GDPR: проблемы нового европейского законодательства в области ПДн

В 2013 году аспирант Венского университета, специализирующийся на юриспруденции, обвинил Facebоok в хранении и использовании данных европейских граждан на территории США. Юрист прошел все судебные инстанции и добился подачи иска в Европейский суд справедливости (ЕСС). Итогом разбирательства стала отмена договора «Тихая гавань» (Safe Harbor), который предоставлял возможность американским концернам беспрепятственно обмениваться персональными данными со странами Евросоюза.

Это разбирательство стало последствием, пожалуй, самого резонансного случая нарушения хранения и передачи персональных данных, но далеко не единственным. За последние пять лет из-за активного перехода всех аспектов человеческой жизни в цифровое пространство участились жалобы граждан на грубые нарушения их прав при обработке и защите ПДн, что говорит о необходимости проведения реформы в области правового регулирования ПДн.

Для модернизации действующего законодательства в соответствии с уровнем развития информационных технологий и обеспечения более высокой степени защиты персональных данных не только граждан ЕС, но и иных субъектов, находящихся на его территории, весной 2016 года Европейская комиссия приняла новый регулирующий акт. На смену Директиве 95/46/EC пришел General Data Protection Regulation (GDPR). Основная особенность этого закона — его экстерриториальность. Для любой российской компании, собирающей и обрабатывающей персональные данные субъектов, находящихся на территории ЕС (граждане, резиденты, временно пребывающие), это означает возможность применения существенных штрафов — от предупреждения (в случае первого нарушения) до €20 млн (около 1,4 млрд рублей на дату написания статьи) или 4% глобального оборота компании — в зависимости от того, что выше.

Под требования GPDR подпадают как минимум два класса российских компаний. Среди них компании, предлагающие товары и услуги через Интернет, — GPDR распространяется на мониторинг активности граждан ЕС, а значит, использование cookies рекламными сетями уже подводит интернет-компании России под требования этого акта. Сюда же следует отнести крупные энергетические и финансовые организации, имеющие отделения в Европе.

В общее число 137 млн клиентов, на которых также могут распространяться требования GDPR во время их пребывания в странах Евросоюза, входит более семи миллионов физических и юридических лиц, зарегистрированных на территории Евросоюза. Сбербанк насчитывает семь дочерних компаний в ЕС и представительство в Германии. Это обязывает нас тщательно изучить GDPR и подготовиться к вступлению в силу 25 мая 2018 года новых требований по обработке и хранению персональных данных европейских граждан и граждан, которые пользуются нашими услугами в странах ЕС.

Особенности GDPR

В тексте GDPR есть такие понятия, как «контролер» и «обработчик». Контролер определяет конкретные цели и средства обработки, а обработчик, в свою очередь, осуществляет дальнейшую обработку ПДн по поручению контролера.

Документ предусматривает единый набор требований, применяемых к контролерам и операторам, обрабатывающим ПДн субъектов, находящихся на территории ЕС. Соответствие этим регламентам будет находиться под надзором европейских регуляторов по защите данных, расположенных в 28 странах ЕС.

Сфера распространения. Главным нововведением стало то, что закон распространяется не только на компании Евросоюза, но и на компании — нерезиденты ЕС, которые в рамках своей деятельности обрабатывают данные субъектов, находящихся на территории ЕС. То есть закон не имеет привязки к гражданству субъекта ПДн: под защиту GDPR попадают ПДн всех субъектов на момент их нахождения на территории Евросоюза.

Трансграничная передача данных. Контролер, пребывающий на территории ЕС, может передать персональные данные оператору, находящемуся за пределами Евросоюза. Это происходит в нескольких случаях: а) если передача санкционирована Комиссией ЕС (передача разрешена в 11 странах, их список указан на официальном сайте комиссии, Россия в данном списке не фигурирует); б) если в стране-адресате внедрены необходимые меры, обеспечивающие адекватный уровень защиты ПДн. Адекватный уровень защиты может быть подтвержден Сертификатом соответствия требованиям GDPR.

