Угода про обробку даних

Угода про обробку даних – це письмовий договір, у якому контролер визначає умови, на яких обробник обробляє персональні дані від його імені. GDPR робить цей договір обов’язковим, щойно ви передаєте обробку на аутсорсинг, і визначає теми, які він повинен охоплювати.

Правова основа

Це зобов’язання міститься у статті 28(3) Загального регламенту про захист даних. Угода повинна описувати предмет, тривалість, характер і мету обробки, а також визначати типи персональних даних та категорії суб’єктів даних. Вона також повинна містити вісім конкретних зобов’язань: обробка лише на підставі документованих інструкцій, конфіденційність, безпека відповідно до статті 32 GDPR, умови залучення субпідрядників з обробки даних, допомога із запитами суб’єктів даних, допомога з порушеннями та оцінками впливу, повернення або видалення після припинення дії договору, а також надання інформації для аудиту. Стаття 28(1) додає, що ви можете використовувати лише обробників, які пропонують достатні гарантії.

Як це працює на практиці

Майже кожна угода про аутсорсинг потрапляє під сумнів: нарахування заробітної плати, хостинг, ваш постачальник CRM, компанія, яка знищує ваші архіви. Більшість постачальників використовують власний шаблон, доданий як графік до основного договору. Цей шаблон є предметом обговорення, навіть якщо він представлений як фіксований. Зверніть особливу увагу на графік, що описує операції обробки: він повинен відображати те, що насправді відбувається, а не загальний опис, який підходить кожному клієнту. Передача даних за межі Європейської економічної зони потребує додаткової основи, зазвичай стандартних договірних положень Європейської Комісії.

Де щось пішло не так

Три помилки повторюються. Перша — це підписання угоди про обробку зі стороною, яка насправді не є обробником, але сама визначає цілі та засоби; це робить її спільним контролером з іншими правилами. Друга — це загальний дозвіл для субобробників, що означає, що ви втрачаєте уявлення про те, де фізично знаходяться ваші дані. Третя — це графік безпеки, який посилається лише на «відповідні заходи», не називаючи жодного конкретного стандарту, що не пропонує нічого, за що можна було б спертися після виникнення інциденту.

Пов'язані терміни

Угода про обробку тісно пов'язана з порушенням захисту персональних даних , оскільки вона повинна встановлювати термін, протягом якого обробник повинен повідомити вас, а також з оцінкою впливу на захист даних , для якої обробник повинен надати інформацію. Вона також взаємодіє із загальними умовами та положеннями , оскільки часто суперечить обмеженню відповідальності в основному договорі.