GDPR для компаній — повний посібник із захисту персональних даних відповідно до Регламенту ЄС 2016/679

Часте джерело плутанини — співвідношення європейського регламенту та словацького закону. Вони діють обидва одночасно, але кожен виконує різну роль. Регламент 2016/679 (GDPR) є вищим, безпосередньо чинним нормативним актом — він визначає принципи, правові підстави, права суб'єктів даних, обов'язки та санкційну систему. Це не транспозиція, «словацької версії GDPR» не існує.

Закон № 18/2018 Z. z. про захист персональних даних доповнює GDPR там, де регламент залишає державам-членам простір для власного регулювання (так звані відкриті положення) — статус наглядового органу, особливості ідентифікаційного номера особи, вікова межа згоди дитини та журналістські цілі. Закон 18/2018 замінив попередній Закон № 122/2013 Z. z. (який своєю чергою замінив старіший Закон № 428/2002 Z. z.); обидва більше не застосовуються.

На практиці це означає: коли ви шукаєте визначення права на видалення або строк повідомлення про порушення — відкриваєте GDPR. Коли вирішуєте, чи маєте право запитувати ідентифікаційний номер особи або з якого віку діє згода підлітка — відкриваєте Закон 18/2018.

Щоб правильно застосовувати GDPR, потрібно розуміти чотири ролі.

• Персональні дані — будь-яка інформація про ідентифіковану або ідентифіковану фізичну особу: ім'я, електронна пошта, телефон, IP-адреса, геолокаційні дані, фотографія. Особливі категорії (чутливі дані) відповідно до čl. 9 GDPR — дані про стан здоров'я, біометрію, генетику, релігію, політичні погляди чи сексуальну орієнтацію — з більш жорстким режимом.
• Суб'єкт даних — людина, чиї дані обробляються: ваш клієнт, працівник, постачальник, відвідувач сайту.
• Контролер (розпорядник) — той, хто визначає цілі та засоби обробки, зазвичай ваша компанія. Несе основну відповідальність і зазнає санкцій.
• Обробник — обробляє дані від імені контролера (зовнішній бухгалтер, фірма з нарахування зарплати, IT-постачальник, розсилка, хмарний сервіс). Відносини з ним мають бути врегульовані угодою про обробку даних відповідно до čl. 28 GDPR.

Весь GDPR спирається на сім принципів відповідно до čl. 5. Це межі, яких ви зобов'язані дотримуватись при будь-якій обробці. За їх порушення загрожує найвища категорія штрафів.

• Законність, справедливість і прозорість — дані обробляються лише на законній підставі, чесно і так, щоб особа чітко про це знала.
• Обмеження мети — збираєте для конкретної, явної та законної мети і не використовуєте для несумісної іншої мети.
• Мінімізація даних — збираєте лише ті дані, які дійсно необхідні для мети. Жодних «про всяк випадок».
• Точність — дані підтримуєте в актуальному стані, а неточні — невідкладно виправляєте або видаляєте.
• Обмеження зберігання — зберігаєте лише стільки, скільки це необхідно, після чого видаляєте або анонімізуєте.
• Цілісність і конфіденційність — дані відповідно захищаєте від несанкціонованого доступу, втрати чи знищення.
• Підзвітність (accountability) — дотримання попередніх шести принципів ви зобов'язані вміти довести. Недостатньо дотримуватись правил — потрібно мати про це докази.

Саме сьомий принцип — підзвітність — робить GDPR системою, де «ми нічого не записали, але дотримуємось» не спрацьовує. Під час перевірки орган вимагає документи.

Жодна обробка не є «просто так». Кожна повинна мати одну з шести правових підстав відповідно до čl. 6 GDPR:

• Згода суб'єкта даних — вільне, конкретне, поінформоване та однозначне волевиявлення; має бути відкличною та підтверджуваною.
• Виконання договору — коли обробка необхідна для укладення або виконання договору (доставка замовлення, виплата заробітної плати).
• Законний обов'язок — коли обробку покладає на вас інший закон (бухгалтерський облік, податки, архівування, BOZP та документація з охорони праці).
• Життєво важливий інтерес — захист життя та здоров'я особи (рідкісний випадок, наприклад, у медицині).
• Суспільний інтерес або здійснення публічної влади — характерно для органів державної влади.
• Законний інтерес — гнучка підстава (прямий маркетинг щодо наявних клієнтів, мережева безпека, стягнення заборгованості); вимагає тесту пропорційності (балансового тесту).

Найпоширеніша помилка компаній: на все запитують згоду. Насправді згода часто є найслабшою та найненадійнішою підставою (її можна відкликати будь-коли). Для виконання замовлення чи ведення зарплатної документації згода взагалі не потрібна.

GDPR надає людям сильні та здійсненні права. Компанія на їх реалізацію, як правило, повинна реагувати протягом одного місяця (čl. 12 GDPR).

Практичний наслідок: ви зобов'язані мати робочий процес приймання запитів, верифікації особи заявника, пошуку даних та відповіді у встановлений строк. Ігнорування запиту є поширеною причиною скарги до органу.

Поряд із принципами та правами GDPR покладає на компанію конкретні «паперові» обов'язки. Саме їх ÚOOÚ перевіряє в першу чергу.

