Перевірка сторонніх процесорів

Що таке Перевірка сторонніх процесорів?

Стаття 28 дозволяє залучати лише того процесора, який надає достатні гарантії, а відповідальність за його збої залишається на вас. Відділ маркетингу хоче новий інструмент аналітики, і договір про обробку даних постачальника надходить на портал закупівель. Ви знаходите п'ять недоліків: нечітку безпеку на рівні «галузевих стандартів», відсутність правил щодо додаткових процесорів, відсутність прав на аудит, обробку в США без механізму передачі та відсутність строку видалення. Потім ви вносите їх до оцінки постачальника й надсилаєте йому точний запит на зміни.

Що ви дізнаєтесь у Перевірка сторонніх процесорів

• Пояснюйте, чому за статтею 28 GDPR контролер залишається відповідальним за своїх процесорів
• Перевіряйте договори про обробку даних на наявність обов'язкових положень, зокрема про додаткових процесорів, права на аудит і обов'язки щодо видалення даних
• Оцінюйте механізми транскордонної передачі даних у постачальника, якщо його інфраструктура розташована за межами ЄЕП
• Виявляйте типові недоліки DPA, що створюють прогалини в дотриманні вимог, і домагайтеся виправлень до підписання
• Складайте запит на зміни, який точно повідомляє постачальнику, що саме потрібно додати до його DPA перед підписанням

Перевірка сторонніх процесорів — Кроки навчання

1. Вступ

   Сьогодні відділ маркетингу подав заявку на залучення нового постачальника аналітики електронних розсилок — DataPulse Analytics. Перш ніж підписувати будь-який договір, потрібно перевірити договір про обробку даних (DPA), який пропонує постачальник, на відповідність вимогам GDPR.

2. Ваша відповідальність

   Відповідно до статті 28 GDPR організації, які залучають сторонніх процесорів, мають простежити, щоб ті належно обробляли персональні дані. Це означає: договір про обробку даних у письмовій формі обов'язковий за законом; у DPA мають бути конкретні обов'язкові положення; якщо ваш процесор порушить GDPR, відповідальність нестимете ви; належну перевірку (due diligence) потрібно провести ДО підписання будь-якого договору. Ваше завдання — захистити TechForward від ризиків недотримання вимог: виявити проблеми, поки вони не обернулися юридичною відповідальністю.

3. Вхід на портал закупівель

   Вам надходить сповіщення: нова заявка на постачальника чекає на вашу перевірку. Відділ маркетингу хоче якнайскоріше почати користуватися DataPulse Analytics для відстеження кампаній у I кварталі. Увійдімо на портал закупівель, щоб переглянути заявку та договір про обробку даних, який пропонує постачальник.

4. Перегляд заявки постачальника

   Ви бачите заявку відділу маркетингу, що чекає на розгляд. DataPulse Analytics надає аналітику електронних розсилок: відстежує частку відкритих листів, частку переходів за посиланнями та активність підписників. Отже, постачальник оброблятиме персональні дані клієнтів TechForward: електронні адреси, поведінкові дані і, можливо, дані про пристрої. Постачальник додав свій типовий договір про обробку даних. Уважно перегляньмо його.

5. Перша тривожна ознака: нечіткі заходи безпеки

   Щойно ви починаєте читати DPA, одразу впадає в око перша проблема. У розділі «Заходи безпеки» договір обмежується лише такою фразою: «DataPulse Analytics застосовує заходи безпеки на рівні галузевих стандартів для захисту персональних даних, що обробляються за цим договором». Це надто розпливчасто. Стаття 32 GDPR вимагає конкретних, належних технічних та організаційних заходів, а не загальних обіцянок.

6. Друга тривожна ознака: немає положення про додаткових процесорів

   Ви продовжуєте перевірку й шукаєте положення про додаткових процесорів. Це критично: щоб платформа працювала, DataPulse, імовірно, користується послугами постачальників хмарної інфраструктури, сервісів доставки електронної пошти чи інших підрядників. Ви шукаєте… і нічого не знаходите. Про додаткових процесорів у DPA не сказано взагалі. За GDPR процесор має отримати дозвіл, перш ніж залучати додаткових процесорів, і на всіх додаткових процесорів мають поширюватися ті самі зобов'язання із захисту даних.

7. Третя тривожна ознака: немає прав на аудит

   Ви шукаєте положення про аудит і перевірки — ще один обов'язковий елемент за статтею 28. TechForward як контролер має право перевіряти, чи процесори справді виконують свої зобов'язання. Про аудит у DPA не сказано нічого. Без прав на аудит ви не зможете перевірити твердження DataPulse про дотримання вимог — довелося б довіряти їм наосліп.

8. Четверта тривожна ознака: проблеми з транскордонною передачею даних

   У DPA сказано, що дані обробляються на серверах у США. Проте ані стандартних договірних положень (SCC), ані рішень про відповідність, ані будь-якого іншого механізму передачі там не згадано. Передача персональних даних за межі Європейського економічного простору (ЄЕП) вимагає конкретних правових гарантій. Без них така передача була б незаконною згідно з главою V GDPR.

9. П'ята тривожна ознака: немає строку видалення даних

   Нарешті ви перевіряєте, що станеться з даними TechForward після завершення договору. У DPA сказано: «Після припинення надання послуг DataPulse Analytics видалить або поверне всі персональні дані на вимогу Контролера». Спершу це звучить розумно, але строку не вказано. Без кінцевого терміну дані можуть залишатися в системах постачальника необмежено довго. GDPR вимагає, щоб після завершення послуг процесор видалив або повернув дані на вибір контролера, а чіткий строк дає змогу домогтися виконання цієї вимоги.

10. Документування оцінки

    У DPA компанії DataPulse ви виявили п'ять критичних проблем: 1. Нечіткі заходи безпеки (немає конкретних технічних заходів захисту) 2. Немає вимог щодо повідомлення про додаткових процесорів і отримання дозволу на їх залучення 3. У TechForward немає прав на аудит і перевірки 4. Транскордонна передача даних без SCC і гарантій 5. Не визначено строку видалення даних після закінчення договору Тепер ці висновки потрібно записати у форму оцінки постачальника та вказати зміни, без яких договір не можна просувати далі.