Для IT-компании на Кипре работа с GDPR начинается с конкретных процессов: какие персональные данные попадают в продукт, кто определяет цели использования данных и каким подрядчикам открыт доступ. Политика на сайте и подписанный шаблон DPA не заменяют эту проверку.
Ниже приведен порядок подготовки карты данных, распределения ролей, договоров с обработчиками и проверки международных передач. Он подходит для обсуждения SaaS-продукта или заказной разработки с доступом к данным клиентов. Вопросы регистрации компании рассмотрены в отдельном руководстве по Кипру.
Сначала определите, к какой обработке применяется GDPR
Персональными могут быть не только имя и паспорт, но и рабочий адрес электронной почты, идентификатор пользователя или журнал действий, позволяющий прямо либо косвенно определить человека. Отсутствие паспортных данных не означает отсутствия обработки.
Кипрская регистрация — часть фактов, а не готовый ответ за все операции группы. Проверяются реальная деятельность учреждения в ЕС и связь обработки с этой деятельностью. По статье 3 GDPR место сервера за пределами ЕС само по себе не исключает регламент. Для организации без учреждения в ЕС отдельно оцениваются предложение товаров или услуг людям в ЕС и наблюдение за поведением людей на территории ЕС. Гражданство человека не заменяет эти критерии. Подход изложен в статье 3 GDPR и руководстве EDPB о территориальной сфере.
Зафиксируйте, какое юридическое лицо заключает договор с клиентом, управляет продуктом, нанимает поддержку и принимает решения о данных. Для нескольких компаний группы анализ проводится по каждой роли и операции. На Кипре национальный контекст дополняет Закон 125(I)/2018; надзор осуществляет Commissioner for Personal Data Protection. Компетентность органа при трансграничной работе определяется отдельно.
Карта данных: опишите путь от сбора до удаления
Начните с одного обычного сценария: регистрация пользователя, создание заявки в поддержку или прием платежа. Пройдите этот путь с разработчиком и сотрудником, который пользуется системой. Результат должен показывать реальный поток, включая выгрузки, тестовые среды, резервные копии и доступ подрядчиков.
| Процесс | Что отметить в карте | Как проверить на практике |
|---|---|---|
| Учетная запись SaaS | Контакты, идентификаторы, настройки; цель и роль компании | Проследить регистрацию, вход, смену роли и закрытие аккаунта |
| Поддержка клиента | Содержимое тикетов и вложений; доступ поддержки и поставщика helpdesk | Открыть тестовое обращение и проверить, кто видит вложения |
| Разработка и диагностика | Логи, тестовые копии, доступ инженеров и внешней команды | Проверить, не попадают ли данные production в тест без отдельного решения |
| Продажи и персонал | Контакты лидов, договоры, данные кандидатов и сотрудников | Разделить продуктовую базу, CRM и кадровые системы |
Таблица — рабочий пример, а не перечень обязательных систем. Для каждого потока добавьте владельца процесса, основание обработки, получателей, страны доступа, срок хранения и способ удаления. Срок не выбирается одинаковым для всей базы: его обосновывают целью, договором и применимыми обязанностями хранения.
Карта помогает подготовить реестр операций по статье 30. У контролера и обработчика содержание реестра различается. Исключение для организаций с численностью менее 250 человек ограничено: оно не распространяется автоматически на регулярную обработку, обработку с риском для прав людей либо специальные категории данных и сведения о судимостях. Небольшой штат сам по себе не освобождает SaaS от реестра. Практический ориентир — раздел EDPB об учете операций.
