Договор об обработке данных с подрядчиком

Обработка по поручению это ситуация, когда подрядчик обрабатывает персональные данные не для себя, а по указанию компании, и почти каждое использование облачного сервиса, инструмента для рассылки, CRM или хостинга подпадает под это определение, поэтому договор об обработке данных нужен почти всегда.

С хостингом, сервисом рассылки, CRM и агентством, у которого есть доступ к данным клиентов, договор нужен практически без исключений, потому что все они технически касаются персональных данных, даже если не принимают решений о том, зачем эти данные вообще собираются.

Договор не нужен там, где подрядчик сам определяет цели и средства обработки и действует как независимый или совместный контролёр данных, а не как исполнитель по указанию. Налоговый консультант, который ведёт бухгалтерию по собственным профессиональным правилам, обычно попадает именно в эту категорию, а не в категорию обработчика по поручению.

Перед посетителем сайта отвечает компания, а не подрядчик, даже если утечка данных произошла на стороне хостинга или CRM. Договор об обработке по поручению распределяет ответственность между компанией и подрядчиком внутри их отношений, но не снимает с компании обязанность отвечать перед человеком, чьи данные обрабатывались.

Статья 28 часть 3 DSGVO требует, чтобы в договоре были прописаны предмет и длительность обработки, её характер и цель, вид данных и категории людей, обязанности подрядчика по инструкциям компании, условия привлечения субподрядчиков, порядок удаления или возврата данных после окончания договора и право компании проверять, как подрядчик на самом деле обрабатывает данные.

Если подрядчик передаёт данные за пределы Евросоюза, в договоре или в приложении к нему должны быть отдельные гарантии передачи, обычно стандартные договорные оговорки Евросоюза, а не просто упоминание, что сервис расположен в другой стране.

В уже подписанном договоре стоит проверить три вещи. Указаны ли реальные категории данных и людей, а не общая формулировка вроде персональные данные клиентов. Есть ли право компании на проверку подрядчика, а не только его собственное заверение. И описано ли, что происходит с данными после расторжения договора.

Отсутствие или неполнота договора об обработке по поручению фигурирует более чем в трети немецких штрафов по DSGVO как одна из существенных причин наказания, и максимальный размер штрафа по этой статье составляет до 10 миллионов евро или 2 процента годового мирового оборота компании, в зависимости от того, что больше.

Нормальная практика со стороны подрядчика выглядит просто. Договор об обработке предлагается сам, без напоминания со стороны клиента, содержит конкретные формулировки вместо общих фраз и не требует отдельных переговоров каждый раз, когда клиент об этом спрашивает.