Як укласти договір на основі Standard Contractual Clauses (SCC)
У цьому матеріалі ми детально розберемо юридичну природу та практичне призначення механізму типових договірних положень, з’ясуємо передумови його застосування, а також послідовно розглянемо всі необхідні кроки та процедури, які потрібно пройти сторонам, аби укласти договір правильно, відповідно до вимог GDPR та актуальної практики органів захисту даних.
Що таке SCC?
Standard Contractual Clauses (SCC або типові договірні положення) — це затверджені Європейською Комісією стандартні тексти договірних умов, які дозволяють передавати персональні дані з Європейського економічного простору до країн, що не забезпечують прийнятного рівня захисту даних відповідно до GDPR (Загального регламенту про захист даних).
Без такого механізму передача персональних даних за межі ЄЕП (наприклад, до США, Британії, України, Індії чи інших третіх країн) була б незаконною, якщо тільки країна-отримувач не визнана Єврокомісією такою, що забезпечує адекватний захист (рішення про адекватність).
SCC актуальні для:
- компаній ЄС, які передають дані підрядникам, хмарним провайдерам чи материнським компаніям за межами ЄЕП;
- компаній з третіх країн, які обробляють дані клієнтів або партнерів з ЄС і потребують юридичної підстави для отримання цих даних.
Чинна версія SCC затверджена імплементаційним рішенням Європейської Комісії 2021/914 від 4 червня 2021 року. Ця версія замінила старі положення 2001 та 2010 років і суттєво відрізняється структурою — вона побудована на модульному принципі, що дозволяє гнучкіше застосовувати положення залежно від ролей сторін.
Список прийнятних країн
Ісландія, Ліхтенштейн і Норвегія не є третіми країнами у розумінні GDPR — вони входять до ЄЕП через Угоду про ЄЕП і застосовують GDPR безпосередньо, тому питання адекватності чи SCC для передач даних до них не постає.
Велика Британія визнана Євросоюзом безпечною країною для передачі даних. Це правило діє до кінця 2031 року. Це унікальний випадок, адже для більшості інших країн (наприклад, Японії чи Швейцарії) термін дії такого статусу не обмежений. Якщо після 2031 року це визнання не продовжать, для передачі даних до Британії доведеться використовувати SCC.
Зі Сполученими Штатами ситуація інша: загального дозволу на передачу даних для всіх компаній немає. Діє лише спеціальна спрощена процедура (EU-U.S. Data Privacy Framework) для тих американських компаній, які офіційно підтвердили свою надійність у відповідному реєстрі. Для решти компаній у США обов’язковим є використання SCC або інших аналогічних механізмів захисту.
Модульна структура сучасних SCC
Договір SCC 2021 року складається із чотирьох модулів, які обираються залежно від того, хто є експортером і хто — імпортером даних.
Перед укладенням договору критично важливо правильно визначити ролі сторін, оскільки від цього залежить, який саме модуль застосовувати.
| Модуль | Від кого (ЄС) | Кому (третя країна) | Коли застосовується |
| Модуль 1 | Контролер (ЄС) | Контролер (третя країна) | Коли обидві сторони самостійно або спільно визначають цілі та засоби обробки персональних даних. Модуль ретельно регулює питання взаємної відповідальності перед суб’єктами даних, забезпечення законних підстав для подальшої обробки, а також порядок взаємодії при реалізації прав суб’єктів даних. |
| Модуль 2 | Контролер (ЄС) | Процесор (третя країна) | Коли експортер у ЄС доручає імпортеру обробку даних від свого імені (наприклад, залучення аутсорсингових компаній, SaaS-сервісів або хмарних провайдерів). Включає детальні зобов’язання щодо виконання вказівок контролера, дотримання вимог статті 28 GDPR, залучення субпроцесорів і допомоги в реалізації прав суб’єктів даних. |
| Модуль 3 | Процесор (ЄС) | Субпроцесор (третя країна) | Коли процесор, розміщений у ЄС або підпорядкований GDPR, передає дані іншому субпідряднику (субпроцесору) за межами ЄЕП. У цьому випадку імпортер має гарантувати дотримання аналогічних або суворіших зобов’язань щодо захисту даних, ніж ті, що покладені на основного процесора первинним контролером. |
| Модуль 4: | Процесор (ЄС) | Контролер (третя країна) | Регулює “зворотну передачу” даних (reverse transfer). Застосовується, якщо процесор у ЄС обробляє дані, отримані від контролера з третьої країни, і повертає або передає їх назад цьому контролеру. Обсяг зобов’язань у цьому модулі є обмеженішим, оскільки саме контролер у третій країні спочатку збирав дані та визначав цілі їх обробки. |
Покроковий алгоритм укладення договору на основі SCC
Крок 1. Визначення ролей сторін
Спершу потрібно з’ясувати, який із модулів, наведених вище, використовувати. Для цього окресліть, хто визначає цілі та засоби обробки даних (контролер), а хто обробляє дані за дорученням контролера (процесор).
