GDPR для компаний — полное руководство по защите персональных данных согласно Регламенту ЕС 2016/679
Практическое руководство по GDPR для компаний: что такое GDPR, его соотношение с Законом № 18/2018 Z. z., 7 принципов обработки, правовые основания, права субъектов данных, обязанности, ответственное лицо (DPO), уведомление о нарушении в течение 72 часов, санкции и словацкие особенности.
Что такое GDPR и почему это касается вашей компании
GDPR (*General Data Protection Regulation* — Общий регламент о защите данных) — это общий регламент о защите персональных данных, официально Регламент Европейского парламента и Совета (ЕС) 2016/679. Это наиболее всеобъемлющий нормативный акт о защите персональных данных в истории ЕС. В отличие от директивы, которая переносится в национальное право, регламент является непосредственно применимым — он действует одинаково во всех государствах-членах. Вступил в силу 25 мая 2018 года.
Многие руководители убеждены, что GDPR — это проблема крупных корпораций и технологических гигантов. На самом деле всё иначе. Регламент распространяется на каждого, кто обрабатывает персональные данные в связи с ведением бизнеса — от ООО с единственным учредителем через интернет-магазин, бухгалтерскую фирму и медицинский кабинет до производственного предприятия. Если вы ведёте базу данных клиентов, рассылаете информационные письма, используете систему видеонаблюдения, ведёте учёт посещаемости или собираете контакты через форму — вы обрабатываете персональные данные, и GDPR на вас распространяется.
Если вы ищете конкретные услуги по внедрению GDPR, а не теорию, посетите страницу GDPR для компаний — под ключ. Данное руководство носит образовательный характер и углублённо рассматривает законодательство.
GDPR и Закон № 18/2018 Z. z. — как они соотносятся
Частый источник путаницы — соотношение европейского регламента и словацкого закона. Оба действуют одновременно, но каждый выполняет свою функцию. Регламент 2016/679 (GDPR) — главный, непосредственно применимый акт, который определяет принципы, правовые основания, права субъектов данных, обязанности и санкционную базу. Это не транспозиция, и никакой «словацкой версии GDPR» не существует.
Закон № 18/2018 Z. z. о защите персональных данных дополняет GDPR там, где регламент оставляет государствам-членам пространство для собственного регулирования (так называемые открытые оговорки) — статус надзорного органа, особенности обработки идентификационного номера, возрастной порог согласия ребёнка или журналистские цели. Закон № 18/2018 Z. z. заменил предыдущий Закон № 122/2013 Z. z. (который, в свою очередь, заменил более ранний Закон № 428/2002 Z. z.); оба уже не применяются.
Практически это означает: когда вам нужна дефиниция права на удаление или срок уведомления о нарушении — открываете GDPR. Когда решаете, вправе ли запрашивать идентификационный номер или с какого возраста действует согласие несовершеннолетнего — открываете Закон № 18/2018 Z. z.
Основные понятия — кто есть кто в защите данных
Чтобы применять GDPR, необходимо понимать четыре роли.
- Персональные данные — любая информация об идентифицированном или идентифицируемом физическом лице: имя, e-mail, номер телефона, IP-адрес, данные о местоположении, фотография. Особые категории (чувствительные данные) согласно ст. 9 GDPR — данные о здоровье, биометрические, генетические данные, сведения о вероисповедании, политических взглядах или сексуальной ориентации — к ним применяется более строгий режим.
- Субъект данных — человек, чьи данные обрабатываются: ваш клиент, сотрудник, поставщик, посетитель сайта.
- Контролёр (оператор) — тот, кто определяет цели и средства обработки, как правило — ваша компания. Несёт основную ответственность и подвергается санкциям.
- Обработчик (процессор) — обрабатывает данные от имени контролёра (внешний бухгалтер, расчётная фирма, IT-провайдер, рассылочный сервис, облако). Отношения с ним должны быть оформлены договором на обработку данных согласно ст. 28 GDPR.
Семь принципов обработки персональных данных (ст. 5 GDPR)
Весь GDPR основан на семи принципах согласно ст. 5. Это ограничители, которые необходимо соблюдать при каждой обработке данных. За их нарушение грозит высшая категория штрафов.
- Законность, справедливость и прозрачность — данные обрабатываются только на законном основании, добросовестно и так, чтобы субъект был об этом понятно осведомлён.
- Ограничение цели — данные собираются для конкретной, явной и законной цели и не используются для иных несовместимых с ней целей.
