Зміст
- Хто є контролером, а хто обробником у SaaS
- Обов'язковий DPA за ст. 28 – що він має містити
- Субпідрядники (sub-processors) – ланцюг відповідальності
- Міжнародні передавання – AWS, Google, Azure та DPF
- Заходи безпеки за ст. 32 GDPR
- Настанови EDPB щодо хмарних послуг
- Практичний контрольний перелік для IT-компаній
- Найпоширеніші помилки під час використання хмарних послуг
- Особливі випадки
- Поширені запитання
Коротка відповідь: Коли Ви використовуєте хмарну послугу (SaaS), Ваша організація є контролером персональних даних, а постачальник послуги – обробником у розумінні GDPR. Ви зобов'язані укласти договір про обробку даних (DPA) відповідно до ст. 28 GDPR, контролювати субпідрядників (sub-processors) і забезпечити законний механізм міжнародного передавання, якщо постачальник перебуває за межами ЄЕП. Відсутність DPA є самостійним порушенням зі штрафом до 10 млн євро – навіть якщо витоку ніколи не було.
Хмарні послуги – SaaS (програмне забезпечення як послуга), IaaS (інфраструктура як послуга), PaaS (платформа як послуга) – сьогодні використовує майже кожен бізнес. Від Google Workspace і Microsoft 365 до спеціалізованих CRM-систем, бухгалтерського програмного забезпечення та платформ електронної комерції – майже кожна компанія в Болгарії використовує щонайменше кілька хмарних послуг, які обробляють персональні дані. Попри це, багато організацій недооцінюють свої обов'язки за GDPR під час роботи з цими послугами, тобто під час використання цих послуг.
Хто є контролером, а хто обробником у SaaS
Перш ніж підписати договір, слід визначити, чи Ви є контролером, а постачальник – обробником, чи ви обидва є спільними контролерами. Настанови EDPB 07/2020 щодо понять «контролер» і «обробник» дають чітку рамку:
| Роль | Хто це | Що визначає | Приклад |
|---|---|---|---|
| Контролер | Ваша організація (клієнт) | Цілі та засоби обробки | Ви вирішуєте, які дані працівників/клієнтів зберігати в CRM |
| Обробник | Постачальник SaaS | Обробляє дані лише за Вашими інструкціями | CRM-платформа зберігає та обробляє дані від Вашого імені |
| Спільний контролер | Постачальник SaaS, який визначає й власні цілі | Обидві сторони визначають цілі та засоби | Платформа, яка аналізує Ваші дані для власних рекламних цілей |
Увага: Деякі постачальники SaaS можуть діяти як спільні контролери (joint controllers), якщо використовують Ваші дані для власних цілей – наприклад, для вдосконалення алгоритмів за допомогою машинного навчання або для агрегованої аналітики. У такому разі потрібна угода про спільний контроль за ст. 26 GDPR, а не лише DPA. Уважно перевіряйте умови використання кожного постачальника.
Обов'язковий DPA за ст. 28 – що він має містити
Ст. 28(3) GDPR перелічує вісім обов'язкових елементів, які мають бути в кожному договорі про обробку даних (DPA) між контролером і обробником. Під час перевірки Комісія із захисту персональних даних (КЗЛД) вважає неповний DPA рівнозначним відсутньому.
| № | Обов'язкове положення | Що це означає на практиці |
|---|---|---|
| 1 | Обробка лише за задокументованими інструкціями | Постачальник SaaS не має права обробляти дані для власних цілей. Ваші інструкції мають бути письмовими (зокрема електронними). |
| 2 | Конфіденційність персоналу | Працівники постачальника, які мають доступ до даних, повинні бути зобов'язані дотримуватися конфіденційності. |
| 3 | Належні заходи безпеки (ст. 32) | Шифрування, контроль доступу, резервні копії, тестування на вразливості. Конкретні заходи мають бути описані в DPA. |
| 4 | Управління субпідрядниками | Попередній дозвіл (конкретний або загальний) на залучення субпідрядників. У разі загального: повідомлення + право на заперечення. |
| 5 | Сприяння в разі запитів суб'єктів даних | Постачальник має допомагати Вам відповідати на запити щодо доступу, виправлення, видалення (ст. 15-22 GDPR). |
| 6 | Сприяння щодо безпеки, повідомлень, DPIA | Постачальник має невідкладно повідомити Вас про витік і допомогти з оцінкою впливу. |
| 7 | Видалення або повернення даних у разі припинення | Після припинення договору постачальник має видалити або повернути ВСІ персональні дані – на Ваш вибір. |
| 8 | Аудит та інспекції | Постачальник має надати всю інформацію, необхідну для підтвердження відповідності, і допускати аудити. |
Стандартні DPA великих постачальників. Google, Microsoft, AWS і більшість великих SaaS-платформ надають готові DPA, які зазвичай охоплюють мінімальні вимоги ст. 28. Проблеми виникають у разі: (1) менших постачальників, які не мають DPA або пропонують неповні; (2) умов, що дозволяють постачальникові використовувати дані для власних цілей (аналітика, ML); (3) відсутності чіткої процедури повідомлення про витік.
