Правовое основание — почему письменное соглашение обязательно
Когда организация доверяет обработку данных третьему лицу — провайдеру услуг, облаку, подрядчику, — статья 36 закона «О защите персональных данных» строго определяет форму: уполномоченное на обработку лицо может обрабатывать данные только на основании правового акта либо письменного соглашения, заключённого с ответственным лицом. Наличие договора — не вопрос осмотрительности, а установленное законом условие, без которого обработка неправомерна. Именно поэтому договор обработки данных — правовой вал каждой аутсорсинговой связи.
По пункту 1 статьи 36 соглашением определяются: основания и цели обработки; категории обрабатываемых данных; срок обработки; права и обязанности ответственного лица и уполномоченного на обработку лица. Договор, следовательно, отвечает минимум на четыре вопроса — зачем, что, на какой срок и кто что делает. Если эти элементы не определены, соглашение требованиям закона не соответствует, хотя стороны свободны добавлять и иные условия.
Обязательные условия — пять обязанностей в договоре
Пункт 2 статьи 36 закрепляет обязанности уполномоченного лица, входящие в соглашение: первое — данные обрабатываются только по письменному заданию или указанию ответственного лица; второе — физические лица, непосредственно участвующие в обработке, несут обязанность соблюдения конфиденциальности; третье — обеспечивается безопасность данных по закону; четвёртое — при отмене или прекращении действия соглашения данные удаляются либо передаются ответственному лицу, включая копии, если обязанность хранения не установлена законодательством; пятое — ответственному лицу предоставляется надлежащая информация и содействие в мониторинге обработки. Эти пять пунктов — минимальный каркас договора.
Границы поручения и субобработчики
Закон активно защищает границы поручения: недопустима дальнейшая обработка в целях, отличных от определённых соглашением или правовым актом. Обработка через уполномоченное лицо допустима, лишь если оно принимает надлежащие организационные и технические меры для защиты прав субъекта и требований закона; а при высоком риске нецелевой обработки или нарушения прав заключать соглашение запрещено. Ответственное лицо обязано заранее запросить информацию о соответствии обработки закону и вести мониторинг. Передача прав и обязанностей другому лицу — субобработщику — возможна только с предварительного письменного согласия ответственного лица, и это согласие уполномоченное лицо от обязанностей не освобождает. При споре обработка немедленно прекращается, данные полностью передаются ответственному лицу; то же — при прекращении соглашения.