Про захист даних і поняття GDPR Compliant

GDPR (General Data Protection Regulation) – це Загальний регламент про захист даних, який є одним із найсуворіших законів про захист даних у світі. Мета – захистити персональні дані громадян ЄС і стежити за тим, щоб організації, які обробляють ці дані, робили це відповідно до певних правил і принципів. У сьогоднішньому матеріалі від компанії FoxmindED розбираємося, gdpr compliant що це таке та які штрафи накладається за недотримання цих норм?

Для початку – трохи історії… Ідея створення GDPR виникла на початку 2000-х років, коли стало зрозуміло, що наявні закони про захист даних ЄС не відповідають сучасним потребам. У 2012 році Європейська комісія почала розробку нового закону, який мав замінити Директиву про захист даних 95/46/EC.

Регламент був створений з кількох причин, зокрема: збільшення обсягу зібраних і оброблюваних персональних даних, збільшення кількості випадків витоків даних, підвищення обізнаності громадян про важливість захисту даних.

Зрештою, документ GDPR був ухвалений Європейським парламентом і Радою ЄС 2016 року і набув чинності 25 травня 2018 року.

Що означає бути GDPR Compliant

Бути “відповідним GDPR” означає, що організація слідує всім правилам, стандартам і принципам, встановленим Загальним регламентом щодо захисту даних. Це включає суворі заходи щодо обробки, передачі та зберігання особистої інформації громадян ЄС.

Іншими словами, така компанія демонструє готовність і здатність захищати приватність своїх клієнтів і співробітників відповідно до високих стандартів безпеки даних.

Дотримання цих норм стало невід’ємною частиною ведення бізнесу в епоху цифрових технологій. По-перше, це піднімає рівень довіри клієнтів, оскільки вони можуть бути впевнені, що їхні особисті дані обробляються чесно і безпечно. По-друге, недотримання норм може призвести до серйозних штрафів, що істотно загрожує фінансовому стану компанії та її репутації.

Організації, які бажають досягти статусу GDPR compliant, мають виконувати кілька ключових вимог:

• Погоджена обробка даних. Організації повинні мати законні підстави для збору та обробки персональних даних, а також прозорі механізми для отримання згоди суб’єктів даних.

• Захист даних. Організації зобов’язані вживати технічних та організаційних заходів для захисту даних від витоків, несанкціонованого доступу та інших загроз безпеці.

• Дотримання принципів GDPR. Компанії повинні дотримуватися принципів обробки даних, таких як прозорість, цільове збирання, мінімізація обробки, точність і обмеження терміну зберігання.

• Реакція на запити суб’єктів даних. Організації зобов’язані відповідати на запити суб’єктів даних щодо доступу, виправлення та видалення їхньої особистої інформації.

• Моніторинг та оцінка. Постійний моніторинг, аудити та оцінювання систем оброблення даних необхідні для підтримання відповідності до GDPR у довгостроковій перспективі.

Основні принципи 

GDPR встановлює низку основних принципів захисту даних:

1. Прозорість в обробці даних: організації повинні чесно інформувати суб’єктів даних про цілі, строки зберігання та доступ третіх сторін.

Приклад на практиці: Компанія, що збирає дані для маркетингових цілей, повинна надати користувачам зрозумілу інформацію про те, як їхні контактні дані будуть використані, наприклад, для надсилання рекламних матеріалів.

2. Цільове збирання даних: збирання даних обмежене метою, що вимагає згоди суб’єкта, запобігаючи надмірності.

Приклад на практиці: онлайн-рітейлер під час замовлення товару може запитувати лише ті дані, які необхідні для обробки замовлення, але не має права вимагати, наприклад, інформацію про релігійні переконання клієнта.

3. Мінімізація обробки даних: обробка обмежена необхідними даними, знижуючи ризики витоків і несанкціонованого доступу.

Приклад на практиці: медична організація збирає тільки ті медичні дані пацієнта, які необхідні для діагностики та лікування конкретного захворювання.