Потрібна перевірка DPA з Вашими хмарними постачальниками?
- Аудит чинних DPA на відповідність ст. 28 GDPR
- Підготовка DPA для постачальників, які його не мають
- Перевірка ланцюга субпідрядників і міжнародних передавань
Субпідрядники (sub-processors) – ланцюг відповідальності
Кожен великий постачальник SaaS спирається на ланцюг субпідрядників – хостинг, CDN, резервне копіювання, підтримка. Ст. 28(2) GDPR регулює цей ланцюг:
Два режими надання дозволу
| Режим | Як працює | На практиці |
|---|---|---|
| Конкретний дозвіл | Контролер схвалює кожного субпідрядника поіменно | Рідко в SaaS – постачальники зазвичай на це не погоджуються |
| Загальний дозвіл | Контролер надає дозвіл у принципі + постачальник повідомляє про зміни + право на заперечення | Стандартна модель у Google, Microsoft, AWS |
Загальний дозвіл породжує чотири конкретні обов'язки постачальника:
- Вести публічний перелік субпідрядників (більшість великих постачальників це роблять)
- Попередньо повідомляти Вас про додавання нового субпідрядника
- Надавати Вам право на заперечення – а якщо Ви заперечите, дати Вам можливість припинити послугу
- Укласти із субпідрядником DPA, який дзеркально відтворює обов'язки з основного DPA
EDPB Opinion 22/2024: Контролер зобов'язаний перевіряти, що обробник реально виконує свої обов'язки щодо субпідрядників. Недостатньо просто підписати DPA і «забути». Періодичні перевірки (щонайменше раз на рік) є частиною принципу підзвітності за ст. 5(2) GDPR.
Практичний приклад: ланцюг субпідрядників Google Workspace
Сценарій: болгарська компанія використовує Google Workspace
Контролер: Ваша компанія
Обробник: Google Ireland Limited (ЄЕП)
Субпідрядники: Google LLC (США) + десятки інфраструктурних постачальників у різних країнах
Що Вам потрібно зробити:
- Активуйте та прийміть DPA в консолі Google Admin (Settings → Legal → Data Processing Amendment)
- Перевірте субпідрядників на публічній сторінці Google
- Підпишіться на повідомлення про зміну субпідрядників
- Перевірте статус Google LLC в EU-US Data Privacy Framework
- Задокументуйте в ROPA передавання до США та застосовні гарантії
Міжнародні передавання – AWS, Google, Azure та DPF
Більшість хмарних послуг, якими користуються болгарські компанії, надходять від американських компаній. Глава V GDPR (ст. 44-49) вимагає належних гарантій у разі передавання персональних даних за межі Європейської економічної зони (ЄЕП).