Відповідальна особа (Data Protection Officer, DPO) — внутрішній або зовнішній фахівець, який контролює відповідність GDPR, консультує керівництво та є контактною особою для суб'єктів даних і органу. Відповідно до čl. 37 GDPR (та § 44 zákona č. 18/2018 Z. z.) її призначення є обов'язковим у трьох випадках:

• ви є органом публічної влади або публічно-правовою установою;
• ваша основна діяльність полягає у масштабному систематичному моніторингу суб'єктів даних (масштабне відстеження поведінки, профілювання);
• ваша основна діяльність полягає у масштабній обробці особливих категорій даних відповідно до čl. 9 (наприклад, медичні заклади).

Поза цими випадками DPO не є обов'язковою, однак багато компаній призначають її добровільно, оскільки це спрощує доведення підзвітності. DPO повинна мати фахові знання, незалежне становище та достатньо ресурсів. Функцію може виконувати зовнішній постачальник (DPO outsourcing) — найпоширеніше рішення для малого та середнього бізнесу.

Порушення захисту персональних даних (data breach) — будь-яке порушення безпеки, що призводить до знищення, втрати, зміни, несанкціонованого розкриття або надання доступу до даних — від загубленого USB-носія через зламаний інтернет-магазин до листа, надісланого не тому одержувачу.

• Повідомлення наглядового органу (čl. 33 GDPR, § 40 zákona č. 18/2018 Z. z.) — про порушення ви повідомляєте Управління із захисту персональних даних Словацької Республіки без зайвого зволікання, не пізніше ніж протягом 72 годин з моменту, коли дізнались про нього. Виняток — коли порушення ймовірно не призведе до ризику для прав осіб.
• Повідомлення суб'єкта даних (čl. 34 GDPR) — якщо порушення ймовірно призведе до високого ризику, ви зобов'язані без зайвого зволікання повідомити й самих людей, яких це стосується.

Кожне порушення — навіть те, про яке ви не повідомляєте, — ви зобов'язані задокументувати внутрішньо. Підготовлений план реагування на інцидент (хто приймає рішення, хто повідомляє, у який строк) — це різниця між належним управлінням інцидентом і штрафом за пропущене повідомлення.

GDPR має одну з найжорсткіших санкційних систем в ЄС. Čl. 83 GDPR розрізняє два рівні штрафів залежно від тяжкості порушення.

Штраф визначається за тією сумою (фіксованою або відсотковою), яка є вищою. При визначенні розміру орган враховує характер, тяжкість і тривалість порушення, умисел, співпрацю та вжиті заходи. Поряд зі штрафами він може призначити коригувальні заходи, включно з тимчасовою або постійною забороною обробки. В словацькій практиці штрафи поки нижчі за європейські максимуми, однак кількість рішень ÚOOÚ зростає.

Наглядовим органом у Словаччині є Управління із захисту персональних даних Словацької Республіки (ÚOOÚ), сайт dataprotection.gov.sk. Зверніть увагу на поширену помилку: GDPR застосовує не районний відділ і не інспекція праці — виключно ÚOOÚ.

Орган приймає та розглядає скарги суб'єктів даних, проводить перевірки (з власної ініціативи та за зверненням), приймає повідомлення про порушення та накладає штрафи. Перевірка найчастіше розпочинається на підставі скарги клієнта або працівника. Під час неї орган запитує саме документацію — журнали діяльності, політику захисту даних, згоди, угоди про обробку даних та докази вжитих заходів. Компанія, у якої документація в порядку, пройде перевірку без суттєвих проблем.

Наступний порядок дій узагальнює, як компанія переходить від нуля до стану відповідності GDPR.

• «Ми маленька компанія, GDPR нас не стосується.» Стосується кожного, хто обробляє персональні дані. Розмір впливає на обсяг обов'язків, а не на їх існування.
• «Для всього потрібна згода.» Згода — лише одна з шести підстав і часто не є доречною. Виконання замовлення чи зарплатна документація згоди не вимагають.
• «GDPR забороняє надсилати розсилку клієнтам.» Прямий маркетинг щодо наявних клієнтів може спиратись на законний інтерес з можливістю заперечення будь-коли.
• «Досить мати на сайті речення про захист даних.» Інформаційний обов'язок — лише один з документів. Без журналів, угод і заходів відповідності немає.
• «GDPR і реєстратура — це одне й те саме.» Ні. Управління діловодством — це окрема сфера відповідно до Закону № 395/2002 Z. z., і GDPR її не замінює.
• «Штрафи накладає районний відділ.» Санкції відповідно до GDPR накладає виключно ÚOOÚ.
• «Якщо ніхто на нас не поскаржиться, нічого не станеться.» Орган може діяти і з власної ініціативи, а підзвітність ви зобов'язані вміти довести будь-коли.

Перш ніж до вас звернеться клієнт із запитом або орган із перевіркою, пройдіться цим контрольним списком:

• Чи маєте ви актуальні журнали діяльності з обробки?
• Чи є на сайті та в договорах зрозуміла Політика захисту персональних даних?
• Чи маєте ви для кожної обробки визначену правову підставу?
• Чи є згоди (маркетинг, файли cookie) підтверджуваними та відкличними?
• Чи підписані угоди про обробку даних з усіма постачальниками?
• Чи впроваджені технічні та організаційні заходи та контроль доступу?
• Чи знаєте ви, чи потрібен вам DPO і чи провели ви DPIA при ризикованих обробках?
• Чи є у вас процес реалізації прав суб'єктів даних у строк і план реагування на порушення протягом 72 годин?
• Чи пройшли ваші працівники навчання?