Data Protection Officer. GDPR ставит задачу перед компаниями модернизировать свою организационную структуру в соответствии с новыми требованиями, среди которых — назначение лица, ответственного за защиту ПДн, — Data Protection Officer (DPO). Такой сотрудник напрямую подчиняется исполнительным органам компании и является связующим звеном в рамках взаимодействия с регулятором. DPO также отвечает за формирование рекомендаций и обеспечение соответствия деятельности организации требованиям GDPR. В рамках своей деятельности DPO может воспользоваться принципом «единого окна». То есть компания может выбрать одно из 28 локальных представительств регуляторов, так называемый lead supervisory authority, с которым будет координировать свои действия в области обработки и защиты ПДн.

Представитель на территории ЕС. Организации, осуществляющие свою деятельность вне ЕС, но имеющие дочерние компании в странах Евросоюза, должны назначить своего представителя. В его задачи будет входить взаимодействие с регуляторами по вопросам защиты персональных данных от имени материнской организации на европейской территории.

Оценка рисков (DPIA). В рамках планирования и организации мер по защите ПДн граждан компании обязаны проводить оценку влияния процессов обработки ПДн на права и свободы владельцев ПДн — Data Privacy Impact Assessment (DPIA). Кроме того, организациям необходимо принять условия концепции проектируемой конфиденциальности и конфиденциальности по умолчанию, так называемые privacy by design и privacy by default. Согласно концепции privacy by design организация должна учитывать риски, связанные с ПДн, на всех этапах процесса обработки данных (при проектировании дизайна процесса обработки, формировании функциональных требований к ИТ-системам, настройке механизмов безопасности в ИТ-системах и средствах защиты, при передаче данных в архивное хранение и при их уничтожении). Концепция privacy by default подразумевает, что организация в рамках четко сформулированных целей должна обрабатывать минимально необходимый состав ПДн.

Право «на забвение»/право на перенос. GDPR предоставил субъектам ПДн долгожданное право «на забвение» и право на перенос ПДн между организациями-операторами. Теперь субъект ПДн имеет право поручить контролеру ПДн удалить соответствующую персональную информацию, в случае если он не хочет подвергать данные дальнейшей обработке, а также направить запрос о переносе своих данных.

Уведомление о нарушениях. В случае нарушений обработки и защиты ПДн, причинивших существенный вред субъектам, которые находятся на территории ЕС, контролерам и операторам необходимо в течение 72 часов уведомлять регулятора и самого субъекта ПДн с момента обнаружения факта нарушений.

Санкции за несоблюдение GDPR. Административные штрафы за несоблюдение требований европейского закона достигают €20 млн или 4% глобального годового оборота компании. GDPR предусматривает субсидиарную ответственность: если дочерние организации не могут ответить по обязательствам, за них несет ответственность материнская компания.

Вопросы к GDPR

Несмотря на то что GDPR — это прорыв в области обработки и защиты ПДн граждан, в процессе его толкования возникает множество вопросов, на которые ни регулятор, ни законодатель пока не дают никаких ответов.

1) Контролеры и операторы в случае обнаружения инцидентов в процессе обработки и защиты ПДн, причинивших существенный вред субъектам, которые находятся на территории ЕС, обязаны в течение 72 часов оповестить регулятора и субъектов таких ПДн. Сразу возникает вопрос, как установить уровень вреда, причиненного субъекту ПДн, поскольку критерии и порядок определения степени вреда субъекту в рамках GDPR не выбраны.