Три основні механізми передавання до США
| Механізм | Статус (2026) | Застосовність |
|---|---|---|
| EU-US Data Privacy Framework (DPF) | Чинний з липня 2023 р. (рішення ЄК про адекватність) | Лише для компаній США, внесених до переліку на dataprivacyframework.gov |
| Стандартні договірні положення (SCCs) | Завжди застосовні (Рішення ЄК 2021/914) | Для всіх третіх країн; потребують TIA (Transfer Impact Assessment) |
| Обов'язкові корпоративні правила (BCRs) | Схвалені наглядовим органом | Для внутрішньогрупових передавань у багатонаціональних компаніях |
Перевірка статусу DPF – крок за кроком
- Відвідайте dataprivacyframework.gov/s/participant-search
- Знайдіть постачальника за назвою (напр. «Google LLC», «Amazon.com, Inc.», «Microsoft Corporation»)
- Перевірте статус: він має бути «Active»
- Перевірте обсяг сертифікації: «HR data» та/або «Non-HR data»
- Задокументуйте перевірку з датою та знімком екрана в ROPA
Ризик нового рішення Schrems: EU-US Data Privacy Framework є предметом судового оскарження з боку NOYB та інших організацій. Якщо Суд ЄС скасує DPF (як це сталося із Safe Harbor і Privacy Shield), організації, які покладаються лише на нього, залишаться без правової підстави для передавання. Тому EDPB рекомендує SCCs як резервний механізм, навіть коли DPF є застосовним.
Велика трійка постачальників хмарних послуг зі США – статус щодо GDPR
| Постачальник | Статус DPF | DPA | SCCs | EU Data Residency |
|---|---|---|---|---|
| Google Cloud / Workspace | Active (Google LLC) | Так, в Admin Console | Включені в DPA | Так, EU region selection |
| Microsoft Azure / 365 | Active (Microsoft Corp.) | Так, DPA + Product Terms | Включені автоматично | Так, EU Data Boundary (2023+) |
| AWS (Amazon) | Active (Amazon.com, Inc.) | Так, AWS GDPR DPA | Включені в DPA | Так, EU region (Frankfurt, Ireland, Stockholm) |
Заходи безпеки за ст. 32 GDPR
Ст. 32 GDPR вимагає, щоб і контролер, і обробник застосовували «належні технічні та організаційні заходи». У хмарних послугах відповідальність є спільною – модель «спільної відповідальності» (shared responsibility model) є стандартом в AWS, Google та Azure:
| Захід | Відповідальність постачальника | Ваша відповідальність |
|---|---|---|
| Фізична безпека дата-центру | Так | Ні |
| Шифрування під час передавання (TLS) | Так | Перевірте налаштування |
| Шифрування під час зберігання (at rest) | Так (зазвичай за замовчуванням) | Активуйте customer-managed keys, якщо можливо |
| Управління доступом (IAM) | Надає інструменти | Ви налаштовуєте ролі та права |
| Двофакторна автентифікація (2FA/MFA) | Надає опцію | Ви активуєте та запроваджуєте її як обов'язкову |
| Резервні копії (backups) | Інфраструктурні резервні копії | Налаштування + тестування відновлення |
| Журнали доступу (журнали аудиту) | Генерує журнали | Ви здійснюєте моніторинг та аналіз |
| Навчання персоналу | Ні | Так – Ваш працівник із доступом має бути навчений |
Практична порада: Під час перевірки КЗЛД запитає Вас, які заходи безпеки Ви застосовуєте. «Ми користуємося Google» – недостатня відповідь. Ви маєте вміти конкретно вказати: яке шифрування, який контроль доступу, які журнали і як Ви їх моніторите. Задокументуйте ці заходи в ROPA.
Настанови EDPB щодо хмарних послуг
У січні 2023 р. EDPB опублікувала результати скоординованої перевірки хмарних послуг у публічному секторі. Висновки стосуються і приватних компаній:
Ключові висновки EDPB (2023)
- Більшість організацій не мають належних DPA – або DPA взагалі немає, або наявні не охоплюють усіх вимог ст. 28(3)
- Відсутність контролю над субпідрядниками – організації не відстежують переліки субпідрядників і не користуються своїм правом на заперечення
- Недостатня оцінка міжнародних передавань – Transfer Impact Assessment у разі передавання до третіх країн не проводиться
- Нереалізовані права на аудит – DPA передбачає аудит, але організації ніколи ним не користуються
- Нечіткий розподіл відповідальності – організації не знають, які заходи є їхньою відповідальністю, а які – відповідальністю постачальника
EU Cloud Code of Conduct (схвалений бельгійським наглядовим органом у травні 2021 р.)
