Регламент GDPR действует с 2018 года, но до сих пор многие компании из Украины, Казахстана и Центральной Азии считают, что он касается только европейских фирм. Сертифицированный специалист по защите данных Кирилл Проскурня объясняет, когда GDPR применяется к компании за пределами ЕС и что делать, чтобы не получить штраф или не потерять клиента.

Когда GDPR касается вас

GDPR применяется в трех случаях, и ни один из них не связан с местом регистрации компании:

  1. Компания предлагает товары или услуги людям в ЕС, даже бесплатно. Сайт с ценами в евро и доставкой в Германию это уже предложение.
  2. Компания отслеживает поведение людей в ЕС. Аналитика на сайте, который посещают из Европы, подпадает под это условие.
  3. Компания обрабатывает данные по поручению европейского клиента. Аутсорсинг разработки, поддержки или бухгалтерии для заказчика из ЕС означает, что вы обработчик данных по GDPR.

По опыту Кирилла Проскурни, третий случай самый распространенный и самый недооцененный. Европейский клиент обязан заключить с подрядчиком соглашение об обработке данных и убедиться, что подрядчик соблюдает требования. Если подрядчик не готов, клиент ищет другого.

Что требуется от компании

Кирилл Проскурня, обладатель сертификатов CIPP/E и CIPP/US Международной ассоциации специалистов по приватности, описывает минимальный набор:

  • Реестр обработки: какие данные, зачем, как долго храните, кому передаете.
  • Правовое основание для каждой обработки: договор, согласие, законный интерес.
  • Политика конфиденциальности на сайте, написанная понятным языком.
  • Процедура реагирования на запросы субъектов данных: удалить, предоставить копию, исправить.
  • Процедура уведомления об утечке: в ЕС на это дается 72 часа.
  • Соглашения с подрядчиками, которые получают доступ к данным.
  • Для компаний вне ЕС: представитель в Евросоюзе, если обработка регулярная и масштабная.

Чем GDPR отличается от ISO/IEC 27001

Эти два документа часто путают. ISO/IEC 27001 это стандарт информационной безопасности, он про защиту любой информации, включая коммерческую тайну. GDPR это закон о персональных данных, он про права людей. Компания может иметь сертификат ISO/IEC 27001 и нарушать GDPR, если, например, собирает данные без законного основания.

Кирилл Проскурня рекомендует компаниям, которые работают с европейскими клиентами, строить систему так, чтобы она закрывала оба требования сразу: ISO/IEC 27001 как основа безопасности, плюс ISO/IEC 27701 как расширение для приватности. Это дешевле, чем два отдельных проекта.

Штрафы и реальные риски

Максимальный штраф по GDPR составляет 20 млн евро или 4 процента мирового оборота. Для компаний вне ЕС прямое взыскание затруднено, но реальный риск другой: потеря клиента. Европейский заказчик, который не может подтвердить соответствие подрядчика, обязан расторгнуть договор. Кирилл Проскурня видел такие случаи в финтехе и медицинских технологиях.

«GDPR не требует невозможного. Он требует, чтобы компания знала, какие данные у нее есть, зачем они нужны и кто имеет к ним доступ. Это те же вопросы, которые задает любой разумный руководитель. Просто теперь ответы нужно задокументировать», подчеркивает Кирилл Проскурня.

Консультацию по GDPR, ISO/IEC 27001 и ISO/IEC 27701 можно получить на сайте Кирилл Проскурня.

Об авторе: Кирилл Проскурня, ведущий аудитор ISO/IEC 27001 и ISO/IEC 27701, CISA, CIPP/E, CIPP/US, AIGP, основатель BALTUM. Автор курсов по защите данных на Udemy.