Так, якщо постачальник під час міграції, тестування чи підтримки обробляє персональні дані клієнтів або працівників від вашого імені. Тоді він є обробником, і обробка має регулюватися договором відповідно до ст. 28 GDPR у письмовій формі, причому достатньо й електронної. Договір повинен, зокрема, визначити, що постачальник обробляє дані лише за вашими задокументованими вказівками і після завершення повертає їх або видаляє. Обов’язок обрати постачальника з достатніми гарантіями лежить на вас як на контролері.
Під час переходу на нову корпоративну систему клієнтська база зі старого рішення експортується, очищується та завантажується в нову. Робить це зазвичай постачальник впровадження, часто на копії робочих даних у тестовому середовищі та за допомогою власних консультантів чи зовнішніх програмістів. Договір про впровадження при цьому вирішує обсяг, строки та приймання, але про персональні дані мовчить, хоча саме для цієї частини проєкту GDPR вимагає договору з приписаним змістом.
Коли впроваджувач є обробником
GDPR визначає обробника як суб’єкта, який обробляє персональні дані від імені контролера (ст. 4 п. 8). Обробкою при цьому є майже будь-яка операція з даними, включно з упорядкуванням, зміною, пошуком, переглядом, передаванням чи видаленням (ст. 4 п. 2). Тому постачальник, який мігрує, очищує ваші дані або переглядає їх під час налагодження, їх обробляє, а оскільки робить це для вас і за вашими вказівками, він є вашим обробником.
Якщо постачальник лише встановлює програмне забезпечення і не має доступу до даних, обробником він бути не мусить. Протилежна крайність настає, коли він починає використовувати дані для власних цілей: обробник, який порушенням регламенту сам визначить цілі та засоби обробки, вважається щодо неї контролером (ст. 28 ч. 10).
Що має містити договір
Контролер має право залучати лише обробників, які надають достатні гарантії відповідних технічних та організаційних заходів (ст. 28 ч. 1). Відносини з ними повинні мати договірну основу:
Обробка обробником регулюється договором або іншим правовим актом відповідно до права Союзу чи права держави-члена, який зобов’язує обробника щодо контролера і яким установлюються предмет і тривалість обробки, характер і мета обробки, тип персональних даних і категорії суб’єктів даних, а також обов’язки та права контролера.
Регламент далі вимагає, щоб договір зобов’язував постачальника насамперед обробляти дані лише за вашими задокументованими вказівками, включно з передаванням до третіх країн, до конфіденційності людей, які працюють із даними, до заходів безпеки, до допомоги під час розгляду запитів суб’єктів даних, до повернення або видалення даних та їхніх копій після завершення послуг, а також до надання інформації та уможливлення аудиту (ст. 28 ч. 3 літ. a) — h)). Договір має бути в письмовій формі, якою є й електронна форма (ст. 28 ч. 9).
На що звернути увагу саме під час міграції
Субпідрядники. У проєктах упровадження часто працюють і зовнішні консультанти постачальника. Обробник не має права залучати іншого обробника без вашого попереднього конкретного або загального письмового дозволу, а за загального дозволу повинен інформувати вас про зміни, щоб ви могли заперечити (ст. 28 ч. 2).
Тестове середовище. Копія робочих даних у тестах також є обробкою. Серед заходів, які регламент прямо називає, є псевдонімізація та шифрування (ст. 32 ч. 1 літ. a)), тому договір має визначити, коли для тестів використовуються змінені дані, а коли робочі.
Кінець проєкту. Після впровадження в постачальника залишаються експорти, резервні копії та тестові бази даних. Обов’язок повернути або видалити дані та наявні копії (ст. 28 ч. 3 літ. g)) має мати в договорі конкретний строк і підтвердження видалення. Якщо після впровадження ви переходите в сервісний режим і постачальник матиме доступ до даних надалі, договір про обробку повинен охопити і цей період.
Як це вирішити
Найпрактичніше приєднати договір про обробку персональних даних як додаток до договору про впровадження, щоб обсяг міграції, доступи та строк видалення збігалися з графіком проєкту. Ширший порядок в обробці, від записів про діяльність до договорів з іншими постачальниками, ми вирішуємо в межах послуги GDPR і захист персональних даних. Огляд основних обов’язків контролера ви знайдете в питанні які в мене обов’язки під час обробки персональних даних.
Ця відповідь містить загальну інформацію про законодавство станом на 12 вересня 2026 р. Вона не є юридичною послугою та не замінює оцінювання конкретної справи. Обставини вашої ситуації можуть відрізнятися. Забронюйте консультацію, щоб обговорити їх.
