх разом із послугою. З невеликими постачальниками поза ЄС їх треба готувати й підписувати індивідуально. Положення входять до документації із захисту даних, і під час перевірки їх може запитати Управління із захисту персональних даних.

Робота з положеннями охоплює й контроль субпідрядників отримувача. Якщо обробник поза ЄС залучає інших обробників, він має зобов'язати їх тими самими правилами. Про зміни в ланцюжку треба повідомляти контролера. За масштабної чи ризикованої обробки може знадобитися й DPIA.

На що звернути увагу

Найчастіша помилка - підписання положень без оцінки передання й без заповнення додатків. Формально підписаний документ без реального змісту не захистить фірму під час перевірки. Додатки мають точно описувати, які дані передають, з якою метою, кому і з якими заходами.

Старі версії положень уже не діють, і договори на їх основі треба було замінити новими. Фірмі, яка давно не перевіряла договорів із постачальниками поза ЄС, варто переконатися, на якій версії положень вони ґрунтуються, і за потреби оновити їх.