-

Стандарты GDPR (расшифровка General Data Protection Regulation): что это такое, на кого распространяется положение общего регламента по защите данных в России

Содержание

В этом обзоре мы подробно расскажем, что такое General Data Protection Regulation (GDPR), утвержденный в мае 2018 г в Европейском Союзе, который установил новые принципы для использования персональных данных (ПД). Этот закон о защите конфиденциальности применяется ко всем организациям, которые обрабатывают информацию о жителях Евросоюза, независимо от их местоположения.


Общее представление

Согласно положению, веб-ресурсы обязаны запрашивать разрешение пользователей интернета на применение cookie-файлов, а также информировать их о своей политике конфиденциальности. Документ содержит множество юридических и технических аспектов, устанавливающих правила сбора, обработки, распространения и хранения ПД. Он также определяет роли всех участников процесса, стандарты ответственности и виды согласий. Нарушение этих требований влечет за собой штрафные санкции.

Задачи GDPR по защите персональных данных

К основным целям регламента можно отнести не только защищенность прав граждан Евросоюза, но и автоматизацию обработки частной информации, что способствует сохранению конфиденциальности пользователей и предотвращению утечек. Важным элементом является внедрение единых, стандартизированных методов работы с личными сведениями, которые должны обеспечить гармонизацию подходов среди всех стран ЕС. Кроме того, этот нормативный акт способствует установлению эффективного взаимодействия между различными надзорными органами для обеспечения безопасности идентификации субъектов информации, что повышает доверие к цифровым платформам. Наконец, принятый закон играет значительную роль в поддержании и стимулировании роста цифровой экономики, создавая безопасные условия для дальнейших инноваций и технологических решений.


На кого распространяется положение общего регламента по защите данных GDPR

Законодательного постановления обязаны придерживаться все юридические лица, которые занимаются сбором, обработкой и хранением ПД граждан EU, независимо от их местоположения. Это также касается филиалов российских компаний, находящихся на территории стран Европы, а также организаций, чьи товары или услуги направлены на европейский рынок, если:

Относительно применения GDPR в России, то закон имеет экстерриториальное действие, и это означает, что российский бизнес, работающий с ЕС, также должен соблюдать его требования. Положение относится и к тем организациям, которые работают на территории одного из государств – членов Евросоюза, а также тех, кто занимается онлайн-продажами в РФ и осуществляет сбор и хранение персональных сведений европейских граждан. Примером таких компаний могут быть авиакомпании, РЖД, гостиницы, хостелы и другие учреждения. Положению должны следовать организации, в которых работают сотрудники или контрагенты из Европейского союза.

Что касается того, обязателен ли общий регламент по защите данных СДО и на кого распространяется это положение, то такие системы уже обеспечивают сохранность частной информации, соблюдая применяемые нормативные требования. Однако если студентами становятся граждане ЕС, то учебные заведения обязаны соблюдать положения нормативного акта в обязательном порядке.


Кто является участниками обработки ПД

В ст. 4 закона указано, что в процессе использования персональных сведений участвуют три стороны.

Контролер

К этой категории относятся компании, которые определяют, какие ПД пользователя следует собирать, как и с какой целью они будут использоваться. Эти организации обязаны:

Контролер внедряет технические решения и организационные процедуры для обеспечения безопасности данных. Чтобы лучше понять это, можно использовать метафору с кораблем: капитан судна решает, куда оно направится (цель), и какую команду нанять для выполнения задачи (например, Яндекс.Диск).

Оператор

К этой категории относятся компании, которые обрабатывают персональные сведения от имени и по поручению контроллера. Оператор, или процессор, обязан создать надежную IT-инфраструктуру и обеспечить защиту частной информации, предотвращая ее утрату, несанкционированный доступ или попадание в руки третьих лиц. Он также следит за тем, чтобы сведения всегда были доступны и в безопасности. Если вернуться к метафоре с кораблем, оператор в этом случае — это команда, которая выполняет указания капитана. Она не ставит цели, а лишь выполняет поставленные задачи.


