Об операторе и обработчике в договорах
В договорах всё чаще стороны искусственно закрепляют, кто оператор, а кто обработчик. И часто это делается не по факту реального процесса, а исходя из соображений удобства и собственного ощущения безопасности.
Понятие оператора чётко прописано в законе. Чтобы считаться оператором, нужно реально соответствовать этим признакам. Статус можно изменить, перестроив бизнес-процесс, но на практике это получается не всегда. Нельзя просто так присвоить себе удобную роль, если фактические отношения говорят об обратном, так как условия договора в этой части не будут соответствовать закону.
Когда роли определены правильно (в соответствии с реальной обработкой), прямое указание оператора и обработчика в поручении - это хорошая практика. Но здесь важно помнить: такое разграничение обычно действует только для одного, основного потока персональных данных.
Простой пример. Стороны подписывают поручение на обработку данных кандидатов на вакансии, заверяя его подписями своих представителей. Сразу видны две категории: кандидаты и подписанты. По кандидатам — поручение, по подписантам — уже межоператорская передача, которая в поручение не попадает.
Лучше, если DPO участвует с момента обсуждения нового бизнес-направления. Если DPO получает готовое поручение с уже распределёнными ролями, оптимально выяснить бизнес-потребность, понять, почему именно так структурировали сделку и определили стороны. В большинстве случаев это не занимает много времени.
Но в практике L&P частые случаи, когда это приводило к каскаду переговоров (в интересах заказчика на сопровождении), длинной ветке комментариев в Word. После чего контрагент менял правовую природу сделки или даже предлагал новую и правомерную (с позиции 152-ФЗ) структуру отношений между двумя группами компаний.
Если Вы DPO, надеюсь, этот пост поможет поймать нужный ориентир, когда коллеги вокруг говорят, что Вы перегибаете. Возможно, Вы ещё и не дорабатываете.
#практика
В договорах всё чаще стороны искусственно закрепляют, кто оператор, а кто обработчик. И часто это делается не по факту реального процесса, а исходя из соображений удобства и собственного ощущения безопасности.
Понятие оператора чётко прописано в законе. Чтобы считаться оператором, нужно реально соответствовать этим признакам. Статус можно изменить, перестроив бизнес-процесс, но на практике это получается не всегда. Нельзя просто так присвоить себе удобную роль, если фактические отношения говорят об обратном, так как условия договора в этой части не будут соответствовать закону.
Когда роли определены правильно (в соответствии с реальной обработкой), прямое указание оператора и обработчика в поручении - это хорошая практика. Но здесь важно помнить: такое разграничение обычно действует только для одного, основного потока персональных данных.
Простой пример. Стороны подписывают поручение на обработку данных кандидатов на вакансии, заверяя его подписями своих представителей. Сразу видны две категории: кандидаты и подписанты. По кандидатам — поручение, по подписантам — уже межоператорская передача, которая в поручение не попадает.
Лучше, если DPO участвует с момента обсуждения нового бизнес-направления. Если DPO получает готовое поручение с уже распределёнными ролями, оптимально выяснить бизнес-потребность, понять, почему именно так структурировали сделку и определили стороны. В большинстве случаев это не занимает много времени.
Но в практике L&P частые случаи, когда это приводило к каскаду переговоров (в интересах заказчика на сопровождении), длинной ветке комментариев в Word. После чего контрагент менял правовую природу сделки или даже предлагал новую и правомерную (с позиции 152-ФЗ) структуру отношений между двумя группами компаний.
Если Вы DPO, надеюсь, этот пост поможет поймать нужный ориентир, когда коллеги вокруг говорят, что Вы перегибаете. Возможно, Вы ещё и не дорабатываете.
#практика