Что такое GDPR?
Общий регламент по защите данных (Регламент (ЕС) 2016/679, GDPR) устанавливает правила обработки персональных данных людей в ЕС. Он применяется с 25 мая 2018 года и дополняется национальными законами государств — членов ЕС.
За серьёзные нарушения предусмотрены штрафы до 20 млн евро или 4% мирового годового оборота — в зависимости от того, что больше. На практике компании чаще всего сталкиваются с GDPR через договоры с клиентами, соглашения об обработке данных и анкеты по безопасности.
Кто должен соблюдать GDPR?
- Любая организация в ЕС, которая обрабатывает персональные данные
- Компании за пределами ЕС, которые предлагают товары или услуги людям в ЕС или отслеживают их поведение (ст. 3(2))
- SaaS-провайдеры и IT-аутсорсеры, обрабатывающие данные по поручению клиентов из ЕС
- Компании из Казахстана, Узбекистана, Грузии, Азербайджана, Армении и стран Балтии, работающие с клиентами из ЕС
Что проверяет бесплатная самооценка по GDPR
- Правовые основания обработки и действительность согласий
- Реестр операций по обработке (ст. 30)
- Уведомления о конфиденциальности и реализация прав субъектов: доступ, удаление, переносимость, возражение
- Обработчики данных и договоры с ними (ст. 28), трансграничная передача
- Безопасность обработки (ст. 32): управление доступом, шифрование, резервное копирование
- Реагирование на утечки и уведомление в течение 72 часов (ст. 33–34)
- Оценка воздействия (DPIA, ст. 35) и инспектор по защите данных (DPO, ст. 37)
Типичные пробелы в соответствии GDPR
Самооценка покажет, какие из них есть у вас, до того как об этом спросит клиент или регулятор.
- Нет актуального реестра операций по обработке
- Нет соглашений об обработке данных с частью поставщиков, особенно SaaS-сервисами
- Нет задокументированной процедуры по запросам субъектов и уведомлению об утечках
- Согласия собираются так, что их нельзя назвать свободными, конкретными или доказуемыми
- Не определены сроки хранения — данные хранятся бессрочно
Оценка, а не сертификация
Единого обязательного сертификата GDPR не существует. Клиенты и регуляторы хотят видеть доказательства выполнения требований. Самооценка даёт структурированную картину этих доказательств и пробелов.
Для части, касающейся информационной безопасности, многие компании также используют ISO/IEC 27001 и ISO/IEC 27701. baltum.ai — независимое программное обеспечение, а не орган по сертификации и не юридическая фирма; самооценка не является юридической консультацией.