1. Хто відповідає за обробку
Адміністратор персональних даних визначає, навіщо та яким способом обробляється інформація, обирає правову підставу, виконує обов’язок інформування та забезпечує реалізацію прав осіб. Власник обладнання, розробник сайту або технічний адміністратор сервера не стає автоматично адміністратором персональних даних лише через свою технічну роль.
2. Коли підрядник є обробником
Підрядник, який зберігає дані або має до них доступ виключно для виконання задокументованих вказівок адміністратора, може діяти як обробник. Це може стосуватися хостингу, підтримки, відновлення роботи та інших погоджених технічних завдань. Роль визначається фактичними діями, а не лише назвою договору. Якщо підрядник самостійно визначає власні цілі обробки, потрібна окрема оцінка його ролі.
3. Який договір потрібний
Для доручення обробки оформлюється договір за ст. 28 GDPR — umowa powierzenia przetwarzania danych osobowych. У ньому визначаються предмет і строк, характер і мета обробки, категорії осіб і даних, права та обов’язки сторін. Також встановлюються конфіденційність, заходи безпеки, допомога із запитами та інцидентами, перевірки, умови залучення субпідрядників, повернення або видалення даних. Шаблон без погоджених сторін, додатків і належного оформлення не є укладеним договором.
4. Який доступ може бути необхідним
Технічному підряднику може бути потрібний обмежений доступ до журналів, налаштувань, облікових записів адміністраторів або даних CMS, якщо це необхідно для конкретного завдання. Доступ до листування, паспортів або матеріалів клієнтських справ не виникає автоматично з договору підтримки вебсайту. Для таких даних окремо перевіряються необхідність, повноваження та спеціальні правові обмеження.
5. Субпідрядники та передавання за межі ЄЕЗ
Іншого обробника можна залучати лише за попереднім письмовим спеціальним або загальним дозволом адміністратора з дотриманням ст. 28 GDPR. Загальний дозвіл має передбачати завчасне повідомлення про зміни та реальну можливість заперечити до початку нової обробки. Передавання за межі ЄЕЗ перевіряється окремо за главою V GDPR; згадка «треті особи» у політиці не є таким дозволом чи гарантією.
6. Відповідальність не зникає
Договір розподіляє завдання, але не звільняє адміністратора від власних обов’язків і не усуває передбаченої законом відповідальності обробника. Нотаріуси, перекладачі або органи влади можуть діяти як самостійні адміністратори — їх не слід автоматично включати до договору технічної підтримки як обробників. Питання щодо конкретного отримувача та підстави передавання можна надіслати на prodocua@gmail.com.