Нужно ли украинским компаниям соблюдать регламент ЕС GDPR
25 мая 2018 года вступил в силу Общий регламент по защите данных (Регламент ЕС 2016/679 от 27 апреля 2016 года, или GDPR — General Data Protection Regulation). Этот регламент, который имеет прямое действие во всех 28 странах ЕС, заменит рамочную Директиву о защите персональных данных 95/46/ЕС от 24 октября 1995 года.
Соблюдать закон обязан любой бизнес независимо от юрисдикции, если в работе он использует данные жителей Евросоюза. Требования связаны с хранением данных в обезличенном и зашифрованном виде: данные должны быть защищены.
В случае утечки информации необходимо уведомить регулирующие органы в течение 72 часов. GDPR имеет экстерриториальное действие и применяется ко всем компаниям, которые обрабатывают персональные данные резидентов и граждан ЕС, независимо от местонахождения такой компании.
Разумеется, филиалы и представительства украинских, российских и других организаций на территории ЕС должны будут соответствовать новым требованиям.
Что обязаны делать компании, исходя из требований GDPR scope
- Убедиться, что у них есть надёжные системы защиты данных отдельных лиц от кибератак и других возможных атак, связанных со случайной потерей данных. Если данные передаются между фирмами, они должны быть зашифрованы, а риск потери данных должен быть сведён к минимуму.
- Иметь возможность идентифицировать, удалять частично или полностью все данные, касающиеся человека, если он запрашивает их удаление. Например, когда человек увольняется, он теперь может потребовать, чтобы все относящиеся к нему данные (за некоторыми исключениями), включая фотографии, были окончательно удалены с локальных дисков и на сетевом уровне.
- Доказать, что сохранённые данные отдельных лиц используются только по целевому назначению.
Кроме того, для компаний, которые обрабатывают персональные данные, GDPR вводит новые понятия, такие как DPO (data protection officer) и representative.
DPO (data protection officer) — имеется в виду инспектор по персональным данным, которого в некоторых случаях обязательно нужно назначать в штат компании, работающей с персональными данными.
Representative — имеется в виду обязательный представитель (физическое или юридическое лицо), который может представлять интересы компаний, не зарегистрированных на территории Европейского союза и не имеющих там своего филиала или представительства, для коммуникации с местными органами управления по вопросам защиты персональных данных.
Также в тексте GDPR скрыто много других требований, изучение и применение которых поможет компании избежать рисков в будущем.
Какие штрафы за несоблюдение требований GDPR
О важности этого нововведения говорят штрафы: за несоблюдение или серьёзное нарушение этого закона они значительны и могут составлять до 4% от оборота компании или до 20 миллионов евро (в зависимости от того, что больше).
Положения GDPR касаются всех без исключения компаний, однако больше всего внимания им нужно уделить компаниям, которые организуют свою деятельность в сфере IT-технологий и осуществляют её через всемирную сеть Internet, так как их деятельность в большей мере связана с персональными данными, чем деятельность любых других компаний.
Если у вас возникли вопросы к юристу в связи со вступлением в силу GDPR, пишите на адрес hello@uhy-prostir.com.
Мы будем рады вам помочь.
