GDPR - это Общий регламент о защите персональных данных, принятый в ЕС в 2018 году. Действие Регламента распространяется на все компании, даже на российские, но которые осуществляют обработку персональных данных (ПД) клиентов и контрагентов из Европы.
Таким образом, если ваша организация соответствует хотя бы одному из следующих признаков:
- имеет филиал или представительство на территории ЕС
и/или
- работает с гражданами ЕС, предоставляя товары или услуги через Интернет (то есть “имеет сайт на иностранном европейском языке, осуществляет операции в валюте”)
и/или
- осуществляет обработку ПД граждан ЕС или оказывает услуги по обработке ПД
то вы обязаны соблюдать GDPR.
Требования GDPR во многом схожи с требованиями российского Закона о персональных данных, но есть и отличия, на которые следует обратить внимание в первую очередь:
· к ПД относятся IP-адреса и сookies;
· у субъектов ПД есть права на перенос данных, доступ к информации об утечках ПД, получение копии обрабатываемых ПД;
· компании должны вести реестр обрабатываемых ПД;
· компании должны проводить оценку воздействия на конфиденциальность (Data Protection Impact Assessment, DPIA), если в компании обработка специальных категорий ПД осуществляется в широком масштабе.
· компании должны предоставлять регулятору отчёты об утечках персональных данных в течение 72 часов с момента регистрации инцидента
Про ответственность:
Нарушение правил GDPR грозит как репутационными рисками, так и финансовыми в виде наложения штрафа в размере до 20 млн. евро или до 4% от общего мирового годового оборота за прошедший финансовый год.
Для того, чтобы минимизировать риски привлечения к ответственности за нарушение регламента, любой российской компании рекомендуем внимательно оценить распространяется ли на них действие GDPR, далее провести ряд мероприятий по соблюдению требований Регламента, таких как:
· привести в соответствие с GDPR политику конфиденциальности
· подготовить реестр ПД
· разработать процедуры уведомления регуляторов и субъектов ПД об утечке данных
· определить необходимости проведения оценки воздействия на конфиденциальность для высокорискованных процессов обработки ПД
· определить необходимость назначения ответственного за защиту ПД (Data Protection Officer, DPO) и представителя в ЕС
· определить наличие правовых оснований для трансграничной передачи ПД.
И конечно же постоянно следить за практикой его применения и изменений. ТИМ всегда готов помочь вам по данному вопросу!