Как называется лицо, которому на основании договора оператор поручает обработку персональных данных
Коротко
Лицо, которому оператор на основании договора поручает обработку персональных данных, называется обработчиком. В законе о персональных данных это «лицо, осуществляющее обработку персональных данных по поручению оператора»: оператор остаётся ответственным за данные, а обработчик выполняет конкретные действия с ними в рамках поручения и договора.
Кто такой обработчик
Оператор — тот, кто организует обработку персональных данных и определяет её цели и состав. Обработчик — тот, кому оператор передаёт часть работы с данными: хранить, вводить, сверять, рассылать, считать. Основание — договор, в котором описано поручение.
Обработчик не становится оператором: данные он обрабатывает не для своих целей, а по заданию оператора. Ответственным перед человеком остаётся оператор, поэтому поручение формулируют так, чтобы обработчик не мог использовать данные по своему усмотрению.
Что такое передача персональных данных
Передача персональных данных — это предоставление данных оператором другому лицу: обработчику по поручению, органу власти по закону или иному получателю. Передача обработчику — не продажа и не свободное распоряжение: она ограничена целями и действиями, которые оператор прописал в поручении.
Если получатель обрабатывает данные для собственных целей, это уже не поручение, а самостоятельная обработка: такой получатель отвечает как оператор. Поэтому в договоре важно разделить, где обработчик действует по заданию оператора, а где принимает собственные решения.
Что фиксируют в поручении обработчику
- Перечень данных и действий с ними: что именно обработчик собирает, хранит, проверяет или передаёт дальше.
- Цель обработки — та же, что у оператора, без расширения на нужды обработчика.
- Требования к защите данных и обязанность соблюдать конфиденциальность.
- Обязанность обработчика по запросу оператора в течение срока действия поручения предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований к защите персональных данных.
- Условия и порядок прекращения обработки: что обработчик делает с данными, когда поручение заканчивается.
- Запрет передавать данные дальше без отдельного разрешения оператора — разумное дополнение к поручению, хотя закон в числе существенных условий его не называет.
Частые вопросы
Обработчик и оператор — это одно и то же?
Нет. Оператор определяет цели и состав обработки и отвечает за данные перед человеком. Обработчик выполняет поручение оператора по договору и действует в заданных рамках.
Можно ли назвать обработчика «оператором» в договоре?
Название в договоре роли не меняет: важно, для чьих целей и по чьему заданию идёт обработка. Если лицо обрабатывает данные по поручению оператора, оно обработчик, как бы его ни подписали.
Что будет, если обработчик использует данные для себя?
Он выходит за пределы поручения и начинает отвечать как самостоятельный оператор. Поэтому в поручении прописывают цель, перечень действий и запрет распоряжаться данными иначе.
Нужен ли отдельный договор с обработчиком?
Поручение оформляют договором; условия обработки можно включить в основной договор оказания услуг отдельным разделом. В нём указывают перечень данных и действий, цели обработки, обязанности по конфиденциальности и безопасности, требования части 5 статьи 18 и статьи 18.1 закона о персональных данных, предоставление подтверждающих документов, в том числе до начала обработки, и уведомление оператора об инцидентах по части 3.1 статьи 21. По общему правилу оператор получает согласие субъекта на поручение, если федеральный закон не предусматривает иное.
Когда поручаете данные подрядчику или ИИ-сервису
Чтобы обработчик работал в рамках поручения, а не по своему усмотрению
Передача данных обработчику — это договор с перечнем данных, действий и цели, а не обмен письмами. Когда данные уходят в сервис или подрядчику, рамки поручения должны быть описаны до запуска.
Я собираю ИИ-агента под конкретную задачу и подключаю его к вашим системам так, чтобы он работал с данными в заданных границах и на ваших настоящих случаях.