Общий регламент по защите данных (ЕС 2016/679) вступил в силу 25 мая 2018 года, внеся новые элементы и существенные улучшения в существующий режим защиты данных.
Закон о защите данных (DPA) 2018 года, вступивший в силу 23 мая 2018 года, имплементировал GDPR, а также добавил положения, позволяющие распространить действие GDPR на такие области, как службы безопасности и государственные органы, которые ранее не подпадали под действие одного лишь GDPR.
После Brexit (после окончания переходного периода Brexit с 1 января 2021 года) британский GDPR является сохраненной версией Регламента ЕС в силу раздела 3 Постановления Европейского союза (о выходе из ЕС) 2018 года и с поправками, внесенными Постановлением о защите данных, конфиденциальности и электронных коммуникациях (поправка и т. д.) (выход из ЕС) 2020 года.
Регламент Великобритании о защите персональных данных (GDPR) защищает права граждан Великобритании в отношении их данных, а регламент ЕС о защите персональных данных (GDPR) защищает права граждан ЕС. Для организаций, обрабатывающих данные как граждан Великобритании, так и граждан ЕС, применяются оба регламента GDPR.
Принципы и требования Регламента ЕС о защите данных (GDPR) продолжают действовать в Великобритании и в его версии после Brexit, и здесь мы рассмотрим основные области применения и некоторые определения.
Контроллеры и процессоры
GDPR применяется как к контролерам, так и к обработчикам данных. Контролеры определяют, как и почему обрабатываются персональные данные. Обработчик действует от имени контролера для обработки данных. Ваша организация может быть обработчиком данных, контролером данных или и тем, и другим.
Как на контроллеров, так и на обработчиков данных возлагаются определенные юридические обязательства:
- Контролеры данных должны, в частности, обеспечить соответствие договоров с обработчиками данных требованиям GDPR; и
- Контролеры и обработчики данных имеют отдельные, но четко сформулированные требования к ведению учета персональных данных и деятельности по их обработке
- Обработчики данных также несут юридическую ответственность за любые нарушения безопасности.
Более подробную информацию о требованиях к документации вы найдете в нашем информационном буклете «Безопасность данных – Общий регламент по защите данных – Обеспечение соответствия».
Принципы защиты данных
Персональные данные включают в себя:
- Обработка данных осуществляется законно, справедливо и прозрачно
- собрано для определенных, явных и законных целей
- адекватный, релевантный и ограниченный тем, что необходимо для достижения цели
- Точные и актуальные данные. Неточные данные следует удалить или исправить
- хранить в идентифицируемом формате не дольше, чем это необходимо
- Обработка данных осуществляется безопасно и защищена от несанкционированной или незаконной обработки, случайной потери, уничтожения или повреждения.
Права физических лиц в соответствии с GDPR
Право быть информированным
Физические лица имеют право знать, как будут обрабатываться их персональные данные. GDPR способствует прозрачности обработки данных посредством уведомления о конфиденциальности, включающего (среди прочего) информацию о контролере, источнике данных, получателях данных, передаче данных за пределы ЕС и сроке хранения данных.
Право доступа (запрос на доступ к персональным данным)
Физические лица имеют право получить подтверждение того, что их данные обрабатываются, доступ к своим персональным данным и другую информацию, например, ту, которая содержится в уведомлении о конфиденциальности.
Максимальный срок рассмотрения запроса на доступ к персональным данным составляет 30 дней, а право взимать плату за доступ к персональным данным отменено, за исключением случаев, когда запрос необоснован, чрезмерен или повторяется.
Право на исправление
Физические лица имеют право на исправление неточных или неполных персональных данных. Это также относится к персональным данным, которые передаются третьим лицам.
Право на удаление
Физические лица имеют право потребовать удаления или уничтожения персональных данных, если отсутствуют веские основания для их дальнейшей обработки. Это также должно включать персональные данные, которые передаются третьим лицам.
Важно отметить, что при подаче запроса, касающегося ребенка, предъявляются дополнительные требования.
