GDPR НА ПОДХОДЕ: 7 фактов, которые надо знать о вводимом законе по защите данных

25 мая вступает в силу новая директива ЕС о защите персональных данных — GDPR. Цель данного регламента ЕС – борьба с необоснованным использованием и утечкой персональных данных. Фактически это может быть любая информация, относящаяся к физическому лицу, по которой прямо или косвенно можно, как говорится, вычислить конкретную персону.

О самых главных моментах GDPR журналисту Людмиле ВЕВЕРЕ рассказывает специалист по защите данных Norvik Banka Андрис СТЕНГРЕВИЦ.

1. ПЕРСОНАЛЬНЫЕ ДАННЫЕ — это что? Во-первых, это информация, которая непосредственно идентифицирует личность. Во-вторых, это информация, которая с большой долей вероятности делает такую идентификацию возможной. В-третьих, это информация, которая относится к идентифицируемому человеку (например, сведения о материальном положении и личной жизни).

К данной сфере относятся: имя, фамилия, адрес и данные о местоположении, персональный код, вся финансовая информация, взятые кредиты, информация о сделанных покупках, видеонаблюдение, аудиозапись, IP-адрес, пароль, любая информация в Интернете — что искал, используемые cookies. А еще — собственность, биометрические данные, GPS в машине… Все документы…

2. ЦЕЛЬ ВВЕДЕНИЯ GDPR — создать единую европейскую систему для компаний, которые занимаются обработкой личных данных. Этот порядок вызывает определенные хлопоты у предприятий, но предоставляет людям намного больше прав в деле защиты и контроля своих личных данных. В современном мире это очень важно!

3. КАК ЭТО РАБОТАЕТ — Скажем, вас просят заполнить анкету лояльности в аптеке или магазине: вы вправе оставлять только те данные о себе, которые сами считаете возможными. Минимальность – один из главных принципов сбора персональных данных. Или, например, вам будет названивать некий распространитель чего угодно (услуг связи, супер-пупер косметики, пищевых добавок и бог знает еще чего) с предложением купить их товары или услуги — это уже явное нарушение закона! Если, конечно, вы номер своего телефона сами этой организации не дали и не согласились на такую коммерческую коммуникацию.

Кроме того, новый регламент ЕС дает возможность каждому человеку узнать, какие данные о нем хранит какая-то компания или учреждение (банк, медцентр, библиотека и пр.), и уточнить – для каких целей используются эти данные, в каком объеме и как долго. Каждый человек вправе выяснить, насколько надежно хранятся личные данные, как именно хранятся, с какой целью и кому передаются. Вы вправе запретить их использовать и даже требовать удалить их из баз данных.

4. УСТАНОВЛЕН ПРОСТО ОГРОМНЫЙ ШТРАФ — за игнорирование Общего регламента о защите данных Европейского союза. Это может быть 20 миллионов евро или 4% от годового глобального дохода компании — в зависимости от того, какая из возможных сумм больше. Очень и очень все жестко.

5. КОГО КОСНЕТСЯ НОВАЯ РЕГУЛА — Очень многих! Исходя из вышесказанного, становится понятно, что новое регулирование коснется абсолютно всех компаний, учреждений и предприятий Латвии (больших и имеющих даже трех сотрудников), которые обладают персональными данными своих клиентов, партнеров или членов своего же коллектива.

Совершенно неважно, в какой сфере занято предприятие: это финансовое учреждение, стоматологическая клиника или обувной магазин с программой лояльности. Если у компании есть хоть какая-то информация, база данных с персональными данными людей, она автоматически подпадает под действие нового регламента ЕС.

То есть надо обеспокоиться новым регламентом ЕС, если в базе вашего предприятия хранится что-то из нижеперечисленного:

Имя-фамилия, номер телефона, адреса электронной почты и проживания; регистрационный номер и марка автомобиля; сведения о национальности, политических или религиозных взглядах, сексуальной ориентации, номере банковского счета, номере банковской карты и сроке ее действия; истории болезней, данные о группе крови, информация о членах семьи; фотография лица, биометрические данные; паспортные данные, персональный код, подпись; информация об уровне личных доходов и другие персональные параметры физического лица.

Даже в такой бытовой ситуации, как публичное поздравление кого-то с юбилеем посредством прессы или радио, стоит согласовать это дело с юбиляром и убедиться, что у него нет возражений, чтобы в публичном пространстве был озвучен его возраст.

6. БАНКИ — новые меры безопасности усложнят деятельность компаний, которые работают с финансами. Если раньше многие беспокоились прежде всего о деньгах клиента, а всё остальное было своего рода дополнительной гарантией, — то теперь наша зона обязательной ответственности еще больше расширилась. Деньги и личная информация клиента становятся практически равноценными.

Скажу, что для кредитных учреждений, которые исторически нацелены на соблюдение максимальной безопасности данных своих клиентов, новый регламент ЕС становится поводом навести еще больший порядок в этом смысле. Так, Norvik Banka уже год назад (а не сегодня) начал принимать меры, чтобы полностью соответствовать всем требованиям GDPR. Но мы в Norvik Banka к этому готовы!

В Norvik Banka создана постоянная комиссия по защите данных, в состав которой входят представители стратегически важных функциональных структурных подразделений. Мы готовы соответствовать целому своду параграфов, которые я сейчас не буду перечислять, так как их немало.

Norvik Banka завершил работу по созданию централизованного механизма для обеспечения правомерности обработки данных, основанного на единой политике обработки данных клиентов и проистекающих из нее внутренних нормативных документах. Мы уже приступили к обучению персонала, направленному на обеспечение практического выполнения требований регламента ЕС, ориентированного на понимание легитимных интересов клиентов в области правомерности обработки и защиты данных.

Уверяю вас, у клиентов нашего банка будут гарантированные возможности получить квалифицированные консультации по всем вопросам, связанным с обработкой их данных и реализацией прав, предусмотренных регламентом ЕС о защите данных. У кого? У назначенного кредитным учреждением специалиста по защите данных!

7. ПОДВОДНЫЕ РЕКИ ЗАКОНА — нюансов у нового регламента ЕС много. К примеру, компании обязаны сами уведомлять регулирующие органы (а в некоторых случаях и самого человека) о любых нарушениях, связанных с персональными данными, в течение 72 часов после обнаружения такого нарушения. А также компании должны систематично расценивать разные риски, связанные с обработкой персональных данных, и принимать дополнительные меры по защите данных, если риски выявляются высокие.

8. ИЩИТЕ ОТВЕТСТВЕННОГО — многим фирмам следует найти и назначить ответственного за защиту персональных данных (иногда человек для этого должен пройти специальные курсы, уже имея соответствующее образование). Это требование, например, относится к компаниям, которые осуществляют регулярные и систематические крупномасштабные наблюдения, мониторинг лиц или занимаются крупномасштабной обработкой специальных персональных данных – к примеру, медицинских записей или биометрических данных.

P. S. Соблюдение нового регламента ЕС будет контролировать Государственная инспекция данных.