Controller, processor и joint controller: кто за что отвечает на объекте

Один тест, который решает, кто ты

На любом объекте — торговом центре, складе, производственной площадке, ЖК с камерами — обработка персональных данных начинается с видеонаблюдения и контроля доступа. Прежде чем спрашивать «что мы должны сделать по закону?», надо ответить на вопрос «кто мы в этой операции?». Под GDPR и UK GDPR ответ зависит от двух элементов: цели («почему мы обрабатываем») и средств («как именно мы это делаем»).

Ключевая тонкость в средствах: их делят на существенные и несущественные. Существенные — это решения, какие данные собираются, кто имеет к ним доступ и как долго они хранятся; их принимает контролёр. Несущественные — техническая реализация, например выбор конкретного программного обеспечения видеорегистратора; их можно оставить обработчику. Именно это разграничение чаще всего и вызывает споры на практике.

Роль оценивается для каждой операции отдельно и по факту, а не по договору. Один оператор объекта может быть контролёром для своей собственной камеры, но обработчиком для камеры арендатора, которая работает по его инструкциям.

• Цель — «зачем»: охрана территории, расследование инцидентов, учёт рабочего времени.
• Существенные средства — «какие данные, кто видит, как долго храним».
• Несущественные средства — «какой софт/железо используем для реализации».

Контролёр: почему основная нагрузка на нём

Контролёр — организация, которая определяет цель и существенные средства обработки. Он несёт максимальную ответственность: обязан соблюдать и уметь продемонстрировать соблюдение всех принципов обработки (законность, минимизация, ограничение хранения, целостность и другие), обеспечить прозрачность и отвечать на запросы субъектов данных.

На объекте это означает практические вещи: контролёр решает, сколько дней хранить записи камер, кто из персонала имеет право просматривать архив, куда передаются выгрузки при инциденте, и проводит оценку воздействия на защиту данных, если обработка связана с высоким риском (например, систематическое видеонаблюдение).

Важно: контролёру не обязательно физически иметь доступ к данным, чтобы быть контролёром. Даже если видео хранится у облачного подрядчика, контролёром остаётся тот, кто определяет цель и существенные параметры обработки. Контролёр также отвечает за то, каких обработчиков он привлекает и какие гарантии они дают.

Обработчик: обязанности уже, но реальные

Обработчик обрабатывает данные от имени контролёра и строго по его документированным инструкциям. Это типичная ситуация охранной организации, которая ведёт мониторинг камер по заданию собственника объекта, или облачного видеопровайдера, хранящего архив.

Но у обработчика есть собственные обязательства, за которые он отвечает независимо: он обязан обеспечить безопасность и конфиденциальность, помогать контролёру выполнять запросы субъектов и проводить оценку рисков, без задержки уведомлять контролёра об инцидентах и не привлекать субподрядчиков без предварительного согласия контролёра. Между контролёром и обработчиком обязателен письменный договор по образцу статьи 28 GDPR.

Граница важна и для наказаний: если обработчик сам определяет цель или существенные средства (например, решает сам, кому показывать записи и в своих интересах), он покидает роль обработчика и для этой операции признаётся контролёром. Тогда на него ложатся уже обязанности контролёра.

Совместные контролёры: решаем вместе, отвечаем перед каждым субъектом

Совместный контроль возникает, когда две или более организации вместе определяют и цель, и средства одной операции. Классический пример на объекте — собственник здания и оператор/арендатор, которые совместно решили поставить общую систему видеонаблюдения на парковке или в холле и вместе определили, какие зоны снимаются, кто смотрит архив и как долго он хранится.

Совместные контролёры обязаны прозрачно и письменно распределить между собой обязанности (соглашение по статье 26 GDPR): кто информирует людей, кто отвечает на запросы, кто управляет безопасностью и инцидентами. Это соглашение не снижает ответственность ни одной из сторон.

Ключевой практический момент: субъект данных может реализовать свои права, обратившись к любому из совместных контролёров, независимо от внутреннего распределения ролей. При этом ответственность не обязана быть равной — она оценивается по фактическому вкладу каждой стороны в конкретной операции. Если две организации обрабатывают одни и те же данные для разных собственных целей, они, как правило, не совместные контролёры, а отдельные контролёры.

Как применить роли на конкретном объекте

Практика сводится к картированию: возьмите каждую операцию обработки на объекте и честно ответьте, кто определяет её цель и существенные средства. Для видеонаблюдения по периметру ответственным часто будет владелец/управляющая компания; охранная фирма, выполняющая мониторинг по инструкции, — обработчик; облачный вендор — обработчик или субобработчик.

Опасная зона — когда подрядчик выходит за рамки «просто исполнить». Если охранная организация сама решила, какие записи анализировать для своих коммерческих целей, или интегратор сам выбрал объём и сроки хранения без участия заказчика, вполне вероятен вывод о совместном контроле или о том, что подрядчик стал контролёром для этой части.

Суды и регуляторы не раз приходили к выводу о совместном контроле там, где стороны извлекали совместную выгоду и влияли на параметры обработки, даже если формально договор называл одну сторону «обработчиком». Поэтому документируйте рассуждение о квалификации, а не просто подписывайте ярлыки.

• Составьте список операций: периметр/парковка, холл, касса, контроль доступа, журнал визитёров.
• Для каждой укажите, кто решает «зачем», «какие данные», «кто видит», «как долго».
• Определите: один контролёр, совместные контролёры или обработчик по инструкции.
• Зафиксируйте вывод и его обоснование в документах; при сомнении — консультация с DPO или юристом.

Где чаще всего ошибаются и что это значит

Типичные ошибки: считать договор источником роли; считать, что доступ к данным делает организацию контролёром (это не так); путать совместный контроль с простым обменом данными между самостоятельными контролёрами; и полагать, что обработчик «ни за что не отвечает».

Последствия переквалификации серьёзны: обязанности, которые вы не выполняли как контролёр (регистр, DPIA, ответы субъектам), становятся нарушением; ответственность обработчика, вышедшего за рамки инструкций, оценивается как ответственность контролёра. Регуляторы вправе не принимать во внимание договорные формулировки и анализировать фактические полномочия.

Юрисдикция имеет значение. Статьи и роли, описанные здесь (контролёр, совместный контролёр, обработчик), — это понятия GDPR (ЕС) и UK GDPR (Великобритания). В России действует отдельная модель по 152-ФЗ с понятием «оператор» и лицом, обрабатывающим данные по поручению оператора; терминология и детали отличаются, и для операций в российской юрисдикции правила нужно проверять отдельно. Этот материал — общая информация, а не юридическая консультация.