Data Controller и Data Processor: какую роль выполняет SaaS-компания по GDPR

SaaS-компания редко выполняет только одну роль при обработке персональных данных. Для информации, которую клиенты загружают в сервис, она может быть Data Processor. Одновременно компания выступает Data Controller для данных владельцев аккаунтов, платежей, безопасности и собственного маркетинга.

Правильно определить роль важно не только для Privacy Policy и DPA. От неё зависит, кто выбирает основания обработки, отвечает на запросы пользователей, привлекает подрядчиков и принимает решения при утечке данных.

Указать роль только в договоре недостаточно. По GDPR она определяется исходя из фактических действий сторон.

Кто такой Data Controller

Data Controller, или контроллер, определяет цели и существенные способы обработки персональных данных. Проще говоря, он решает, зачем данные нужны и как они будут использоваться.

Контроллер самостоятельно устанавливает:

• какие категории данных собирать;
• для каких целей их использовать;
• как долго их хранить;
• кому передавать;
• на каком правовом основании обрабатывать;
• как пользователи смогут реализовать свои права.

Например, SaaS-компания самостоятельно решает собирать имена и email владельцев аккаунтов для регистрации, использовать платежные данные для выставления счетов и анализировать историю входов для защиты сервиса. В отношении таких операций именно SaaS-компания является Data Controller.

Контролёр не обязательно должен иметь непосредственный доступ ко всей информации. Основным критерием остается возможность определять цели и существенные элементы обработки.

Кто такой Data Processor

Data Processor, процессор или обработчик, работает с персональными данными от имени контроллера и по его документированным инструкциям.

Типичный пример — корпоративный клиент загружает в SaaS-систему сведения о своих сотрудниках или покупателях. Клиент определяет, какие данные разместить в сервисе, зачем их использовать и когда удалить. SaaS-компания предоставляет техническую инфраструктуру и выполняет обработку для клиента, то есть является процессором. Как правило, такие отношения должны регулироваться Data Processing Agreement (соглашение об обработке персональных данных). Такое соглашение может иметь специфику для таргетных регионов, в частности для США и UK, потому одного соглашения на все страны мира может быть недостаточно.

Поставщик может самостоятельно выбирать отдельные технические способы работы: программное обеспечение, архитектуру хранения, резервное копирование или меры защиты. Это не обязательно делает его контролером, если цели обработки по-прежнему определяет клиент.

Однако обработчик не вправе использовать полученные данные для собственных целей. Если SaaS-компания начинает самостоятельно анализировать клиентскую базу, запускать по ней рекламу или создавать собственные продукты, её роль в отношении такой обработки может измениться.

Почему SaaS-компания обычно выполняет обе роли

Роль определяется не для компании в целом, а для каждой отдельной операции с персональными данными.

SaaS как Data Processor

Компания обычно является обработчиком, когда хранит и систематизирует данные, которые клиент загружает в рабочее пространство, предоставляет к ним доступ авторизованным сотрудникам, создает резервные копии или удаляет информацию по инструкции клиента.

Например, CRM-платформа обрабатывает сведения о покупателях, которые внесла компания-пользователь. Цели работы с этими данными устанавливает клиент, а CRM выступает его обработчиком.

SaaS как Data Controller

В отношении собственной деятельности сервис принимает решения самостоятельно. Обычно это касается регистрации аккаунтов, управления подпиской, выставления счетов, предотвращения мошенничества и исполнения юридических обязанностей.

SaaS-компания также может выступать контроллером при отправке своей маркетинговой рассылки, анализе посещаемости сайта и работе с обращениями в службу поддержки.

Получается, что один пользователь может фигурировать сразу в нескольких операциях. Его данные внутри рабочего пространства обрабатываются по поручению клиента, а контактные данные администратора аккаунта — для исполнения договора с самим SaaS-провайдером.

Может ли SaaS быть совместным контроллером

Совместные контролеры, или Joint Controllers, вместе определяют цели и существенные способы одной обработки.

Такая роль возникает не при любом сотрудничестве. Само наличие общего проекта, интеграции или обмена информацией еще не делает стороны совместными контроллерами.

Совместный контроль возможен, если SaaS-компания и клиент вместе решают, для чего будут использоваться данные и как будет устроена обработка. Их решения могут быть общими или взаимодополняющими, но обе стороны должны реально влиять на цели и способы работы с информацией.

В этом случае необходимо определить зоны ответственности, что определяется в соглашении между контроллерами: кто предоставляет информацию пользователям, принимает запросы, обеспечивает правовое основание и сообщает об утечках. Основные условия распределения обязанностей должны быть доступны субъектам данных.

Вместе с тем, оба контроллера остаются ответственными за обработку персональных данных. При проверке ведомство может учесть распределение зон ответственности между контроллерами и наложить меньшую ответственность на контроллера, в чью зону ответственности не входила данная обработка, однако наличие соглашения не освобождает полностью сторону от обязанностей по соблюдению GDPR.