- Минимизация данных — собирайте только те данные, которые действительно необходимы для цели. Никаких «про запас».
- Точность — данные поддерживаются в актуальном состоянии, неточные немедленно исправляются или удаляются.
- Ограничение хранения — данные хранятся лишь до тех пор, пока это необходимо, после чего удаляются или обезличиваются.
- Целостность и конфиденциальность — данные надлежащим образом защищены от несанкционированного доступа, потери или уничтожения.
- Подотчётность (accountability) — соблюдение предыдущих шести принципов необходимо уметь доказать. Недостаточно лишь соблюдать правила — нужны подтверждающие документы.
Именно седьмой принцип — подотчётность — превращает GDPR в систему, где позиция «правил мы не нарушаем, но ничего не задокументировали» не работает. При проверке ведомство запрашивает подтверждающие документы.
На каком правовом основании можно обрабатывать данные (ст. 6 GDPR)
Никакая обработка не может быть «просто так». Каждая должна иметь одно из шести правовых оснований согласно ст. 6 GDPR:
- Согласие субъекта данных — свободное, конкретное, информированное и однозначное волеизъявление; должно быть отзываемым и документально подтверждённым.
- Исполнение договора — когда обработка необходима для заключения или исполнения договора (доставка заказа, выплата заработной платы).
- Юридическая обязанность — когда обработку требует иной закон (бухгалтерский учёт, налоги, архивирование, документация BOZP (безопасность и охрана здоровья при работе) и по охране здоровья работников).
- Жизненно важный интерес — защита жизни и здоровья лица (редкий случай, например, в здравоохранении).
- Публичный интерес или осуществление публичных полномочий — характерно для органов государственной власти.
- Законный интерес — гибкое основание (прямой маркетинг для существующих клиентов, сетевая безопасность, взыскание задолженности); требует теста соразмерности (балансового теста).
Наиболее распространённая ошибка компаний: они запрашивают согласие на всё. На самом деле согласие нередко является самым слабым и самым «хрупким» основанием (его можно отозвать в любой момент). Для исполнения заказа или ведения расчётной ведомости согласие вообще не требуется.
Права субъекта данных (ст. 15 – 22 GDPR)
GDPR предоставляет людям широкие и принудительно реализуемые права. Компания должна реагировать на их осуществление, как правило, в течение одного месяца (ст. 12 GDPR).
| Право | Статья | Что означает |
|---|---|---|
| Доступ | ст. 15 | Субъект может запросить, обрабатываете ли вы его данные и какие именно, и получить их копию. |
| Исправление | ст. 16 | Исправление неточных и дополнение неполных данных. |
| Удаление («право на забвение») | ст. 17 | Удаление данных, когда они больше не нужны или когда согласие было отозвано. |
| Ограничение обработки | ст. 18 | Временная «заморозка» обработки в спорных случаях. |
| Переносимость данных | ст. 20 | Выдача данных в структурированном, машиночитаемом формате. |
| Возражение | ст. 21 | Возражение против обработки на основании законного интереса и в маркетинговых целях. |
| Автоматизированное принятие решений | ст. 22 | Право не подвергаться исключительно автоматизированному решению, влекущему правовые последствия. |
Практический вывод: необходимо иметь функционирующий процесс — как вы принимаете запросы, проверяете личность заявителя, находите данные и отвечаете в установленный срок. Игнорирование запросов является наиболее частой причиной жалоб в ведомство.
Обязанности компании — документация, которую необходимо иметь
Помимо принципов и прав, GDPR накладывает на компанию конкретные «бумажные» обязанности. Именно их ÚOOÚ (Ведомство по защите персональных данных СР) проверяет в первую очередь.
Обязанность по информированию (ст. 13 – 14 GDPR)
При сборе данных вы обязаны понятно проинформировать субъекта — кто вы, для какой цели и на каком основании обрабатываете данные, кому их передаёте, как долго храните и какими правами он располагает. Это оформляется документом Политика конфиденциальности (Принципы защиты персональных данных). Ст. 13 относится к данным, полученным непосредственно от субъекта, ст. 14 — к данным, полученным из другого источника.
