Соглашения об обработке и защите персональных данных в GDPR

Высокоуровневый обзор моделей договорных отношений по GDPR. Рассмотрение таких типов соглашений об обработке и защите персональных данных как Data Transfer Agreement, Data Processing Agreement, Data Management Agreement, Binding Corporate Rules, Subject’s Privacy Addendum. Определение применимости, требований к содержанию и практических аспектов подготовки рассматриваемых соглашений.

В России, во многом благодаря сложившейся правоприменительной и судебной практике, центральное место среди правовых оснований для вовлечения оператором в обработку персональных данных иных лиц (обработчиков) традиционно занимает субинститут поручения на обработку персональных данных на основании заключаемого между оператором и обработчиком договора (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Такие поручения используются повсеместно и практически по любому случаю передачи персональных данных. При этом операторы, обработчики, надзорные и судебные органы часто не обращают внимания на фактическое содержание и распределение ролей в правоотношениях, складывающихся между участниками процесса обработки персональных данных. В противоположность этому Общий Регламент ЕС по защите персональных данных (GDPR) в гораздо большей степени раскрывает широкий потенциал столь универсального юридического инструмента, как соглашение для урегулирования отношений об обработке и защите персональных данных между участниками обработки персональных данных.

Наиболее распространенными и известными видами соглашений в GDPR являются Data Transfer Agreement (DTA) и Data Pricessing Agreement (DPA). Стороной соглашения с контролером может быть и субъект данных. Подобные отношения обычно не регулируются специальными соглашениями, но существует практика включения в соглашение с субъектом особого раздела о приватности – Subject’s Privacy Addendum (SPA). При этом GDPR фактически устанавливает режим большего разнообразия видов договорных отношений между участниками обработки персональных данных. Примером могут служить соглашения, направленные на структурирование сложных и часто трансграничных процессинговых активностей – Data Management Agreement (DMA) и механизм Binding Corporate Rules (BCR-C/BCR-P).

Легенда к схеме:

С – контролер (Controller)

Р – процессор (Processor)

SP – субпроцессор (Subprocessor)

S – субъект данных (Data Subject)

JC – совместный контролёр (Joint Controller)

EEA – территории в Европейской экономической зоне

Non-EEA – территории вне Европейской экономической зоны

Стрелки – направление движения персональных данных

Требования к взаимодействию между контролерами, процессорами и совместными контролерами описаны с разной степенью подробности. Так, требования к содержанию DPA достаточно подробно регламентированы ст. 28 GDPR, а вот требования к DMA приведены только в общих словах в ст. 26 GDPR. Что касается DTA, действующее законодательство вообще не содержит явных требований по его содержанию.

Ниже мы рассмотрим некоторые особенности ранее названных моделей соглашений, а также коснемся проблематики договорной работы при экспорте персональных данных из Европейской экономической зоны (ЕЭЗ) в другие юрисдикции.

DTA фактически является базовым способом построения отношений между контролерами в ЕЭЗ:

1. Определяет статус сторон как самостоятельных контролеров в отношении получаемых персональных данных.

2. Фиксирует требования об осуществлении передачи персональных данных субъектов на законном основании, о надлежащем уведомлении субъектов при передаче их персональных данных и об обеспечении конфиденциальности и безопасности обработки полученных персональных данных.

3. Закрепляет принцип равноправия сторон при взаимной передаче персональных данных, не дает каких-либо преимуществ и не ущемляет интересы обеих сторон.

4. Является рамочным и бессрочным, то есть требует лишь однократного подписания и регулирует все договорные отношения между сторонами.

5. Защищает права и законные интересы субъектов при передаче их персональных данных.

6. Позволяет сторонам привлекать третьих лиц к обработке полученных персональных данных.

7. Снижает риск предъявления претензий к сторонам от надзорных органов в отношении соблюдения сторонами должной осмотрительности при осуществлении взаимной передачи персональных данных.

Британский надзорный орган в сфере персональных данных (ICO) предлагает всем желающим воспользоваться бесплатным конструктором DTA – Controller to controller contract builder.