4. Точність даних: організації забезпечують точність даних через перевірку та оновлення в міру необхідності.

Приклад на практиці: Банк періодично запитує клієнтів про оновлення контактної інформації, щоб бути впевненим у точності даних, які використовуються для сповіщень та операцій.

5. Обмеження терміну зберігання даних: зберігання персональних даних обмежено необхідним періодом, після чого вони видаляються або анонімізуються.

Приклад на практиці: інтернет-магазин зберігає дані про клієнтів тільки протягом декількох років після здійснення останньої покупки, після чого ці дані видаляються.

Права суб’єктів даних

GDPR надає суб’єктам даних, тобто громадянам ЄС, чиї персональні дані обробляються, такі права:

1. Право на доступ: отримання персональних даних від організації в розумні строки та безкоштовно.
2. Право на виправлення: вимога виправлення неточних або неповних персональних даних.
3. Право на видалення: запит на видалення персональних даних, якщо вони більше не потрібні для обробки.
4. Право на обмеження обробки: можливість обмежити обробку персональних даних у певних випадках.
5. Право на заперечення: можливість заперечення проти обробки персональних даних у певних випадках.
6. Право на перенесення даних: отримання своїх даних у зручному форматі та передача іншому контролеру.
7. Право на подання скарги: подання скарги до наглядового органу при порушенні норм.

Відповідно, організації мають опрацьовувати запити на доступ, виправлення та видалення даних у розумні строки (строк опрацювання може бути подовжено до двох місяців у складних випадках). Крім цього, відповідь має бути зрозумілою і надавати всю необхідну інформацію. Якщо організація не може надати доступ до персональних даних/виправити або видалити – вона повинна пояснити причину відмови.

Кроки до відповідності GDPR

Давайте розберемо кілька ключових кроків, які організації повинні зробити для дотримання норм. Пам’ятайте, це складний процес, що вимагає часу і зусиль:

1. Оцінка поточного становища

• Ідентифікація зібраних даних.
• Визначення цілей їх обробки.
• Огляд наявних політик і процедур.

2. Розроблення політик і процедур

• Створення внутрішніх документів, що охоплюють усі аспекти обробки даних.
• Включення заходів безпеки в ці документи.

• Узгодженість із принципами Регламенту
• Активна реалізація прозорості, цільового збирання даних, мінімізації обробки, точності та обмеження терміну зберігання.

3. Створення системи управління даними

• Встановлення механізмів контролю доступу.
• Налаштування моніторингу та безпеки зберігання даних.
• Реалізація обробки запитів суб’єктів даних.

4. Навчання персоналу

• Проведення навчання за правилами обробки даних і безпеки.
• Підготовка персоналу до реагування на запити суб’єктів даних.

5. Розроблення заходів безпеки

• Впровадження шифрування і систем моніторингу.
• Використання антивірусного захисту та інших технологій.

6. Постійний моніторинг та аудит

• Регулярна перевірка політик і процедур.
• Аналіз інцидентів безпеки.

7. Реагування на інциденти

• Розроблення та впровадження плану реагування на інциденти.
• Повідомлення контролюючого органу та суб’єктів даних.

Ефективне виконання цих кроків допомагає підтримувати відповідність GDPR.

Роль та обов’язки DPO

Data Protection Officer (DPO) – це фахівець, який допомагає організації дотримуватися правил GDPR. Його завдання включають консультування керівництва щодо захисту даних, нагляд за дотриманням вимог GDPR, і взаємодію з наглядовими органами в разі потреби.

GDPR вимагає, щоб організації, які обробляють багато персональних даних або працюють у чутливих секторах, призначали Data Protection Officer. Це стосується великих компаній, державних органів, а також тих, хто передає дані через кордони.

Крім того, організації, які не зобов’язані призначати DPO, можуть зробити це добровільно. Це може бути корисно для організацій, які хочуть підвищити свою репутацію в галузі захисту даних або уникнути потенційних ризиків, пов’язаних із недотриманням GDPR.

