Кто такой уполномоченный на обработку лицо
По определению статьи 3 закона «О защите персональных данных» уполномоченное на обработку лицо — физическое лицо, юридическое лицо или государственное учреждение, обрабатывающее данные для ответственного лица или от его имени. Важное уточнение: физическое лицо, состоящее с ответственным в трудовых отношениях, уполномоченным лицом не считается — статус касается аутсорсинга, а не собственных сотрудников. В международной лексике эту роль часто называют «процессором»; грузинский законодательный термин — именно «уполномоченное на обработку лицо», и он используется в правовом анализе. Та же статья определяет и инцидент: нарушение безопасности данных, влекущее неправомерное или случайное повреждение, утрату, несанкционированное раскрытие, уничтожение, изменение, доступ к данным или иную несанкционированную обработку.
Основание деятельности, обязательные условия и безопасность
По пункту 1 статьи 36 уполномоченное лицо обрабатывает данные только на основании правового акта либо письменного соглашения с ответственным лицом, определяющего основания и цели обработки, категории обрабатываемых данных, срок и права-обязанности сторон. Соглашение также должно содержать пять обязательных условий: обработку только по письменному заданию или указанию ответственного лица; конфиденциальность лиц, непосредственно участвующих в обработке; безопасность по закону; удаление или передачу данных ответственному лицу при отмене или прекращении соглашения — включая копии, если обязанность их хранения не установлена законодательством; и предоставление ответственному лицу информации содействием его мониторингу.
Недопустима дальнейшая обработка в иных целях. Обработка через уполномоченное лицо допустима лишь при обеспечении им надлежащих организационных и технических мер защиты прав субъекта и требований закона; а если из его деятельности или целей вытекает высокий риск нецелевой обработки или нарушения прав субъекта, заключение соглашения прямо запрещено. Передача прав и обязанностей другому лицу возможна только с предварительного письменного согласия ответственного, не освобождающего от обязанностей; при возникновении спора обработка немедленно прекращается и данные полностью передаются, а при отмене соглашения или правового акта обработанные данные передаются ответственному лицу незамедлительно и полностью.
У ответственного лица тоже есть обязанность: заранее запросить информацию об обработке в соответствии с законом и вести мониторинг обработки уполномоченным лицом. По пункту 10 статьи 36 уполномоченное лицо обязано принять надлежащие организационно-технические меры, чтобы помогать ответственному исполнять обязанности, связанные с осуществлением прав субъекта, — запрос субъекта не должен проваливаться между организациями. Поэтому в каждом аутсорсинговом плане сценарий обеих ролей следует проиграть до подписания: кто ведёт учёт, кто уведомляет и как устроен выход из отношений.
Собственный учёт и Государственная служба аудита
Пункт 2 статьи 28 обязывает уполномоченное лицо вести собственный учёт: письменно либо электронно обеспечивается информация о его самом, офицере по защите, ответственном и совместных ответственных лицах и специальном представителе — с контактами; о видах обработки для ответственного лица или от его имени; при участии в международных передачах — о передаче и гарантиях; общее описание мер безопасности и сведения об инцидентах. Обязанность распространяется и на лицо, вовлечённое в обработку в порядке, установленном пунктом 7 статьи 36. По требованию эта информация представляется Государственной службе аудита незамедлительно, но не позднее 3 рабочих дней — как и учёт ответственного лица. Уполномоченное лицо, следовательно, полноценный участник в глазах закона, а не тень ответственного.
Обязанность, связанная с инцидентами
Пункт 2 статьи 29 регулирует коммуникацию об инцидентах: уполномоченное лицо обязано немедленно уведомить ответственное лицо об инциденте. Это короткая, но решающая норма: 72-часовой срок, в который ответственное лицо с момента обнаружения инцидента уведомляет службу аудита, начинается именно с незамедлительного информирования уполномоченным лицом. Если инцидент произошёл в его системах, задержка тормозит всю цепочку — и увеличивает риск штрафа.
Роль уполномоченного лица двояка: с одной стороны, коммерчески заинтересованная сторона, обслуживающая клиентов; с другой — правовой участник с собственными обязанностями независимо от текста договора: собственный учёт, собственные меры безопасности и немедленное уведомление — его личная сфера ответственности, и именно эти элементы проверяет служба аудита.
Часто задаваемые вопросы
Ниже — ответы на вопросы о статусе и обязанностях уполномоченного лица.
Отличается ли уполномоченное лицо от сотрудника?
Да. Физическое лицо в трудовых отношениях с ответственным не считается уполномоченным — статус касается обработки, переданной третьему лицу.
Сколько обязательных условий должно содержать соглашение?
Пять: обработку по письменному заданию, конфиденциальность персонала, безопасность по закону, удаление или передачу данных при завершении и предоставление информации для мониторинга.
Должно ли оно вести собственный учёт?
Да — по пункту 2 статьи 28: идентичность и контакты сторон, виды обработки, передачи и гарантии, меры безопасности и инциденты. По требованию представляется службе аудита в течение 3 рабочих дней.
Как сообщается об инциденте?
Уполномоченное лицо немедленно уведомляет ответственное — именно отсюда начинается 72-часовой срок уведомления Государственной службы аудита.
Можно ли передать поручение другому лицу?
Только с предварительного письменного согласия ответственного лица — не освобождающего уполномоченное от его обязанностей.
Как мы помогаем на Legal.ge
Команда Legal.ge поможет и правильно выстроить обязанности уполномоченного лица, и ответственному — управлять цепочкой: составим обязательные условия соглашения, опишем учёт и организуем процедуру реагирования на инциденты.
Если ваша организация обрабатывает данные для других или передаёт обработку на аутсорсинг — напишите нам на Legal.ge: оценим действующие соглашения на соответствие закону, проанализируем учёт и подготовим исправления, чтобы каждая обязанность исполнялась вовремя и с обоснованием.