Киберкрепость: всестороннее руководство по компьютерной безопасности

Организации обязаны применять технические и организационные меры для обеспечения безопасности персональных данных и быть в состоянии продемонстрировать соответствие GDPR. Это подразумевает оценку воздействия, проектируемую защиту персональных данных, а также ведение записей о деятельности по обработке данных.

Кроме того, GDPR предоставляет физическим лицам права на доступ к своим персональным данным, их исправление, удаление и переносимость, а также право возражать против обработки своих данных. Организации должны получать явное и информированное согласие на обработку персональных данных, также им требуется упростить для физических лиц возможность отозвать свое согласие в любое время.

Соответствие требованиям GDPR

Общий регламент по защите данных — это всеобъемлющее положение о конфиденциальности данных, принятое Европейским союзом в 2016 году. Он вступил в силу 25 мая 2018 года и заменил Директиву ЕС о защите данных 1995 года. GDPR применяется к любой организации, которая обрабатывает персональные данные физических лиц в ЕС, независимо от ее местонахождения.

Соответствие GDPR требует от организаций выполнения ряда требований, включая:

• получение от физических лиц четкого и информированного согласия на сбор их персональных данных;

• предоставление физическим лицам определенных прав, таких как право на доступ к своим личным данным и право требовать их удаления;

• внедрение технических и организационных мер для защиты персональных данных от несанкционированного доступа, использования, раскрытия, изменения или уничтожения;

• уведомление отдельных лиц и соответствующего надзорного органа об определенных видах утечки данных;

• назначение сотрудника по защите данных в определенных обстоятельствах.

В качестве контролера или обработчика данных организации должны назначить представителя в ЕС, если они не созданы в Евросоюзе, но обрабатывают персональные данные его граждан. Они также должны вести учет своей деятельности по обработке данных и назначить сотрудника по защите данных, если их основная деятельность предполагает регулярный и систематический мониторинг субъектов данных в больших масштабах или если они обрабатывают специальные категории данных.

GDPR требует от организаций в определенных обстоятельствах оценки воздействия на защиту персональных данных (data protection impact assessment, DPIA) до их обработки. Они также должны при определенных обстоятельствах назначить ответственного за защиту данных.

Организации, не соблюдающие GDPR, могут быть подвергнуты значительным штрафам — до 20 млн евро или 4 % от общегодового дохода компании в зависимости от того, какая сумма больше. Организациям важно серьезно отнестись к соблюдению GDPR и предпринять шаги по его соблюдению.

Оценки воздействия на защиту данных GDPR

Это процесс, который организации должны реализовать для выявления и смягчения потенциальных рисков, связанных с обработкой персональных данных. DPIA обязательны для определенных видов деятельности по обработке данных и используются для того, чтобы помочь организациям соблюдать принцип проектируемой защиты персональных данных. Это важный инструмент для обеспечения того, чтобы соображения защиты данных были заложены в проекты и процессы с самого начала и чтобы были приняты меры для защиты персональных данных. DPIA должны проводиться до начала любой новой деятельности по обработке данных, а также пересматриваться и обновляться по мере необходимости на протяжении всего жизненного цикла проекта или процесса.

GDPR. Права субъектов данных

Общий регламент по защите данных предоставляет определенные права физическим лицам, известным как субъекты данных, в отношении их персональных данных. Вот эти права:

1. Право доступа. Субъекты данных имеют право запрашивать доступ к своим личным данным и получать информацию о том, как они обрабатываются.

2. Право на исправление. Субъекты данных имеют право потребовать исправления своих персональных данных, если они неточные или неполные.

3. Право на стирание. Субъекты данных имеют право потребовать удаления своих персональных данных (известно также как право на забвение). Оно применяется в определенных обстоятельствах, например когда данные больше не нужны для целей, для которых они были собраны.

4. Право на ограничение обработки. Субъекты данных имеют право требовать ограничения дальнейшей обработки своих персональных данных, например когда они оспаривают их точность.

5. Право на переносимость данных. Субъекты данных имеют право на получение своих персональных данных в структурированном, общепринятом и машиночитаемом формате, а также на их передачу другому ответственному за обработку данных (контролеру).

6. Право на возражение. Субъекты данных имеют право возражать против обработки их персональных данных, в том числе в целях прямого маркетинга.