Кто такой уполномоченный на обработку лицо
По определению статьи 3 закона «О защите персональных данных» уполномоченное на обработку лицо — физическое лицо, юридическое лицо или государственное учреждение, обрабатывающее данные для ответственного лица или от его имени. Важное уточнение: физическое лицо, состоящее с ответственным в трудовых отношениях, уполномоченным лицом не считается — статус касается аутсорсинга, а не собственных сотрудников. В международной лексике эту роль часто называют «процессором»; грузинский законодательный термин — именно «уполномоченное на обработку лицо», и он используется в правовом анализе. Та же статья определяет и инцидент: нарушение безопасности данных, влекущее неправомерное или случайное повреждение, утрату, несанкционированное раскрытие, уничтожение, изменение, доступ к данным или иную несанкционированную обработку.
Основание деятельности, обязательные условия и безопасность
По пункту 1 статьи 36 уполномоченное лицо обрабатывает данные только на основании правового акта либо письменного соглашения с ответственным лицом, определяющего основания и цели обработки, категории обрабатываемых данных, срок и права-обязанности сторон. Соглашение также должно содержать пять обязательных условий: обработку только по письменному заданию или указанию ответственного лица; конфиденциальность лиц, непосредственно участвующих в обработке; безопасность по закону; удаление или передачу данных ответственному лицу при отмене или прекращении соглашения — включая копии, если обязанность их хранения не установлена законодательством; и предоставление ответственному лицу информации содействием его мониторингу.
Недопустима дальнейшая обработка в иных целях. Обработка через уполномоченное лицо допустима лишь при обеспечении им надлежащих организационных и технических мер защиты прав субъекта и требований закона; а если из его деятельности или целей вытекает высокий риск нецелевой обработки или нарушения прав субъекта, заключение соглашения прямо запрещено. Передача прав и обязанностей другому лицу возможна только с предварительного письменного согласия ответственного, не освобождающего от обязанностей; при возникновении спора обработка немедленно прекращается и данные полностью передаются, а при отмене соглашения или правового акта обработанные данные передаются ответственному лицу незамедлительно и полностью.
У ответственного лица тоже есть обязанность: заранее запросить информацию об обработке в соответствии с законом и вести мониторинг обработки уполномоченным лицом. По пункту 10 статьи 36 уполномоченное лицо обязано принять надлежащие организационно-технические меры, чтобы помогать ответственному исполнять обязанности, связанные с осуществлением прав субъекта, — запрос субъекта не должен проваливаться между организациями. Поэтому в каждом аутсорсинговом плане сценарий обеих ролей следует проиграть до подписания: кто ведёт учёт, кто уведомляет и как устроен выход из отношений.