Data processing addendum что это

GDPR Data processing Agreement

GDPR Data processing Agreement

GDPR addendum или Data processing agreement требуется при заключении контрактов/договоров с европейскими компаниями и организациями резидентами стран Европейского союза. GDPR addendum требуется всегда, когда выполнение работ или предоставление услуг связано с обработкой личных данных граждан стран ЕС. Документ, регулирующий вопросы обработки данных физических лиц при выполнении обязательств хозяйственно-правового характера, оформляется в виде дополнения Data processing addendum к основному контракту или как самостоятельный договор – Data processing agreement.

GDPR Addendum и Data processing agreement в работе с заказчиками нерезидентами.

Что такое GDPR Data processing addendum?

При выполнении обязанностей по договорам о предоставлении услуг и выполнении работ часто возникает необходимость в обработке личных данных клиентов (пользователей) заказчика. Более того, некоторые виды услуг непосредственно направлены на массовый сбор и обработку личных данных клиентов. Буквально три примера оказания подобных услуг в интересах заказчика:

Составление GDPR Data processing addendum и согласование обязанностей по данному соглашению с заказчиком (или наоборот c подрядчиком) – часть комплексной работы, направленной на соответствие регуляторным правилам Европейского союза о защите персональных данных. Более подробное изучение комплексной организации работы с персональными данными стоит начать с ознакомления с консультацией юристов Legal Support – Персональные данные и создание Data maps.

В практике документального оформления процессов обработки персональных данных и выполнения связанных с этим процедур под GDPR addendum также нередко подразумевается дополнение к пользовательскому соглашению. В отличии от договора/дополнения, рассматриваемого нами сегодня, роль GDPR addendum к пользовательскому соглашению сводится исключительно к регулированию отношений между пользователем и компанией осуществляющей работу с персональными данными пользователей. Такой вариант GDPR addendum аналогичен Privacy policy или Privacy notice.

GDPR addendum (Data processing addendum) – документ, который оформляется и подписывается между контролером и обработчиком персональных данных, между заказчиком работ (услуг) и их исполнителем в дополнение к основному договору (контракту) или в форме самостоятельного соглашения. GDPR addendum также заключается между подрядчиком (обработчиком персональных данных) и его субподрядчиками.

Задача GDPR addendum заключается в разграничении обязанностей и ответственности сторон в отношении сбора, хранения и обработки личных данных субъектов персональных данных (пользователей, клиентов). Данным документом предусматриваются требования к обращению с персональными данными, гарантии обеспечения их сохранности и конфиденциальности. Необходимость заключать GDPR Addendum или GDPR data processing agreement обусловлена, в первую очередь, интересами заказчика и требованиями Регламента ЕС 2016/679 (General Data Protection Regulation) от 27 апреля 2016 года.

Когда необходимо оформлять и подписывать GDPR Addendum?

Требование по составлению и подписанию GDPR Data processing addendum или подобного ему соглашения предусмотрено частью 3 и частью 4 статьи 28 General data protection regulation. Все обязательства обработчика персональных данных, указанные в части 3 статьи 28 EU GDPR, должны найти полное отображение в Data processing agreement (addendum). При заключении Data processing agreement между контролером из Европейской экономической зоны и обработчиком из третьей страны, положения GDPR addendum требуют глубокой и всесторонней проработки для поиска баланса между предписаниями статьи 28 Регламента, обязательствами сторон и мерой ответственности обработчика персональных данных.

Юристы платформы Legal Support регулярно осуществляют составление Data processing agreement и проводят правовой анализ подобных соглашений. Наши юристы подготовили список случаев, когда оформление и подписание GDPR Addendum с контрагентом является обязательным. Для лучшего понимания мы перефразировали положения Регламента ЕС и изложили их простыми словами. Вот этот перечень:

Какие обязанности сторон и мера ответственности отображаются в GDPR Data processing Addendum?

Самостоятельный Data Processing Agreement или дополнение (GDPR Addendum) к основному договору на выполнение работ (предоставление услуг) должен отображать как минимум следующие обязательства:

Есть ли типичная структура Data Processing Agreement?

Содержание Data Processing Agreement варьируется в зависимости от задачи его заключения. Впрочем, этот вид соглашений имеет свойственную типичную структуру. Текст самостоятельного соглашения об обработке персональных данных зачастую содержит такие разделы:

Блог платформы Legal Support Ukraine регулярно пополняется новыми консультациями юрисконсультов, которые входят в наше объединения. Существенная часть консультаций посвящена юридической и организационной составляющей работы с персональными данными. Мы будем и дальше держать Вас в курсе наиболее существенных изменений и нововведений.

