Інсайти Archives - Page 11 of 13 - Polikarpov Law Firm

Question 1

Які є поширені міфи про GDPR, що можуть наразити мій бізнес на ризик?

Accepted Answer

GDPR – це потужний інструмент захисту персональних даних, але навколо нього виникло чимало міфів та невірних тлумачень. Нерозуміння цих аспектів може призвести до серйозних ризиків для вашого бізнесу, включаючи штрафи, судові позови та втрату репутації. Розглянемо деякі з найпоширеніших міфів про GDPR та їх спростування:

Міф 1: GDPR стосується лише великих компаній, малий бізнес може не хвилюватися.

Реальність: GDPR стосується будь-якої організації, незалежно від розміру, яка обробляє персональні дані громадян ЄС. Не має значення, чи це великий онлайн-магазин, чи невеликий сімейний бізнес, що збирає контакти клієнтів – вимоги GDPR залишаються однаковими.

Міф 2: GDPR забороняє збір та використання персональних даних.

Реальність: GDPR не забороняє збір та використання персональних даних, але встановлює чіткі правила та принципи для цього процесу. Ви можете збирати та використовувати дані, але це має бути законно, прозоро та відповідати визначеним цілям.

Міф 3: Достатньо просто опублікувати політику конфіденційності на сайті, щоб відповідати вимогам GDPR.

Реальність: Політика конфіденційності – це лише один з елементів відповідності GDPR. Важливо не лише мати документ, що описує ваші дії з даними, але й фактично дотримуватись цих правил на практиці.

Міф 4: GDPR стосується лише компаній, зареєстрованих в ЄС.

Реальність: GDPR має екстериторіальну дію, тобто поширюється на компанії, що знаходяться за межами ЄС, але обробляють персональні дані громадян ЄС. Якщо ваш бізнес має справу з клієнтами, партнерами або співробітниками з ЄС, ви повинні дотримуватись вимог GDPR.

Міф 5: Штрафи за порушення GDPR є надзвичайно високими, і їх неможливо уникнути.

Реальність: Штрафи за порушення GDPR можуть бути значними (до 20 млн євро або 4% від річного обороту), але вони не є автоматичними. Розмір штрафу залежить від тяжкості порушення, навмисності дій, вжитих заходів для мінімізації збитків та інших факторів.

Міф 6: GDPR – це єдине законодавство, що регулює захист персональних даних.

Реальність: GDPR є важливим, але не єдиним законодавчим актом у сфері захисту даних. Існують національні закони країн-членів ЄС, а також інші міжнародні угоди, які можуть застосовуватись до вашого бізнесу.

Question 2

Чи потрібно мені отримувати згоду на обробку персональних даних, якщо я використовую дані анонімно для аналітики?

Accepted Answer

Це питання доволі поширене та водночас складне. Здавалося б, якщо дані анонімізовані, тобто неможливо ідентифікувати особу, GDPR не повинен застосовуватися. Однак реальність дещо інша.

По-перше, розберемося з поняттям анонімності. GDPR визначає анонімізацію як “обробку персональних даних таким чином, що їх більше неможливо пов’язати з конкретною особою, навіть використовуючи всю доступну інформацію”.

Ключовий момент тут – “всю доступну інформацію”. Навіть якщо ви видалите очевидні ідентифікатори, такі як ім’я, адресу та email, інші дані, взяті разом, можуть призвести до деанонімізації.

Наприклад, дані про місцезнаходження, час транзакцій, медичні записи, веб-перегляди, об’єднані з іншими наборами даних, можуть бути використані для ідентифікації особи з високою ймовірністю.

По-друге, GDPR вимагає законної підстави для обробки будь-яких персональних даних, навіть анонімізованих. Якщо ви не можете довести, що дані справді анонімні і не можуть бути використані для ідентифікації особи, вам все одно знадобиться отримати згоду або мати іншу законну підставу для їх обробки.

Коли згода може не знадобитися?

Справжня анонімізація: якщо ви застосували надійні методи анонімізації, які унеможливлюють ідентифікацію особи за жодних обставин, згода може не знадобитися. Однак досягти справжньої анонімності доволі складно, особливо з урахуванням розвитку технологій аналізу даних.
Законні інтереси: якщо обробка даних для аналітики відповідає вашим законним інтересам, наприклад, для покращення послуг або запобігання шахрайству, і ці інтереси не переважають права та свободи суб’єктів даних, згода може не бути обов’язковою.

Рекомендації:

Ретельно оцініть ризики деанонімізації. Якщо існує хоча б мінімальна ймовірність того, що дані можуть бути використані для ідентифікації особи, розгляньте їх як персональні та отримайте згоду.
Використовуйте методи псевдонімізації. Замість видалення ідентифікаторів, замініть їх унікальними кодами, що ускладнить ідентифікацію особи.
Застосовуйте принципи GDPR з самого початку. Збирайте мінімальну кількість даних, необхідну для аналітики, зберігайте їх безпечно та видаляйте, коли вони більше не потрібні.
Проконсультуйтеся з юристом, що спеціалізується на захисті даних, щоб отримати чітку оцінку вашої ситуації та рекомендації щодо отримання згоди.

Пам’ятайте, що GDPR – це не про заборону аналізу даних, а про відповідальне та етичне поводження з персональною інформацією.

Question 3

Що робити, якщо я отримав запит від користувача на видалення його персональних даних, але законодавство вимагає від мене зберігати ці дані певний час?