Аналогичный сервис, но уже в отношении DPA, также был представлен ICO – Controller to processor contract builder. Перед составлением проекта DPA рекомендуется ознакомиться с руководством французского надзорного органа в сфере персональных данных (CNIL) для процессоров, которое содержит образец DPA, а также следует прочесть руководство ирландского надзорного органа в сфере персональных данных (DPC) по подготовке Data Processing Contracts.

Одним из наиболее сложных для подготовки является DMA, который в то же время представляет собой оптимальный способ регулирования оборота персональных данных в холдинге, когда группа лиц (обычно это компании) выполняет роль совместных контролеров и осуществляет деятельность, направленную на:

1. Совместное определение цели в отношении обработки персональных данных.

2. Использование одного и того же набора персональных данных (или базы данных) для достижения общей цели.

3. Совместное определение облика процесса обработки персональных данных, пусть и с разными целями.

4. Наличие общих правил управления персональными данными.

Ниже приведены некоторые преимущества DMA для холдинга:

1. Установление иерархичности сторон и порядка принятия решений. 

2. Гибкое распределение ответственности между участниками.

3. Централизованное взаимодействие холдинга с процессорами и субпроцессорами.

4. Использование для экспорта данных из ЕЭЗ в иностранные юрисдикции – посредством включения DMA стандартных договорных условий о защите данных (Standard Contractual Clauses for EU controller to non-EU or EEA controller).

5. Возможность учесть особенности права, применимого к участникам, находящимся вне ЕЭЗ.

6. Отсутствие механизма обязательного согласования с надзорными органами.

В качестве образцов DMA можно рекомендовать воспользоваться проектом Joint Controllers Agreement от одного из немецких надзорных органов в сфере персональных данных (LfDI Baden-Württemberg) и модельным проектом Joint Controllership Agreement от Ассоциации голландских образовательных и исследовательских организаций (SURF).

Отдельно надо остановиться на урегулировании вопросов обработки персональных данных, правовым основанием для которой является договор (контракт) между контролером и субъектом. В декабре 2019 года ирландский надзорный орган DPC опубликовал руководство для контролеров по определению правильной правовой основы для той или иной обработки персональных данных и обязательств, соответствующих этой правовой основе. Страницы 11–13 руководства посвящены анализу базовых требований к обработке персональных данных в контексте преддоговорной и договорной деятельности между контролером и субъектом данных.

В договоре с субъектом желательно предусмотреть раздел (SPA), который:

1. Определяет статус организации в отношениях с субъектом данных как самостоятельного контролера.

2. Фиксирует цели договорной обработки персональных данных – заключение, исполнение и прекращение сторонами договора, а также осуществление, выполнение и соблюдение Сторонами прав, обязанностей и запретов, предусмотренных применимыми нормами.

3. Вводит в договор необходимый понятийный аппарат.

4. Явно указывает на период постдоговорной обработки данных.

5. Вменяет контролеру в обязанность обеспечивать конфиденциальность и безопасность обработки персональных данных.

6. Защищает права и законные интересы субъекта при обработке персональных данных.

7. Позволяет контролеру привлекать третьих лиц к обработке полученных персональных данных.

8. Обязывает субъекта добросовестно сотрудничать с контролером и оказывать ему необходимое разумное содействие при рассмотрении и урегулировании запросов (жалоб, требований, предписаний, претензий, судебных исков), касающихся обрабатываемых на основании договора персональных данных.

Особое место в европейской системе регулирования оборота персональных данных занимают Стандартные договорные условия о защите данных (Standard Contractual Clauses for EU controller to non-EU or EEA controller и Standard Contractual Clauses for EU controller to non-EU or EEA processor) и Обязательные корпоративные правила (Binding Corporate Rules и Processor Binding Corporate Rules), призванные обеспечить механизм защиты прав субъектов персональных данных из ЕЭЗ в тех ситуация, когда осуществляется экспорт персональных данных субъектов из ЕЭЗ в иностранные юрисдикции, не обеспечивающие по мнению ЕС адекватную защиту прав субъектов (к таким юрисдикциям относятся, например, США и Россия). В некоторых случаях указанные механизмы защиты прав субъектов при экспорте их данных могут дополняться международными соглашениями, в частности, EU-U.S. Privacy Shield (Соглашение о правилах передачи персональных данных между ЕС и США).

