GDPR skyddar dina personuppgifter mycket bra, men bara om du befinner dig i Europa

Jämförelse av tillvägagångssätt och praxis för personuppgiftsskydd i Ryssland och EU

Faktum är att varje handling som en användare utför på internet innebär någon form av manipulation av användarens personuppgifter.

Vi betalar inte för många av de tjänster vi får på internet: söka information, e-post, lagra våra data i molnet, kommunicera på sociala nätverk etc. Dessa tjänster är dock bara villkorligt gratis: vi betalar för dem med våra data, som dessa företag sedan omvandlar till pengar, främst genom reklam.

För närvarande data om kön, ålder och bostadsort, sökhistorik -
grunden för en online-annonsindustri värd miljarder dollar och euro. Det vill säga, ur juridisk synvinkel är personuppgifter material för att bedriva affärsverksamhet. Följaktligen gör företag enorma ansträngningar och spenderar avsevärda medel för att inhämta och behandla personuppgifter. Undersökningar som genomfördes 2018 visar att användare, som inser värdet av sina personuppgifter, är alltmer missnöjda med hur företag hanterar deras personuppgifter.

Reglering inom segmentet för användning av användardata har ännu inte etablerats och ligger efter teknikutvecklingen inte bara i Ryssland utan även i hela världen. Därför byggs en balans mellan konsumenters och företags intressen i modellen "pengar - tjänst - data - pengar" idag både av tillsynsmyndigheter och genom tysta avtal mellan samhället och företag. Tillsynsmyndigheter begränsar IT-företagens möjligheter och utökar användarnas rättigheter: de inför nya lagar som ger användarna mer kontroll över den information de tillhandahåller.

Det är intressant att jämföra tillvägagångssättet hos tillsynsmyndigheter i europeiska länder och Ryssland. I Ryssland är de viktigaste bestämmelserna som styr hanteringen av personuppgifter den federala lagen om skydd av personuppgifter (152-FZ) plus lagen om administrativa brott, som direkt fastställer det specifika bötesbeloppet för brott mot förfarandet för hantering av personuppgifter. Administrativa böter har ökat avsevärt sedan den 1 juli 2017. Samtidigt infördes nya böter beroende på vilken typ av brott som begåtts. Således kan tjänstemän bötfällas med 3000 20 till 000 5000 rubel, enskilda företagare - från 20 000 till 15 000 rubel, organisationer - från 75 000 till 19.7 30 rubel. Dessutom kan de hållas ansvariga för olika typer av brott. Följaktligen kan ett företag bli föremål för flera olika böter för olika överträdelser. Men ansvar finns för underlåtenhet att uppfylla formella krav, till exempel om nödvändiga dokument saknas. Detta är inte alltid direkt relaterat till faktiskt informationsskydd. Till exempel är en läcka i sig inte grund för straff om inte andra lagar bryts. Intressant nog innehåller ett betydande antal av de överträdelser som identifierats inom området hantering av personuppgifter den sammansättning som anges i artikel 50 i Ryska federationens lag om administrativa brott: "Underlåtenhet att lämna eller för tidigt lämna in information (data) till en myndighet (Roskomnadzor), vars lämnande föreskrivs i lag och är nödvändigt för att denna myndighet ska kunna utföra sin lagliga verksamhet..." Det är intressant att ett mycket högre straff föreskrivs inte för brott mot förfarandet för hantering av personuppgifter (som anges ovan är detta i genomsnitt 200.000-XNUMX tusen rubel), utan för underlåtenhet att lämna (försening, ofullständig inlämning) av information om förfarandet för hantering av personuppgifter till Roskomnadzor utdöms böter på upp till XNUMX XNUMX rubel. Dessa. I rysk lagstiftning och i praktiken av dess tillämpning är den rådande trenden att ”det viktigaste är att kostymen passar” och att statens behov tillgodoses. organ i olika rapporter. Användarnas verkliga rättigheter och säkerheten för deras personuppgifter på internet är dåligt skyddade. Samma bötesbelopp korrelerar inte på något sätt med hur mycket fördelar vissa företag får av att bryta mot hanteringen av personuppgifter på internet och uppmuntrar inte till efterlevnad av dessa regler.

