Общий регламент по защите данных

Общий регламент по защите данных, Генеральный регламент о защите персональных данных (англ. General Data Protection Regulation, GDPR; Постановление (Европейский Союз) 2016/679) — постановление Европейского Союза, с помощью которого Европейский парламент, Совет Европейского Союза и Европейская комиссия усиливают и унифицируют защиту персональных данных всех лиц в Европейском Союзе (ЕС). Постановление также направлено на экспорт данных из ЕС.

GDPR направлен прежде всего на то, чтобы дать гражданам контроль над собственными персональными данными, и на упрощение нормативной базы для международных экономических отношений путём унификации регулирования в рамках ЕС.

Ключевые принципы GDPR:

• Законность, справедливость и прозрачность — должны быть легальные основания в рамках GDPR для сбора и использования данных, ненарушение любых законов, открытость, честность от начала и до конца о использовании персональных данных;
• Конкретные цели — все конкретные задачи должны быть закреплены в политике конфиденциальности и должны чётко соблюдаться;
• Минимизация использованных данных — использование адекватного количества данных для выполнения поставленных целей ограниченных только необходимым количеством;
• Точность — персональные данные должны быть точными и не должны вводить в заблуждение; исправление неправильных;
• Ограничение хранения данных — не хранить данные дольше чем нужно, периодически проводить аудит данных и удалять неиспользуемые;
• Целостность и конфиденциальность/безопасность — хранить данные в безопасном месте и уделять достаточное внимание сохранности данных;

Подотчётность — ответственность за обработку персональных данных и выполнение всех остальных принципов GDPR включая записи о конфиденциальности; защите, использовании, проверки данных; назначении должностного лица по защите данных (англ. DPO, data protection officer).Важным моментом является то, что GDPR применим и к тому, кто обрабатывает данные, и к тому, кто собирает данные. Тот, кто собирает данные, определяет цель и значение обработки персональных данных, а обработчик ответственен за непосредственную обработку данных, но оба несут ответственность за соблюдение норм GDPR.

Регламент GDPR заменил директиву Data Protection Directive от 1995 года. Постановление было принято 27 апреля 2016 года, вступило в силу 25 мая 2018 года после двухлетнего переходного периода и, в отличие от директивы, не требует от правительств стран-участниц ЕС никаких изменений в локальных законодательствах и, таким образом, является непосредственно обязательным к исполнению. Это применимо не только к странам-участницам ЕС, но также к любому юридическому лицу, обрабатывающему персональные данные лиц ЕС.

За невыполнение закона накладывается штраф до 20 000 000 евро или до 4% от годового мирового оборота компании за предыдущий финансовый год, в зависимости от того, что больше.

В законе расширено понятие персональных данных, введены понятия «трансграничной передачи данных», «псевдонимизации», установлено «право на забвение», определена роль должностного лица по защите данных (англ. DPO, data protection officer).

В частности введены понятия:

• Data controller — контролёр данных — организация, которая собирает данные от резидентов ЕС;
• Data processor — обработчик данных — организация, которая обрабатывает данные от имени контроллёра данных, например, поставщик облачных услуг;
• Data subject (person) — субъект данных (лицо) — физическое лицо;
• Special categories of personal data — специальная категория персональных данных — данные о расе, политическом мнении, религиозных или философских убеждениях, генетические данные, членство в профсоюзах, биометрические данные позволяющие определить конкретного человека, данные о здоровье, сексуальная ориентация.

Источник: Википедия