В современном мире все больше компаний сталкиваются с необходимостью обработки персональных данных граждан Евросоюза. При этом важно помнить о том, что европейские законы о защите данных устанавливают жесткие требования к обработке и хранению персональной информации. В данной статье мы рассмотрим основные аспекты, которые необходимо учитывать компаниям, работающим с данными европейских граждан, чтобы избежать штрафов и соблюсти законодательство.
Общий регламент о защите данных (General Data Protection Regulation или GDPR), устанавливает правила для сбора и сохранения персональной информации граждан Евросоюза. GDPR стал обязательным для всех компаний, как тех, которые находятся как внутри, так и за пределами Евросоюза и занимаются обработкой персональных данных граждан ЕС. Данный регламент действует с мая 2018 года.
Что относится к обработке персональных данных граждан Евросоюза
К обработке персональных данных граждан Евросоюза в соответствии с GDPR относятся любые действия с персональными данными. В том числе сбор, запись, структурирование, хранение, переработка, использование, передача, уничтожение и другие действия с персональными данными.
В соответствии с GDPR относятся к персональным данным все идентификаторы, которые помогают идентифицировать физических лиц онлайн. Это IP-адрес, cookies.
Компаниям, которые имеют дело с персональными данными граждан Евросоюза, нужно построить свои бизнес-процессы в соответствии с GDPR.
Каким компаниям нужно применять Общий регламент о защите данных
Не важно, где территориально находится компания, которая обрабатывает персональные данные граждан Евросоюза. Требования GDPR нужно соблюдать компаниям, которые:
Нельзя обрабатывать особые персональные данные граждан Евросоюза, которые связаны с этническим или расовым происхождением, политическими, религиозными взглядами, генетическими и биометрическими данными, данными, связанными со здоровьем. Только само физическое лицо — гражданин Евросоюза может сделать эти данные доступными.
Есть два вида оснований для обработки персональных данных граждан Евросоюза. Это согласие гражданина и основания, когда согласие не требуется в соответствии с GDPR.
Согласие граждан Евросоюза на обработку персональных данных не требуется, когда персональные данные используются только для заключения договора с физлицом.
В других случаях нужно на каждое действие с персональными данными получить согласие гражданина Евросоюза. До того, как получить согласие, нужно предложить физлицу ознакомиться с информацией о компании и целями обработки персональных данных.
На сайте согласие можно выразить например:
Чтобы контролировать правильность применения GDPR, владелец данных (это может быть заказчик программного обеспечения) назначает DPO — Data Protection Officer или инспектора по защите персональных данных. Такой специалист работает с обращениями физических лиц и контролирующими органами.
В соответствии с белорусскими требованиями к защите персональных данных в каждой компании, которая имеет дело с физическими лицами, должны быть специалисты по обработке персональных данных.
В отношении персональных данных граждан Евросоюза не такого жесткого требования. DPO может быть специалист на аутсорсинге или сотрудник компании.
DPO назначают или нанимают организации:
DPO организует систему внутреннего контроля за обработкой персональных данных. Функции DPO обусловлены спецификой компании. Чаще всего DPO:
Заказчик из Евросоюза может настаивать на аудите соответствия GDPR работы с персональными данными, на привлечении DPO. В любом случае компании, которая обрабатывает персональные данные граждан Евросоюза, будет полезно получить консультацию DPO.
В GDPR используются такие понятия, как «контроллер» и «процессор». Эти понятия соответствуют понятиям оператора и уполномоченного лица в белорусском законодательстве о персональных данных.
К обязанностям контроллеров относятся:
Когда контроллер получил персональные данные не от самого физического лица-субъекта персональных данных, в соответствии с GDPR контроллер должен информировать физлицо:
К обязанностям процессоров относятся:
GDPR как и белорусское законодательство предоставляет физическим лицам право потребовать у контроллера удаления персональных данных, которые относятся к этим физическим лицам. Для удаления персональных данных должны быть основания:
К инцидентам относятся случаи утечки персональных данных. Об утечке нужно сообщить в надзорный орган на территории того государства Евросоюза, гражданство которого имеют граждане, чьи персональные данные пострадали. В случае масштабной утечки персональных данных информацию об этом распространяют в СМИ.
Что такое орган-регулятор
К органам-регуляторам в сфере персональных данных относятся государственные органы, например, суды, в каждом государстве Евросоюза.
Регулятор может:
В Евросоюзе контролирующим органом является Европейский совет по защите персональных данных.
Какие меры может применить регулятор за нарушения GDPR при обработке персональных данных
За нарушения обязательств в отношении приватности и нарушения обязательств контроллеров и процессоров применяется штраф до 2% от финансового оборота за предыдущий год или 10 млн евро.
За нарушения принципов обработки персональных данных, прав субъектов персональных данных, порядка передачи персональных данных, отсутствие DPO применяется штраф до 4% от финансового оборота за предыдущий год или до 20 млн евро.
Возможна подача иска в суд.
Чем мы можем быть полезны при выстраивали бизнес-процессов в соответствии с GDPR и обработке персональных данных граждан Евросоюза
Мы можем:
Если у Вас возникли вопросы, связанные с выполнениями требований GDPR — мы будем рады Вам помочь! Наш многолетний опыт поможет Вам в разрешении и урегулировании любых спорных ситуаций.
Для вашего удобства доступны варианты связи по телефону и электронной почте:
