Соответствие GDPR и защита персональных данных

Регламент прямо говорит, к кому применяется. К контролёру или обработчику вне ЕС, если он предлагает товары или услуги людям в ЕС — платно или бесплатно. Или если следит за их поведением там.

Значит, адрес вашей компании ничего не решает. Аналитика по посетителям из Европы — это наблюдение. Бесплатный тариф, открытый для европейцев, — это предложение. Любого из них достаточно.

Дальше — ваша роль. Контролёр решает, зачем и как обрабатывать данные. Обработчик действует только по его указаниям. Большинство продуктов — контролёры для своих пользователей и обработчики для корпоративных клиентов, в одних и тех же системах.

Четыре обязанности, от которых зависит всё остальное

Законное основание для каждой цели

Оснований шесть, согласие — только одно из них. Остальные: договор, обязанность по закону, жизненные интересы, общественная задача и законный интерес. У каждой цели своё основание.

Представитель в ЕС

Компания вне ЕС письменно назначает представителя в стране, где её пользователи. Исключения — только для редкой обработки с низким риском и для госорганов.

Реестр обработки

Цели, категории людей и данных, получатели, передачи, сроки хранения. Даже при штате меньше 250 человек реестр нужен, если обработка регулярная или касается особых категорий.

Специалист по защите данных

Обязателен для госорганов. А также если вы регулярно и в большом масштабе наблюдаете за людьми или обрабатываете много особых данных или данных о судимости.

Сроки и штрафы

Об утечке сообщают регулятору без лишней задержки — по возможности за 72 часа с момента, как о ней узнали. Если позже, нужно объяснить причину.

На запрос человека отвечают в течение месяца. В сложных случаях можно продлить ещё на два месяца, если предупредить в первый месяц.

Штрафы — по двум шкалам. За нарушение обязанностей контролёра или обработчика — до 10 миллионов евро или 2% мирового годового оборота, смотря что больше. За нарушение основных принципов, правил согласия, прав людей или передачи данных — до 20 миллионов евро или 4%.

Передача данных за пределы Европы

Передавать можно, если страна признана достаточно защищённой. Или если есть собственные гарантии: стандартные договорные условия Еврокомиссии, обязательные корпоративные правила группы или утверждённый кодекс. Гарантию прописывают в договоре с получателем до передачи, а не когда клиент спросит.

Политика конфиденциальности и чего не сделает генератор

Политика — это видимая часть работы. Генератор соберёт документ по анкете. Но он не сверит ответы с тем, как устроен ваш продукт, не выберет основания, не назначит представителя и не ответит на запрос вовремя.

Правила за пределами Европы

Калифорния

На проверенный запрос отвечают за 45 дней, продлить можно один раз. Штраф — до 2 500 долларов за нарушение и до 7 500, если оно умышленное или касается человека младше 16 лет.

Дети в США

Федеральное правило о детях до 13 лет требует проверенного согласия родителей до сбора данных. А ещё письменную программу безопасности и предельный срок хранения.

Источники: сфера действия регламента, представитель, реестр, специалист, 72 часа, месяц, гарантии передачи и обе шкалы штрафов — Общий регламент по защите данных; калифорнийский срок и суммы — Civil Code 1798.155; американские обязанности по детям — 16 CFR part 312.