Вопрос
Какие условия нужно проверить перед передачей персональных данных подрядчику, внешнему сервису или другому получателю?
Краткий ответ
Нужно определить, кому и для какой цели передаются данные, на каком основании это допускается, какой объем действительно необходим и какие обязанности закреплены за получателем.
Передача персональных данных подрядчику, облачному сервису, агентству, бухгалтерской компании или другой организации не должна происходить «по умолчанию» вместе с договором. До передачи необходимо разобраться, действует ли получатель как уполномоченное лицо, как самостоятельный оператор или как иной получатель данных. От этого зависит набор документов, обязанностей и оснований обработки.
Типичная ошибка - назвать получателей слишком общо: «партнеры», «третьи лица», «организации, с которыми оператор состоит в договорных отношениях». Такая формулировка не позволяет субъекту понять, кому могут попасть его данные и для чего. Не менее рискованно передавать полный массив клиентской базы, когда подрядчику требуется лишь часть сведений для конкретной услуги.
- в политике и реестрах не указан перечень уполномоченных лиц, которым поручена обработка;
- договор с подрядчиком не определяет цель порученной обработки, состав данных, действия с ними и меры защиты;
- получатель не ограничен задачей компании и получает возможность использовать данные для собственных целей;
- не проверено, требуется ли отдельное согласие или имеется другое законное основание передачи;
- не определен порядок трансграничной передачи при использовании зарубежных сервисов;
- не установлен порядок прекращения доступа и возврата либо удаления данных после завершения работ.
Отдельного внимания требуют запросы других организаций и государственных органов. Сам факт письма или устной просьбы не является достаточным основанием для передачи. Запрос должен позволять установить конкретную законную цель, правовое основание, круг лиц, о которых запрашиваются сведения, и необходимый объем информации.
- в ответе на запрос передают данные без проверки полномочий и цели запроса;
- не уточняют норму законодательства и ее структурный элемент, на который ссылается запрашивающая сторона;
- передают больше данных, чем необходимо для заявленной цели;
- не фиксируют решение о передаче и не могут позднее подтвердить, кому, когда и на каком основании сведения были предоставлены.
Вывод
Каждую передачу данных нужно рассматривать как отдельный процесс. Конкретный получатель, цель, основание, минимальный объем и понятные договорные обязанности снижают риск незаконного предоставления данных и последующих претензий.