Как определить роль SaaS-компании

Начать следует с карты операций, а не с общей формулировки в договоре. Для каждого процесса нужно ответить на несколько вопросов.

Кто решил собирать данные? Если инициатором является SaaS-компания и обработка нужна для ее собственных целей, это признак контролёра.

Кто определяет цель? Клиент может использовать платформу для управления сотрудниками, пациентами или покупателями. Если SaaS только обеспечивает работу инструмента, он, вероятнее всего, является обработчиком.

Может ли провайдер использовать данные самостоятельно? Обработчик действует только в пределах инструкций. Собственная аналитика, реклама или продажа информации указывают на отдельную роль контролёра.

Кто определяет срок хранения? Если решение принимает клиент, а сервис выполняет его настройку, это характерно для отношений контролёра и обработчика. Если срок устанавливается SaaS-компанией для собственных счетов или журналов безопасности, она действует как контролёр.

Что произойдёт после прекращения договора? Клиент должен понимать, можно ли экспортировать данные, когда они будут удалены и сохранятся ли резервные копии.

Один и тот же процесс нельзя корректно описать без учёта продукта, настроек и реальных договоренностей сторон.

Какие обязанности возникают у контролёра

Data Controller отвечает за законность обработки и должен быть способен подтвердить соответствие GDPR.

Он определяет правовые основания, предоставляет пользователям информацию, соблюдает сроки хранения и организует реализацию прав субъектов данных. Контролёр также выбирает обработчиков, которые могут обеспечить достаточные гарантии безопасности.

Для SaaS-компании в роли контролёра это означает, что собственные операции нельзя полностью переложить на клиента или подрядчика. Например, компания самостоятельно отвечает за данные аккаунтов, которые использует для биллинга, безопасности и маркетинга.

За что отвечает обработчик

Data Processor обязан действовать по документированным инструкциям контролёра и обеспечивать конфиденциальность и безопасность данных.

В его обязанности также может входить помощь клиенту при обработке запросов пользователей, проведении DPIA и расследовании инцидентов. Если произошла утечка, обработчик должен без неоправданной задержки уведомить контролёра и предоставить доступную информацию о ситуации.

После окончания услуг данные возвращаются клиенту или удаляются в соответствии с договором, если их дальнейшее хранение не требуется по закону.

Если обработчик выходит за пределы инструкций и самостоятельно определяет цели и способы обработки, в отношении таких действий он может быть признан контроллером.

Зачем SaaS-компании DPA

Отношения между контроллером и обработчиком оформляются Data Processing Agreement. DPA может быть отдельным документом или частью основного договора, но должен содержать обязательные условия GDPR.

В соглашении указываются предмет и продолжительность обработки, категории данных, группы пользователей, права и обязанности клиента. Кроме того, DPA регулирует:

• порядок передачи инструкций;
• требования к конфиденциальности;
• технические и организационные меры безопасности;
• привлечение субобработчиков (субпроцессоры);
• помощь при запросах субъектов данных;
• уведомление об утечках;
• проведение проверок;
• возврат и удаление данных.

DPA не должен просто повторять текст GDPR. Он должен объяснять, как стороны выполняют требования применительно к конкретному сервису.

Кто такие субобработчики

SaaS-компания редко хранит и обрабатывает всю информацию самостоятельно. Она может использовать облачный хостинг, email-сервисы, техническую поддержку, аналитику и другие внешние решения.

Если такой подрядчик получает доступ к данным, которые SaaS обрабатывает для клиента, он может считаться субобработчиком.

Для его привлечения требуется предварительное специальное или общее письменное разрешение контролёра. SaaS-компания должна сообщать об изменениях в списке субобработчиков и предоставить клиенту возможность выразить обоснованные возражения, если это предусмотрено моделью согласования.

На субобработчика возлагаются обязательства по защите данных, сопоставимые с обязанностями основного обработчика. При этом перед клиентом за его действия продолжает отвечать SaaS-провайдер.

Распространённые ошибки SaaS-компаний

Указывать одну роль для всех данных. Формулировка «компания является только обработчиком» может противоречить фактической работе с аккаунтами, платежами, безопасностью и маркетингом.

Ориентироваться только на название договора. Стороны не могут произвольно выбрать роли, если их реальные действия говорят об обратном.

Использовать клиентские данные для собственных целей. Информация, полученная для предоставления SaaS-сервиса, не должна автоматически становиться источником для маркетинга или самостоятельной аналитики.

Не разделять обработчиков и субобработчиков. Если компания привлекает облачные и технические сервисы для работы с клиентскими данными, их участие должно быть отражено в DPA.

Копировать универсальный шаблон. Соглашение должно учитывать архитектуру продукта, категории информации, функции сторон и реальный порядок удаления данных.