Три роки тому набув сили GDPR — регламент, що визначає принципи роботи з персональними даними європейських користувачів інтернету. GDPR разом з CCPA — серйозна віха в історії захисту персональних даних, а також предмет головного болю для компаній, які займаються збором даних. Вже у перший день дії GDPR Google та Facebook отримали позовів на загальну суму у $8,8 млрд.

Adsider розповідає, що таке GDPR, з чим його їдять та як його випадково не порушити.

Загальний регламент захисту даних (General Data Protection Regulation, GDPR) — це законодавство, яке забезпечує захист персональних даних осіб у межах ЄС та Європейської економічної зони, а також карає за порушення стандартів.

На 88 сторінках регламенту прописано, що розуміти під поняттям «персональні дані», хто має право збирати та обробляти цю інформацію, згідно з якими принципами прописуються права власників даних (тобто користувачів інтернету), а також обов’язки та обмеження для компаній, що збирають дані, і визначаються покарання за порушення.

Право на захист персональних даних закріплено у Європейській конвенції прав людини. Стаття 8 Конвенції проголошує: «Кожен має право на повагу до його приватного i сiмейного життя, до житла і до таємницi кореспонденції».

Розвиток технологій та поява інтернету призвели до того, що з’явилися нові способи збору даних — для комерційних потреб і не тільки. Чим більш просунутими ставали інтернет-технології, тим більше виникало ризиків, пов’язаних з питаннями конфіденційності та видачею персональної інформації через недостатню поінформованість, особливо з появою соцмереж.

У 2011 році користувачка Google зі штату Массачусетс подала проти компанії позов, звинувативши техногіганта у тому, що він сканував її приватну переписку.

У 2016 році скандал з Cambridge Analytica, коли маніпулювання приватними даними дозволило вплинути на результат виборів у США, показав, що ситуація стала критичною, а персональні дані користувачів потребують захисту як ніколи.

Ваше місцезнаходження не має значення. Ви можете працювати з США, України, Гватемали або взагалі керувати своєю компанією з бази в Арктиці — якщо ви збираєте і обробляєте дані громадян або резидентів ЄС, ви підпадаєте і під GDPR.

Якщо коротко, порушувати GDPR — дуже дорого.

Є два рівні штрафів. Перший, за менш серйозні порушення, — це штраф на суму до €10 млн або 2% глобального річного доходу компанії за попередній фінансовий рік (якщо цей дохід більший за €10 млн).

Другий рівень штрафів — це €20 млн або 4% глобального річного доходу компанії за попередній фінансовий рік.

Детальніше про те, за які порушення призначаються штрафи, можна прочитати на сайті регулятора.

GDPR набув законної сили рівно три роки тому, 25 травня 2018 року, але основні принципи регламенту прописали на чотири роки раніше — у 2014-му.

Робота над створенням відповідного законодавства почалася ще у 1995 році, з прийняттям Директиви Європейського парламенту про захист персональних даних.

Adsider зібрав основні події у «житті» GDPR.

Компанії, що підпадають під дію GDPR, зобов’язані дотримуватися семи принципів захисту та відповідальності:

Варто зазначити, що компанія відповідає за забезпечення захисту даних, які зібрала про своїх клієнтів чи користувачів, а отже, нестиме відповідальність у випадку, якщо до цих даних дісталися хакери, конкуренти чи хтось, хто не повинен був мати до них доступу. Так само, якщо компанія передала зібрані дані третій стороні без інформованої згоди користувача.

Згода користувача на збір і обробку персональних даних також чітко регулюється GDPR. Компанія не може просто попросити «погодьтеся на все, що ми будемо робити з вашими даними».