Основы GDPR и KVKK

В этом уроке рассматриваются GDPR (Общий регламент EU по защите данных, 2018) и турецкий KVKK (закон № 6698, 2016) — две правовые системы. KVKK во многом создан по образцу подхода EU, поэтому основные принципы этих систем во многом совпадают.

Оба документа регулируют порядок обработки персональных данных и предоставляют физическим лицам широкие права, подкреплённые значительными штрафами.

Оба закона определяют основные роли:

• Субъект данных (KVKK: ilgili kisi): человек, к которому относятся данные
• Оператор (KVKK: veri sorumlusu): определяет, зачем и как обрабатываются данные
• Обработчик (KVKK: veri isleyen): обрабатывает данные от имени оператора

Оператор несёт основную ответственность, даже если работа передана обработчику.

Статья 5 GDPR устанавливает принципы, которые повторяет KVKK:

• Законность, справедливость и прозрачность
• Ограничение целей: использовать данные только для заявленных целей
• Минимизация данных: собирать только необходимое
• Точность
• Ограничение хранения: хранить не дольше необходимого
• Целостность и конфиденциальность (безопасность)
• Подотчётность: иметь возможность продемонстрировать соблюдение требований

Нельзя обрабатывать персональные данные без правового основания. Статья 6 GDPR перечисляет шесть оснований:

• Согласие
• Договор
• Юридическая обязанность
• Жизненно важные интересы
• Задача, выполняемая в общественных интересах
• Законные интересы

В KVKK предусмотрен сопоставимый набор оснований. Согласие — лишь один из вариантов и часто не лучший, поскольку его можно отозвать в любое время.

Если обработка основана на согласии, оно должно быть:

• Дано свободно
• Конкретным для определённой цели
• Информированным
• Однозначным, выраженным ясным утвердительным действием

Предварительно отмеченные флажки, объединённое согласие и молчание не являются действительными. Отозвать согласие должно быть так же легко, как дать его.

Физические лица обладают правами, защищаемыми законом:

• Доступ: получить копию своих данных
• Исправление: исправлять неточности
• Удаление (право на забвение)
• Ограничение обработки
• Переносимость: получать данные в машиночитаемом формате
• Возражение, в том числе против профилирования

На запросы обычно необходимо отвечать в установленный срок (GDPR: один месяц).

Подотчётность требует документирования. Контролеры ведут реестр операций обработки (RoPA), в котором описывается, какие данные обрабатываются, зачем, куда они передаются и как долго хранятся.

В Турции контролеры, превышающие установленные пороговые значения, обязаны зарегистрироваться в VERBIS — реестре контролеров данных. Эти записи — первое, что запрашивает регулятор.

Передача персональных данных за пределы EU/EEA (или из Турции) ограничена. Возможные механизмы:

• Решения об адекватности (страна назначения обеспечивает эквивалентный уровень защиты)
• Стандартные договорные положения (СДП)
• Явное согласие на конкретную передачу

Ранее KVKK требовал одобрения Совета KVKK или явного согласия для трансграничной передачи, поэтому перед передачей данных за границу проверьте действующие правила.

Органы правоприменения:

• EU: национальные органы по защите данных; штрафы по GDPR — до 20 миллионов евро или 4% мирового годового оборота
• Турция: Совет KVKK (регулятор), располагающий полномочиями назначать административные штрафы и предписывать прекратить обработку

Помимо штрафов, регуляторы могут предписать принять корректирующие меры и предавать нарушения огласке.

Некоторые организации обязаны назначить ответственного за защиту данных (DPO), например государственные органы или организации, осуществляющие крупномасштабный мониторинг либо обработку данных специальных категорий в соответствии с GDPR.

DPO консультирует по вопросам соблюдения требований, контролирует их соблюдение и выступает контактным лицом для регулятора и субъектов данных. Он должен действовать независимо.

Когда контролер использует обработчика (поставщика SaaS, облачного хостинга или субподрядчика), письменное соглашение об обработке данных (DPA) обязательно. Оно обязывает обработчика:

• Обрабатывать данные только на основании документированных инструкций
• Обеспечивать конфиденциальность и безопасность
• Привлекать субобработчиков только с разрешения
• Оказывать содействие при запросах субъектов данных и уведомлении об утечках

Выбор поставщика, не соблюдающего требования, не освобождает контролера от ответственности.

Проверьте понимание правовых оснований.

Вы изучили основные положения GDPR и KVKK:

• Роли и подотчётность контролера и обработчика
• Основные принципы, особенно ограничение цели и минимизация
• Шесть правовых оснований; согласие должно быть дано свободно и его можно отозвать
• Права субъектов данных (доступ, удаление, переносимость, возражение)
• Реестры RoPA/VERBIS и ограниченная международная передача данных
• Регуляторы, крупные штрафы и роль DPO

Далее: классификация и минимизация хранящихся у вас данных.