Важность проблемы
Новые нормы по охране персональных данных вступают в силу уже в этом месяце и коснутся всех игроков на европейском рынке, в том числе и иностранных компаний. GDPR также распространяется на территорию Великобритании до того момента, как она окончательно покинет ЕС.То есть нет разницы, где находится ваша организация – если производится обработка и хранение данных, имеющих отношение к резидентам Европейского союза, то вы попадаете под новый регламент.
General Data Privacy Regulations (GDPR) налагает на компании определенное количество требований, за невыполнение которых следует применение санкций. Основное из обязательств – необходимость в течении 72 часов уведомлять контролирующие органы об утечке или хищении персональных данных. В такой ситуации личная информация считается скомпрометированной и попытки утаить этот факт влекут наложение штрафа.
Из плюсов GDPR – теперь организациям не нужно рассылать уведомления о проводимых операциях в каждый местный орган по защите персональной информации. Раньше эти мероприятия вызывали сложности, так как в каждой стране предъявляются свои собственные требования к оформлению. С 25 мая будет достаточно одного договора типовой формы и внутренних правил по ведению деятельности по обработке и хранению персональных данных.
Что защищает GDPR
Новый регламент коснется всех данных со сведениями об организациях и физических лицах, в том числе и информации маркетингового характера. К хранению последней у многих компаний сложилось отношение менее требовательное, чем к персональным данным медицинского или финансового рода.Регулирование нормами GDPR затронет обработку персональных данных, которые связаны:
- с предложением продажи товаров и услуг гражданам Европейского союза;
- отслеживанием поведения пользователей (маркетинговые действия, мониторинг в социальных сетях и т. п.).
Изменения коснутся и пользовательских соглашений – теперь они должны стать удобными для чтения и быть написаны на простом понятном языке. Кроме того, пользователи смогут легко отзывать свое согласие на обработку данных и компании будут обязаны такие сведения стереть (право получило название Data Erasure).
Еще один важный момент, на который нужно обратить внимание – требование по обеспечению защиты данных пользователей еще на стадии разработки продукта. Теперь компании должны закладывать конфиденциальность изначально в сам дизайн ПО.
Введение штрафов
Штрафы за нарушение протокола GDPR установлены очень приличные, максимальная сумма доходит до 20 млн долларов либо 4% с оборота денежных средств организации (выбирают наибольшее значение). Такие санкции могут наложить за крупные нарушения, например, такие как:- обработка персональной информации без получения согласия пользователей;
- дискредитация конфиденциальных данных;
- нарушение требований, предъявляемых к дизайну продукта.
В новых нормах GDPR заложен гибкий подход к штрафам, предполагающий несколько уровней. Эти правила будут применяться и к облачным сервисам.
Говоря о российском бизнесе, введение требований GDPR коснется в первую очередь:
- финансовых компаний;
- туристического бизнеса;
- ИТ-компаний;
- компаний-перевозчиков.
Готовы ли они к таким изменениям? С того момента, как нормы протокола вступят в силу, у компаний будет всего лишь 72 часа для того, чтобы передать контроллерам информацию о бреши в системе безопасности. Поэтому организациям придется хранить полную копию интернет-трафика как минимум за последние трое суток.