EDPB схвалила галузевий Code of Conduct, який уніфікує спосіб, у який хмарні постачальники підтверджують відповідність GDPR. Постачальники, які до нього приєднуються, зобов'язуються:
- Вести прозорий перелік субпідрядників із механізмом повідомлення
- Забезпечувати можливість вибору EU/EEA data residency
- Надавати стандартизований DPA, що охоплює всі вимоги ст. 28
- Проходити незалежний аудит відповідності
Порада: Обираючи нового постачальника SaaS, перевірте, чи приєднався він до EU Cloud Code of Conduct або CISPE Code of Conduct (для IaaS). Це вагомий індикатор зрілості щодо GDPR.
Практичний контрольний перелік для IT-компаній
Наведені нижче кроки застосовуються як під час запуску нової хмарної послуги, так і під час ревізії вже використовуваних:
Перед початком використання
- ✓ Визначте ролі: Ви контролер чи обробник (або і те, і те)
- ✓ Перевірте, чи пропонує постачальник DPA, що охоплює всі 8 елементів ст. 28(3)
- ✓ З'ясуйте, де фізично зберігаються дані (ЄС/США/інша країна)
- ✓ Перевірте статус DPF постачальників зі США на dataprivacyframework.gov
- ✓ Перегляньте перелік субпідрядників і підпишіться на повідомлення
- ✓ Проведіть Transfer Impact Assessment (TIA), якщо дані залишають ЄЕП
- ✓ Оцініть, чи потрібна DPIA (ст. 35 GDPR)
- ✓ Задокументуйте послугу в ROPA
Під час використання
- ✓ Активуйте 2FA/MFA для всіх користувачів із доступом до персональних даних
- ✓ Налаштуйте мінімальні права доступу (принцип мінімально необхідних прав (principle of least privilege))
- ✓ Моніторте журнали доступу (щонайменше раз на місяць)
- ✓ Відстежуйте повідомлення про зміну субпідрядників
- ✓ Проводьте щорічний перегляд DPA та заходів безпеки
- ✓ Тестуйте процедуру відновлення з резервної копії
У разі припинення послуги
- ✓ Експортуйте всі персональні дані до припинення
- ✓ Вимагайте від постачальника письмового підтвердження видалення даних
- ✓ Перевірте, що субпідрядники також видалили дані
- ✓ Оновіть ROPA
Найпоширеніші помилки під час використання хмарних послуг
- ✗ Використання SaaS без перевірки, чи має постачальник DPA
- ✗ Припущення, що NDA є достатньою заміною DPA (це не так – GDPR вимагає окремого DPA)
- ✗ Ігнорування ланцюга субпідрядників – «не знаю, хто ще має доступ»
- ✗ Відсутність TIA у разі передавання до США (навіть за наявності DPF)
- ✗ Покладання лише на DPF без SCCs як резервного механізму
- ✗ Відсутність документації щодо заходів безпеки – «це в хмарі, отже, безпечно»
- ✗ Невідображення передавань за межі ЄЕП у ROPA
- ✗ Використання безкоштовних (free-tier) SaaS-послуг для бізнес-даних без перегляду умов
- ✗ Неактивована 2FA для адміністраторських облікових записів
- ✓ Перегляньте та активуйте DPA в кожного постачальника (більшість пропонують його онлайн)
- ✓ Підпишіться на повідомлення щодо субпідрядників
- ✓ Документуйте кожне передавання в ROPA із зазначенням правових гарантій
- ✓ Підтримуйте SCCs як резервний механізм для постачальників зі США
- ✓ Налаштуйте EU data residency, коли вона доступна
- ✓ Активуйте MFA + шифрування + журнали аудиту
Аудит Ваших хмарних послуг на відповідність GDPR
- Повний перегляд DPA з усіма постачальниками SaaS
- Оцінка міжнародних передавань і субпідрядників
- Рекомендації щодо заходів безпеки та налаштувань
- Оновлення ROPA з усіма хмарними послугами
Особливі випадки
Постачальник SaaS із Болгарії або ЄС
Коли постачальник перебуває в ЄЕП, потреба в механізмі міжнародного передавання відпадає. Проте DPA за ст. 28 так само є обов'язковим – місцезнаходження не звільняє від обов'язку укласти договір з обробником.
