Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року, відомий як GDPR, переосмислює економічні відносини між суб'єктами господарювання в контексті передачі даних. Багато компаній, які користуються послугами зовнішніх постачальників послуг, повинні передавати персональні дані клієнтів, співробітників та підрядників. Для цього на законних підставах необхідно укласти відповідну угоду та дотримуватися певних правил.
Що таке довіра обробки персональних даних?
Аутсорсинг обробки персональних даних відбувається, коли контролер даних передає дані іншій організації (обробнику) для обробки від свого імені. Це типово для використання таких послуг, як бухгалтерський облік, маркетинг, ІТ або управління базами даних. Вкрай важливо, щоб обробник працював відповідно до інструкцій контролера даних.
GDPR та угода про обробку даних
GDPR запроваджує низку вимог щодо обробки персональних даних. Перш за все, договір має бути укладений у письмовій або електронній формі. У ньому слід детально зазначати:
- Предмет обробки: Які дані будуть оброблятися.
- Тривалість обробки: Період, протягом якого дані будуть оброблятися.
- Характер і мета обробки: Чому і як дані будуть оброблятися.
- Тип персональних даних: конкретний тип даних, які будуть оброблятися.
- Категорії суб’єктів даних: Група осіб, чиї дані обробляються.
- Обов’язки та права контролера: Детальний обсяг обов’язків та прав контролера даних.
Зобов'язання обробника
Обробник має зобов'язання, які повинні бути чітко визначені в договорі. До них належать:
- Обробка даних відповідно до інструкцій адміністратора.
- Захист персональних даних: Впровадження відповідних технічних та організаційних заходів.
- Конфіденційність: Особи, які мають доступ до даних, повинні дотримуватися зобов'язань щодо конфіденційності.
- Підтримка контролера: допомога у виконанні зобов'язань контролера перед суб'єктами даних.
- Видалення або повернення даних після припинення обробки: Після припинення співпраці обробник повинен повернути або видалити дані.
- Документація діяльності: Обробник повинен вести документацію діяльності з обробки даних та надавати її контролеру на запит.
Вибір відповідного процесора
Вибір обробника не може бути випадковим. Контролер даних повинен переконатися, що обрана організація забезпечує належний рівень безпеки даних та дотримується правил GDPR. Перед укладенням договору доцільно провести аудит або використовувати контрольні форми для перевірки процедур, що використовуються потенційним обробником.
Різниця між довірою та розкриттям персональних даних
Важливо розрізняти довіру обробки даних та їх розкриття. Довіра відбувається, коли обробник обробляє дані відповідно до інструкцій контролера. Розкриття даних відбувається, коли дані передаються іншій особі, яка самостійно визначає цілі та засоби обробки.
Наслідки відсутності договору довірчої власності
Відсутність угоди про обробку даних, коли дані фактично обробляються іншою організацією, є порушенням GDPR. Це може призвести до накладення адміністративних штрафів Головою Управління захисту персональних даних та цивільної відповідальності суб’єктів даних. Тому вкрай важливо завжди укладати відповідні угоди про обробку даних.
Короткий зміст
Доручення обробки персональних даних відповідно до GDPR вимагає ретельності та уваги до деталей. Укладання детального договору, який відповідає вимогам GDPR, та вибір надійних ділових партнерів є ключовими кроками для забезпечення відповідності. Дотримання цих принципів мінімізує ризики та захистить права суб'єктів даних.
Це сповіщення надано лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 24 липня 2024 року.
автор:
