GDPR
GDPR — Общий регламент ЕС по защите данных (Регламент 2016/679), применяется с 25 мая 2018 года. Касается и компаний вне ЕС, которые предлагают товары людям в Европе; штраф — до 20 млн евро или 4% мирового оборота.
Содержание
- 01GDPR: что за регламент и почему о нём спрашивают в России
- 02Кого касается GDPR: российский сайт и клиенты из Европы
- 03Что GDPR требует от владельца сайта: пять обязанностей
- 04GDPR и 152-ФЗ: где требования совпадают, а где расходятся
- 05Штрафы GDPR: два уровня и расчёт потолка на примере
- 06Что сделать сайту, который попал под GDPR
- 07Частые вопросы
GDPR: что за регламент и почему о нём спрашивают в России
GDPR (General Data Protection Regulation) — Общий регламент по защите данных, Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года. Он заменил Директиву 95/46/EC и применяется с 25 мая 2018 года (статья 99). Это регламент, а не директива, поэтому действует напрямую во всех странах ЕС без переноса в национальное право; его применяют и страны ЕЭП — Норвегия, Исландия, Лихтенштейн. Великобритания после выхода из ЕС применяет собственную копию — UK GDPR.
Российского владельца сайта регламент интересует по одной причине: он действует за пределами Европы, если бизнес работает с европейской аудиторией.
Кого касается GDPR: российский сайт и клиенты из Европы
Статья 3 называет два случая. Первый — у организации есть учреждение в ЕС: офис, филиал, представительство. Второй — организация находится вне ЕС, но обрабатывает данные людей, которые находятся в ЕС, и либо предлагает им товары или услуги (платно или бесплатно), либо отслеживает их поведение. Критерий — местонахождение человека, а не его гражданство.
Одной доступности сайта из Европы мало. В преамбуле (пункт 23) сказано: сам по себе доступный сайт, адрес e-mail или язык, общий для страны оператора, намерения работать на ЕС не доказывают. Намерение могут показывать язык и валюта стран ЕС с возможностью заказа, упоминание клиентов из ЕС.
| Что на сайте | Вывод |
|---|---|
| Русский язык, цены в рублях, доставка по России | Намерения работать на ЕС нет, регламент обычно не применяется, если вы не отслеживаете поведение посетителей из ЕС |
| Версия на немецком или английском, цены в евро, доставка в страны ЕС | Вы предлагаете товары людям в ЕС, GDPR применяется |
| Ретаргетинг и аналитика поведения посетителей из ЕС | Отслеживание поведения (статья 3, пункт 2б), GDPR применяется |
| Офис или представительство в стране ЕС | Статья 3, пункт 1, GDPR применяется где бы ни обрабатывали данные |
Что GDPR требует от владельца сайта: пять обязанностей
| Обязанность | Что значит для сайта | Статья |
|---|---|---|
| Основание обработки | Каждая обработка опирается на одно из шести оснований: согласие, договор, закон, жизненные интересы, публичная задача, законный интерес | 6 |
| Согласие | Свободное, конкретное, однозначное; предустановленная галочка не считается согласием; отозвать так же легко, как дать | 7, пункт 32 преамбулы |
| Права человека | Доступ, исправление, удаление, переносимость; ответ на запрос не позже чем через месяц (для сложных запросов срок продлевают до трёх месяцев) | 12, 15-20 |
| Утечка | Сообщить надзорному органу в течение 72 часов с момента, как стало известно, если утечка угрожает правам людей | 33 |
| Представитель | Компания вне ЕС, попавшая под пункт 2 статьи 3, как правило назначает представителя в ЕС; исключение — редкая обработка без риска для людей | 27 |
Отдельно регламент регулирует вывоз данных за пределы ЕС (глава V, статьи 44-49): у Европейской комиссии нет решения об адекватности защиты в России. Уполномоченного по защите данных (DPO) назначают только органы власти и компании с масштабным систематическим наблюдением за людьми или масштабной обработкой специальных категорий данных (статья 37).
