- Оператор отвечает за выбор подрядчика, поэтому выбирать нужно осознанно
- Ключевые критерии: локализация, меры защиты, готовность заключить DPA
- Договор поручения — необходимое, но не достаточное условие
- Подрядчиков нужно не только выбрать, но и периодически контролировать
- Ненадёжный подрядчик — это ваш риск, а не только его
Передавая данные подрядчику, вы не передаёте ответственность за них. Если обработчик допустит утечку, отвечать перед клиентами и регулятором будете вы — потому что вы его выбрали. Поэтому выбор и контроль подрядчиков — это не формальность, а управление собственными рисками. Разберём, как выбирать надёжных обработчиков и держать их под контролем.
Ключевой принцип: оператор отвечает за выбор обработчика. Логика проста — вы решили доверить данные этому подрядчику, значит, должны были убедиться в его надёжности. Поэтому небрежный выбор подрядчика — это ваш риск, который реализуется чужими руками, но бьёт по вам.
Почему это важно
Подрядчики — частый источник утечек. Вы можете идеально защитить свои системы, но если данные утекут через ненадёжное облако или взломанную CRM, последствия лягут на вас.
Утечка через подрядчика бьёт по оператору: штраф, иски субъектов, репутационный ущерб. Аргумент «это подрядчик виноват» не освобождает вас от ответственности перед клиентами и регулятором. Поэтому к выбору обработчика нужно подходить так же серьёзно, как к собственной защите.
Критерии выбора
При выборе подрядчика, которому доверяете данные, оцените его по нескольким критериям.
| Критерий | Что проверить |
|---|---|
| Локализация | Хранит ли данные россиян в РФ |
| Защита | Какие меры безопасности применяет |
| Договор | Готов ли заключить DPA с нужными условиями |
| Использование | Не использует ли данные в своих целях |
| Инциденты | Как реагирует на утечки, уведомляет ли |
| Репутация | История, прозрачность, отзывы |
Проверка локализации
Первое, что нужно выяснить, — где подрядчик физически хранит данные. Если за рубежом без российской копии, его использование создаст вам проблему с локализацией.
Если ваш подрядчик хранит данные граждан РФ за границей, нарушение локализации становится вашим нарушением. Выбирая обработчика, прямо спрашивайте, где хранятся данные, и предпочитайте тех, кто обеспечивает хранение в России. Это один из важнейших критериев выбора.
Договор как фундамент
С выбранным подрядчиком заключается договор поручения, фиксирующий условия обработки. Но важно понимать: договор — необходимое, но не достаточное условие.
Подписанный DPA защищает юридически, но не делает ненадёжного подрядчика надёжным. Если обработчик технически слаб или недобросовестен, договор не предотвратит утечку — он лишь распределит ответственность постфактум. Поэтому договор дополняет, а не заменяет проверку реальной надёжности.
Контроль после заключения договора
Выбор подрядчика — не разовое событие. Ситуация меняется: подрядчик может сменить инфраструктуру, ослабить защиту, начать использовать данные иначе. Поэтому обработчиков нужно периодически контролировать.
Контроль включает: проверку, выполняются ли условия договора, не изменилось ли место хранения данных, как обстоят дела с защитой, не было ли инцидентов. Для критичных подрядчиков с большими объёмами данных уместен и более формальный аудит.
Надёжный на момент выбора подрядчик может со временем измениться: переехать на другие серверы, сократить расходы на безопасность, сменить владельца. Периодический контроль позволяет заметить тревожные изменения до того, как они приведут к инциденту. Заключить договор и забыть — рискованная стратегия.
Практические шаги
Выстроить работу с подрядчиками помогает системность. Составьте реестр всех обработчиков, которым передаёте данные. Оцените каждого по критериям надёжности, прежде всего по локализации и защите. Заключите с каждым договор поручения. Установите периодичность контроля. И сделайте правилом: новый подрядчик не получает данные, пока не пройдёт оценку и не подпишет договор.
- Составлен реестр всех подрядчиков-обработчиковобязательно
- Проверена локализация данных у каждого подрядчикаобязательно
- Оценены меры защиты подрядчиковобязательно
- С каждым заключён договор порученияобязательно
- Проверено, не используют ли данные в своих целях
- Установлена периодичность контроля подрядчиков
- Новый подрядчик проходит оценку до получения данных
Подрядчики — это продолжение вашей системы защиты данных за пределами компании. Их надёжность напрямую влияет на вашу безопасность и ваши риски. Осознанный выбор, грамотный договор и периодический контроль превращают потенциальную уязвимость в управляемую часть системы. А небрежность здесь рано или поздно оборачивается чужой ошибкой, за которую расплачиваться придётся вам.