О защите данных и понятии GDPR Compliant

GDPR (General Data Protection Regulation) — это Общий регламент о защите данных, который является одним из самых строгих законов о защите данных в мире. Цель — защитить персональные данные граждан ЕС и следить за тем, чтобы организации, обрабатывающие эти данные, делали это в соответствии с определенными правилами и принципами. В сегодняшнем материале от компании FoxmindED разбираемся, gdpr compliant что это и какие штрафы налагается за несоблюдение данных норм?

Для начала — немного истории… Идея создания GDPR возникла в начале 2000-х годов, когда стало ясно, что существующие законы о защите данных ЕС не соответствуют современным потребностям. В 2012 году Европейская комиссия начала разработку нового закона, который должен был заменить Директиву о защите данных 95/46/EC.

Регламент был создан по нескольким причинам, в том числе: увеличение объема собираемых и обрабатываемых персональных данных, увеличение числа случаев утечек данных, повышение осведомленности граждан о важности защиты данных. 

В итоге, документ GDPR был принят Европейским парламентом и Советом ЕС в 2016 году и вступил в силу 25 мая 2018 года.

Что значит быть GDPR Compliant

Быть «соответствующим GDPR» означает, что организация следует всем правилам, стандартам и принципам, установленным Общим регламентом по защите данных. Это включает строгие меры по обработке, передаче и хранению личной информации граждан ЕС.

Иными словами, такая компания демонстрирует готовность и способность защищать приватность своих клиентов и сотрудников в соответствии с высокими стандартами безопасности данных.

Соблюдение данных норм стало неотъемлемой частью ведения бизнеса в эпоху цифровых технологий. Во-первых, это поднимает уровень доверия клиентов, так как они могут быть уверены, что их личные данные обрабатываются честно и безопасно. Во-вторых, несоблюдение норм может привести к серьезным штрафам, что существенно угрожает финансовому состоянию компании и ее репутации. 

Организации, желающие достичь статуса GDPR compliant, должны выполнять несколько ключевых требований:

• Согласованная обработка данных. Организации должны иметь законные основания для сбора и обработки персональных данных, а также прозрачные механизмы для получения согласия субъектов данных.

• Защита данных. Организации обязаны принимать технические и организационные меры для защиты данных от утечек, несанкционированного доступа и других угроз безопасности.

• Соблюдение принципов GDPR. Компании должны соблюдать принципы обработки данных, такие как прозрачность, целевое собирание, минимизация обработки, точность и ограничение срока хранения.

• Реакция на запросы субъектов данных. Организации обязаны отвечать на запросы субъектов данных относительно доступа, исправления и удаления их личной информации.

• Мониторинг и оценка. Постоянный мониторинг, аудиты и оценки систем обработки данных необходимы для поддержания соответствия с GDPR в долгосрочной перспективе.

Основные принципы 

GDPR устанавливает ряд основных принципов защиты данных:

1. Прозрачность в обработке данных: организации должны честно информировать субъектов данных о целях, сроках хранения и доступе третьих сторон.

Пример на практике: компания, собирающая данные для маркетинговых целей, должна предоставить пользователям понятную информацию о том, как их контактные данные будут использованы, например, для отправки рекламных материалов.

2. Целевое собирание данных: сбор данных ограничен целью, требующей согласия субъекта, предотвращая избыточность.

Пример на практике: онлайн-ритейлер при заказе товара может запрашивать только те данные, которые необходимы для обработки заказа, но не имеет права требовать, например, информацию о религиозных убеждениях клиента.

3. Минимизация обработки данных: обработка ограничена необходимыми данными, снижая риски утечек и несанкционированного доступа.

Пример на практике: медицинская организация собирает только те медицинские данные пациента, которые необходимы для диагностики и лечения конкретного заболевания.

4. Точность данных: организации обеспечивают точность данных через проверку и обновление по мере необходимости.

Пример на практике: банк периодически запрашивает клиентов об обновлении контактной информации, чтобы быть уверенным в точности данных, используемых для уведомлений и операций.

5. Ограничение срока хранения данных: хранение персональных данных ограничено необходимым периодом, после чего они удаляются или анонимизируются.

Пример на практике: интернет-магазин хранит данные о клиентах только в течение нескольких лет после совершения последней покупки, после чего эти данные удаляются.

Права субъектов данных

GDPR предоставляет субъектам данных, то есть гражданам ЕС, чьи персональные данные обрабатываются, следующие права:

1. Право на доступ: получение персональных данных от организации в разумные сроки и бесплатно.
2. Право на исправление: требование исправления неточных или неполных персональных данных.
3. Право на удаление: запрос на удаления персональных данных, если они более не нужны для обработки.
4. Право на ограничение обработки: возможность ограничить обработку персональных данных в определенных случаях.
5. Право на возражение: возможность возражения против обработки персональных данных в определенных случаях.
6. Право на перенос данных: получение своих данных в удобном формате и передача другому контролеру.
7. Право на подачу жалобы: подача жалобы в надзорный орган при нарушении норм.

Соответственно, организации должны обрабатывать запросы на доступ, исправление и удаление данных в разумные сроки (срок обработки может быть продлен до двух месяцев в сложных случаях). Помимо этого, ответ должен быть понятным и предоставлять всю необходимую информацию. Если организация не может предоставить доступ к персональным данным/исправить или удалить — она должна объяснить причину отказа.

Шаги к соответствию GDPR

Давайте разберем несколько ключевых шагов, которые организации должны предпринять для соблюдения норм. Помните, это сложный процесс, требующий времени и усилий:

1. Оценка текущего положения

• Идентификация собираемых данных.
• Определение целей их обработки.
• Обзор существующих политик и процедур.

2. Разработка политик и процедур

• Создание внутренних документов, охватывающих все аспекты обработки данных.
• Включение мер безопасности в эти документы.

• Согласованность с принципами Регламента
• Активная реализация прозрачности, целевого собирания данных, минимизации обработки, точности и ограничения срока хранения.

3. Создание системы управления данными

• Установка механизмов контроля доступа.
• Настройка мониторинга и безопасности хранения данных.
• Реализация обработки запросов субъектов данных.

4. Обучение персонала

• Проведение обучения по правилам обработки данных и безопасности.
• Подготовка персонала к реагированию на запросы субъектов данных.

5. Разработка мер безопасности

• Внедрение шифрования и систем мониторинга.
• Использование антивирусной защиты и других технологий.

6. Постоянный мониторинг и аудит

• Регулярная проверка политик и процедур.
• Анализ инцидентов безопасности.

7. Реагирование на инциденты

• Разработка и внедрение плана реагирования на инциденты.
• Уведомление контролирующего органа и субъектов данных.

Эффективное выполнение этих шагов помогает поддерживать соответствие GDPR.

Роль и обязанности DPO

Data Protection Officer (DPO) – это специалист, который помогает организации соблюдать правила GDPR. Его задачи включают консультирование руководства по защите данных, надзор за соблюдением требований GDPR, и взаимодействие с надзорными органами в случае необходимости.

GDPR требует, чтобы организации, обрабатывающие много персональных данных или работающие в чувствительных секторах, назначали Data Protection Officer. Это касается крупных компаний, государственных органов, а также тех, кто передает данные через границы.

Кроме того, организации, которые не обязаны назначать DPO, могут сделать это добровольно. Это может быть полезно для организаций, которые хотят повысить свою репутацию в области защиты данных или избежать потенциальных рисков, связанных с несоблюдением GDPR.

Штрафы и последствия 

GDPR предусматривает строгие штрафы за нарушение своих требований. Штрафы могут составлять до 4% от годового глобального оборота компании или 20 миллионов евро, в зависимости от того, что больше.

Такие штрафы могут быть наложены надзорными органами по защите данных в странах-членах ЕС. Надзорные органы имеют право проводить расследования и принимать меры воздействия в отношении организаций, которые нарушают GDPR.

С тех пор как GDPR вступил в силу в 2018 году, несколько компаний получили штрафы за нарушение его требований. Вот некоторые примеры:

• Google получил штраф в размере 50 миллионов евро в 2019 году за несоблюдение требований GDPR в отношении прозрачности и информированности.

FoxmindEd — это учебный центр с большим выбором направлений курсов для новичков и программистов с опытом!

Начинаете свой путь в IТ? Попробуйте курсы Start

Имеете базовые навыки программирования? Тогда вам на курсы Junior

Хотите углубить свои знания в IТ? У нас есть курсы Middle/Senior

• Marriott International получил штраф в размере 192 миллионов евро в 2020 году за несанкционированный доступ к персональным данным клиентов.

• British Airways получил штраф в размере 220 миллионов евро в 2020 году за утечку персональных данных клиентов.

Эти штрафы являются лишь одним из примеров потенциальных последствий несоответствия норм Регламента. 

GDPR вне Европейского Союза

GDPR оказал значительное влияние на международные компании и организации за пределами ЕС. Этот закон требует от организаций, которые обрабатывают персональные данные граждан ЕС, соблюдать его требования, независимо от того, где находится сама организация.

Это означает, что международные компании и организации, которые имеют сайты, приложения или другие продукты или услуги, доступные гражданам ЕС, должны также соблюдать Регламент. Это также означает, что компании, которые собирают персональные данные граждан ЕС, даже если они не имеют прямого взаимодействия с этими гражданами, должны соблюдать нормы.

Компании вне ЕС могут и должны соответствовать GDPR, проведя оценку своего состояния, разработав план соответствия с конкретными мерами и внедрив его в практике.

Часто задаваемые вопросы

Что такое GDPR?

GDPR (General Data Protection Regulation) – это набор правил Европейского Союза, которые обеспечивают защиту персональных данных. Эти правила действуют с 25 мая 2018 года.

Какие цели преследует GDPR?

Основная цель – защитить личные данные граждан ЕС и дать им контроль над своей информацией, делая всё прозрачным.

Кто обязан соблюдать GDPR?

Соблюдать нормы должны все организации, которые обрабатывают данные граждан ЕС, независимо от их размера и местоположения.

Теперь, рассмотрим основные заблуждения и недопонимания:

GDPR обязателен только для крупных компаний?

Нет, это обязательно для всех, включая даже небольшие предприятия.

Все данные подпадают под GDPR?

Да, если обрабатываются персональные данные граждан ЕС, такие как имена, адреса, IP-адреса.

GDPR затрагивает только онлайн-бизнес?

Нет, это распространяется на любой бизнес, включая оффлайн-организации.

Наличие GDPR освобождает от других законов о защите данных?

Нет, это дополняет национальные законы, но не заменяет их.

Соблюдение GDPR слишком сложно и дорого?

Это может быть сложным, но есть ресурсы для помощи. Инвестиции в защиту данных укрепляют доверие клиентов.

Заключение

GDPR – это не просто законодательство, это стандарт ответственного обращения с данными. Для программиста это — неотъемлемая часть создания безопасных и этичных программных продуктов. Поэтому, мы рекомендуем обновить свои знания касательно данной темы и применить лучшие практики для обеспечения защиты личных данных в цифровой эпохе.