Договор обработки данных: что происходит после подписания
Договор обработки данных выстраивает правовую связь между ответственным за обработку лицом и уполномоченным на обработку лицом. Согласно первому пункту статьи 36 закона Грузии «О защите персональных данных», уполномоченное лицо может обрабатывать данные только на основании правового акта или письменного соглашения, которым определяются основания и цели обработки, категории обрабатываемых данных, срок обработки, права и обязанности сторон. Однако фокус этой страницы — не текст договора, а его жизненный цикл: какие обязанности несут стороны во время действия договора, при спорах и при его прекращении.
Закон здесь распределяет роли ясно. Уполномоченное лицо обрабатывает данные только в соответствии с письменным заданием или указанием ответственного лица; оно обеспечивает, чтобы у физического лица, непосредственно участвующего в обработке, была обязанность соблюдения конфиденциальности; оно обеспечивает безопасность данных в соответствии с законом; при отмене или прекращении действия соглашения оно удаляет данные или передаёт их ответственному лицу и удаляет копии, если их хранение не предписано законодательством. Дальнейшая обработка данных в целях, отличных от определённых соглашением, недопустима.
Предварительная проверка и мониторинг
Выбор партнёра не заканчивается моментом подписания. Согласно шестому пункту статьи 36, ответственное лицо обязано заблаговременно потребовать от уполномоченного лица информацию об обработке данных в соответствии с законом и осуществлять мониторинг проводимой им обработки. Это значит, что право и обязанность контроля непрерывны: они начинаются до договора и продолжаются всё время его действия.
Кроме того, если из деятельности или целей уполномоченного лица вытекает высокий риск нецелевой обработки данных или нарушения прав субъектов, заключение с таким лицом соглашения недопустимо вовсе. Поэтому управление договором начинается с оценки риска: кто партнёр, чем он занимается и насколько его деятельность соответствует целям, для которых передаются данные.
Субобработчики и правило согласия
Цепочка обработки часто не останавливается на одном обработчике. Согласно седьмому пункту статьи 36, если законодательством Грузии не установлено иное, недопустима передача уполномоченным лицом своих прав и обязанностей полностью или частично другому лицу без предварительного письменного согласия ответственного лица. Важное дополнение: согласие ответственного лица не освобождает уполномоченное лицо от соответствующих обязанностей и ответственности.
Практический эффект ясен: согласие — это формальное разрешение на привлечение субобработчика, а не перераспределение ответственности. Ответственное лицо по-прежнему отвечает за поведение всей цепочки, поэтому перечень субобработчиков, проверка их соответствия и процедура согласования изменений — обязательные части управления договором.