GDPR защитава вашите лични данни много добре, но само ако сте в Европа

Сравнение на подходите и практиките за защита на личните данни в Русия и ЕС

Всъщност с всяко действие, извършено от потребител в интернет, възниква някаква форма на манипулиране на личните данни на потребителя.

Ние не плащаме за много от услугите, които получаваме в интернет: за търсене на информация, за имейл, за съхраняване на нашите данни в облака, за комуникация в социални мрежи и т.н. Тези услуги обаче са само условно безплатни: ние плащаме за тях с нашите данни, които тези компании след това превръщат в пари, главно чрез реклама.

В момента данни за пол, възраст и място на пребиваване, история на търсенията -
основата за онлайн рекламна индустрия на стойност милиарди долари и евро. Тоест от правна гледна точка личните данни са материали за правене на бизнес. Съответно компаниите полагат огромни усилия и харчат значителни средства за получаване и обработка на лични данни. Проучванията, проведени през 2018 г., показват, че потребителите, разбирайки стойността на своите лични данни, са все по-недоволни от начина, по който компаниите третират личните им данни.

Регулирането в сегмента на използването на потребителски данни все още не се е оформило и изостава от развитието на технологиите не само в Русия, но и в целия свят, следователно балансът на интересите на потребителите и компаниите в „пари - услуга - данни -пари” днес се изгражда както от регулаторите, така и чрез негласни споразумения между обществото и компаниите. Регулаторите ограничават възможностите на ИТ компаниите и разширяват правата на потребителите: въвеждат нови закони, които дават на потребителите повече контрол върху информацията, която предоставят.

Интересно е да се сравнят подходите на регулаторите в европейските страни и Русия. В Русия основните разпоредби, регулиращи обработката на лични данни, са Федералният закон за защита на личните данни (152-FZ) плюс Кодекса за административните нарушения, който пряко определя конкретния размер на глобите за нарушаване на процедурата за обработка на лични данни . Административните глоби се увеличиха значително от 1 юли 2017 г. В същото време бяха установени нови глоби в зависимост от вида на извършеното нарушение. Така длъжностните лица могат да бъдат глобени в размер от 3000 20 до 000 5000 рубли, индивидуалните предприемачи - в размер от 20 000 до 15 000 рубли, организациите - в размер от 75 000 до 19.7 30 рубли. Освен това те могат да бъдат подведени под отговорност за различни престъпления. Съответно една компания може да бъде обект на няколко различни глоби за различни нарушения. Но отговорността е предвидена специално за неспазване на формалните изисквания, например ако липсват необходимите документи. Това не винаги е пряко свързано с реалната защита на информацията. Например изтичането само по себе си не е основание за санкции, освен ако не са нарушени други закони. Интересно е, че значителен брой установени нарушения в областта на обработката на лични данни съдържат съдържанието, предвидено в член 50 от Кодекса за административните нарушения на Руската федерация: „Неподаване или ненавременно подаване на държавен орган (Роскомнадзор) - информация (информация), чието предоставяне е предвидено от закона и е необходимо за осъществяване на законната дейност на този орган...” Интересно е, че се предвижда много по-голяма отговорност не за нарушаване на процедурата за обработка на лични данни (както е посочено по-горе, това е средно 200.000-XNUMX хиляди рубли), а конкретно за непредоставяне (забавяне, непълно подаване) на информация за Процедурата за обработка на лични данни в Roskomnadzor подлежи на глоба до XNUMX XNUMX рубли. Тези. в руското законодателство и в практиката на неговото прилагане преобладаващата тенденция е „главното е, че костюмът е подходящ“ и нуждите на държавата са задоволени. власти в различни доклади. Реалните права на потребителите и сигурността на личните им данни в интернет са слабо защитени. Същият размер на глобите не корелира по никакъв начин с размера на ползите, получени от някои компании, когато нарушават обработката на лични данни в интернет и не насърчава спазването на тези правила.

В ЕС картината е малко по-различна. От май 2018 г. в Европа работата с лични данни се регулира от правилата за обработка на лични данни, установени от Общия регламент за защита на данните (Регламент на ЕС 2016/679 от 27 април 2016 г. или GDPR - Общ регламент за защита на данните). Регламентът има пряко действие във всички 28 страни от ЕС. Регламентът предоставя на жителите на ЕС пълен контрол върху техните лични данни. Съгласно GDPR гражданите и жителите на ЕС имат много широки права да контролират своите лични данни. Европейските потребители имат право да поискат потвърждение за това, че техните данни се обработват, мястото и целта на обработването, категориите лични данни, които се обработват, на кои трети страни се разкриват личните данни, периода, през който данните ще бъдат обработвани, както и да изясни източника на получаване на личните данни от организацията и да поиска тяхната корекция. Освен това потребителят има право да изиска обработването на неговите данни да бъде прекратено.

От май 2018 г. отговорността под формата на глоби за нарушаване на правилата за обработка на лични данни: според GDPR глобата достига 20 милиона евро (около 1,5 милиарда рубли) или 4% от годишния глобален приход на компанията.

Най-важното е, че всичко това работи, компаниите, които нарушават потребителските права, носят отговорност и то много сериозно. Например на 21 януари 2019 г. френската Национална комисия по информатика и граждански права (CNIL) реши да глоби американската компания GOOGLE LLC с 50 милиона евро за нарушаване на GDPR. Размерът на глобата е много голям. Това ясно показва рисковете от неспазване на изискванията на GDPR. За какво бяхте наказани? Френската комисия установи, че по време на първоначалната конфигурация на мобилно устройство, работещо с операционната система Android (Google), потребителят не получава пълна информация какво прави Google с личните му данни. Компанията не е изпълнила задълженията си да гарантира прозрачност при обработката на лични данни и да информира субектите (чл. 12 и 13 от GDPR). Сроковете за съхранение на потребителските данни не са строго регламентирани. Компанията не разполагаше с необходимото правно основание за извършената обработка на данни (член 6 от GDPR). Google също беше обвинен в неправомерно получаване на съгласие от потребителите за обработка на техните данни за персонализиране на рекламите.

Други примери: глоба от германския регулатор LfDI на приложението за чат за запознанства Knuddels - 20.000 300 евро; португалската болница Barreiro Hospital беше обвинена в неправилно управление на достъпа до критични лични данни (глоба от 100 хиляди евро) и нарушаване на сигурността и целостта на данни (още 20 хиляди евро). Британските власти отправиха предупреждение към канадска компания, занимаваща се с аналитични изследвания. На компанията беше наредено да спре да обработва лични данни на граждани, в противен случай я грози глоба от 17000000 милиона евро. Канадската компания за дигитален маркетинг и разработка на софтуер AggregateIQ беше глобена със £5280 XNUMX XNUMX. Кафене в Австрия беше глобено с XNUMX евро за незаконно видеонаблюдение (камерата е заснела част от тротоара). Тези. всяка организация, която е обект на GDPR, не трябва да се ограничава, според местната традиция, само до разработването на нормативна документация.

Между другото, особеността на GDPR е, че той се прилага за всички компании, обработващи лични данни на жители и граждани на ЕС, независимо от местоположението на такава компания, така че руските компании трябва внимателно да разгледат този регламент, ако техните услуги са фокусирани върху европейския пазар

Източник: www.habr.com