Реестр деятельности по обработке данных (ст. 30 GDPR)
Ст. 30 GDPR требует вести внутренний реестр деятельности по обработке — обзор того, какие данные, для какой цели, на каком основании, как долго и кому вы обрабатываете. Существует исключение для организаций с численностью менее 250 сотрудников, однако оно не применяется, если обработка не является единичной, создаёт риск для прав субъектов или включает особые категории данных — что касается практически каждой реальной компании. На практике, таким образом, реестр нужен даже небольшой компании.
DPIA и безопасность (ст. 35 и ст. 32 GDPR)
Если обработка, по всей вероятности, влечёт высокий риск (обширная система видеонаблюдения, профилирование, чувствительные данные в большом объёме), до её начала необходимо провести оценку воздействия на защиту данных (DPIA) согласно ст. 35 GDPR. Одновременно ст. 32 GDPR требует применять надлежащие технические и организационные меры — шифрование, управление доступом, резервное копирование, псевдонимизацию и обучение сотрудников.
Ответственное лицо по защите данных (DPO) — когда оно обязательно (ст. 37 GDPR)
Ответственное лицо по защите данных (Data Protection Officer, DPO) — внутренний или внешний эксперт, который следит за соблюдением GDPR, консультирует руководство и является контактной точкой для субъектов данных и ведомства. Согласно ст. 37 GDPR (и § 44 Закона № 18/2018 Z. z.) его назначение является обязательным в трёх случаях:
- вы являетесь органом государственной власти или субъектом публичного права;
- ваша основная деятельность состоит в масштабном систематическом мониторинге субъектов данных (обширное отслеживание поведения, профилирование);
- ваша основная деятельность состоит в масштабной обработке особых категорий данных согласно ст. 9 (например, медицинские учреждения).
В иных случаях DPO не является обязательным, однако многие компании назначают его добровольно, поскольку это упрощает демонстрацию подотчётности. DPO должен обладать профессиональными знаниями, независимым положением и достаточными ресурсами. Функцию может выполнять внешний поставщик (DPO-аутсорсинг) — наиболее распространённое решение для малого и среднего бизнеса.
Утечка данных и уведомление о нарушении в течение 72 часов (ст. 33 – 34 GDPR)
Нарушение защиты персональных данных (data breach) — любое нарушение безопасности, приводящее к уничтожению, утрате, изменению, несанкционированному раскрытию или доступу к данным — от потерянного USB-носителя через взломанный интернет-магазин до письма, отправленного не тому адресату.
- Уведомление надзорного органа (ст. 33 GDPR, § 40 Закона № 18/2018 Z. z.) — о нарушении необходимо уведомить Ведомство по защите персональных данных Словацкой Республики без неоправданной задержки, не позднее 72 часов с момента, когда вы узнали о нём. Исключение — случай, когда нарушение, по всей вероятности, не создаст риска для прав субъектов.
- Уведомление субъекта данных (ст. 34 GDPR) — если нарушение, по всей вероятности, влечёт высокий риск, необходимо без неоправданной задержки также уведомить непосредственно затронутых лиц.
Каждое нарушение — в том числе то, о котором вы не уведомляете, — необходимо задокументировать внутри компании. Заранее подготовленный план реагирования на инцидент (кто принимает решение, кто уведомляет и в какой срок) — разница между управляемым инцидентом и штрафом за пропущенное уведомление.
Санкции за нарушение GDPR (ст. 83)
GDPR имеет один из наиболее строгих санкционных режимов в ЕС. Ст. 83 GDPR разграничивает два уровня штрафов в зависимости от тяжести нарушения.
| Уровень | Максимальный штраф | Типичные нарушения |
|---|---|---|
| Нижний уровень (ст. 83 ods. 4) | до 10 млн € или 2 % общемирового годового оборота (применяется большая сумма) | отсутствие реестра (ст. 30), обязанности обработчика, отсутствие DPIA, неназначение DPO |
| Верхний уровень (ст. 83 ods. 5) | до 20 млн € или 4 % общемирового годового оборота (применяется большая сумма) | нарушение принципов (ст. 5), правовых оснований (ст. 6), прав субъектов (ст. 15–22), правил передачи данных |
Штраф определяется исходя из того, которая из двух сумм (фиксированная или процентная) выше. При определении размера ведомство принимает во внимание характер, серьёзность и продолжительность нарушения, умысел, сотрудничество и принятые меры. Помимо штрафов может быть предписано корректирующее воздействие, включая временный или постоянный запрет на обработку. В словацкой практике штрафы пока ниже европейских максимумов, однако число решений ÚOOÚ растёт.
