Перевірка сторонніх процесорів даних

Що таке Перевірка сторонніх процесорів даних?

Стаття 28 дозволяє залучати лише того процесора, який надає достатні гарантії, а відповідальність за його збої залишається на вас. Відділ маркетингу хоче новий інструмент аналітики, і договір про обробку даних постачальника надходить на портал закупівель. Ви виявляєте п'ять недоліків: нечіткі формулювання про безпеку на рівні «галузевого стандарту», відсутність контролю над додатковими процесорами, відсутність права на аудит, обробка в США без механізму передачі та відсутність строку видалення. Потім ви фіксуєте їх в оцінці постачальника й надсилаєте йому точний запит на внесення змін.

Що ви дізнаєтесь у Перевірка сторонніх процесорів даних

• Пояснюйте, чому за статтею 28 GDPR контролер залишається відповідальним за своїх процесорів
• Перевіряйте договори про обробку даних на наявність обов'язкових положень, зокрема про контроль додаткових процесорів, права на аудит і обов'язки з видалення даних
• Оцінюйте механізми транскордонної передачі даних постачальника, якщо його інфраструктура розташована за межами ЄЕП
• Виявляйте типові недоліки договорів про обробку даних, що створюють прогалини в дотриманні вимог, і домагайтеся виправлень до підписання
• Складайте запити на внесення змін, які точно визначають, що постачальник має додати до договору про обробку даних перед підписанням

Перевірка сторонніх процесорів даних — Кроки навчання

1. Вступ

   Сьогодні відділ маркетингу подав запит на підключення нового постачальника аналітики електронних розсилок — DataPulse Analytics. Перш ніж підписувати будь-який договір, ви маєте перевірити договір про обробку даних (DPA) цього постачальника на відповідність вимогам GDPR.

2. Ваша відповідальність

   Згідно зі статтею 28 GDPR організації, які користуються послугами сторонніх процесорів (processors), відповідають за те, щоб вони належно обробляли персональні дані. Це означає: Письмовий договір про обробку даних є юридичною вимогою У договорі мають бути конкретні обов'язкові положення Ви несете відповідальність, якщо ваш процесор порушує GDPR Належна перевірка (due diligence) має відбутися ДО підписання будь-якого договору Ваше завдання — захистити TechForward від ризиків недотримання вимог, помітивши проблеми раніше, ніж вони стануть юридичною відповідальністю.

3. Вхід на портал закупівель

   Ви отримуєте сповіщення, що новий запит постачальника очікує вашого розгляду. Відділ маркетингу хоче якнайшвидше почати користуватися DataPulse Analytics для відстеження кампаній у I кварталі. Увійдімо на портал закупівель, щоб переглянути запит і договір про обробку даних (DPA), який пропонує постачальник.

4. Перегляд запиту постачальника

   Ви бачите запит від відділу маркетингу, що очікує розгляду. DataPulse Analytics надає аналітику електронних розсилок: відстежує частку відкритих листів, частку переходів за посиланнями та залученість підписників. Отже, ця компанія оброблятиме персональні дані клієнтів TechForward, зокрема електронні адреси, дані про поведінку і, можливо, відомості про пристрої. Постачальник додав свій стандартний договір про обробку даних. Уважно перегляньмо його.

5. Перша тривожна ознака: нечіткі заходи безпеки

   Переглядаючи договір, ви одразу помічаєте першу проблему. У розділі Security Measures («Заходи безпеки») сказано лише: «DataPulse Analytics maintains industry-standard security measures to protect personal data processed under this agreement.» (DataPulse Analytics підтримує заходи безпеки на рівні галузевих стандартів для захисту персональних даних, оброблюваних за цим договором.) Це надто нечітко. Стаття 32 GDPR вимагає конкретних, належних технічних та організаційних заходів, а не загальних обіцянок.

6. Друга тривожна ознака: немає положення про додаткових процесорів

   Продовжуючи перевірку, ви шукаєте положення про додаткових процесорів. Це критично, бо DataPulse, імовірно, користується постачальниками хмарної інфраструктури, службами доставки листів або іншими постачальниками для роботи своєї платформи. Ви знаходите… нічого. У договорі взагалі немає згадки про додаткових процесорів. За GDPR процесор має отримати дозвіл, перш ніж залучати додаткових процесорів, і всі додаткові процесори мають бути пов'язані тими самими обов'язками із захисту даних.

7. Третя тривожна ознака: немає права на аудит

   Ви шукаєте положення про аудити та перевірки — ще один обов'язковий елемент за статтею 28. Як контролер TechForward має право перевіряти, чи процесори справді виконують свої обов'язки. У договорі немає жодного положення про аудит. Без права на аудит ви не можете перевірити заяви DataPulse про дотримання вимог. Вам довелося б просто повірити на слово.

8. Четверта тривожна ознака: транскордонна передача даних без гарантій

   У договорі сказано, що дані обробляються на серверах у Сполучених Штатах. Проте немає жодної згадки про стандартні договірні положення (SCC), рішення про відповідність чи будь-який інший механізм передачі. Транскордонна передача персональних даних за межі ЄЕП потребує конкретних правових гарантій. Без них така передача була б незаконною за главою V GDPR.

9. П'ята тривожна ознака: немає строку видалення даних

   Нарешті ви перевіряєте, що станеться з даними TechForward після закінчення договору. У договорі сказано: «Upon termination of services, DataPulse Analytics will delete or return all personal data at the Controller's request.» (Після припинення надання послуг DataPulse Analytics видалить або поверне всі персональні дані на запит контролера.) Спочатку це звучить розумно, але строку не вказано. Без кінцевого терміну дані можуть залишатися в системах постачальника необмежено довго. GDPR вимагає, щоб після завершення надання послуг процесор видалив або повернув дані на вибір контролера; чіткий строк дає змогу домогтися виконання цієї вимоги.

10. Документування оцінки

    Ви виявили п'ять критичних проблем у договорі про обробку даних DataPulse: 1. Нечіткі заходи безпеки (немає конкретних технічних заходів захисту) 2. Немає вимог до повідомлення про додаткових процесорів і дозволу на них 3. Немає права TechForward на аудит чи перевірки 4. Транскордонна передача без SCC чи інших гарантій 5. Немає строку видалення даних після завершення договору Тепер ці висновки треба задокументувати у формі оцінки постачальника й указати необхідні зміни, перш ніж можна буде продовжити оформлення договору.