Що таке GDPR?
Загальний регламент про захист даних (Регламент (ЄС) 2016/679, GDPR) встановлює правила обробки персональних даних людей у ЄС. Він застосовується з 25 травня 2018 року й доповнюється національними законами держав — членів ЄС.
За серйозні порушення передбачено штрафи до 20 млн євро або 4% світового річного обороту — залежно від того, що більше. На практиці компанії найчастіше стикаються з GDPR через договори з клієнтами, угоди про обробку даних та анкети з безпеки.
GDPR і український закон «Про захист персональних даних»
В Україні діє Закон «Про захист персональних даних» 2010 року, а контроль здійснює Уповноважений Верховної Ради з прав людини. У межах євроінтеграції готується нове регулювання, наближене до GDPR: законопроєкт № 8153 ухвалено в першому читанні в листопаді 2024 року.
Для компаній, що працюють із клієнтами з ЄС, GDPR уже діє сьогодні — через договори, анкети безпеки та вимоги до розпорядників даних. Якщо ви вибудуєте процеси за логікою GDPR, то виконаєте й основні вимоги українського закону та будете готові до нового.
Кому потрібно дотримуватися GDPR?
- Будь-якій організації в ЄС, що обробляє персональні дані
- Компаніям поза ЄС, які пропонують товари чи послуги людям у ЄС або відстежують їхню поведінку (ст. 3(2))
- Українським IT-компаніям, SaaS-провайдерам і аутсорсерам, що обробляють дані за дорученням клієнтів з ЄС
- Відділам HR, маркетингу, e-commerce та медицини, які працюють із даними клієнтів чи працівників
Що перевіряє безкоштовна самооцінка за GDPR
- Правові підстави обробки та дійсність згод
- Реєстр операцій з обробки (ст. 30)
- Повідомлення про конфіденційність і реалізація прав суб'єктів: доступ, видалення, перенесення, заперечення
- Обробники даних і договори з ними (ст. 28), транскордонна передача
- Безпека обробки (ст. 32): управління доступом, шифрування, резервне копіювання
- Реагування на витоки й повідомлення протягом 72 годин (ст. 33–34)
- Оцінка впливу (DPIA, ст. 35) та інспектор із захисту даних (DPO, ст. 37)
Типові прогалини у відповідності GDPR
Самооцінка покаже, які з них є у вас, ще до того, як про це запитає клієнт чи регулятор.
- Немає актуального реєстру операцій з обробки
- Немає угод про обробку даних із частиною постачальників, особливо SaaS-сервісами
- Немає задокументованої процедури для запитів суб'єктів і повідомлення про витоки
- Згоди збирають так, що їх не можна назвати вільними, конкретними чи доказовими
- Не визначено строки зберігання — дані зберігаються безстроково
Оцінка, а не сертифікація
Єдиного обов'язкового сертифіката GDPR не існує. Клієнти й регулятори хочуть бачити докази виконання вимог. Самооцінка дає структуровану картину цих доказів і прогалин.
Для частини, що стосується інформаційної безпеки, багато компаній також використовують ISO/IEC 27001 та ISO/IEC 27701. baltum.ai — незалежне програмне забезпечення, а не орган із сертифікації й не юридична фірма; самооцінка не є юридичною консультацією.