GDPR для компаний из Казахстана, Узбекистана и Грузии, работающих с ЕС

Три сценария, в которых GDPR касается вашей компании

Общий регламент по защите данных, Регламент (ЕС) 2016/679, имеет экстерриториальное действие. Для компаний из Казахстана, Узбекистана и Грузии на практике важны три ситуации.

Первая: вы предлагаете товары или услуги людям, находящимся в ЕС (статья 3(2)(a)). Признаки этого: сайт на языках стран ЕС, цены в евро, доставка в ЕС, реклама на европейскую аудиторию. Например, грузинский отель, который продает номера через собственный сайт на немецком и французском языках, или казахстанская онлайн-школа с курсами для русскоязычных жителей Германии.

Вторая: вы отслеживаете поведение людей в ЕС (статья 3(2)(b)): веб-аналитика с профилированием, поведенческая реклама, персонализация в мобильном приложении.

Третья, самая частая для IT-аутсорсинга: вы обрабатываете данные по поручению европейского клиента. Тогда вы обработчик, и требования GDPR приходят к вам через договор по статье 28 и правила международной передачи данных. Даже если прямое применение регламента к вам спорно, европейский клиент обязан контрактно требовать от вас соблюдения его стандартов.

Национальные законы: что нужно учитывать параллельно

GDPR не отменяет местное законодательство, и наоборот. Компания должна одновременно соблюдать оба режима, а в местах противоречий искать решение, которое удовлетворяет обоим.

Казахстан. Обработка регулируется Законом «О персональных данных и их защите» 2013 года. Закон содержит требование о хранении персональных данных в базе, расположенной на территории Казахстана. Уполномоченный орган в этой сфере определяется правительством, и требования периодически уточняются, поэтому проверяйте актуальную редакцию и разъяснения регулятора.

Узбекистан. Действует Закон «О персональных данных» 2019 года. После изменений 2021 года закон требует, чтобы персональные данные граждан Узбекистана, обрабатываемые с использованием информационных технологий, хранились в базах данных, физически расположенных на территории страны. Это важно, если вы обрабатываете данные узбекских клиентов в облаке ЕС, или наоборот.

Грузия. В 2023 году принят новый Закон о защите персональных данных, большая часть которого вступила в силу в марте 2024 года. Он во многом сближен с GDPR: принципы, правовые основания, права субъектов, уведомление об инцидентах, назначение ответственного за защиту данных для ряда организаций. Надзор осуществляет Служба по защите персональных данных Грузии. Для грузинских компаний переход к соответствию GDPR обычно проще, но различия в деталях остаются.

Ни одна из этих стран не имеет решения Европейской комиссии об адекватности уровня защиты. Это определяет, как данные из ЕС могут к вам попадать.

Передача данных из ЕС: стандартные договорные условия

Поскольку решений об адекватности нет, передача персональных данных из ЕС в Казахстан, Узбекистан или Грузию требует надлежащих гарантий по главе V GDPR. На практике почти всегда используются стандартные договорные условия (SCC), утвержденные Имплементационным решением Комиссии (ЕС) 2021/914. Выбирается модуль в зависимости от ролей: контролер-контролер, контролер-обработчик, обработчик-обработчик, обработчик-контролер.

Подписать SCC недостаточно. Европейская сторона и получатель должны оценить законодательство и практику страны получателя, в том числе возможность доступа государственных органов к данным, и при необходимости принять дополнительные меры. Обычно это шифрование при хранении и передаче, псевдонимизация, ограничение доступа и прозрачная процедура реагирования на запросы властей. Подготовьте заранее краткое описание правовой среды вашей страны и ваших мер: европейский клиент почти наверняка его попросит.

Учтите конфликт с локализацией. Если вы храните данные граждан Узбекистана или Казахстана, а также обрабатываете данные клиентов из ЕС, продумайте архитектуру: какие базы где хранятся, какие копии допустимы, кто имеет доступ из какой страны.

Представитель в ЕС и другие обязательные шаги

Если GDPR применяется к вам напрямую по статье 3(2), статья 27 обычно требует письменно назначить представителя в одном из государств ЕС, где находятся ваши клиенты. Исключение касается только эпизодической обработки с низким риском, не включающей в больших объемах чувствительные данные. Представитель служит контактом для надзорных органов и субъектов данных.