Субъекты данных

К ним относятся только физлица, чьи персонализированные сведения подлежат обработке. Эти лица имеют право запрашивать у оператора:

В случае нарушения закона обладатели персональной информации имеют право оспорить действия оператора в соответствующих органах. Примером таких лиц могут быть покупатели интернет-магазинов или пользователи сайтов. Юрлица не являются владельцами личных сведений.

Какие принципы необходимо соблюдать при обработке данных

Рассмотрим семь основных положений стандарта GDPR, которым необходимо следовать должным образом.

Принципы Суть Применение
Законное основание, справедливость и прозрачность Должны быть легитимные основания для использования ПД с сохранением открытости и честности Все методы и задачи сбора и обработки приватных сведений следует четко излагать в политике конфиденциальности
Ограничение целей Компании должны обозначать, для чего они собирают информацию о клиентах, и использовать ее только по назначению В документе необходимо прописать целевое назначение сбора данных
Минимизация объема ПД Организации должны аккумулировать только те сведения, которые нужны для достижения поставленной цели Если требуется создание рассылок, достаточно только e-mail, для рекламы — cookie, отслеживания трафика — доменные имена и URL-ссылки и т. д.
Точность и актуальность Компании обязаны учитывать корректность ПД и актуализировать их по мере необходимости Неточные сведения нужно удалять или исправлять по требованию пользователей
Ограничение хранения Принцип основан на гарантии сохранения только необходимой информации о субъекте Хранить приватные данные только до момента осуществления юридических обязательств, затем удалить их
Целостность и конфиденциальность Защищать частные сведения от нелегального доступа, искажения, уничтожения Применять новейшие технологии защиты ПД, в т. ч. шифрование и тестирование
Подотчетность Контролер несет ответственность за соблюдение безопасного хранения и проявление готовности показывать соответствие по запросам регулятора Компания обязана вести подробное документирование процессов обработки частной информации, составлять отчеты и назначать ответственных по сохранности ПД

Требования GDPR

Чтобы соответствовать нормам закона, нужно соблюдать ряд правил. Рассмотрим их в виде таблицы с пояснениями.

Регламент Пояснения
Разрешение на обработку ПД Запрос необходимо ставить ясно, информативно и недвусмысленно в виде утверждения или действий пользователя с возможностью отзыва
Обрабатывание личных сведений должно основываться на законодательстве, быть справедливым и прозрачным Информация о целях, способах и объеме обработки ПД должна быть изложена простым и доступным языком.
Оповещение об эпизодах нарушения постановления Организации обязаны ставить в известность регулятора о любых противоправных действиях со стороны третьих лиц, связанных с персональными данными
Права субъекта ПД Требование состоит в том, что он может получить бесплатно всю информацию, касающуюся его личных сведений
Защита детей Разрешение на обработку ПД должно быть предоставлено родителями или опекунами в зависимости от возрастного порога, установленного странами ЕС (13-16 лет)
Легитимность на переносимость данных Организации обязаны обеспечивать передачу электронных копий ПД другим компаниям по запросу пользователя
Назначение ответственного лица за сохранность персонифицированной информации Юридические лица должны передавать сведения о таком сотруднике национальному регулятору

Что нужно сделать, чтобы соблюсти предписания GDPR

Следуйте следующим правилам, чтобы соответствовать нормативам регламента.

Определитесь, какие сведения вы храните

Чтобы соответствовать требованиям, необходимо соблюдать несколько ключевых правил. Прежде всего, важно точно определить, какие ПД вы собираете и храните. Нужно разобраться, содержат ли эти они конфиденциальную информацию, и какие меры защиты предусмотрены для их безопасности.

Также нужно учитывать, собирает ли ваш сайт ПД о пользователях моложе 16 лет и с какой целью они используются. Важно понять, для чего вам необходимы эти данные и каким образом было получено согласие на их обработку, где они хранятся и кто может ими пользоваться.

Если в процессе использования информации участвуют третьи стороны, важно учитывать, находятся ли они за пределами Европейской экономической зоны. Кроме того, важно установить, как долго следует хранить ПД и есть ли возможность их удаления или анонимизации при необходимости.