Штрафи та наслідки 

GDPR передбачає суворі штрафи за порушення своїх вимог. Штрафи можуть становити до 4% від річного глобального обороту компанії або 20 мільйонів євро, залежно від того, що більше.

Такі штрафи можуть бути накладені наглядовими органами із захисту даних у країнах-членах ЄС. Наглядові органи мають право проводити розслідування та вживати заходів впливу щодо організацій, які порушують GDPR.

Відтоді як GDPR набув чинності у 2018 році, кілька компаній отримали штрафи за порушення його вимог. Ось деякі приклади:

• Google отримав штраф у розмірі 50 мільйонів євро у 2019 році за недотримання вимог GDPR щодо прозорості та інформованості.

FoxmindEd – це навчальний центр, що має велику різноманітність напрямків курсів для новачків та програмістів з досвідом!

Тільки починаєте свій шлях в ІТ? Спробуйте курси Start

Вже маєте базові навички програмування? Тоді
курси Junior саме для вас.

Хочете поглибити свої знання в ІТ? Ми маємо курси Middle/Senior

• Marriott International отримав штраф у розмірі 192 мільйонів євро 2020 року за несанкціонований доступ до персональних даних клієнтів.

• British Airways отримав штраф у розмірі 220 мільйонів євро 2020 року за витік персональних даних клієнтів.

Ці штрафи є лише одним із прикладів потенційних наслідків невідповідності норм Регламенту.

GDPR поза Європейським Союзом

GDPR справив значний вплив на міжнародні компанії та організації за межами ЄС. Цей закон вимагає від організацій, які обробляють персональні дані громадян ЄС, дотримуватися його вимог, незалежно від того, де знаходиться сама організація.

Це означає, що міжнародні компанії та організації, які мають сайти, додатки або інші продукти чи послуги, доступні громадянам ЄС, повинні також дотримуватися Регламенту. Це також означає, що компанії, які збирають персональні дані громадян ЄС, навіть якщо вони не мають прямої взаємодії з цими громадянами, повинні дотримуватися норм.

Компанії поза ЄС можуть і повинні відповідати GDPR, провівши оцінку свого стану, розробивши план відповідності з конкретними заходами і запровадивши його в практиці.

Часті запитання

Що таке GDPR?

GDPR (General Data Protection Regulation) – це набір правил Європейського Союзу, які забезпечують захист персональних даних. Ці правила діють з 25 травня 2018 року.

Які цілі переслідує GDPR?

Основна мета – захистити особисті дані громадян ЄС і дати їм контроль над своєю інформацією, роблячи все прозорим.

Хто зобов’язаний дотримуватися GDPR?

Дотримуватися норм повинні всі організації, які обробляють дані громадян ЄС, незалежно від їхнього розміру та місця розташування.

Тепер розглянемо основні хибні думки та непорозуміння:

GDPR обов’язковий тільки для великих компаній?

Ні, це обов’язково для всіх, включно з навіть невеликими підприємствами.

Всі дані підпадають під GDPR?

Так, якщо обробляються персональні дані громадян ЄС, такі як імена, адреси, IP-адреси.

GDPR зачіпає тільки онлайн-бізнес?

Ні, це поширюється на будь-який бізнес, включно з офлайн-організаціями.

Наявність GDPR звільняє від інших законів про захист даних?

Ні, це доповнює національні закони, але не замінює їх.

Дотримання GDPR занадто складне та дороге?

Це може бути складним, але є ресурси для допомоги. Інвестиції в захист даних зміцнюють довіру клієнтів.

Висновок

GDPR – це не просто законодавство, це стандарт відповідального поводження з даними. Для програміста це – невід’ємна частина створення безпечних та етичних програмних продуктів. Тому, ми рекомендуємо оновити свої знання щодо цієї теми та застосувати найкращі практики для забезпечення захисту особистих даних у цифровій епосі.