Крок 2. Оцінка необхідності Transfer Impact Assessment (TIA)
Після рішення Суду ЄС у справі Schrems II (2020) разом із підписанням SCC сторони зобов’язані провести оцінку впливу передачі даних (Transfer Impact Assessment), яка аналізує законодавство країни-імпортера щодо доступу державних органів до даних, а також те, чи існують додаткові технічні, договірні або організаційні заходи, необхідні для компенсації можливих ризиків (наприклад, шифрування чи псевдонімізація).
Результати TIA варто задокументувати, аби це було доказом належної обачності (due diligence) у разі перевірки наглядовим органом.
Крок 3. Вибір відповідного модуля та Clauses
Обирається текст відповідного модуля з офіційного документа Європейської Комісії. Важливо не змінювати основний текст (core text) клаузул — він є юридично обов’язковим і не підлягає редагуванню сторонами. Змінювати можна лише додатки (Annexes).
Крок 4. Заповнення додатків (Annexes)
SCC містять ключові додатки, які сторони заповнюють самостійно відповідно до їхньої конкретної ситуації:
| Додаток | Опис і призначення |
|---|---|
| Annex I.A | Інформація про сторони (назва, адреса, контактна особа, роль). |
| Annex I.B | Опис передачі даних (категорії суб’єктів даних, категорії персональних даних, мета обробки, тривалість зберігання, отримувачі). |
| Annex I.C | Компетентний наглядовий орган (зазвичай орган країни, де зареєстрований експортер). |
| Annex II | Опис технічних та організаційних заходів безпеки (TOMs), які застосовує імпортер даних для захисту переданих даних. |
Ці додатки мають бути максимально конкретними — узагальнені формулювання (“ми забезпечуємо безпеку даних”) є типовою помилкою, яку критикують наглядові органи.
Крок 5. Узгодження додаткових (docking) положень
Сучасні SCC містять “docking clause” — положення, яке дозволяє приєднувати додаткові сторони до вже підписаного договору без необхідності укладати новий документ з нуля. Це зручно для груп компаній або складних ланцюжків субпідряду.
Крок 6. Інтеграція SCC в основний комерційний договір
SCC зазвичай не існують окремо — вони додаються як додаток (Data Processing Agreement, DPA) до основного комерційного договору (наприклад, договору надання послуг, SaaS-підписки чи аутсорсингу). Важливо забезпечити:
- посилання в основному договорі на застосування SCC;
- відсутність суперечностей між положеннями основного договору та SCC (у разі конфлікту, як правило, пріоритет мають SCC щодо питань захисту даних);
- узгодженість термінології (контролер/процесор, персональні дані тощо).
Крок 7. Підписання уповноваженими представниками
Договір підписується особами, які мають повноваження діяти від імені кожної із сторін. Для електронного підпису варто перевірити, чи визнається такий формат у відповідних юрисдикціях.
Крок 8. Впровадження додаткових заходів захисту (за потреби)
Якщо TIA виявила підвищені ризики (наприклад, законодавство країни-імпортера передбачає широкий доступ спецслужб до даних), сторони повинні впровадити додаткові заходи:
- шифрування даних “у стані спокою” та “під час передачі”;
- псевдонімізація;
- розділення інфраструктури обробки;
- договірні гарантії щодо повідомлення про запити державних органів.
Крок 9. Постійний моніторинг та оновлення
Варто пам’ятати, що SCC не є статичним або одноразовим документом, тож сторони зобов’язані:
- періодично переглядати актуальність TIA (особливо у разі зміни законодавства країни-імпортера);
- оновлювати Annex II у разі зміни заходів безпеки;
- інформувати одна одну про суттєві зміни в обробці даних.
Практичні поради
А тепер пропонуємо декілька практичних порад, які допоможуть зробити процес впровадження та підтримки SCC максимально ефективним.
- Використовуйте офіційний текст SCC з сайту Європейської Комісії, а не переклади чи адаптації невідомого походження.
- Залучайте юриста з досвідом у сфері захисту персональних даних для перевірки відповідності конкретній ситуації передачі.
- Документуйте весь процес оцінки ризиків (TIA) — це головний аргумент у разі перевірки наглядовим органом.
- Регулярно переглядайте договір, особливо при зміні постачальників, юрисдикцій обробки чи законодавства третьої країни.
- Пам’ятайте, що SCC не звільняють від інших обов’язків за GDPR — наприклад, від необхідності повідомляти суб’єктів даних про транскордонну передачу в політиці конфіденційності.
Висновок
Укладення договору на основі Standard Contractual Clauses — це комплексний процес, що містить визначення ролей сторін, оцінку ризиків країни-отримувача та інтеграцію SCC в загальну систему договірних відносин компанії. Правильно укладений SCC-договір є ключовим інструментом легальної транскордонної передачі персональних даних та захищає компанію від штрафів і претензій наглядових органів.