Обезопасьте ваш веб-ресурс

Не секрет, что многие сайты становятся целью хакерских атак и взломов. Поскольку GDPR направлен на защиту прав граждан, администраторы обязаны обеспечивать безопасность не только интернет-ресурсов, но и хранимой на них информации. Для этого необходимо предпринять несколько важных шагов:

Измените политику конфиденциальности

Документ должен регулярно проверяться и обновляться, чтобы включать такую информацию:

Получите разрешение на рассылки

При использовании сервисов email-маркетинга интернет-пользователи должны дать свое согласие на получение таких писем. Также необходимо предоставить возможность отписаться от рассылок в любое время.


Запросите разрешение у пользователя на использование cookies

Баннер информирует интернет-пользователей о том, что веб-ресурс использует текстовые файлы, которые сохраняются на сервере через браузер при посещении страницы. На нем также должна быть предусмотрена возможность отказаться от хранения cookie-файлов. Добавление опции настроек «куки» позволит пользователю самому выбирать разрешенные категории. В том случае, когда баннер был проигнорирован, значит, согласие не получено.

Проверьте формы, установленные на веб-ресурсе

Если поля для ввода присутствуют, необходимо сделать следующее:

Проверьте сторонних поставщиков и партнеров, обрабатывающих ваши ПД

Если внешние сервисы или контрагенты выполняют действия от вашего имени, необходимо удостовериться, что они действуют в рамках GDPR. Следует ознакомиться с их политикой конфиденциальности, которая должна быть согласована с вашим документом.

Обеспечьте право на доступ к данным

Если ваш веб-ресурс отправляет личные сведения из стран ЕС в другие государства, необходимо проверить следующие критерии:

Минимизируйте риски информационной утечки

Для этого необходимо:

Штрафные санкции за отступление от правил GDPR

Штрафы могут достигать 20 млн € или 4% годового оборота компании с учетом степени нанесенного ущерба, преднамеренности действий и других факторов.


Примеры

За несоблюдение общего регламента по защите данных, которые защищают права лиц, уже были привлечены к ответственности ряд крупных компаний. В 2018 году сеть отелей «Marriott International» была оштрафована властями Великобритании на 24 млн $ за случай с утечкой ПД. В 2019 г. правительство Франции взыскало с «Google» 53 миллиона американских долларов за то, что личные сведения пользователей были использованы в маркетинговых целях без согласия субъектов. Еще одним примером крупного штрафа в 2019 г. за утечку ПД более 500 тыс. клиентов является британская авиакомпания «British Airways». Она была оштрафована на $230 млн.

Подведем итоги

В статье рассмотрели, что такое закон GDPR, расшифровку аббревиатуры, а также что этот регламент значит для защиты персональных данных и действует ли он в России. Основные принципы этого законодательства необходимо тщательно изучить и соблюдать, если вы осуществляете сбор, обработку и хранение ПД граждан ЕС.

Если вам нужна помощь в обеспечении соответствия требованиям General Data Protection Regulation, компания Клеверенс предлагает комплексные решения в области разработки программного обеспечения и защиты информации. Мы обеспечим безопасность ваших сведений, гарантируя соблюдение всех стандартов и нормативов.

Вопросы-ответы

Какие ПД подпадают под регламент?

К ним относятся все данные, которые могут быть использованы для идентификации личности, такие как имя, контактная информация, местоположение, IP-адрес, cookie-файлы, финансовые и медицинские факты, биометрия и другие характеристики, позволяющие распознать человека.

Как бизнесу подготовиться к соблюдению GDPR?

Для этого необходимо:

Каким компаниям необходимо назначить специалиста по защите ПД?

Прежде всего организациям, которые занимаются регулярной и систематической обработкой персональных данных в больших объемах. Компаниям, которые обрабатывают медицинские, биометрические сведения или информацию, связанную с преступной деятельностью. Органам государственной власти или публичным учреждениям. Такой специалист должен следить за соблюдением законодательства по защите ПД, проводить обучение сотрудников и взаимодействовать с регулирующими органами.