Составление Data processing Agreement (Addendum), юридический анализ и согласование разногласий:

Желаете иметь подтверждение адекватности требований контрагента и соразмерности обязательств Вашей стороны согласно Data processing addendum? Юрисконсульты платформы Legal Support Ukraine изучат предложенную к подписанию редакцию соглашения и предоставят развернутый анализ в форме правового заключения.

В случае если составление Data processing agreement (GDPR addendum) требуется Вашей стороне, мы изначально подготовим сбалансированный текст GDPR Data processing agreement исходя из интересов заказчика и требований Регламента ЕС. При необходимости, юристы также примут участие в согласовании разногласий с другой стороной договора. Защита Ваших интересов и грамотная аргументация Вашей позиции – ключевые ориентиры в процессе согласования разногласий по Data processing agreement и проведения переговоров от имени Вашей компании.

Кроме того, DPO являющиеся членами объединения Legal Support Ukraine, обеспечат комплексную поддержку и проведут необходимые действия в рамках обязательных GDPR Compliance процедур. Достаточно поставить задачу, юристы Legal Support Ukraine предложат на выбор несколько способов ее решения и воплотят в жизнь выбранный Вами вариант. Все услуги DPO и юристов доступны дистанционно.

юрист объединения Legal Support Ukraine, Евгений Мовчун

Источник

Соглашения об обработке и защите персональных данных в GDPR

Высокоуровневый обзор моделей договорных отношений по GDPR. Рассмотрение таких типов соглашений об обработке и защите персональных данных как Data Transfer Agreement, Data Processing Agreement, Data Management Agreement, Binding Corporate Rules, Subject’s Privacy Addendum. Определение применимости, требований к содержанию и практических аспектов подготовки рассматриваемых соглашений.

В России, во многом благодаря сложившейся правоприменительной и судебной практике, центральное место среди правовых оснований для вовлечения оператором в обработку персональных данных иных лиц (обработчиков) традиционно занимает субинститут поручения на обработку персональных данных на основании заключаемого между оператором и обработчиком договора (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Такие поручения используются повсеместно и практически по любому случаю передачи персональных данных. При этом операторы, обработчики, надзорные и судебные органы часто не обращают внимания на фактическое содержание и распределение ролей в правоотношениях, складывающихся между участниками процесса обработки персональных данных. В противоположность этому Общий Регламент ЕС по защите персональных данных (GDPR) в гораздо большей степени раскрывает широкий потенциал столь универсального юридического инструмента, как соглашение для урегулирования отношений об обработке и защите персональных данных между участниками обработки персональных данных.

Наиболее распространенными и известными видами соглашений в GDPR являются Data Transfer Agreement (DTA) и Data Pricessing Agreement (DPA). Стороной соглашения с контролером может быть и субъект данных. Подобные отношения обычно не регулируются специальными соглашениями, но существует практика включения в соглашение с субъектом особого раздела о приватности – Subject’s Privacy Addendum (SPA). При этом GDPR фактически устанавливает режим большего разнообразия видов договорных отношений между участниками обработки персональных данных. Примером могут служить соглашения, направленные на структурирование сложных и часто трансграничных процессинговых активностей – Data Management Agreement (DMA) и механизм Binding Corporate Rules (BCR-C/BCR-P).

С – контролер (Controller)

Р – процессор (Processor)

SP – субпроцессор (Subprocessor)

S – субъект данных (Data Subject)

JC – совместный контролёр (Joint Controller)

EEA – территории в Европейской экономической зоне

Non-EEA – территории вне Европейской экономической зоны

Стрелки – направление движения персональных данных

Требования к взаимодействию между контролерами, процессорами и совместными контролерами описаны с разной степенью подробности. Так, требования к содержанию DPA достаточно подробно регламентированы ст. 28 GDPR, а вот требования к DMA приведены только в общих словах в ст. 26 GDPR. Что касается DTA, действующее законодательство вообще не содержит явных требований по его содержанию.

Ниже мы рассмотрим некоторые особенности ранее названных моделей соглашений, а также коснемся проблематики договорной работы при экспорте персональных данных из Европейской экономической зоны (ЕЭЗ) в другие юрисдикции.

