Апрацоўшчык даных (апрацоўка па даручэнні)
Апрацоўшчык даных — гэта пастаўшчык паслуг, напрыклад хостынг-кампанія, які апрацоўвае персанальныя даныя ад імя і па ўказаннях іншай арганізацыі.
Што такое апрацоўка даных па даручэнні?
Многія арганізацыі робяць не ўсё самі: яны арандуюць серверы ў хостынг-кампаніі, даручаюць рассылку навінак сэрвісу рассылак або карыстаюцца бухгалтарскай праграмай у воблаку. Калі такі пастаўшчык апрацоўвае персанальныя даныя ад імя арганізацыі, GDPR называе яго апрацоўшчыкам (артыкул 4(8) GDPR). Арганізацыя, якая даручае працу, застаецца тым, хто адказвае за апрацоўку (артыкул 4(7) GDPR).
Дагавор паводле артыкула 28 GDPR
Артыкул 28 GDPR патрабуе дагавора або іншага абавязковага прававога акта, які часта называюць дагаворам аб апрацоўцы даных або DPA. Сярод іншага, у ім сказана, што пастаўшчык апрацоўвае даныя толькі па дакументальна аформленых указаннях, абавязвае сваіх супрацоўнікаў захоўваць канфідэнцыйнасць, прымае адпаведныя меры бяспекі і прыцягвае іншых субапрацоўшчыкаў толькі з дазволу. Пасля завяршэння сэрвісу ён павінен выдаліць або вярнуць даныя, калі няма прававога абавязку іх захоўваць.
Хто застаецца адказным
Той, хто адказвае за апрацоўку, можа выкарыстоўваць толькі пастаўшчыкоў, якія прапануюць дастатковыя тэхнічныя і арганізацыйныя меры абароны, і застаецца падсправаздачным перад закранутымі людзьмі. Таму свае правы, як доступ або выдаленне, ты звычайна рэалізуеш у таго, хто адказвае за апрацоўку. Калі апрацоўшчык выкарыстоўвае даныя ва ўласных мэтах і сам вызначае мэты і сродкі, артыкул 28(10) GDPR лічыць яго тым, хто адказвае за апрацоўку, у дачыненні да гэтай апрацоўкі.
Чым гэта адрозніваецца ад іншых узгадненняў
Не кожнае супрацоўніцтва — гэта апрацоўка па даручэнні. Калі два органы сумесна вызначаюць мэты і сродкі апрацоўкі, яны сумесна адказныя за апрацоўку паводле артыкула 26 GDPR. Пастаўшчык, які аказвае ўласную прафесійную паслугу, напрыклад падатковы кансультант або банк, часта сам выступае тым, хто адказвае за апрацоўку. Калі даныя перадаюцца апрацоўшчыку па-за межамі ЕС, дадаткова дзейнічаюць правілы аб перадачы ў трэція краіны ў артыкулах 44 і наступных GDPR.
Частыя пытанні
Ці трэба мне як карыстальніку нешта рабіць?
Звычайна не. Дагавор заключаецца паміж тым, хто адказвае за апрацоўку, і яго пастаўшчыком. Але той, хто адказвае за апрацоўку, павінен у сваёй палітыцы прыватнасці назваць атрымальнікаў або катэгорыі атрымальнікаў тваіх даных.
Ці трэба падпісваць дагавор аб апрацоўцы даных на паперы?
Не. Паводле артыкула 28(9) GDPR дагавор павінен быць у пісьмовай форме, але электронная форма прама дазволена.
Што такое субапрацоўшчык?
Іншы пастаўшчык, якога апрацоўшчык у сваю чаргу прыцягвае, напрыклад цэнтр апрацоўкі даных. Гэта дапускаецца толькі з папярэдняга дазволу таго, хто адказвае за апрацоўку, і на яго распаўсюджваюцца тыя ж абавязкі па абароне даных.
Звязаныя тэрміны
Звязаныя тэмы
Паспрабуй Friendstime
Рэгістрацыя займае хвіліну і бясплатная.