Обработване на данни от доставчици: какво изисква на практика чл. 28 от GDPR?

Обработващ лични данни е всеки, който обработва лични данни от името и по указание на администратор (чл. 4, точка 8 от GDPR). Типични случаи са хостингът и услугите на центрове за данни, софтуерът като услуга, ИТ поддръжката с достъп до данни или изпращането на писма и имейли от чуждо име.

Обработване от името на администратора не е налице, когато доставчикът на услуги изобщо няма достъп до лични данни или сам определя целите и средствата на обработването.

Съгласно чл. 28, параграф 3 от GDPR договорът урежда предмета и срока, естеството и целта на обработването, вида лични данни, категориите субекти на данни, както и задълженията и правата на администратора. По-специално обработващият се задължава да обработва данните само по документирани указания (буква а), да гарантира поверителността (буква б), да предприеме мерките по чл. 32 (буква в), да спазва правилата за подизпълнителите (буква г), да съдейства във връзка с правата на субектите на данни (буква д) и с изпълнението на задълженията по чл. 32–36 (буква е), да изтрие или върне данните след приключване на услугите (буква ж) и да предостави цялата необходима информация, както и да позволи одити (буква з).

Договорът се сключва в писмена форма, включително в електронна форма (чл. 28, параграф 9). Като основа могат да послужат стандартните договорни клаузи на Европейската комисия (Решение за изпълнение (ЕС) 2021/915).

Още преди сключването на договора клиентът трябва да провери дали доставчикът предоставя достатъчни гаранции (чл. 28, параграф 1). Към тях спадат документирани технически и организационни мерки съгласно чл. 32 – например защита на достъпа, криптиране, резервни копия и процедури за редовно изпитване.

Придържането към одобрени кодекси за поведение или сертифициране съгласно GDPR може да се използва като елемент за доказване на достатъчни гаранции (чл. 28, параграф 5). То не замества самата проверка.

Доставчикът може да ангажира други обработващи лични данни само с предварително конкретно или общо писмено разрешение (чл. 28, параграф 2). При общо разрешение той информира клиента за всяка планирана промяна, а клиентът може да възрази.

На подизпълнителя трябва да бъдат наложени същите задължения за защита на данните; ако той не ги изпълни, доставчикът остава отговорен пред клиента (чл. 28, параграф 4).

Често договорът изобщо липсва или е подписан веднъж и повече никога не е преглеждан. Също толкова чести са остарелите списъци на подизпълнители, техническите и организационните мерки като общи шаблонни текстове без връзка с услугата и липсата на уредба за изтриването на данните при прекратяване на договора.

Съгласно чл. 83, параграф 4 от GDPR нарушенията на задълженията по чл. 28 могат да бъдат санкционирани с глоби до 10 млн. евро или до 2 % от световния годишен оборот, като се прилага по-високата сума.

Каталогът на Vendo4u пита за точките, които имат значение при проверка по чл. 28 – дали е наличен договор за обработка на лични данни, къде се обработват данните, кои подизпълнители се използват, – а доставчиците качват съответните документи. Купувачите виждат тази информация за всички доставчици в една и съща структура и я съхраняват чрез експорта в собственото си досие.