В 2019 году Европейский суд в Люксембурге (Court of Justice of the European Union) начал рассматривать жалобу Максимилиана Шремса против передачи персональных данных социальной сетью Facebook спецслужбам США, которые прибегают к массовой слежке за пользователями. Шремс стал известен в 2015 году после того, как выиграл первый судебный процесс против Facebook. Тогда Европейский суд удовлетворил его жалобу 2013 года и признал незаконным соглашение Safe Harbor между ЕС и США о передаче социальной сетью персональных данных европейских пользователей спецслужбам США. Впоследствии Европейская комиссия была вынуждена отменить действие Safe Harbor и в 2016 году подписала новое соглашение с США о защите персональных данных EU-US Privacy Shield.

И вот 16 июля 2020 года Суд ЕС постановил, что Privacy Shield признается недействительным в связи с недостаточной защищенностью персональных данных от передачи операторами социальных сетей американским спецслужбам. В решении суда говорится, что данное соглашение создает условия для нарушения фундаментальных прав европейских граждан. В нем подчеркивается, что в США доступ государственных структур к подобной информации ограничен в гораздо меньшей степени, чем в странах ЕС. Теперь взамен признанного судом недействительным соглашения Privacy Shield ЕС и США должны создать эффективную систему, гарантирующую, что уровень защиты персональных данных, передаваемых в США, эквивалентен уровню защиты персональных данных в ЕС.

Хотя SCC-P (Standard Contractual Clauses Controller-to-Processor) были признаны в качестве продолжающего действовать правового механизма для экспорта данных из ЕЭЗ, но экспортер и импортер данных должны совместно осуществить предварительную (до заключения SCC) оценку возможности обеспечить надлежащий уровень защиты прав субъектов данных в случае осуществления их предполагаемой передачи. При проведении такой предварительной оценки экспортер (при необходимости с помощью импортера) должен учитывать содержание SCC, специфику передачи данных, а также правовой режим, применимый в иностранной юрисдикции. Проверка последнего должна проводиться с учетом неисчерпывающих факторов, указанных в ст.45(2) GDPR.

При выявлении такой необходимости по результатам предварительной оценки, экспортер данных должен рассмотреть возможность включения в SCC дополнительных положений, направленных на защиту прав субъектов данных, адекватности обеспечения защиты прав субъектов данных. Если положения SCC в части гарантии прав субъектов данных не выполняются или не могут быть фактически выполнены в иностранной юрисдикции, то SCC обязывает экспортера приостановить передачу данных или расторгнуть SCC или проконсультироваться с компетентным надзорным органом ЕЭЗ по сложившейся ситуации, если экспортер намеревается продолжить передачу данных. Надзорные органы ЕЭЗ в сфере персональных данных обязаны приостановить или запретить передачу данных в третью страну на основании SCC между экспортером и импортером данных, если, по мнению регулятора, в юрисдикции третьей страны положения SCC не соблюдаются или не могут быть соблюдены.

Европейских совет по защите данных (European Data Protection Board) опубликовал разъяснения по использованию правовых механизмов для обеспечения правомерной передачи персональных данных из ЕЭЗ в третьи страны с учетом решения Суда ЕС. Кроме того, можно посоветовать использовать типовой проект соглашения о переходе с условий EU-US Privacy Shield на Standard Contractual Clauses (Controller-to-Processor) в тех ситуациях, когда компания – резидент ЕЭЗ ранее полагалась исключительно на EU-US Privacy Shield и не заключала SCC с американскими импортерами персональных данных.

Смотреть все статьи по теме "Информационная безопасность"