GDPR и 152-ФЗ: где требования совпадают, а где расходятся
Принципы близки: законная цель, согласие как конкретное и однозначное волеизъявление, права человека на доступ и удаление. Различия — в деталях.
| Параметр | GDPR | 152-ФЗ |
|---|---|---|
| Кого касается | Организации с учреждением в ЕС и любые организации, работающие с людьми в ЕС | Операторы персональных данных; при сборе данных граждан РФ базы должны быть на территории РФ (ч. 5 ст. 18) |
| Основания обработки | Шесть (статья 6) | Двенадцать действующих (ст. 6) |
| Сообщение об утечке | 72 часа, надзорному органу | 24 часа о факте и 72 часа о результатах расследования, Роскомнадзору (ч. 3.1 ст. 21) |
| Вывоз данных за границу | Механизмы главы V, локализации внутри ЕС нет | Уведомление Роскомнадзора (ст. 12) и локализация баз |
| Максимальные санкции | До 20 млн евро или 4% мирового оборота | Фиксированные суммы по ст. 13.11 КоАП; для повторных утечек — от 1% до 3% годовой выручки, но не менее 20 млн и не более 500 млн ₽ |
Совместить требования можно, но придётся вести два набора процессов. Для российской аудитории ориентир — закон 152-ФЗ и политика обработки персональных данных.
Штрафы GDPR: два уровня и расчёт потолка на примере
Статья 83 делит нарушения на два уровня. По пункту 4 — до 10 млн евро или 2% мирового годового оборота за предыдущий год, если эта сумма больше. Сюда относят нарушения обязанностей оператора и обработчика, среди них безопасность и уведомление об утечке. По пункту 5 — до 20 млн евро или 4% оборота: нарушения принципов обработки, оснований и согласия, прав людей, правил вывоза данных.
Допустим, мировой оборот группы — 800 млн евро. Четыре процента составляют 32 млн, это больше 20 млн, поэтому потолок штрафа 32 млн евро. При обороте 50 млн четыре процента дают лишь 2 млн, значит, действует фиксированный потолок в 20 млн. Это верхняя граница, а не тариф: размер определяет надзорный орган с учётом тяжести, длительности нарушения и принятых мер. Взыскать штраф с компании без активов в ЕС трудно, но риск ощутим для тех, у кого в Европе клиенты, партнёры, платёжные и рекламные каналы.
Что сделать сайту, который попал под GDPR
- Проверьте по статье 3, попадаете ли вы под регламент, и зафиксируйте вывод письменно.
- Включайте аналитические и рекламные cookie только после согласия; в cookie-баннере кнопки «принять» и «отказаться» должны быть равнозначны.
- Опубликуйте уведомление об обработке данных простым языком, понятным аудитории (статьи 12 и 13).
- Заключите договоры с обработчиками: хостингом, рассылкой, CRM (статья 28).
- Подготовьте процесс ответа на запросы людей за месяц и план действий при утечке на 72 часа.
Формы, cookie-согласие и журналы закладывают при разработке сайта. Сопоставить требования GDPR и российского закона для вашего проекта поможет приведение сайта в соответствие с 152-ФЗ в BigPanda; общую картину российских норм — инструкция по защите персональных данных.
Частые вопросы
Что такое GDPR простыми словами?
Это общий регламент Евросоюза о защите персональных данных. Он действует с 25 мая 2018 года и задаёт единые правила для всех, кто обрабатывает данные людей в странах ЕС: когда можно собирать данные, как получать согласие, какие права у человека и какие штрафы грозят за нарушения.
Касается ли GDPR российских компаний?
Да, если у компании есть учреждение в ЕС, либо она предлагает товары или услуги людям в ЕС, либо отслеживает их поведение (статья 3). Одной доступности сайта из Европы недостаточно: учитывают язык, валюту, доставку и упоминание клиентов из ЕС. Гражданство человека значения не имеет, важно его местонахождение.
Какой максимальный штраф по GDPR?
За самые тяжёлые нарушения — до 20 млн евро или до 4% мирового годового оборота за предыдущий год, в зависимости от того, что больше (статья 83, пункт 5). За нарушения второго уровня — до 10 млн евро или 2% оборота. Реальный размер штрафа определяет надзорный орган.
Чем GDPR отличается от 152-ФЗ?
GDPR действует по принципу местонахождения человека в ЕС, 152-ФЗ привязан к российским операторам и требует хранить базы граждан РФ в России. У GDPR шесть оснований обработки, у 152-ФЗ двенадцать, а сроки сообщения об утечке и размеры штрафов различаются. Выполнение одного закона не означает выполнения другого.
Нужен ли cookie-баннер из-за GDPR?
Если сайт попадает под GDPR, аналитические и рекламные cookie включают только после согласия, а баннер даёт равнозначный выбор: принять или отказаться. Предустановленные галочки согласием не считаются. Если сайт работает только на российскую аудиторию, регламент к нему не применяется.
Что такое DPO в GDPR и нужен ли он?
DPO — уполномоченный по защите данных. Он обязателен для органов власти, для компаний с масштабным систематическим наблюдением за людьми и для тех, кто масштабно обрабатывает специальные категории данных (статья 37). Небольшому сайту без таких масштабов назначать DPO не требуется.