Агенция, която разработва, хоства или поддържа система с лични данни на клиента, обикновено е обработващ лични данни по чл. 28 от Регламент (ЕС) 2016/679 (GDPR). Клиентът е администраторът. Отношенията между двамата трябва да са уредени с договор или друг правен акт, обвързващ обработващия спрямо администратора, в писмена форма (включително електронна) (чл. 28, параграфи 3 и 9 GDPR).
Договорът защитава и агенцията. Без него не е ясно какво може и какво не може да прави с данните. В България надзорният орган е Комисията за защита на личните данни (КЗЛД).
Кога агенцията е обработващ и кога администратор?
| Ситуация | Роля на агенцията |
|---|---|
| Разработва и поддържа CRM на клиента с реални данни | Обработващ |
| Хоства онлайн магазина на клиента | Обработващ |
| Има достъп до продукционната база при поддръжка | Обработващ |
| Прави сайт без достъп до реални лични данни | Обикновено не обработва данните на клиента |
| Данни на собствените служители | Администратор |
| Контакти с клиенти и кандидати за работа | Администратор |
Ако агенцията сама определи целите и средствата на обработването в нарушение на регламента, тя се смята за администратор по отношение на това обработване (чл. 28, параграф 10 GDPR).
Какво трябва да има в договора за обработване?
По чл. 28, параграф 3 GDPR договорът описва предмета и срока на обработването, естеството и целта му, вида лични данни, категориите субекти и правата на администратора. Обработващият се задължава:
- Да обработва данните само по документирано нареждане на администратора.
- Да осигури, че хората с достъп са поели ангажимент за поверителност.
- Да прилага мерките за сигурност по чл. 32.
- Да не включва друг обработващ без разрешение (параграфи 2 и 4).
- Да помага на администратора при искания на субектите на данни.
- Да помага при сигурността, уведомленията за нарушения и оценките на въздействието (чл. 32-36).
- Да изтрие или върне данните след края на услугата, по избор на администратора.
- Да дава информация и да допуска одити.
Как да работите с подизпълнители и облачни услуги?
Всеки, който има достъп до личните данни на клиента от името на агенцията, е друг обработващ: хостинг, услуга за имейли, система за грешки, ИИ инструмент, фрийлансър.
По чл. 28, параграф 2 GDPR агенцията не включва друг обработващ без предварително конкретно или общо писмено разрешение на клиента. При общо разрешение агенцията информира клиента за всяка промяна и той може да възрази.
По чл. 28, параграф 4 GDPR агенцията налага на подизпълнителя същите задължения, които сама има към клиента.
| Подизпълнител | Какво да направите |
|---|---|
| Фрийлансър с достъп до базата | Договор със същите задължения и клауза за поверителност |
| Хостинг и облак | Техният договор за обработване, списък в приложението към договора с клиента |
| ИИ инструменти | Проверете дали данните се използват за обучение и къде се пазят |
| Системи за грешки и логове | Маскирайте личните данни, преди да стигнат до тях |
Какви мерки за сигурност се очакват?
По чл. 32 GDPR администраторът и обработващият прилагат мерки, съобразени с риска. Регламентът дава примери:
- псевдонимизация и криптиране;
- постоянна поверителност, цялостност, наличност и устойчивост на системите;
- възстановяване на достъпа до данните след инцидент;
- редовно тестване и оценка на мерките.
За агенция на практика това значи: тестови данни без реални лични данни, достъп по роли, многофакторно удостоверяване, криптирани резервни копия, отнемане на достъпа при напускане.
Обработващият води и регистър на дейностите по обработване, които извършва от името на всеки администратор (чл. 30, параграф 2 GDPR).
Какво правите при нарушение на сигурността?
- Обработващият уведомява администратора без ненужно забавяне, след като разбере за нарушението (чл. 33, параграф 2 GDPR).
- Администраторът уведомява надзорния орган без ненужно забавяне и, когато е осъществимо, до 72 часа, след като е разбрал (чл. 33, параграф 1 GDPR). В България това е КЗЛД.
- Агенцията дава на клиента информацията, която му трябва за уведомлението.
Срокът на клиента започва да тече, когато той разбере. Ако агенцията се забави, тя нарушава собственото си задължение по чл. 33, параграф 2 GDPR, а уведомяването на КЗЛД се отлага. Затова клиентите искат в договора конкретен срок за уведомяване в часове.
Какви са санкциите?
Чл. 83 GDPR има две нива на глоби:
| Нарушение | Максимум |
|---|---|
| Задължения на администратора и обработващия, включително чл. 28-33 | до 10 000 000 евро или до 2% от световния годишен оборот, която сума е по-висока |
| Основни принципи, права на субектите, предаване към трети държави | до 20 000 000 евро или до 4% от световния годишен оборот, която сума е по-висока |
За агенция по-големият риск обикновено е договорен: клиентът търси обезщетение по договора за обработване.
Какво означава GDPR за кода, който агенцията притежава?
Лични данни в кода намаляват неговата стойност. Купувачът на код или на данни за обучение на модели ще провери репото за имейли, телефони и дъмпове на бази в историята на комитите.
- Изчистете личните данни от тестовите данни, фикстурите и историята на комитите.
- Проверете дали договорите с клиентите ви позволяват да лицензирате кода, писан по проекта.
- Отделете кода от клиентските данни, преди да го предложите.
Как се подготвя кодът за сделка: продажба на изходен код и код за обучение на ИИ. Колко струва: колко струва кодът.