1. Если обработка должна осуществляться от имени контролёра, он использует услуги только таких процессоров, которые обеспечивают достаточные гарантии по осуществлению соответствующих технических и организационных мер таким образом, чтобы обработка отвечала требованиям настоящего Регламента и обеспечивала защиту прав субъекта данных.
2. Процессор не должен привлекать другого процессора без предварительного специального или общего письменного разрешения контролёра. В случае общего письменного разрешения процессор информирует контролёра о любых предполагаемых изменениях касательно добавления или замены других процессоров, тем самым предоставляя контролёру возможность возражать против таких изменений.
3. Обработка процессором регулируется договором или иным правовым актом Союза, или национальным законодательством государства-члена, которое является обязательным для процессора и контролёра и устанавливает предмет и продолжительность обработки, характер и цель обработки, тип персональных данных, категории субъектов данных, обязательства и права контролёра. Этот договор или иной правовой акт должны предусматривать, в частности, что процессор:
(а) обрабатывает персональные данные только на основании документированных распоряжений от контролёра, включая передачу персональных данных в третью страну или международную организацию, если только он не обязан делать это по праву Союза или государств-членов, которому подчиняется процессор; в таком случае процессор информирует контролёра об этих правовых требованиях до обработки, если этот закон не запрещает такое информирование по важным с точки зрения публичного интереса основаниям;
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28(3)(а) GDPR:
8.2.2 Цели организации
Средство управления
Организация должна обеспечить, чтобы ПИИ, обработанные от имени клиента, обрабатывались только для целей, указанных в документированных инструкциях клиента.
Руководство по внедрению
Контракт между организацией и клиентом должен включать, но не ограничиваться, целью и временными рамками, которые должны быть достигнуты услугой.
…
Войти
для доступа к полному тексту
(b) гарантирует, что лица, уполномоченные обрабатывать персональные данные, связаны положением о конфиденциальности или находятся под соответствующим законодательно установленным обязательством о конфиденциальности;
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28(3)(b) GDPR:
6.10.2.4 Соглашения о конфиденциальности или неразглашении
Руководство по внедрению
Организация должна обеспечить, чтобы лица, работающие под ее контролем и имеющие доступ к ПИИ, были обязаны соблюдать конфиденциальность.
…
Войти
для доступа к полному тексту
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28(3)(d) GDPR:
8.5.7 Привлечение субподрядчика к обработке ПИИ
Средство управления
Организация должна привлекать субподрядчика к обработке ПИИ только в соответствии с контрактом с клиентом.
Руководство по внедрению
Если организация заключает с другой организацией субподряд на обработку ПИИ частично или полностью, необходимо получить письменное разрешение клиента до обработки ПИИ субподрядчиком.
…
Войти
для доступа к полному тексту
(е) принимая во внимание характер обработки, по мере возможности содействует контролёру посредством соответствующих технических и организационных мер в выполнении его обязанности отвечать на запросы субъекта данных касательно осуществления его прав, упомянутых в Главе III;
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28(3)(e) GDPR:
8.3.1 Обязательства по отношению к субъектам ПИИ
Средство управления
Организация должна обеспечить клиента механизмами выполнения своих обязательств, связанных с принципами ПИИ.
Руководство по внедрению
Обязанности контролера ПИИ могут быть определены законодательством, регламентом и / или договором.
…
Войти
для доступа к полному тексту
(g) по выбору контролёра, удаляет или возвращает все персональные данные контролёру после окончания оказания услуг по обработке, и удаляет существующие копии, если право Союза или государств-членов не требует хранения персональных данных;
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28(3)(h) GDPR:
8.2.4 Нарушение инструкции
Средство управления
Организация должна информировать клиента, если, по ее мнению, инструкция по обработке нарушает действующее законодательство и / или нормативные акты.
…
Войти
для доступа к полному тексту
(h) предоставляет контролёру всю необходимую информацию, чтобы продемонстрировать соблюдение обязательств, изложенных в настоящей статье, а также разрешает и вносит свой вклад в аудиты, в том числе проверки, проводимые контролёром или иным аудитором, назначенным контролёром.
(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII processors.
Here is the relevant paragraphs to article 28(3)(h) GDPR:
8.2.4 Infringing instruction
Control
The organization should inform the customer if, in its opinion, a processing instruction infringes applicable legislation and/or regulation.
Implementation guidance
The organization’s ability to verify if the instruction infringes legislation and/or regulation can depend on the technological context, on the instruction itself, and on the contract between the organization and the customer.
8.2.5 Customer obligations
Control
The organization should provide the customer with the appropriate information such that the customer can demonstrate compliance with their obligations.
Implementation guidance
The information needed by the customer can include whether the organization allows for and contributes to audits conducted by the customer or another auditor mandated or otherwise agreed by the customer.
Относительно пункта (h) первого подпараграфа, процессор незамедлительно информирует контролёра, если он считает, что выданное ему распоряжение нарушает настоящий Регламент или иные нормы Союза или государств-членов о защите персональных данных.
4. Если процессор привлекает другого процессора для выполнения определенных мероприятий по обработке от имени контролёра, этот процессор должен быть связан договором или иным правовым актом Союза или государства-члена, налагающим на него такие же обязательства по защите данных, как и те, что указаны в договоре или ином правовом акте между контролёром и процессором и о которых говорится в параграфе 3; в частности, обязанность предоставить достаточные гарантии осуществления соответствующих технических и организационных мер таким образом, чтобы обработка отвечала требованиям настоящего Регламента. Если другой процессор не выполняет свои обязательства по защите персональных данных, первоначальный процессор несет полную ответственность перед контролёром за выполнение обязательств этого другого процессора.