Ведомство по защите персональных данных СР (ÚOOÚ) и проверки
Надзорным органом в Словакии является Ведомство по защите персональных данных Словацкой Республики (ÚOOÚ), сайт dataprotection.gov.sk. Остерегайтесь распространённого заблуждения: соблюдение GDPR контролирует не районное управление и не инспекция труда — исключительно ÚOOÚ.
Ведомство принимает и рассматривает жалобы субъектов данных, проводит проверки (по собственной инициативе и по жалобам), принимает уведомления о нарушениях и налагает штрафы. Проверка чаще всего инициируется на основании жалобы клиента или сотрудника. В ходе неё ведомство запрашивает именно документацию — реестр деятельности по обработке, политику конфиденциальности, согласия, договоры с обработчиками и подтверждение принятых мер. Компания с документацией в порядке пройдёт проверку без серьёзных проблем.
Словацкие особенности, которые GDPR не регулирует
Идентификационный номер (§ 78 Закона № 18/2018 Z. z.)
Идентификационный номер (rodné číslo) является в Словакии универсально применимым идентификатором с особым режимом согласно § 78 ods. 4 Закона № 18/2018 Z. z. Его можно использовать для идентификации лица только в случае, если это необходимо для достижения цели; при обработке на основании согласия согласие должно быть явным, и публикация идентификационного номера запрещена (кроме случая, когда его публикует само лицо). Массовый сбор идентификационных номеров «в форму на всякий случай» — типичное нарушение.
Возраст согласия ребёнка = 16 лет
При предоставлении услуг информационного общества (онлайн-сервисы) непосредственно ребёнку согласие действительно с 16 лет согласно § 15 ods. 1 Закона № 18/2018 Z. z. GDPR предоставлял государствам-членам право снизить эту планку до 13 лет, Словакия этой возможностью не воспользовалась. Для ребёнка младшего возраста необходимо согласие законного представителя.
Мониторинг сотрудников (§ 13 Трудового кодекса)
Слежение за сотрудниками (камеры, GPS, мониторинг почты или производительности) регулируется наряду с GDPR также § 13 ods. 4 Трудового кодекса. Работодатель не вправе без весомых причин, обусловленных особым характером деятельности, вторгаться в частную жизнь работника посредством мониторинга без того, чтобы заблаговременно проинформировать его об объёме, способе и продолжительности контроля. Система видеонаблюдения поэтому требует правового основания, обязанности по информированию, нередко DPIA и всегда — уведомления сотрудников.
Как компания внедряет GDPR с нуля — пошаговое руководство
Следующий порядок действий показывает, как компания переходит от нуля к состоянию соответствия требованиям GDPR.
Составьте карту деятельности по обработке данных Перечислите, какие персональные данные вы собираете, откуда, где они хранятся и кому передаются. Это аудит данных и основа для всего последующего.
Определите правовое основание для каждой цели Согласно ст. 6 присвойте каждой обработке одно основание (договор, законная обязанность, законный интерес, согласие).
Составьте реестр деятельности по обработке Согласно ст. 30 создайте реестр целей, категорий данных, сроков хранения и получателей.
Подготовьте исполнение обязанности по информированию Создайте Политику конфиденциальности согласно ст. 13 – 14 для сайта, договоров и кадровых вопросов.
Настройте согласие там, где оно требуется Для маркетинга и cookies обеспечьте документально подтверждённое и отзываемое согласие — без предварительно проставленных галочек.
Заключите договоры с обработчиками С каждым поставщиком, обрабатывающим данные в ваших интересах (бухгалтер, IT, хостинг, рассылка), подпишите договор согласно ст. 28.
Введите технические и организационные меры Согласно ст. 32 настройте права доступа, резервное копирование, шифрование и правила для сотрудников.
Оцените необходимость DPO и DPIA Проверьте, обязывает ли вас ст. 37 назначить ответственное лицо и требует ли рискованная обработка DPIA согласно ст. 35.
Настройте процесс реализации прав субъектов данных Подготовьте порядок рассмотрения запросов согласно ст. 15 – 22 в установленный законом срок.
Подготовьте план реагирования на нарушение Определите, кто и как уведомит ведомство об инциденте в течение 72 часов согласно ст. 33 – 34.
Обучите сотрудников Самое слабое звено — человек; регулярное обучение снижает риск инцидента и штрафа.
Регулярно проверяйте и обновляйте GDPR — не разовый проект; пересматривайте документацию при каждом изменении процессов, систем или поставщиков.
