GDPR и права субъектов данных

Общий регламент по защите данных (GDPR) — это закон Европейского союза о конфиденциальности, вступивший в силу 25 мая 2018 года. Он регулирует способы сбора, хранения, обработки и передачи персональных данных жителей EU — независимо от того, где находится сама организация. Компания из US, собирающая данные посетителей веб-сайта из EU, обязана соблюдать GDPR. За нарушения предусмотрены штрафы до 20 миллионов евро или 4% мирового годового оборота — в зависимости от того, какая сумма больше. Поэтому GDPR является одним из наиболее значимых в мире нормативных актов в сфере конфиденциальности.

GDPR вводит специальную терминологию. Персональные данные — это любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу (субъекту данных). Контролёр данных определяет цели и средства обработки — обычно это организация, собирающая данные. Обработчик данных обрабатывает данные от имени контролёра (облачные провайдеры, поставщики аналитики). Обработка включает любую операцию с персональными данными: сбор, хранение, изменение, передачу или удаление. Понимать эти роли крайне важно, поскольку GDPR возлагает разные обязанности на контролёров и обработчиков.

Перед обработкой персональных данных организации должны определить законное основание. GDPR предусматривает шесть оснований: Consent (дано свободно, является конкретным, информированным и однозначным); Contract (необходимо для исполнения договора с субъектом данных); Legal obligation (требуется законом); Vital interests (защита чьей-либо жизни); Public task (общественный интерес или осуществление официальных полномочий); и Legitimate interests (сопоставляются с правами субъекта данных). К Consent предъявляются строгие требования: заранее установленные флажки не подходят.

Статья 5 GDPR устанавливает семь принципов. Законность, справедливость и прозрачность — данные должны обрабатываться законно и открыто. Ограничение цели — данные, собранные для одной цели, нельзя использовать для другой без нового законного основания. Минимизация данных — собирайте только то, что строго необходимо. Точность — поддерживайте данные в актуальном состоянии. Ограничение хранения — не храните данные дольше необходимого. Целостность и конфиденциальность — применяйте соответствующие меры безопасности. Подотчётность — организации должны уметь доказать соблюдение требований.

GDPR предоставляет физическим лицам (субъектам данных) несколько прав, обеспеченных законом. Право на доступ (статья 15) позволяет запросить копию всех персональных данных, которые организация хранит о человеке, а также сведения о целях обработки, сроках хранения и получателях из числа третьих сторон. Организации должны ответить в течение одного месяца (срок может быть продлён до трёх месяцев для сложных запросов). Это право реализуется через процедуру Subject Access Request (SAR), которую большинство организаций, соблюдающих GDPR, описывает в своей политике конфиденциальности.

Право на стирание («право быть забытым», статья 17) позволяет запросить удаление данных, если они больше не нужны, Consent отозван или данные обрабатывались незаконно. Право на исправление (статья 16) позволяет исправлять неточные или неполные данные. Ни одно из этих прав не является абсолютным: данные, необходимые для выполнения Legal obligation или защиты в судебных разбирательствах, удалять не требуется. Эти права создают серьёзные проблемы для архитектуры данных, особенно в системах с реплицированными или архивными базами данных.

Право на переносимость данных (статья 20) позволяет получить персональные данные в структурированном машиночитаемом формате (JSON, CSV) и передать их другому контролёру, что упрощает переход между поставщиками услуг. Право на возражение (статья 21) позволяет прекратить определённые виды обработки, особенно для прямого маркетинга (его необходимо немедленно прекратить после возражения) или обработки на основании Legitimate interests (в этом случае организация должна доказать наличие веских оснований для продолжения).

Статья 33 GDPR требует, чтобы организации уведомляли надзорный орган (национальный орган по защите данных, например UK ICO или немецкий BSI) в течение 72 часов с момента, когда им стало известно о нарушении безопасности персональных данных, создающем риск для прав физических лиц. Если нарушение, Likely, приведёт к высокому риску для людей, пострадавших субъектов данных также необходимо напрямую уведомить без неоправданной задержки (статья 34). Этот DEADLINE в 72 часа значительно короче сроков уведомления об утечках, установленных законодательством многих штатов US.

GDPR требует, чтобы некоторые организации назначали сотрудника по защите данных (DPO): Public органы, организации, обрабатывающие чувствительные данные в крупном масштабе (медицинские, биометрические, криминальные), а также организации, осуществляющие систематический мониторинг в крупном масштабе (например, поведенческую рекламу). DPO должен обладать экспертными знаниями в области законодательства о защите данных, быть независимым (его нельзя подвергать дисциплинарным взысканиям за выполнение обязанностей DPO) и выступать основным контактным лицом для надзорного органа. Организации, которые не обязаны назначать DPO, часто делают это добровольно в целях подотчётности.

GDPR ограничивает передачу персональных данных в страны за пределами EU/EEA, если там не обеспечен адекватный уровень защиты. Решения об адекватности признают страны с эквивалентным уровнем защиты (Япония, Канада, UK после Brexit, USA в рамках EU-US Data Privacy Framework). При отсутствии решения об адекватности организации используют Standard Contractual Clauses (SCCs) — предварительно одобренные типовые договоры — или Binding Corporate Rules (BCRs) для передачи данных внутри международных групп компаний. Несанкционированная международная передача данных часто становится причиной правоприменительных мер в рамках GDPR.

GDPR предусматривает два уровня административных штрафов. Уровень 1 (ниже): до 10 миллионов евро или 2% мирового годового оборота за такие нарушения, как отсутствие необходимых записей, несоблюдение требований к уведомлению об утечке или недостаточные соглашения с обработчиками данных. Уровень 2 (выше): до 20 миллионов евро или 4% мирового годового оборота за фундаментальные нарушения — незаконную обработку, отсутствие законного основания или нарушение прав субъектов данных. Среди заметных правоприменительных мер — штрафы Google (50 млн евро), Meta (1,2 млрд евро) и Amazon (746 млн евро).

Проверьте понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что GDPR регулирует персональные данные жителей EU и применяется во всём мире; штрафы могут достигать 4% мирового дохода; шесть прав субъектов данных включают доступ, стирание, исправление, переносимость, возражение и ограничение обработки; а уведомление надзорных органов об утечке в течение 72 часов обязательно, если нарушение создаёт риск для прав физических лиц. Далее мы рассмотрим HIPAA, PCI-DSS и отраслевые требования к соблюдению нормативов.