Кейс: бухгалтерская компания
Когда бухгалтерская фирма ведет расчет зарплаты для клиентов, она, как правило, обрабатывает данные от их имени как лицо, действующее по поручению оператора. Закон № 195/2024 требует, чтобы такая обработка регулировалась договором или иным правовым актом в письменной форме (ст. 28), а данные защищались соответствующими мерами безопасности (ст. 32). В этом иллюстративном примере не было ни того, ни другого.
Ситуация
Бухгалтерская фирма в Кишиневе, 40 клиентов. Расчетные ведомости и данные сотрудников клиентов пересылались через личные почтовые ящики бухгалтеров, и ни с одним клиентом не было договора, регулирующего обработку данных. Файлы клиентов, отказавшихся от услуг, оставались в тех же почтовых ящиках.
Чего не хватало
- 01Ни с одним клиентом не было договора или иного правового акта, который определял бы предмет, срок, характер и цель обработки, вид данных и категории субъектов персональных данных, хотя фирма обрабатывала данные о зарплатах от имени клиентов. ст. 28
- 02Расчетные ведомости с IDNP, зарплатами и больничными листами, которые могут раскрывать данные о состоянии здоровья, пересылались через личные почтовые ящики вне всякого контроля фирмы. ст. 9 ст. 32
- 03Фирма не вела учет категорий деятельности по обработке, осуществляемой от имени каждого клиента, хотя закон требует его и от лица, действующего по поручению оператора. ст. 30
- 04Данные бывших клиентов не удалялись и не возвращались, хотя по окончании услуг лицо, действующее по поручению оператора, делает одно из двух по выбору оператора. ст. 28
- 05Бухгалтеры не брали на себя обязательств о конфиденциальности, а доступ к файлам не зависел от того, с каким клиентом работает каждый из них. ст. 28 ст. 29 ст. 32
Риски
Штраф для лица, действующего по поручению оператора
Обязанности, связанные с договором, учетом и безопасностью, лежат и на лице, действующем по поручению оператора. За их нарушение предусмотрены штрафы до 1 000 000 леев или, для предприятия, до 1% общего оборота за год, предшествующий наложению санкции, в зависимости от того, какая сумма больше. Из размера назначенного штрафа в первый год после вступления закона в силу применяется 10%. ст. 28 ст. 30 ст. 32 ст. 88 ст. 90
Фирма может стать оператором
Если фирма сама определяет цели и средства обработки, например использует данные сотрудников клиентов в собственных целях, она признается оператором в отношении этой обработки и отвечает за нее как любой оператор, в том числе за нарушение принципов — с верхним пределом 2 000 000 леев или 2%. ст. 28 ст. 88
Возмещение ущерба сотрудникам клиентов
Сотрудник клиента, чьи данные попали не тому адресату, может потребовать возмещения ущерба. Лицо, действующее по поручению оператора, отвечает, если не выполнило свои особые обязанности или действовало вне инструкций клиента; если отвечают несколько лиц, каждое может быть обязано возместить весь ущерб. ст. 76
Незамеченные инциденты
Лицо, действующее по поручению оператора, уведомляет оператора без необоснованной задержки после того, как ему стало известно о нарушении безопасности данных, чтобы тот мог уведомить Центр. Без контроля над личными почтовыми ящиками фирма может даже не узнать, что ящик был взломан. ст. 33
Что сделано
- 01Договор об обработке данных, подписанный с каждым клиентом, чтобы роль фирмы и инструкции клиента были закреплены письменно. ст. 28
- 02Защищенное пространство для передачи файлов вместо личных почтовых ящиков. ст. 32
- 03Учет деятельности по обработке, осуществляемой от имени каждого клиента. ст. 30
- 04Внутренние правила безопасности, которые связывают доступ к файлам с клиентами, с которыми работает каждый бухгалтер. ст. 25 ст. 32
- 05Подписанные бухгалтерами обязательства о конфиденциальности и информирование и консультирование команды. ст. 28 ст. 29
- 06Правило об удалении или возврате данных по окончании сотрудничества с клиентом, закрепленное в договоре с ним. ст. 28
Результат
У фирмы есть подписанный с каждым клиентом договор об обработке данных, защищенное пространство для передачи файлов, учет деятельности, осуществляемой от имени клиентов, внутренние правила безопасности и команда, проинформированная о своих обязанностях.
Для типичной бухгалтерской компании
Пакет «Базовый» + дополнительные работы, 12 400 MDL
Это оценка для типичной организации отрасли, в которой с данными работают до 20 человек. Точная цена зависит от того, что вы делаете с данными.
Рассчитать точную цену →Частые вопросы
Вопросы по этому кейсу
Нужно ли бухгалтерской фирме согласие сотрудников клиента?
Нет. У клиента как работодателя и оператора есть собственное правовое основание для обработки данных о зарплатах — как правило, возложенная на него законом обязанность. Фирма обрабатывает данные от его имени и только по его инструкциям, поэтому отдельное основание для той же обработки ей не нужно. ст. 6 ст. 28 ст. 29
Можно ли хранить файлы клиентов в облачном хранилище?
Только с письменного специального или общего разрешения клиента, а при общем разрешении фирма сообщает ему о любой смене поставщиков, чтобы он мог возразить. Поставщик берет на себя те же обязанности по договору, а фирма остается полностью ответственной перед клиентом. Если данные хранятся в государстве за пределами Европейского экономического пространства, применяются и правила о передаче данных. ст. 28 ст. 44
Что делать с данными клиента, который отказался от услуг?
По окончании услуг фирма по выбору клиента удаляет или возвращает ему все данные и уничтожает имеющиеся копии, если только нормативные акты не требуют их хранить. ст. 28
Должно ли лицо, действующее по поручению оператора, вести учет обработки?
Да. Оно ведет собственный учет категорий деятельности, осуществляемой от имени каждого оператора. Исключение для предприятий с численностью менее 250 работников не применяется, если обработка не является случайной, как ежемесячный расчет зарплаты, или включает данные о состоянии здоровья. ст. 30
Бесплатная консультация
Не знаете, с чего начать?
Запросите бесплатную 15-минутную консультацию. Мы скажем, какие обязанности по Закону № 195/2024 касаются вас и какие шаги необходимы.