Контролер и обработчик: одна компания может выполнять обе роли
Контролер определяет цели и существенные средства обработки. Обработчик действует от его имени по инструкциям. Название роли в договоре должно соответствовать фактической работе, а не удобному распределению ответственности. Это разграничение объясняет руководство EDPB 07/2020.
| Сценарий | Предварительная роль | Что уточнить |
|---|---|---|
| Клиент загружает базу в SaaS и определяет, зачем с ней работать | IT-компания может быть обработчиком | Инструкции клиента, пределы доступа и разрешенные операции |
| Компания ведет собственную CRM и оформляет сотрудников | Компания обычно определяет обработку как контролер | Цели, правовые основания, получатели и уведомления |
| Данные клиента используются для новой собственной аналитики или обучения модели | Исходная роль обработчика может измениться | Кто определил новую цель и допустимо ли такое использование |
| Две организации совместно определяют цели и существенные средства | Возможна совместная ответственность контролеров | Фактическое участие сторон и распределение обязанностей |
После сравнения не назначайте поставщику одну роль «навсегда». В одном договоре могут сочетаться обработка данных по поручению клиента и отдельные операции для собственных целей поставщика. Разделите эти операции в карте и договорных приложениях.
Правовое основание и уведомление нельзя заменить DPA
Для операций контролера требуется подходящее правовое основание. Договор с пользователем покрывает лишь обработку, объективно нужную для его исполнения; удобство бизнеса не делает любую аналитику необходимой. Согласие — одно из оснований, а не универсальный ответ на все процессы. При опоре на законный интерес оцениваются сам интерес, необходимость и баланс с правами человека. Условия сведены в руководстве EDPB о законной обработке.
Сопоставьте уведомление о конфиденциальности с картой: какие цели указаны, кому передаются данные и как обратиться по поводу прав. Если фактические системы и подрядчики отличаются от описания, сначала исправьте процесс или документ. DPA между компаниями не заменяет уведомление человека и не создает отсутствующее правовое основание.
DPA: что согласовать с клиентом и подрядчиком
Когда поставщик обрабатывает данные по поручению контролера, отношения оформляются обязательным договором или другим предусмотренным правом актом по статье 28. DPA может быть приложением к коммерческому договору; важны содержание и обязательность, а не название файла. EDPB перечисляет договорные обязанности обработчика.
- Предмет и границы: операции, срок, цели, категории данных и людей; отдельно — что поставщик делать не вправе.
- Инструкции: кто выдаёт инструкции, где фиксируются указания и как согласуются изменения, включая доступ из другой страны.
- Конфиденциальность и безопасность: обязанности допущенных лиц и конкретные технические и организационные меры.
- Субобработчики: порядок письменного разрешения, уведомления о замене и возможности возражения.
- Помощь контролеру: обработка запросов людей, расследование нарушений, оценка рисков и необходимые сведения.
- Проверка исполнения: информация о соблюдении обязательств, аудит и порядок взаимодействия при замечаниях.
- Завершение: возврат или удаление данных по выбору контролера, исключения хранения по закону и судьба копий.
Для проверки приложения используйте конкретный тест: сможет ли поддержка назвать всех лиц с доступом, исполнить удаление и уведомить клиента при инциденте? Фраза «применяются достаточные меры» без согласованного описания затрудняет такую проверку. При привлечении субобработчика договорная цепочка должна сохранять требуемую защиту.
Облако и удаленная команда: где возникает международная передача
Составьте список юридических лиц поставщиков, стран хранения и стран, из которых доступна поддержка. Надпись «EU hosting» не отвечает на вопрос о доступе другой организации из третьей страны. EDPB выделяет три совместных критерия передачи: отправитель подчиняется GDPR в отношении обработки, делает данные доступными другой организации, а получатель находится за пределами ЕЭЗ либо является международной организацией. См. пояснение о международных передачах.
Доступ собственной команды и доступ отдельного подрядчика нельзя автоматически считать одинаковыми ситуациями. Для каждого потока проверьте получателя и роль, применимость главы V, действующее решение об адекватности либо подходящие гарантии. Не заменяйте эту проверку гражданством специалиста или местом регистрации счета поставщика.
