Правовое основание — почему письменное соглашение обязательно
Когда организация доверяет обработку данных третьему лицу — провайдеру услуг, облаку, подрядчику, — статья 36 закона «О защите персональных данных» строго определяет форму: уполномоченное на обработку лицо может обрабатывать данные только на основании правового акта либо письменного соглашения, заключённого с ответственным лицом. Наличие договора — не вопрос осмотрительности, а установленное законом условие, без которого обработка неправомерна. Именно поэтому договор обработки данных — правовой вал каждой аутсорсинговой связи.
По пункту 1 статьи 36 соглашением определяются: основания и цели обработки; категории обрабатываемых данных; срок обработки; права и обязанности ответственного лица и уполномоченного на обработку лица. Договор, следовательно, отвечает минимум на четыре вопроса — зачем, что, на какой срок и кто что делает. Если эти элементы не определены, соглашение требованиям закона не соответствует, хотя стороны свободны добавлять и иные условия.
Обязательные условия — пять обязанностей в договоре
Пункт 2 статьи 36 закрепляет обязанности уполномоченного лица, входящие в соглашение: первое — данные обрабатываются только по письменному заданию или указанию ответственного лица; второе — физические лица, непосредственно участвующие в обработке, несут обязанность соблюдения конфиденциальности; третье — обеспечивается безопасность данных по закону; четвёртое — при отмене или прекращении действия соглашения данные удаляются либо передаются ответственному лицу, включая копии, если обязанность хранения не установлена законодательством; пятое — ответственному лицу предоставляется надлежащая информация и содействие в мониторинге обработки. Эти пять пунктов — минимальный каркас договора.
Границы поручения и субобработчики
Закон активно защищает границы поручения: недопустима дальнейшая обработка в целях, отличных от определённых соглашением или правовым актом. Обработка через уполномоченное лицо допустима, лишь если оно принимает надлежащие организационные и технические меры для защиты прав субъекта и требований закона; а при высоком риске нецелевой обработки или нарушения прав заключать соглашение запрещено. Ответственное лицо обязано заранее запросить информацию о соответствии обработки закону и вести мониторинг. Передача прав и обязанностей другому лицу — субобработщику — возможна только с предварительного письменного согласия ответственного лица, и это согласие уполномоченное лицо от обязанностей не освобождает. При споре обработка немедленно прекращается, данные полностью передаются ответственному лицу; то же — при прекращении соглашения.
Совместная ответственность и безопасность
Статья 35 регулирует совместных ответственных лиц: если в обработке участвует несколько, они обязаны заранее письменно определить обязанности и ответственность каждого — включая защиту прав субъекта и информационные обязанности; эта информация должна быть доступна субъекту, который вправе обращаться и к каждому отдельно. Статья 27 обязывает обе стороны по безопасности: ответственное и уполномоченное лица совместно принимают организационно-технические меры, соответствующие возможным и сопутствующим угрозам, — включая псевдонимизацию, учёт доступа и механизмы конфиденциальности-целостности-доступности. Ответственность за безопасность нельзя договором переложить только на одну сторону.
Договор не заканчивается однократной подписью. Закон смотрит на всю его жизнь: соглашение может предусматривать обязанность уполномоченного лица оказывать помощь ответственному в целях безопасности и защиты прав субъекта; а уполномоченное лицо обязано принять надлежащие организационно-технические меры, чтобы помогать ответственному исполнять обязанности, связанные с осуществлением прав субъекта, — например, при реакциях на запросы удаления, исправления или переноса. При отмене или прекращении действия соглашения обработка прекращается, а обработанные данные незамедлительно и полностью передаются ответственному лицу. При возникновении спора — в момент обострения отношений сторон — закон однозначен: обработка немедленно прекращается, данные передаются полностью. Оставить данные «в подвешенном состоянии» при разваливающихся отношениях закон не позволяет.
Практическая рекомендация организациям: действующие аутсорсинговые договоры стоит перепроверить на соответствие этим требованиям — многие написаны общим сервисным языком и не отражают обязательных по закону элементов. Проверка договора дешева; штраф и разъяснения перед Государственной службой аудита — нет.
Штрафы и почему это важно
Статья 84 связывает штрафы с неисполнением обязанностей по статьям 35 и 36: для лиц с выручкой до 500 000 лари — предупреждение или штраф 1 000 лари; свыше — предупреждение или 2 000 лари; при отягчающих обстоятельствах — соответственно 2 000 и 4 000 лари. Команда Legal.ge поможет составить договор обработки данных и привести действующие договоры в соответствие с законом.
Часто задаваемые вопросы
Ниже — вопросы, которые часто задают о договорах обработки данных.
Можно ли поручить обработку устным соглашением?
Нет — по статье 36 обработка возможна только на основании правового акта или письменного соглашения.
Какой штраф предусмотрен?
По статье 84 — предупреждение или штраф в 1 000 лари при обороте до 500 000 лари, предупреждение или 2 000 лари — при большем обороте.
Что обязательно входит в договор?
Основания и цели обработки, категории данных, срок, права и обязанности сторон и пять обязательных условий.
Как мы помогаем на Legal.ge
Грамотный договор — это профилактика спора: верно выстроенные условия заранее снимают будущий конфликт. На Legal.ge вы можете обратиться к специалисту по защите данных, который проверит или подготовит ваш договор. Обратитесь за консультацией.