Наиболее распространённые мифы о GDPR
- «Мы небольшая компания, GDPR нас не касается.» Касается каждого, кто обрабатывает персональные данные. Размер влияет на объём обязанностей, но не на их наличие.
- «На всё нужно получать согласие.» Согласие — лишь одно из шести оснований и нередко не является подходящим. Исполнение заказа или ведение расчётной ведомости согласия не требует.
- «GDPR запрещает рассылать рекламные письма клиентам.» Прямой маркетинг для существующих клиентов может основываться на законном интересе, с возможностью возразить в любой момент.
- «Достаточно разместить на сайте одно предложение о защите данных.» Обязанность по информированию — лишь один из требуемых документов. Без реестров, договоров и мер соответствия у вас нет.
- «GDPR и делопроизводство — это одно и то же.» Нет. Управление делопроизводством — самостоятельная область, регулируемая Законом № 395/2002 Z. z., и GDPR его не заменяет.
- «Штрафы выписывает районное управление.» Санкции по GDPR налагает исключительно ÚOOÚ.
- «Если на нас никто не пожалуется, ничего не произойдёт.» Ведомство может действовать по собственной инициативе, и подотчётность необходимо уметь доказать в любой момент.
Контрольный список готовности к GDPR
Прежде чем к вам обратится клиент с запросом или ведомство с проверкой, пройдитесь по этому контрольному списку:
- Есть ли у вас актуальный реестр деятельности по обработке данных?
- Размещена ли на сайте и в договорах понятная Политика конфиденциальности?
- Определено ли для каждой обработки правовое основание?
- Являются ли согласия (маркетинг, cookies) документально подтверждёнными и отзываемыми?
- Подписаны ли договоры с обработчиками со всеми поставщиками?
- Внедрены ли технические и организационные меры и контроль доступа?
- Знаете ли вы, нужен ли вам DPO, и проведена ли DPIA для рискованных обработок?
- Есть ли у вас процесс реализации прав субъектов данных в установленный срок и план реагирования на нарушение в течение 72 часов?
- Прошли ли ваши сотрудники обучение?
Если вы усомнились в нескольких пунктах — GDPR в вашей компании реально не внедрён. От теории к внедрению помогут наши услуги GDPR — документация, DPO-аутсорсинг, аудит, обучение и представительство при проверке ÚOOÚ.
Súvisiace služby a zdroje
GDPR pre firmy na kľúč
Vypracujeme dokumentáciu GDPR, prevezmeme funkciu zodpovednej osoby (DPO), zaškolíme a zastúpime vás pri kontrole ÚOOÚ.
BOZP — bezpečnosť a ochrana zdravia pri práci
Komplexné zabezpečenie BOZP pre vašu firmu — popri GDPR pod jednou strechou.
Pracovná zdravotná služba
PZS pre zamestnancov — zdravotný dohľad a posudky popri ochrane osobných údajov.
Civilná ochrana
Dokumentácia a plán ochrany zamestnancov — ďalšia zákonná agenda pod jednou strechou.
Kurzy a školenia
Školenie zamestnancov v oblasti bezpečnosti a ochrany údajov.
Slovník pojmov
Výkladový slovník kľúčových pojmov z BOZP, OPP, PZS a VTZ.
Stručná odpoveď
GDPR — это общий регламент ЕС о защите персональных данных, который в Словакии действует напрямую с 25 мая 2018 года и который дополняет словацкий закон о защите персональных данных. Он распространяется на каждую фирму, а также на индивидуального предпринимателя, который обрабатывает данные клиентов или работников. Ключевые обязанности — это правовое основание обработки, информационная обязанность, записи о действиях по обработке, надлежащая защита и уведомление о нарушении в орган в течение 72 часов.
Časté otázky o GDPR
Да. GDPR распространяется на каждого, кто обрабатывает персональные данные в связи с предпринимательством, независимо от размера. Малая фирма и индивидуальный предприниматель имеют менее обширные обязанности, чем корпорация, но базовые правила действуют одинаково: правовое основание, информационная обязанность, защита и обычно также записи о действиях по обработке.
GDPR — это регламент ЕС 2016/679, который действует напрямую и имеет верховенство во всём Союзе. Закон № 18/2018 Z. z. в Словакии лишь дополняет его там, где регламент оставляет пространство государству, например в отношении национального идентификационного номера (rodné číslo), возраста согласия ребёнка или полномочий органа. Оба предписания действуют одновременно.
