Попадает ли Ваш бизнес под новые правила обработки данных GDPR?

GDPR — новые правила обработки персональных данных в Европе. Расшифровывается как общий регламент по защите данных (General Data Protection Regulation). Документ предоставляет резидентам Евросоюза (ЕС) возможность управлять персональными данными: спрашивать про цели обработки, место их хранения, а в случае необходимости удалить. Вступил в силу с 25 мая 2018 года.

Кого затрагивает?

GDPR имеет экстерриториальное действие. Под действие нового регламента обязательно попадут энергетические и финансовые компании, операторы связи и сервисы бронирования, интернет-магазины и социальные сети, а также все, кто работает с данными резидентов ЕС. Неважно, есть ли у вас филиалы в Европе, где зарегистрирована компания и где она обрабатывает данные. Главное условие — работа с данными европейцев, полученными на территории Евросоюза (в том числе через интернет).

География покрытия документа — 28 стран.

Основные положения

• Компании должны понятно объяснить, для чего они собирают данные, как планируют использовать их в дальнейшем. Если цели изменились, а данные продолжают использоваться — это нарушение.
• Данные нужны только в объеме, необходимом для достижения целей.
• Пользователь может запросить копию всей личной информации, которая у вас есть по нему — будьте готовы предоставить ее в течение 30 дней. Также пользователь может потребовать удалить данные о нем без права восстановления.
• Срок хранения данных должен пересекаться со сроком достижения целей.
• Нельзя передавать данные третьим лицам. Сообщать об утечке в течение 3 дней.
• Согласие на обработку данных ребенка должно быть авторизовано родителями (или законными представителями ребенка). Возрастной порог для родительской авторизации устанавливается государствами-членами ЕС отдельно (от 13 до 16 лет).

Какие санкции?

За несоблюдение принципов накладывается штраф в размере от 10 до 20 миллионов евро или от 2 до 4% от годового оборота компании. Практика исполнения решений ЕС в РФ развита не очень хорошо, поэтому даже если Комиссия ЕС наложит штраф на российскую компанию, существует очень маленькая вероятность реального исполнения такого решения. На территории ЕС работа будет затруднена, но подобное решение может стать серьезным основанием для проведения в отношении компании проверки уже российскими органами.

Как привести сайт в соответствие новыми правилами?

Сформируйте политику конфиденциальности и правила использования данных. Подробно опишите там, что за данные вы собираете, как собираетесь использовать в дальнейшем.

GDPR устанавливает высокие требования в отношении формы получения согласия на обработку данных, поэтому согласие человека на обработку его персональных данных должно быть выражено в форме утверждения или в форме четких активных действий пользователя. Нужно сделать более явной форму дачи согласия. В поле для галочки «я даю согласие на обработку своих персональных данных» уточнить, на обработку каких персональных данных пользователь дает свое согласие, сделать разные формы его дачи. Галочка — тоже явное согласие, по новым правилам она должна быть установлена на «нет» по умолчанию.

Для уже имеющихся у вас клиентских баз лучшим вариантом будет рассылка писем с просьбой заново дать свое согласие на обработку оставленных ими ранее персональных данных.

Обязательно добавляйте в конец рассылки такую возможность. Стоит даже немного увеличить саму кнопку «отписаться от рассылки» .