2) Главным признаком обеспечения адекватного уровня защиты ПДн является Сертификат соответствия требованиям GDPR, что предусмотрено 42-й статьей закона [Сертификация носит добровольный характер, является своего рода «дополнительным подтверждением благонадежности оператора», однако фактически не дает никаких преимуществ перед остальными, несертифицированными операторами. Имеющих сертификат будет проверять регулятор точно так же, как и всех остальных, однако после сертификации к ним предъявляются более жесткие меры в части исполнения сертификационных требований и условий. Их неисполнение может привести к штрафам, аналогичным неисполнению GDPR в целом (до 4% оборота)]. Организация получает такой сертификат от аккредитованного лица. Сразу появляются следующие вопросы: кто эти аккредитованные лица? какие требования им предъявляются? каков процесс получения данного сертификата? Регуляторы стран ЕС и единый надзорный орган пока не дают каких-либо комментариев на этот счет. До сих пор непонятно, как в этом случае быть компаниям, тем более к маю 2018 года бизнес уже должен соответствовать требованиям нового европейского законодательства.

3) Как уже было сказано, цель GDPR заключается в гармонизации права в области персональных данных на территории ЕС. Однако законодатель позволяет странам — участницам ЕС внести свои корректировки в 80 положений (Opening clauses) исключительно в сторону ужесточения на национальном уровне. Сегодня таким правом уже воспользовались Франция и Испания, что вносит дополнительную неопределенность при соблюдении этого закона.

Что делать?

Требования GDPR могут распространяться на российскую компанию, если она осуществляет следующую деятельность:

·        проводит мониторинг банковских/телекоммуникационных транзакций субъекта ПДн (например, в рамках деятельности по противодействию мошенничеству), в то время как субъект ПДн находится на территории ЕС;

·        материнская организация предоставляет услуги европейским дочерним подразделениям по анализу персональных данных субъектов, находящихся на территории ЕС, например в рамках банковского скоринга;

·        занимается электронной коммерцией (интернет-магазины).

Будучи лидерами в финансовой сфере в Восточной Европе, мы тщательно изучили и обобщили требования нового регламента. Составленный нами чек-лист мероприятий, надеемся, поможет и другим российским компаниям, обрабатывающим персональные данные субъектов на территории ЕС, подготовиться к вступлению в силу требований GDPR:

·        провести GAP-анализ/аудит соответствия требованиям GDPR;

·        проанализировать текущие процессы обработки ПДн;

·        пересмотреть существующие и планируемые к внедрению информационные решения и процессы на предмет соответствия концепциям проектируемой конфиденциальности и конфиденциальности по умолчанию (privacy by design & by default);

·        назначить ответственного за защиту данных (Data Privacy Officer) и решить, как будет организована внутренняя система управления защитой данных;

·        назначить европейского представителя в случае нахождения дочерней организации на территории ЕС;

·        внедрить новые, специфичные для GDPR процессы, например, по оценке рисков нарушения конфиденциальности, по уведомлению регулятора о выявленных фактах нарушения, а также политик и процедур;

·        провести оценку рисков нарушения конфиденциальности — Data Protection Impact Assessment (DPIA) — для критичных процессов обработки ПДн;

·        пересмотреть существующие организационно-технические меры по защите информации с точки зрения требований GDPR.

GDPR реформирует правовое обеспечение обработки и защиты ПДн граждан и предоставляет усиленную защиту прав субъектов ПДн за пределами ЕС. Несмотря на скорый срок вступления закона в силу, множество вопросов и правовых коллизий пока остаются без ответа со стороны европейского законодателя и регуляторов стран — участниц ЕС, а также единого надзорного органа Евросоюза. Несоблюдение нового европейского законодательства может привести к значительным штрафам и потере потенциальных и существующих клиентов в странах ЕС. Поэтому мы надеемся, что наши рекомендации помогут российским компаниям подготовиться к надлежащему выполнению закона даже в таких обстоятельствах, вопреки устоявшемуся стереотипу, что в России не обеспечивается надлежащий уровень защиты ПДн.

Эльвира Чаче,

эксперт отдела кибербезопасности группы Управления методологии кибербезопасности Сбербанка