Ответственное лицо обязательно, если вы орган публичной власти, если вашей основной деятельностью является масштабный систематический мониторинг лиц или если вы масштабно обрабатываете чувствительные данные. Вне этих случаев DPO не обязательно, но многие фирмы создают его добровольно, часто в форме внешнего аутсорсинга.
О нарушении защиты данных вы должны сообщить в Управление по защите персональных данных без неоправданной задержки, не позднее чем в течение 72 часов с момента, когда вы о нём узнали. Если существует высокий риск для субъектов данных, вы должны проинформировать также их. Каждый инцидент нужно задокументировать, даже если вы о нём не сообщаете.
GDPR различает два уровня. Более низкая ставка — до 10 миллионов евро или 2 процентов общемирового годового оборота, более высокая ставка — до 20 миллионов евро или 4 процентов оборота, в зависимости от того, какая сумма больше. Размер определяет орган в зависимости от тяжести, продолжительности и сотрудничества фирмы.
Надзорным органом является исключительно Управление по защите персональных данных Словацкой Республики с местонахождением в Братиславе. Контроль не осуществляет ни окружное управление, ни инспекция труда. Управление принимает жалобы, проводит проверки как по собственной инициативе, так и по обращению и налагает санкции.
При использовании cookies и подобных технологий, которые не являются необходимыми для работы сайта, вам нужно действительное согласие посетителя. Согласие должно быть свободным, доказуемым и так же легко отзываемым, как и предоставленным. Заранее отмеченный флажок или само по себе использование сайта в качестве согласия недостаточны.
Мониторинг работников возможен, но только при серьёзном основании, заключающемся в характере деятельности, и после выполнения условий согласно § 13 ods. 4 Трудового кодекса. Работников вы должны заранее проинформировать об объёме, способе и сроке проведения контроля, определить правовое основание, выполнить информационную обязанность и при рискованном мониторинге провести оценку воздействия.
В Словакии при онлайн-услугах, предлагаемых непосредственно ребёнку, действует возрастная граница 16 лет согласно § 15 ods. 1 Закона № 18/2018 Z. z. Словакия не воспользовалась возможностью снизить её до 13 лет. Для младшего ребёнка вам нужно согласие или одобрение законного представителя.
Национальный идентификационный номер (rodné číslo) имеет в Словакии особый режим согласно § 78 Закона № 18/2018 Z. z. Обрабатывать его вы вправе только тогда, когда его использование действительно необходимо для данной цели и это вытекает из особого закона либо лицо на это согласно. Публикация национального идентификационного номера запрещена, а его повсеместный сбор в формы «на всякий случай» является нарушением.
Она должна понятно указывать, кто обрабатывает данные, с какой целью и на каком правовом основании, кому их предоставляет, как долго их хранит, какие права имеет субъект данных и как он их реализует. Документ обычно публикуется на сайте и используется также в договорах и кадровом делопроизводстве.
Только до тех пор, пока это необходимо для первоначальной цели. Сроки часто определяют другие законы, например бухгалтерские и налоговые предписания или трудоправовая архивация. По истечении цели данные вы должны удалить или анонимизировать. Сроки хранения вам следует зафиксировать в записях о действиях по обработке.
Да. Каждый поставщик, который обрабатывает персональные данные от вашего имени, является обработчиком, и отношения с ним должны быть оформлены письменным договором с обработчиком согласно čl. 28 GDPR. Это касается внешнего бухгалтера, фирмы по расчёту зарплаты, IT и хостинга, платформы для e-mail-рассылок, а также облачных инструментов.
Как правило, да. Исключение для организаций менее 250 работников не действует, если обработка не является лишь эпизодической, представляет риск для прав лиц или включает чувствительные данные. Это касается почти каждой реальной фирмы, поэтому записи на практике вам нужно вести и как малому предприятию.
Достаточно, чтобы он запросил удаление, например по электронной почте. Вы должны проверить его личность, оценить, не препятствует ли удаление иной законной обязанности хранить данные, и в установленный законом срок, как правило в течение одного месяца, удовлетворить запрос или обоснованно отказать. Весь порядок вам следует подготовить заранее.
Нужна помощь с безопасностью на рабочем месте?
Свяжитесь с нами сегодня и получите бесплатную консультацию. Наша команда экспертов поможет вам найти решение, адаптированное к вашим потребностям.