Существуют некоторые исключения из права на удаление данных, например, когда данные хранятся в соответствии с юридическими обязательствами.
Право на ограничение обработки
Физические лица имеют право ограничить обработку персональных данных. В таких случаях персональные данные могут храниться, но не обрабатываться.
Право на переносимость данных
Физические лица имеют право получать и повторно использовать свои персональные данные в различных сервисах. Это позволяет им перемещать, копировать или передавать персональные данные. Персональные данные должны быть предоставлены в структурированном машиночитаемом формате (например, .csv).
право возражать
Физические лица имеют право возражать против обработки персональных данных. Обработка должна быть немедленно прекращена, за исключением случаев наличия «веских» законных оснований для обработки или если обработка осуществляется для установления, осуществления или защиты юридических претензий.
Права в отношении автоматизированного принятия решений и профилирования
Каждый человек имеет право на то, чтобы были приняты меры защиты от риска принятия вредных решений без участия человека. Это также распространяется на защиту персональных данных, используемых в целях профилирования.
Подотчетность и управление
Принцип подотчетности требует наличия надлежащих мер управления для документирования соблюдения требований. Поэтому организациям необходимо:
- внедрить меры, соответствующие принципам защиты данных
- документировать политику и процедуры, касающиеся хранения и обработки персональных данных
- Внедрить технические и организационные меры для обеспечения и демонстрации соответствия требованиям.
- При необходимости назначить ответственного за защиту данных.
Более подробную информацию можно найти в нашем информационном буклете «Безопасность данных – обеспечение соответствия требованиям защиты данных».
Законность обработки
Важно понимать и документировать законные основания для обработки ваших данных. Их шесть:
- Согласие
- Договорное обязательство
- Юридическое обязательство
- Жизненно важные интересы
- Общественный интерес
- Законные интересы.
В вопросе согласия оно должно быть конкретным, недвусмысленным и добровольным. Положительное согласие нельзя предполагать на основании бездействия, например, отказа от подписки через онлайн-форму «отписаться» или использования предварительно отмеченных полей. Компаниям необходимо фиксировать дату, время, способ и формулировку, использованную для получения согласия, поэтому важно обеспечить наличие у компании средств для записи и документирования такой информации.
Руководство по получению согласия ICO
Законный интерес дает вам возможность обрабатывать данные физических лиц, но только в тех пределах, в которых они сами ожидают. Если вы полагаетесь на законный интерес, вы берете на себя ответственность за обеспечение того, чтобы:
- существуют основания для использования законного интереса
- Обработка данных ограничивается этими интересами и может быть продемонстрирована
- Права личности были учтены в процессе сопоставления интересов
- Лицо информируется о законных интересах, изложенных в вашей политике конфиденциальности.
Руководство ICO по законным интересам
Уведомление о нарушениях
Нарушение защиты персональных данных — это случайное или незаконное уничтожение, потеря, изменение, несанкционированное разглашение или доступ к персональным данным.
Британский регулятор ICO предлагает онлайн-инструмент самооценки, который помогает определить серьезность нарушения и необходимость сообщения о нем. О некоторых нарушениях необходимо уведомить соответствующий надзорный орган в течение 72 часов. Крайне важно провести оценку сразу после обнаружения нарушения.
Руководство ICO по оценке нарушений защиты персональных данных
Передача данных
28 июня 2021 года Европейская комиссия приняла решение о достаточности защиты данных для Великобритании, что означает, что большая часть данных может продолжать передаваться между Великобританией и ЕЭЗ ЕС без необходимости дополнительных гарантий. (Исключение составляют данные для целей иммиграционного контроля.)
При передаче данных в «третью страну» могут применяться дополнительные меры защиты, такие как стандартные договорные положения или обязательные корпоративные правила. Первая ссылка ниже ведет на сайт британского регулятора – ICO. Вторая – на сайт Европейской комиссии.
Руководство по соглашениям о передаче данных ICO
Правила ЕС в отношении переводов за пределы блока
Источники и ссылки
Главная страница ICO для организаций
Портал ЕС по GDPR – www.gdpreu.org