Inom EU är bilden något annorlunda. Sedan maj 2018 regleras arbete med personuppgifter i Europa av reglerna för behandling av personuppgifter som fastställts i den allmänna dataskyddsförordningen (EU-förordning 2016/679 från och med den 27 april 2016 eller GDPR - Allmänna dataskyddsförordningen). Förordningen har direkt effekt i alla 28 EU-länder. Förordningen ger EU-invånare full kontroll över sina personuppgifter. Enligt GDPR har EU-medborgare och invånare mycket omfattande rättigheter att kontrollera sina personuppgifter. Europeiska användare har rätt att begära bekräftelse på att deras uppgifter behandlas, platsen och syftet med behandlingen, de kategorier av personuppgifter som behandlas, till vilka tredje parter personuppgifterna lämnas ut, den period under vilken uppgifterna kommer att behandlas, samt att klargöra källan till organisationens personuppgifter och begära att de korrigeras. Dessutom har användaren rätt att kräva att behandlingen av hans/hennes uppgifter upphör.

Sedan maj 2018, ansvar i form av böter för brott mot reglerna för behandling av personuppgifter: enligt GDPR uppgår böterna till 20 miljoner euro (cirka 1,5 miljarder rubel) eller 4% av företagets årliga globala inkomst.

Det viktigaste är att allt detta fungerar: företag som bryter mot användarrättigheter hålls ansvariga, och med mycket allvarliga påföljder. Till exempel bötfällde den franska nationella kommissionen för informatik och medborgerliga rättigheter (CNIL) den 21 januari 2019 det amerikanska företaget GOOGLE LLC med 50 miljoner euro för brott mot GDPR. Böterna är mycket höga och visar tydligt konsekvenserna av att inte följa GDPR-kraven. Vad var straffet för? Den franska kommissionen fastställde att den initiala konfigurationen av en mobil enhet på ett operativsystem... Android (Google) ger inte användarna fullständig information om vad Google gör med deras personuppgifter. Företaget uppfyllde inte sina skyldigheter att säkerställa transparens i behandlingen av personuppgifter och att informera registrerade (artiklarna 12 och 13 i GDPR). Lagringsperioderna för användardata var dåligt reglerade. Företaget saknade den nödvändiga rättsliga grunden för sin databehandling (artikel 6 i GDPR). Google anklagades också för att felaktigt ha inhämtat användarnas samtycke till att behandla deras uppgifter för personalisering av annonser.

Andra exempel: den tyska tillsynsmyndigheten LfDI bötfällde dejtingchattappen Knuddels med 20.000 300 euro, medan det portugisiska sjukhuset Barreiro Hospital anklagades för att ha hanterat åtkomst till känsliga personuppgifter på ett felaktigt sätt (100 20 euro i böter) och brutit mot datasäkerhet och integritet (ytterligare 17000000 5280 euro). Brittiska tillsynsmyndigheter har utfärdat en varning till ett kanadensiskt analysföretag. Företaget beordrades att sluta behandla medborgares personuppgifter, annars riskerar de böter på XNUMX miljoner euro. Det kanadensiska företaget AggregateIQ, ett företag som erbjuder digital marknadsföring och mjukvara, har bötfällts med XNUMX miljoner pund. Ett kafé i Österrike fick böta XNUMX XNUMX euro för olaglig videoövervakning (kameran fångade en del av trottoaren). Dessa. En organisation som omfattas av GDPR bör inte, i enlighet med nationell tradition, begränsa sig till att endast utveckla regulatorisk dokumentation.

Förresten, det speciella med GDPR är att den gäller alla företag som behandlar personuppgifter för EU-invånare och medborgare, oavsett var ett sådant företag är beläget, så ryska företag bör vara noga med att följa denna förordning om deras tjänster riktar sig till den europeiska marknaden.

Källa: will.com