DTA фактически является базовым способом построения отношений между контролерами в ЕЭЗ:

1. Определяет статус сторон как самостоятельных контролеров в отношении получаемых персональных данных.

2. Фиксирует требования об осуществлении передачи персональных данных субъектов на законном основании, о надлежащем уведомлении субъектов при передаче их персональных данных и об обеспечении конфиденциальности и безопасности обработки полученных персональных данных.

3. Закрепляет принцип равноправия сторон при взаимной передаче персональных данных, не дает каких-либо преимуществ и не ущемляет интересы обеих сторон.

4. Является рамочным и бессрочным, то есть требует лишь однократного подписания и регулирует все договорные отношения между сторонами.

5. Защищает права и законные интересы субъектов при передаче их персональных данных.

6. Позволяет сторонам привлекать третьих лиц к обработке полученных персональных данных.

7. Снижает риск предъявления претензий к сторонам от надзорных органов в отношении соблюдения сторонами должной осмотрительности при осуществлении взаимной передачи персональных данных.

Британский надзорный орган в сфере персональных данных (ICO) предлагает всем желающим воспользоваться бесплатным конструктором DTA – Controller to controller contract builder.

Аналогичный сервис, но уже в отношении DPA, также был представлен ICO – Controller to processor contract builder. Перед составлением проекта DPA рекомендуется ознакомиться с руководством французского надзорного органа в сфере персональных данных (CNIL) для процессоров, которое содержит образец DPA, а также следует прочесть руководство ирландского надзорного органа в сфере персональных данных (DPC) по подготовке Data Processing Contracts.

Одним из наиболее сложных для подготовки является DMA, который в то же время представляет собой оптимальный способ регулирования оборота персональных данных в холдинге, когда группа лиц (обычно это компании) выполняет роль совместных контролеров и осуществляет деятельность, направленную на:

1. Совместное определение цели в отношении обработки персональных данных.

2. Использование одного и того же набора персональных данных (или базы данных) для достижения общей цели.

3. Совместное определение облика процесса обработки персональных данных, пусть и с разными целями.

4. Наличие общих правил управления персональными данными.

Ниже приведены некоторые преимущества DMA для холдинга:

1. Установление иерархичности сторон и порядка принятия решений.

2. Гибкое распределение ответственности между участниками.

3. Централизованное взаимодействие холдинга с процессорами и субпроцессорами.

4. Использование для экспорта данных из ЕЭЗ в иностранные юрисдикции – посредством включения DMA стандартных договорных условий о защите данных (Standard Contractual Clauses for EU controller to non-EU or EEA controller).

5. Возможность учесть особенности права, применимого к участникам, находящимся вне ЕЭЗ.

6. Отсутствие механизма обязательного согласования с надзорными органами.

В качестве образцов DMA можно рекомендовать воспользоваться проектом Joint Controllers Agreement от одного из немецких надзорных органов в сфере персональных данных (LfDI Baden-Württemberg) и модельным проектом Joint Controllership Agreement от Ассоциации голландских образовательных и исследовательских организаций (SURF).

Отдельно надо остановиться на урегулировании вопросов обработки персональных данных, правовым основанием для которой является договор (контракт) между контролером и субъектом. В декабре 2019 года ирландский надзорный орган DPC опубликовал руководство для контролеров по определению правильной правовой основы для той или иной обработки персональных данных и обязательств, соответствующих этой правовой основе. Страницы 11–13 руководства посвящены анализу базовых требований к обработке персональных данных в контексте преддоговорной и договорной деятельности между контролером и субъектом данных.

В договоре с субъектом желательно предусмотреть раздел (SPA), который:

1. Определяет статус организации в отношениях с субъектом данных как самостоятельного контролера.

2. Фиксирует цели договорной обработки персональных данных – заключение, исполнение и прекращение сторонами договора, а также осуществление, выполнение и соблюдение Сторонами прав, обязанностей и запретов, предусмотренных применимыми нормами.

3. Вводит в договор необходимый понятийный аппарат.

4. Явно указывает на период постдоговорной обработки данных.

5. Вменяет контролеру в обязанность обеспечивать конфиденциальность и безопасность обработки персональных данных.

6. Защищает права и законные интересы субъекта при обработке персональных данных.

7. Позволяет контролеру привлекать третьих лиц к обработке полученных персональных данных.