Коли Ваша компанія є обробником (IT-аутсорсинг)
Якщо Ви пропонуєте клієнтам SaaS або IT-послуги, обробником є Ви. У такому разі Ви повинні:
- Запропонувати своїм клієнтам DPA, що охоплює ст. 28(3)
- Вести реєстр обробника за ст. 30(2)
- Отримувати від клієнта (контролера) дозвіл на кожного субпідрядника
- Невідкладно повідомляти клієнта про витік даних
- Пам'ятати, що за ст. 82 GDPR обробник також несе відповідальність за шкоду
Multi-cloud (мультихмара) та гібридні середовища
У разі використання кількох хмарних постачальників (multi-cloud) або гібридного середовища (on-premise + cloud) кожен постачальник є окремим обробником з окремим DPA. Потоки даних між постачальниками мають бути картографовані та задокументовані в ROPA.
Поширені запитання
Хто є контролером, а хто обробником у разі використання SaaS?
Ваша організація є контролером – Ви визначаєте, які дані обробляються і для яких цілей. Постачальник SaaS є обробником – він обробляє дані за Вашими інструкціями. Однак якщо постачальник використовує Ваші дані для власних цілей (напр. аналітика, ML), він може виявитися спільним контролером за ст. 26 GDPR.
Який договір я повинен мати з постачальником хмарної послуги?
Обов'язковим є договір про обробку даних (DPA) за ст. 28 GDPR. Він має містити 8 обов'язкових елементів: інструкції, конфіденційність, безпеку, субпідрядників, права суб'єктів даних, сприяння в разі інцидентів, видалення в разі припинення та права на аудит. NDA або стандартний комерційний договір НЕ замінює DPA.
Що робити, якщо постачальник SaaS перебуває за межами ЄЕП?
Ви повинні забезпечити законний механізм міжнародного передавання відповідно до Глави V GDPR. Для постачальників зі США найпростіше перевірити, чи внесені вони до EU-US Data Privacy Framework (dataprivacyframework.gov). Якщо ні – потрібні Стандартні договірні положення (SCCs) + Transfer Impact Assessment. І навіть за наявності DPF рекомендуються SCCs як резервний механізм.
Які ризики пов'язані із субпідрядниками (sub-processors) SaaS?
Кожен субпідрядник – це додаткова ланка, яка може призвести до витоку даних або неавторизованого доступу. Ви несете відповідальність за перевірку всього ланцюга. Ризики включають: субпідрядників у третіх країнах без належних гарантій, відсутність DPA між обробником і субпідрядником, а також зміну субпідрядників без Вашого відома.
Хто несе відповідальність у разі витоку даних із хмарної послуги?
За ст. 82 GDPR і контролер, і обробник несуть відповідальність за шкоду. Контролер відповідає, якщо не обрав постачальника з достатніми гарантіями або не забезпечив DPA. Обробник відповідає, якщо порушив інструкції або власні обов'язки. Суб'єкт даних може подати позов проти будь-кого з них.
Чи можу я використовувати Google Workspace/Microsoft 365 відповідно до GDPR?
Так, за правильного налаштування. Обидві платформи пропонують DPA, внесені до DPF, включають SCCs і надають опції EU data residency. Проте Ви повинні: (1) активувати DPA; (2) налаштувати EU data region; (3) активувати 2FA; (4) обмежити доступ за принципом мінімальних прав; (5) задокументувати все в ROPA.
Яких заходів безпеки слід вимагати від хмарного постачальника?
Мінімум: шифрування під час передавання (TLS) і під час зберігання (AES-256), контроль доступу з MFA, журнали аудиту, регулярне тестування на вразливості, фізична безпека дата-центрів, повідомлення про інцидент протягом 24-72 годин. Перевірте також наявність сертифікацій: ISO/IEC 27001:2022, SOC 2 Type II, CSA STAR.
Як перевірити, чи сертифікований постачальник SaaS за EU-US DPF?
Відвідайте dataprivacyframework.gov/s/participant-search і знайдіть компанію за назвою. Статус має бути «Active». Перевірте також обсяг – чи охоплює він «HR data» та/або «Non-HR data» залежно від Ваших потреб. Задокументуйте перевірку з датою для цілей підзвітності.
Комплексна консультація з GDPR для IT-компаній
- Аудит хмарних послуг і DPA
- Підготовка ROPA для IT- та SaaS-бізнесу
- Transfer Impact Assessment для міжнародних передавань
- Підготовка до перевірки КЗЛД
