Поручение обработки персональных данных подрядчику

Передача данных подрядчику не снимает обязанностей с оператора. Сначала нужно понять роль каждой стороны: подрядчик может обрабатывать данные по поручению, действовать как самостоятельный оператор или совмещать роли для разных целей.

Когда возникает поручение

Типичные примеры — обработка заявок в колл-центре, техническая поддержка базы, массовая рассылка или размещение системы, когда поставщик получает доступ к данным ради целей заказчика. Название договора значения не решает: важны фактические действия.

Что закрепить

• цели обработки;
• перечень персональных данных;
• перечень разрешённых действий;
• обязанность соблюдать конфиденциальность;
• требования к локализации и защите;
• меры безопасности и подтверждающие документы;
• сроки уведомления об инциденте;
• правила привлечения субподрядчиков;
• возврат или уничтожение данных после завершения;
• порядок контроля исполнения.

Проверьте возможность выполнить договор

Фраза «обеспечить безопасность» бесполезна без процесса. Уточните контакт для инцидента, формат подтверждения удаления, сроки ответа на запрос субъекта и возможность выгрузить журнал действий.

Не забывайте о доступе разработчика

Временный доступ к боевой базе, резервной копии или административной панели тоже может означать обработку. Создавайте отдельные учётные записи, ограничивайте срок и фиксируйте закрытие доступа после работ.

Сверьте публичную политику

Не обязательно публиковать весь договор, но описание категорий получателей и обработчиков не должно противоречить фактической схеме. При замене сервиса обновите карту процессов и связанные документы.

Красные флаги

• поставщик не сообщает место хранения;
• не определён срок удаления после расторжения;
• субподрядчики привлекаются без правил;
• нет контакта для срочного инцидента;
• один пароль передаётся всем специалистам.

Проверяйте не только текст договора, но и настройки сервиса: техническая конфигурация может расходиться с согласованной моделью.

Читайте также