SCC — стандартные договорные положения — выбираются под действительные роли и поток данных. Для передачи на основе SCC оцениваются обстоятельства, законодательство страны получателя и дополнительные меры. Обычный DPA сам по себе не решает вопрос международной передачи. При этом модули 2 и 3 SCC для передач уже включают требования статьи 28: отдельный второй DPA не обязателен лишь ради повторения тех же условий. Различия разъяснены в вопросах и ответах Еврокомиссии.
До подключения облака заполните приложения: данные, цели, получатели, меры защиты и порядок обращения с запросами. Затем сравните заполненные приложения с настройками сервиса. Подпись под стандартным текстом не исправляет открытые публичные ссылки, лишний доступ или незаявленного субподрядчика.
DPO, оценка воздействия и действия при нарушении
DPO не обязателен для каждой IT-компании только из-за регистрации на Кипре. Проверяются предусмотренные GDPR основания, включая основные виды деятельности с регулярным систематическим мониторингом людей в крупном масштабе либо крупномасштабной обработкой специальных категорий данных или сведений о судимостях. Значение имеют характер, объем и длительность обработки. Решение и его причины стоит зафиксировать. Условия роли и независимости описаны EDPB.
Оценка воздействия DPIA — отдельный вопрос: она требуется до обработки, способной создавать высокий риск для прав и свобод людей. Наличие DPO не заменяет DPIA, а отсутствие обязанности назначить DPO не освобождает от оценки риска. Вывод должен опираться на конкретный функционал продукта.
Практический план безопасности связывает риск с доступом и действиями: кто выдает учетные записи, как отзывается доступ, где проверяются резервные копии, как расследуется выгрузка базы. Это примеры организационной работы, а не одинаковый технический стандарт для каждого сервиса.
При нарушении безопасности персональных данных контролер документирует ситуацию и оценку риска. Уведомление надзорного органа требуется без неоправданной задержки и, когда осуществимо, не позднее 72 часов после осведомленности, кроме случаев, когда риск для прав и свобод маловероятен; задержка обосновывается. Обработчик уведомляет контролера без неоправданной задержки — ждать истечения 72 часов ему не следует. Сообщение людям при высоком риске оценивается отдельно. Порядок изложен в руководстве EDPB о нарушениях.
Что подготовить для проверки продукта
- Назначить владельца карты данных и разобрать один полный пользовательский сценарий.
- Отделить собственные процессы контролера от операций по поручению клиента.
- Сопоставить реестр, уведомления, договоры и фактические настройки.
- Проверить поставщиков, субобработчиков, страны доступа и механизм передач.
- Зафиксировать решения по DPO/DPIA, процедуру запросов и реагирования на нарушения.
Результат работы — согласованный набор процессов и документов с ответственными и датой пересмотра. Его обновляют при смене подрядчика, страны доступа, состава данных или функции продукта. Шаблон не остается актуальным автоматически после запуска новой аналитики или интеграции.
В каталоге Taxers есть «GDPR/CCPA Compliance»: аудит обработки данных, подготовка документации, обучение и консультации по правам людей и трансграничным передачам. Для обсуждения проекта на Кипре подготовьте схему продукта, список поставщиков и действующие договоры. Применимость услуги и объем работ согласуются отдельно; название услуги не означает, что требования CCPA автоматически применяются к кипрской компании.
FAQ
Обязателен ли DPA с каждым внешним сервисом?
Сначала определяется роль в конкретной операции. Договор контролер—обработчик нужен для обработки по поручению. Отношения с самостоятельным контролером требуют другого анализа; один шаблон не подходит всем поставщикам.
Освобождает ли европейский сервер от проверки передач?
Нет. Нужно проверить организации-получатели, удаленный доступ и последующие передачи. Но и любой зарубежный доступ нельзя без анализа объявлять передачей по главе V: проверяются ее критерии.
Можно ли закончить подготовку одной политикой на сайте?
Нет. Она должна соответствовать фактической обработке. Для продукта отдельно проверяются роли, основания, договоры, меры безопасности и исполнение запросов людей.