8. Обязывает субъекта добросовестно сотрудничать с контролером и оказывать ему необходимое разумное содействие при рассмотрении и урегулировании запросов (жалоб, требований, предписаний, претензий, судебных исков), касающихся обрабатываемых на основании договора персональных данных.

Особое место в европейской системе регулирования оборота персональных данных занимают Стандартные договорные условия о защите данных (Standard Contractual Clauses for EU controller to non-EU or EEA controller и Standard Contractual Clauses for EU controller to non-EU or EEA processor) и Обязательные корпоративные правила (Binding Corporate Rules и Processor Binding Corporate Rules), призванные обеспечить механизм защиты прав субъектов персональных данных из ЕЭЗ в тех ситуация, когда осуществляется экспорт персональных данных субъектов из ЕЭЗ в иностранные юрисдикции, не обеспечивающие по мнению ЕС адекватную защиту прав субъектов (к таким юрисдикциям относятся, например, США и Россия). В некоторых случаях указанные механизмы защиты прав субъектов при экспорте их данных могут дополняться международными соглашениями, в частности, EU-U.S. Privacy Shield (Соглашение о правилах передачи персональных данных между ЕС и США).

В 2019 году Европейский суд в Люксембурге (Court of Justice of the European Union) начал рассматривать жалобу Максимилиана Шремса против передачи персональных данных социальной сетью Facebook спецслужбам США, которые прибегают к массовой слежке за пользователями. Шремс стал известен в 2015 году после того, как выиграл первый судебный процесс против Facebook. Тогда Европейский суд удовлетворил его жалобу 2013 года и признал незаконным соглашение Safe Harbor между ЕС и США о передаче социальной сетью персональных данных европейских пользователей спецслужбам США. Впоследствии Европейская комиссия была вынуждена отменить действие Safe Harbor и в 2016 году подписала новое соглашение с США о защите персональных данных EU-US Privacy Shield.

И вот 16 июля 2020 года Суд ЕС постановил, что Privacy Shield признается недействительным в связи с недостаточной защищенностью персональных данных от передачи операторами социальных сетей американским спецслужбам. В решении суда говорится, что данное соглашение создает условия для нарушения фундаментальных прав европейских граждан. В нем подчеркивается, что в США доступ государственных структур к подобной информации ограничен в гораздо меньшей степени, чем в странах ЕС. Теперь взамен признанного судом недействительным соглашения Privacy Shield ЕС и США должны создать эффективную систему, гарантирующую, что уровень защиты персональных данных, передаваемых в США, эквивалентен уровню защиты персональных данных в ЕС.

Хотя SCC-P (Standard Contractual Clauses Controller-to-Processor) были признаны в качестве продолжающего действовать правового механизма для экспорта данных из ЕЭЗ, но экспортер и импортер данных должны совместно осуществить предварительную (до заключения SCC) оценку возможности обеспечить надлежащий уровень защиты прав субъектов данных в случае осуществления их предполагаемой передачи. При проведении такой предварительной оценки экспортер (при необходимости с помощью импортера) должен учитывать содержание SCC, специфику передачи данных, а также правовой режим, применимый в иностранной юрисдикции. Проверка последнего должна проводиться с учетом неисчерпывающих факторов, указанных в ст.45(2) GDPR.

При выявлении такой необходимости по результатам предварительной оценки, экспортер данных должен рассмотреть возможность включения в SCC дополнительных положений, направленных на защиту прав субъектов данных, адекватности обеспечения защиты прав субъектов данных. Если положения SCC в части гарантии прав субъектов данных не выполняются или не могут быть фактически выполнены в иностранной юрисдикции, то SCC обязывает экспортера приостановить передачу данных или расторгнуть SCC или проконсультироваться с компетентным надзорным органом ЕЭЗ по сложившейся ситуации, если экспортер намеревается продолжить передачу данных. Надзорные органы ЕЭЗ в сфере персональных данных обязаны приостановить или запретить передачу данных в третью страну на основании SCC между экспортером и импортером данных, если, по мнению регулятора, в юрисдикции третьей страны положения SCC не соблюдаются или не могут быть соблюдены.

Европейских совет по защите данных (European Data Protection Board) опубликовал разъяснения по использованию правовых механизмов для обеспечения правомерной передачи персональных данных из ЕЭЗ в третьи страны с учетом решения Суда ЕС. Кроме того, можно посоветовать использовать типовой проект соглашения о переходе с условий EU-US Privacy Shield на Standard Contractual Clauses (Controller-to-Processor) в тех ситуациях, когда компания – резидент ЕЭЗ ранее полагалась исключительно на EU-US Privacy Shield и не заключала SCC с американскими импортерами персональных данных.