Кроме этого, проверьте базовые требования:

• Реестр операций обработки по статье 30: какие данные, для каких целей, на каком основании, кому передаются, где хранятся и как долго.
• Правовое основание для каждой цели по статье 6. Согласие не универсально: для исполнения заказа основанием служит договор.
• Уведомление о конфиденциальности по статьям 13 и 14 на языке, понятном вашим клиентам.
• Процедура запросов субъектов данных с ответом в течение месяца.
• Договоры обработки (DPA) с клиентами и с вашими поставщиками: хостинг, CRM, рассылки.
• Меры безопасности по статье 32 и процедура уведомления об утечках: 72 часа для уведомления контролером надзорного органа.

Отраслевые примеры

Аутсорсинговая разработка из Ташкента или Алматы с доступом к продуктивной базе клиента из Нидерландов. Компания является обработчиком. Нужны DPA, SCC в модуле контролер-обработчик, перечень субобработчиков, процедура уведомления клиента об инцидентах, контроль доступа разработчиков к реальным данным. Хорошая практика заключается в использовании обезличенных тестовых данных вместо копий продуктивной базы.

Туристическая компания из Тбилиси, продающая туры жителям ЕС через собственный сайт. Компания является контролером и подпадает под статью 3(2). Нужны представитель в ЕС, политика конфиденциальности, корректные основания для маркетинговых рассылок, договоры с отелями и транспортными партнерами, а также учет требований грузинского закона.

Логистический оператор из Казахстана, обрабатывающий данные получателей посылок из ЕС по договору с европейским маркетплейсом. Чаще всего это роль обработчика с жесткими требованиями к сроку хранения данных и к локализации, которая может противоречить ожиданиям клиента. Этот вопрос нужно обсуждать до подписания договора.

Типичные ошибки и риски

Самые частые проблемы: компания считает, что GDPR ее не касается, потому что у нее нет офиса в ЕС; договор с европейским клиентом подписан без понимания обязательств по DPA; используются облачные сервисы и субподрядчики, о которых клиент не знает; данные хранятся бессрочно; нет журнала инцидентов; на сайте стоит скопированная политика конфиденциальности, не отражающая реальную обработку.

Штрафы по GDPR могут достигать 20 млн евро или 4% мирового годового оборота (статья 83). Для компании за пределами ЕС более ощутимы коммерческие последствия: потеря контракта после аудита клиента, требования о возмещении убытков, блокировка в каталогах поставщиков крупных европейских компаний. Кроме того, нарушения национального законодательства о персональных данных влекут собственную ответственность, размеры которой определяются местными законами, поэтому их нельзя игнорировать ради соответствия GDPR.

План действий на первые недели

Начните с короткой инвентаризации и определения ролей. Затем расставьте приоритеты по риску: что важнее всего для ваших ключевых клиентов и где больше всего данных.

• Определите, в каких из трех сценариев вы находитесь, и запишите свою роль по каждому направлению.
• Составьте реестр обработки и карту хранения данных с указанием стран.
• Сверьте требования GDPR и национального закона, отметьте точки конфликта, особенно по локализации.
• Подготовьте шаблоны DPA и SCC, перечень субобработчиков и описание мер безопасности.
• Назначьте ответственного за защиту данных и, если нужно, представителя в ЕС.
• Проведите обучение сотрудников, которые работают с данными клиентов из ЕС.

Как оценить готовность

GDPR кажется объемным, но большинство требований сводятся к понятным вопросам: знаете ли вы, какие данные обрабатываете, на каком основании, где они лежат, кто к ним имеет доступ и что вы сделаете при утечке. Если на каждый вопрос есть ответ и доказательство, вы уже на правильном пути.

Полезно также проверить себя глазами клиента. Европейские компании при выборе поставщика обычно запрашивают одни и те же материалы: реестр или описание обработки, перечень субобработчиков со странами, описание технических и организационных мер, процедуру уведомления об инцидентах, подписанные SCC и оценку рисков передачи. Если этот пакет у вас готов, переговоры идут заметно быстрее, а ответы на анкеты становятся рутиной. Обновляйте его хотя бы раз в год и при каждом подключении нового облачного сервиса или подрядчика.

Бесплатная самооценка на baltum.ai поможет быстро увидеть, какие требования GDPR у вас закрыты, а какие стоит проработать до следующего запроса от европейского клиента.

Статья носит информационный характер и не является юридической консультацией. baltum.ai — независимое программное обеспечение, а не орган по сертификации.