Общее регулирование защиты данных (GDPR) – это набор правил, направленных на контроль обработки персональных данных пользователей. Документ был принят 27 апреля 2016 года. Он является постановлением Европейского союза (ЕС). Несмотря на это, компании, базирующиеся за пределами ЕС, должны четко понимать данные требования и соответствовать им.

Содержание:

1. GPDR в России и Украине 2. Что нужно знать операторам 3. Другие страны, на которые распространяется GDPR

Компании, имеющие офисы в одной из стран ЕС, либо собирающие, обрабатывающие или хранящие персональные данные любого гражданина, живущего в одной из этих стран, обязаны соблюдать регламент GDPR. Кроме того, компании и другие организации, которые ориентированы на международную аудиторию, особенно если они предлагают сервис онлайн-гемблинга, также должны ориентироваться на GDPR.

Ключевые принципы GDPR:

законность, справедливость и прозрачность деятельности компании;
преследование конкретных целей;
точность данных;
минимизация использования информации;
конфиденциальность;
подотчетность;
временные рамки для хранения данных пользователей.

GPDR в России и Украине

Несмотря на то, что общее регулирование защиты данных ориентировано на страны ЕС, Россия и Украина также подчиняются данному регламенту. В частности, GDPR будет влиять на российские и украинские компании, обслуживающие в том числе и европейских клиентов, а также работающие в ЕС через филиалы и дочерние компании.

Согласно новому закону, вступившему в силу 25 мая 2018 года, компании должны действовать в соответствии с новыми правилами и внести ряд изменений, которые обеспечат усиленную защиту персональных данных клиентов.

Юристы объяснили, как действует общее правило защиты данных для российских и украинских компаний, обслуживающих европейских клиентов.

Что подразумевается под соблюдением регламента GDPR:

информирование клиентов о том, что их личная информация собирается и хранится;
информирование клиентов о том, какая именно личная информация будет собрана;
создание новых политик в области сбора данных, которые соответствуют положениям GDPR ;
обеспечение того, чтобы действия компании соответствовали не только правилам GDPR, но и законам о защите данных, принятых в стране.

Внедрение GDPR привело к тому, что у многих операторов появились вопросы относительно работы на российском и украинском рынках. Рассмотрим некоторые из них.

1. На какие компании распространяется действие нового регламента?

Исследования показали, что воздействию GDPR больше всего подвержены компании, предлагающие онлайн-услуги, так как они имеют наибольшее число клиентов из Евросоюза.

2. Должны ли компании назначать компетентных сотрудников по контролю над соблюдением GDPR?

Компании не обязаны этого делать, если они работают в России или Украине, однако филиалы и их дочерние компании должны назначать таких должностных лиц.

3. На что участникам рынка необходимо ориентироваться в первую очередь: на местные законодательные положения в отношении конфиденциальности или на регламент GDPR?

GPDR в России и Украине

Российские законы о конфиденциальности довольно строги относительно защиты личной информации и очень похожи на положения GDPR, поэтому проблем не возникает. В случае неопределенности суд принимает решение о том, какой из законов применим в конкретной ситуации.

Украинские компании часто имеют дело с персональными данными пользователей из Евросоюза. Например, разработчики программного обеспечения получают доступ к личным данным людей, которые регистрируются в конкретной базе. Согласно регламенту GDPR, получение доступа к личным данным, даже если они не хранятся на каком-либо устройстве, означает обработку персональных данных.

Что нужно знать операторам

GDPR определяет порядок сбора и контроля над сохранением личных данных. Цель обработки помогает понять, для чего это нужно. Если компания определяет цели и средства обработки данных, она является контролером, что означает, что у нее больше обязательств.

Однако в этом нет ничего плохого. Во-первых, компания должна провести общую проверку и выяснить, какие личные данные пользователей она использует, какие из них хранятся на устройствах, где и при каких условиях они могут быть переданы, кто может получить к ним доступ и какие методы защиты данных используются. Важно иметь в виду, что компания не может собрать больше личных данных, чем этого требует специфика деятельности.

После общей проверки необходимо убедиться, что ваша политика конфиденциальности соответствует положениям GDPR. Она должна содержать список собранных данных, цель обработки данных, права клиентов в отношении их данных и порядок рассмотрения жалоб.

Следует помнить, что GDPR требует, чтобы политика конфиденциальности была написана простым языком. Чтобы обеспечить защиту данных, вы должны показать, что пользователь действительно прочитал ваши правила обработки данных. Таким образом, щелчок на флажке «Я согласен» без фактического чтения правил не будет активен. GDPR требует, чтобы у вас было четкое и простое уведомление о конфиденциальности. Таким образом, лучше и удобнее, когда клиент видит окно с коротким сообщением и поле «Я согласен».

Что нужно знать операторам

Получение согласия на обработку данных с использованием политики конфиденциальности или уведомления о конфиденциальности является ключевой задачей контроллера. Если у контроллера его нет, все может пойти не так.

Однако даже если у вас есть хорошо написанная политика конфиденциальности, этого недостаточно. Компании должны внедрять технические и организационные меры для защиты персональных данных: использование методов шифрования данных, их анонимность, а также физический и онлайн-контроль доступа.

Другие страны, на которые распространяется GDPR

Как уже упоминалось выше, физическое местоположение учреждения, организации или бизнеса не так важно при определении необходимости соблюдения GDPR. Ключевым аспектом является место жительства пользователя, данные которого обрабатываются конкретной компанией. Под действие этого регламента, кроме России и Украины, попадают и другие страны, среди которых: