Соответствие GDPR и защита персональных данных

Регламент прямо называет, кого он достаёт. Он применяется к контролёру или обработчику, не учреждённому в союзе, когда обработка связана с предложением товаров или услуг людям, находящимся в союзе, платное оно или бесплатное, либо с наблюдением за их поведением там.

Значит, адрес вашей компании не решает ничего. Аналитика на европейском посетителе — это наблюдение; бесплатный тариф, открытый европейцам, — это предложение. И то и другое заводит вас внутрь.

Следующий вопрос — ваша роль. Контролёр решает, зачем и как обрабатываются данные; обработчик действует только по указаниям контролёра. Большинство продуктов одновременно контролёр для своих пользователей и обработчик для своих корпоративных клиентов — в одних и тех же системах.

Четыре обязанности, от которых зависит остальное

Законное основание под каждую цель

Оснований шесть, и согласие лишь одно из них: остальные — договор, обязанность по закону, жизненные интересы, публичная задача и законный интерес. У каждой цели своё.

Представитель внутри союза

Компания, которую достали снаружи, обязана письменно назначить представителя в стране, где находятся её пользователи. Освобождены только эпизодическая обработка низкого риска и госорганы.

Реестр действий по обработке

Цели, категории людей и данных, получатели, передачи, сроки хранения. Штат меньше 250 человек не освобождает, если обработка регулярна или задевает особые категории.

Специалист, когда сработал признак

Специалист по защите данных обязателен для госоргана, при регулярном наблюдении за людьми в крупном масштабе и при крупной обработке особых категорий или данных о судимости.

Сроки и деньги

Об утечке надзорный орган извещают без неоправданной задержки и, где это осуществимо, в течение 72 часов с момента, когда о ней узнали; если позже — уведомление несёт причины. На запрос человека отвечают в течение месяца, ещё два месяца добавляются на действительно сложные случаи, если предупредить внутри первого.

Штрафы идут двумя шкалами. Нарушение обязанностей контролёра или обработчика достаёт до 10 миллионов евро или 2% мирового годового оборота, смотря что больше. Нарушение основных принципов, условий согласия, прав людей или правил передачи — до 20 миллионов евро или 4%.

Передача данных за пределы Европы

Для передачи нужно либо решение о том, что страна назначения защищает данные достаточно, либо собственные гарантии: стандартные договорные условия, принятые комиссией, обязательные корпоративные правила внутри группы или утверждённый кодекс. Гарантия встаёт в договор с получателем до того, как данные поедут, — а не в ответ на вопрос клиента.

Политика конфиденциальности и чего не сделает генератор

Политика — видимая часть всего этого. Генератор политики конфиденциальности соберёт документ по анкете, но он не сверит ответы с вашей сборкой, не выберет основания, не назначит представителя и не ответит на запрос в срок.

Где правила не европейские

Калифорнийский кодекс

Там на проверенный запрос отвечают за 45 дней с однократным продлением, а административные штрафы доходят до 2 500 долларов за нарушение и до 7 500, если оно умышленное или задело человека младше 16 лет.

Дети в США

Федеральное правило о детях до 13 лет хочет получить проверенное согласие родителя до того, как что-то собрано, и добавляет письменную программу безопасности и потолок срока хранения.

Источники: сфера действия регламента, представитель, реестр, специалист, 72 часа, месяц, гарантии передачи и обе шкалы штрафов — Общий регламент по защите данных; калифорнийский срок и суммы — Civil Code 1798.155; американские обязанности по детям — 16 CFR part 312.