Accepted Answer

Це поширена дилема: з одного боку, GDPR гарантує право на забуття, тобто видалення персональних даних на запит користувача. З іншого боку, існують законодавчі норми, що зобов’язують зберігати певні типи даних протягом визначеного часу. Як бути у такій ситуації та знайти баланс між правами користувача та законодавчими вимогами?

По-перше, важливо визначити:

Чи справді запит на видалення є обґрунтованим. GDPR передбачає шість підстав для видалення даних, наприклад, коли дані більше не потрібні для цілей, для яких їх збирали, або коли користувач відкликає згоду на їх обробку.
Які саме законодавчі норми вимагають зберігання даних. Це можуть бути закони про бухгалтерський облік, податки, протидію відмиванню грошей, охорону здоров’я тощо.
Який саме період зберігання передбачений законодавством. Він може варіюватися від кількох років до кількох десятиліть залежно від типу даних та мети зберігання.

Якщо запит обґрунтований, але дані не можна видалити:

Повідомте користувача про обмеження. Роз’ясніть, що ви не можете видалити дані негайно через законодавчі вимоги, але зобов’язуєтесь зробити це, як тільки це стане можливим.
Обмежте обробку даних. Доки діє законодавче зобов’язання щодо зберігання, обмежте обробку даних лише тими діями, які необхідні для виконання цього зобов’язання. Наприклад, припиніть використовувати дані для маркетингу або профілювання.
Забезпечте безпечне зберігання даних. Переконайтеся, що дані надійно захищені від несанкціонованого доступу, використання або розголошення.
Видаліть дані, як тільки це стане можливим. Встановіть чіткий графік видалення даних після закінчення терміну зберігання, передбаченого законодавством.

Додаткові рекомендації:

Ведіть облік запитів на видалення даних. Фіксуйте дату запиту, підстави для видалення або обмеження обробки, вжиті заходи та дату фактичного видалення даних.
Проконсультуйтеся з юристом. У разі сумнівів або складних ситуацій, зверніться до юриста, що спеціалізується на захисті персональних даних, щоб отримати фахову консультацію та рекомендації.

Пам’ятайте:

GDPR надає користувачам право контролювати свої персональні дані, але це право не є абсолютним.
Законні вимоги щодо зберігання даних можуть обмежувати право на забуття.
Важливо знайти баланс між захистом прав користувачів та виконанням законодавчих зобов’язань.

Question 4

Яка відповідальність за витік персональних даних внаслідок дій третіх осіб, наприклад, хакерської атаки?

Accepted Answer

Уявіть собі ситуацію: ваш бізнес старанно дотримується вимог GDPR, впроваджує сучасні системи безпеки, але раптом трапляється хакерська атака, і зловмисники отримують доступ до персональних даних ваших користувачів. Хто несе відповідальність за цей інцидент: ви, оскільки дані зберігалися у вас, чи хакер, який здійснив незаконні дії?

Відповідь на це питання не така проста, як може здаватися. GDPR вимагає від компаній вживати “відповідні технічні та організаційні заходи” для захисту персональних даних. Це означає, що компанії несуть певну відповідальність за безпеку даних, навіть якщо витік стався внаслідок дій третіх осіб.

Що говорить GDPR?

Стаття 32 GDPR зобов’язує контролерів даних (компанії, що визначають цілі та способи обробки даних) забезпечити:

конфіденційність: захист даних від несанкціонованого доступу;
цілісність: захист даних від несанкціонованого змінення або знищення;
доступність: забезпечення легального доступу до даних уповноваженими особами.

Чи означає це, що компанія завжди несе відповідальність?

Ні, не завжди. GDPR не встановлює абсолютну відповідальність за витік даних. Компанія може бути звільнена від відповідальності, якщо доведе, що вжила всіх можливих та адекватних заходів для запобігання інциденту.

Що може вплинути на визначення відповідальності?

Характер та масштаби вжитих заходів безпеки: чи відповідали вони рівню ризику, пов’язаному з обробкою даних? Чи були вони достатньо сучасними та ефективними?
Своєчасність реагування на інцидент: чи вжила компанія негайні заходи для мінімізації збитків після виявлення витоку? Чи повідомила вона про інцидент відповідні органи та користувачів?
Наявність вини з боку третіх осіб: чи були дії хакерів непередбачуваними та неминучими, чи компанія могла запобігти їм?

Рекомендації для компаній:

Впроваджуйте комплексні системи безпеки, що відповідають типу даних, які ви обробляєте, та рівню ризику.
Регулярно оцінюйте та оновлюйте свої системи безпеки, враховуючи нові загрози та вразливості.
Розробіть план дій на випадок витоку даних, який включатиме кроки з ідентифікації, оцінки, локалізації та усунення інциденту, а також інформування користувачів та відповідних органів.
Проводьте навчання та тренінги для співробітників з питань безпеки даних та кібергігієни.
Документуйте всі вжиті заходи безпеки, що допоможе довести вашу добросовісність у разі розслідування.

Пам’ятайте:

Відповідальність за витік персональних даних є комплексною проблемою, яка залежить від багатьох факторів. Незважаючи на ризики, пов’язані з діями третіх осіб, компанії повинні вживати всіх необхідних заходів для захисту даних, щоб мінімізувати свою відповідальність та зберегти довіру своїх користувачів.

Блог

Налаштування конфіденційності

Керувати налаштуваннями

Необхідні

Маркетинг

Персоналізація

Аналітика