Європейський регламент щодо захисту персональних даних GDPR: як він змінить наше життя?

1. зміст
2. Що таке GDPR?
3. Зміни торкнуться лише сайтів?
4. Як зміни стосуються вже діючих документів щодо захисту особистих даних?
5. Що таке знеособлення даних і як воно буде працювати з 25 травня?
6. Які права суб'єктів персональних даних тепер зафіксовані документом?
7. Чи торкнеться дію GDPR українських компаній?
8. Що ж робити звичайним користувачам?
9. «Дата-провайдери» (Data providers)
10. «Дані про місцезнаходження» (Location data)
11. «Акт підтвердження» (Affirmative act)
12. «Контролер» (Controller)
13. «Цілі» і «Одержувачі» (Purposes and Recipients)

Всі користувачі поштових сервісів від компанії Google недавно отримали важливе системне повідомлення, в якому йдеться про зміну політики конфіденційності. З чого раптом? Ви теж отримуєте незрозумілі листи про зміну політики даних від популярних сайтів і сервісів? Постійно бачите абревіатуру GDPR в новинах, але не знаєте, що вона означає? Ми розповімо про все.

зміст

1. Що таке GDPR?
2. Зміни торкнуться лише сайтів?
3. Як зміни стосуються вже діючих документів щодо захисту особистих даних?
4. Що таке знеособлення даних і як воно буде працювати з 25 травня?
5. Які права суб'єктів персональних даних тепер зафіксовані документом?
6. Чи торкнеться дію GDPR українських компаній?
7. Що ж робити звичайним користувачам?

З 25 травня почав діяти новий європейський регламент щодо захисту персональних даних GDPR (General Data Protection Regulation). Згідно з новими правилами, обробляти персональні дані компанії зможуть тільки за згодою користувачів, причому про це необхідно повідомляти не в ліцензійній угоді, а окремо.

Даний регламент тільки вступив в дію, а вже породив багато чуток і домислів. Його введення призвело до ряду несподіваних наслідків для всього технологічного індустрії. Давайте коротко спробуємо розібратися, чим цей регламент ускладнить, а може і полегшить, наше життя.

Що таке GDPR?

GDPR (General Data Protection Regulation) - набір нових правил щодо того, як можна (або не можна) обробляти персональні дані клієнтів вашого бізнесу або користувачів вашого сайту. Стосується він громадян з ЄС, а ось поширюється на всі сайти в світі (навіть якщо ці сайти знаходяться за межами ЄС, але ними користуються громадяни Союзу). Оскільки відфільтрувати або заблокувати доступ громадянам ЄС у вас навряд чи вийде (як і у будь-якого з власників і адміністраторів інтернет-сервісів), GDPR стосується всіх.

Зміни торкнуться лише сайтів?

Насправді, все трохи складніше. Персональні дані - це не тільки файли cookies, логіни або паролі. Дані кредитних карт в онлайн і оффлайн-магазинах, анкетні дані при заселенні в готель, паспортні дані в каршерінговом або прокатному сервісі, реєстраційні дані в додатку для онлайн-знайомств - всі вони підпадають під визначення даних. Таким чином, навіть якщо до вас заселився один турист з Німеччини або на сайті щось купив житель Польщі - вам теж доведеться оптимізувати свої послуги і сайти під GDPR.

У GDPR йдеться, що персональні дані - будь-які дані, в яких прямо або побічно можна дізнатися особистість людини. Це означає, що такою інформацією вважається не тільки ім'я, прізвище, банківські дані або пошта людини, а навіть cookie-файли і дані систем інтернет-статистики. Будь-яка компанія, яка надає свої послуги на території ЄС, повинна підкорятися цим правилам. За порушення регламенту компаніям загрожує штраф в € 20 млн або в розмірі 4% від глобальної виручки. Якщо у вас немає часу і сил віднімати 99 статей і 150+ пунктів преамбули - просто повірте, ігнорувати цей припис ризиковано для вашого бізнесу.

В основному під закон потрапляють не невеликі сайти, на які практично не заходять європейські користувачі, а великі технологічні компанії, дейтінговие сервіси та інтернет-магазини. Їм доведеться привести в норму процес обробки персональних даних, або закрити доступ європейським користувачам.

Кожна людина зможе завантажити дані про себе, які збирає та чи інша компанія, а також вимагати видалити їх.

Як зміни стосуються вже діючих документів щодо захисту особистих даних?

Даний регламент, який має пряму дію в усіх 28 країнах ЄС, замінить рамкову Директиву про захист персональних даних 95/46 / ЄС від 24 жовтня 1995 року. Важливим нюансом GDPR є екстериторіальний принцип дії нових європейських правил обробки персональних даних, тому російським компаніям слід уважно поставитися до них, якщо послуги орієнтовані на європейський або міжнародний ринок.

Визначення «персональних даних» при цьому істотно не скориговані. Однак з'являється поняття «ідентифікатор». Являє собою сукупність даних, за допомогою яких суб'єкт даних може бути ідентифікований. Сюди входять різні види інформації - від імені до геоінформаційних даними.