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28(4) GDPR:
8.5.6 Раскрытие данных о субподрядчиках, привлекаемых к обработке ПИИ
Средство управления
Организация должна раскрывать клиенту сведения о любом привлечении субподрядчиков для обработки ПИИ до привлечения.
Руководство по внедрению
Условия о привлечении субподрядчиков для обработки ПИИ должны быть включены в контракт с клиентом.
…
Войти
для доступа к полному тексту
6. Не исключая индивидуального соглашения между контролёром и процессором, договор или иной правовой акт, упомянутые в параграфах 3 и 4 настоящей статьи, может основываться полностью или частично на стандартных договорных условиях, указанных в параграфах 7 и 8 настоящей статьи, в том числе когда они являются частью сертификации, предоставленной контролёру или процессору в соответствии со статьями 42 и 43.
9. Договор или иной правовой акт, упомянутые в параграфах 3 и 4 должны быть в письменной форме, в том числе в электронном формате.
Перевод на русский язык выполнен одновременно с 4 официальных языков Евросоюза (английский, польский, французский и немецкий) коллективом профессионалов в области информационной приватности: С.Воронкевич, А.Богуславская, П.Лозовенко, И.Чернышева, С.Радыно, С.Головнева. Общая редакция: Сергей Воронкевич CIPP/E, CIPM, FIP, MBA. Маппинг статей и преамбул сделан на основе публикации ICO — https://ico.org.uk/media/about-the-ico/disclosure-log/2014536/irq0680151-disclosure.pdf
© Перевод на русский ООО «Дата Прайваси Офис».
Процессором является физическое или юридическое лицо, государственный орган, учреждение или другой орган, которые обрабатывают персональные данные от имени контролера и по его поручению. [статьи 4 (8) и 28 (1)]. Данный термин, используемый в английской версии текста Общего регламента защиты персональных данных (GDPR), является сложным для понимания лицами, не имеющими юридического образования.
…
Войти
для доступа к полному тексту
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28 GDPR:
5.2.1 Понимание организации и ее контекста
Организация включает в число своих заинтересованных сторон (см. ISO/IEC 27001:2013, 4.2) те стороны, которые имеют интересы или обязанности, связанные с обработкой ПИИ, включая субъектов ПИИ.
…
Войти
для доступа к полному тексту
(81) Для обеспечения соблюдения требований настоящего Регламента в отношении обработки, осуществляемой процессором от имени контролёра, контролёр должен доверять обработку данных только процессору, предоставившему достаточные гарантии, в частности, в отношении экспертных знаний, надежности и ресурсов, для выполнения технических и организационных мероприятий, отвечающих требованиям Регламента, в том числе и для безопасности обработки. Следование процессора утвержденному кодексу поведения или утвержденному механизму сертификации может быть одним из элементов демонстрации выполнения контролёром своих обязательств. Осуществление обработки процессором должно регулироваться договором или иным правовым актом в соответствии с законодательством Союза или государства-члена, который связывает процессора с контролёром, определяет предмет и продолжительность обработки, характер и цели обработки, тип персональных данных и категории субъектов данных, учитывает специфику задач и обязанностей процессора в контексте осуществления обработки, а также риск для прав и свобод субъектов данных. Контролёр и процессор могут, на свой выбор, использовать собственный договор или стандартные договорные условия, утвержденные напрямую Комиссией, либо принятые надзорным органом в соответствии с механизмом согласования, а затем утвержденные Комиссией. После завершения обработки от имени контролёра процессор должен, по усмотрению контролёра, вернуть или удалить персональные данные, за исключением случаев, когда существует требование о хранении персональных данных в соответствии с законодательством Союза или государства-члена, под действие которого подпадает процессор.
(EN)
CJEU, Tietosuojavaltuutettu/Jehovan todistajat — uskonnollinen yhdyskunta (Jehovah’s Witnesses case), Opinion of Advocate General, C‑25/17 (2018).
CJEU, Tietosuojavaltuutettu/Jehovan todistajat — uskonnollinen yhdyskunta (Jehovah’s Witnesses case), C‑25/17 (2018).
Article 29 Working Party, Opinion 1/2010 on the concepts of «controller» and «processor» (2010).
EDPB, Guidelines on the Concepts of Controller, Processor and Joint Controllership Under Regulation (EU) 2018/1725 (2019).
EDPB, Opinion 14/2019 on the draft Standard Contractual Clauses submitted by the DK SA (Article 28(8) GDPR) (2019).
EDPB, Guidelines 7/2020 on the Concepts of Controller and Processor in the GDPR (2021).
CNIL, Guide for processors (2017) – Guidelines from the French Supervisory Authority that includes the template of Data Processing Agreement between controllers and processors.
Denmark Supervisory Authority, DK SA Standard Contractual Clauses for the purposes of compliance with art. 28 GDPR (2020).
DPC (Ireland), Guidance for Individuals who Accidentally Receive Personal data (2020).
ICO, Right of Access (2020).
ICO, Data sharing: a code of practice (2020).
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 28(2) GDPR:
8.5.6 Раскрытие данных о субподрядчиках, привлекаемых к обработке ПИИ
Средство управления
Организация должна раскрывать клиенту сведения о любом привлечении субподрядчиков для обработки ПИИ до привлечения.
Руководство по внедрению
Условия о привлечении субподрядчиков для обработки ПИИ должны быть включены в контракт с клиентом.
…
Войти
для доступа к полному тексту