Источник

Data processing addendum что это

Obligations of the data exporter

The data exporter agrees and warrants:

(a) that the processing, including the transfer itself, of the personal data has been and will continue to be carried out in accordance with the relevant provisions of the applicable data protection law (and, where applicable, has been notified to the relevant authorities of the Member State where the data exporter is established) and does not violate the relevant provisions of that State;

(b) that it has instructed and throughout the duration of the personal data-processing services will instruct the data importer to process the personal data transferred only on the data exporter’s behalf and in accordance with the applicable data protection law and the Clauses;

(c) that the data importer will provide sufficient guarantees in respect of the technical and organizational security measures specified in Appendix 2 to this contract;

(d) that after assessment of the requirements of the applicable data protection law, the security measures are appropriate to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorized disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing, and that these measures ensure a level of security appropriate to the risks presented by the processing and the nature of the data to be protected having regard to the state of the art and the cost of their implementation;

(e) that it will ensure compliance with the security measures;

(f) that, if the transfer involves special categories of data, the data subject has been informed or will be informed before, or as soon as possible after, the transfer that its data could be transmitted to a third country not providing adequate protection within the meaning of Directive 95/46/EC;

(g) to forward any notification received from the data importer or any sub-processor pursuant to Clause 5(b) and Clause 8(3) to the data protection supervisory authority if the data exporter decides to continue the transfer or to lift the suspension;

(h) to make available to the data subjects upon request a copy of the Clauses, with the exception of Appendix 2, and a summary description of the security measures, as well as a copy of any contract for sub-processing services which has to be made in accordance with the Clauses, unless the Clauses or the contract contain commercial information, in which case it may remove such commercial information;

(i) that, in the event of sub-processing, the processing activity is carried out in accordance with Clause 11 by a sub-processor providing at least the same level of protection for the personal data and the rights of data subject as the data importer under the Clauses; and

(j) that it will ensure compliance with Clauses 4 (a) to (i).

Obligations of the data importer

The data importer agrees and warrants:

(a) to process the personal data only on behalf of the data exporter and in compliance with its instructions and the Clauses; if it cannot provide such compliance for whatever reasons, it agrees to inform promptly the data exporter of its inability to comply, in which case the data exporter is entitled to suspend the transfer of data and/or terminate the contract;

(b) that it has no reason to believe that the legislation applicable to it prevents it from fulfilling the instructions received from the data exporter and its obligations under the contract and that in the event of a change in this legislation which is likely to have a substantial adverse effect on the warranties and obligations provided by the Clauses, it will promptly notify the change to the data exporter as soon as it is aware, in which case the data exporter is entitled to suspend the transfer of data and/or terminate the contract;

(c) that it has implemented the technical and organizational security measures specified in Appendix 2 before processing the personal data transferred;

(d) that it will promptly notify the data exporter about:

(i) any legally binding request for disclosure of the personal data by a law enforcement authority unless otherwise prohibited, such as a prohibition under criminal law to preserve the confidentiality of a law enforcement investigation;

(ii) any accidental or unauthorized access; and

(iii) any request received directly from the data subjects without responding to that request, unless it has been otherwise authorized to do so;

(e) to deal promptly and properly with all inquiries from the data exporter relating to its processing of the personal data subject to the transfer and to abide by the advice of the supervisory authority with regard to the processing of the data transferred;

(f) at the request of the data exporter to submit its data-processing facilities for audit of the processing activities covered by the Clauses which shall be carried out by the data exporter or an inspection body composed of independent members and in possession of the required professional qualifications bound by a duty of confidentiality, selected by the data exporter, where applicable, in agreement with the supervisory authority;

(g) to make available to the data subject upon request a copy of the Clauses, or any existing contract for sub-processing, unless the Clauses or contract contain commercial information, in which case it may remove such commercial information, with the exception of Appendix 2, which shall be replaced by a summary description of the security measures in those cases where the data subject is unable to obtain a copy from the data exporter;

(h) that, in the event of sub-processing, it has previously informed the data exporter and obtained its prior written consent;

(i) that the processing services by the sub-processor will be carried out in accordance with Clause 11;

(j) to send promptly a copy of any sub-processor agreement it concludes under the Clauses to the data exporter.

Источник