Давайте трохи розберемося з дією поняття «ідентифікатор» за умовами Європейського регламенту щодо захисту персональних даних GDPR. Отже, за новими умовами, для ідентифікації паралельно іспользуються послуги 2 видів суб'єктів. Саме вони будуть обробляти персональні дані. Етоконтроллери і процесори:

• Контролер (controller) - визначення цілей і засобів обробки персональних даних
• Оператор (processor) - здійснення обробки персональних даних від імені контролера

На прикладі це виглядає так:

• Форма збору адрес від сервісу розсилок - це інструмент.
• Ваш сайт, на якому ви є адміністратором, і де розміщена форма - це контролює особа.
• Компанія, якій належить інструмент збору розсилок - це оператор зібраних персональних даних.

Тепер сайти без вашого дозволу і згоди не мають права займатися розсилкою, а тим більше передавати ваші особисті дані третім особам.

Що таке знеособлення даних і як воно буде працювати з 25 травня?

Нове законодавство ЄС вимагає безпосередньо знеособлювати дані, які ви збираєте і зберігаєте. Директива 1995 таких жорстких вимог не висувала. Тепер треба призначати відповідальну особу. Всі компанії, які є контролерами або операторами і знаходяться за межами ЄС, повинні призначати Data Protection Officer (DPO). Саме DPO притягає до відповідальності в разі, якщо контролер порушує вимоги GDPR. Однак цього «офіцера» не треба призначати, якщо обробка даних ведеться вашим бізнесом епізодично або в малих обсягах.

Які права суб'єктів персональних даних тепер зафіксовані документом?

Крім права «на забуття» і «на знеособлення», введено також право на обмеження обробки даних і на здатність переносити дані. Суб'єкт надання послуг має право:

• отримати копію своїх персональних даних
• безперешкодно перенести свої дані від одного контролера до іншого
• зберігати свої персональні дані на особистому пристрої та інше

Простіше кажучи, тепер саме ви вирішуєте, що буде з вашими особистими даними. Можете в будь-який момент зажадати їх видалення або перенесення від одного контролера до іншого. Ніхто не має права без вашої згоди передавати персональні дані, які ви зберігаєте на особистому пристрої.

Чи торкнеться дію GDPR українських компаній?

Варто зауважити, що регламент стосується абсолютно всіх підприємств, які так чи інакше обробляють дані осіб, які перебувають в Європейському Союзі. Тобто якщо компанії поставляють свої товари або послуги фізичним особам на території ЄС, то вони зобов'язані дотримуватися європейський регламент щодо захисту персональних даних. А такими можуть бути ті компанії, які ведуть онлайн-продажу, туроператори, транспортні компанії. Вони хоч і знаходяться в Україні, але обробляють дані резидентів ЄС. Також під дію GDPR підпадають компанії, які проводять різні маркетингові дослідження, що охоплюють споживачів з Європи.

Введення екстериторіального принципу дії Регламенту пояснюється тим, що інакше неможливо захистити персональні дані фізичних осіб, які перебувають на території Євросоюзу.

Що ж робити звичайним користувачам?

Звичайно ж, у більшості користувачів виникло питання, що ж тепер робити їм, як себе вести. Група активістів Privacy International радить користувачам, щоб швидко розібратися у величезній кількості нових листів про зміну умов, шукати в них ключові слова:

«Дата-провайдери» (Data providers)

Дана фраза може згадуватися в розділі про те, яку інформацію про вас збирають і як. Ми радимо користувачам більш уважно читати подробиці того, які їх особисті дані будуть збиратися третіми сторонами і, головне, для чого.

«Дані про місцезнаходження» (Location data)

У новому законі чітко визначено, що дані місця, які користувач відвідує або відвідував в минулому - це його особиста інформація і не може передаватися третім особам, а тим більше для реклами. Тому послуги повинні повідомляти, як вони збираються таку інформацію використовувати, зокрема, для ідентифікації конкретних користувачів.

«Акт підтвердження» (Affirmative act)

Часи, коли сервіси автоматично вносили користувачів в свою розсилку, якщо ті не зняли галочку в потрібному місці, підійшли до кінця. Але варто все ж перевірити, як давалося згоду на той чи інший сервіс, щоб уникнути неприємних наслідків.

«Контролер» (Controller)

Користувачам за межами ЄС слід перевірити, де знаходиться онлайн-сервіс, яким вони користуються. Facebook нещодавно переклав мільйони своїх користувачів з-під контролю свого ірландського офісу, що означає, що ці користувачі більше не будуть захищатися новими правилами ЄС.

«Цілі» і «Одержувачі» (Purposes and Recipients)

Ці терміни зазвичай позначають, хто саме буде користуватися вашими даними і з ким будуть ними ділитися.

Ну і найголовніше, пам'ятайте, що тільки від вас залежить те, що про вас знає сервіс, яку інформацію він про вас отримав. Саме ваша уважність і пильність допоможе зберегти ваші персональні дані.

Якщо ж ви самі хочете більш детально ознайомитися з європейським регламентом щодо захисту персональних даних GDPR (General Data Protection Regulation), то ви можете це зробити, клікнувши по засланні.