Закон о защите персональных данных – несколько рекомендаций по соблюдению

Безопасность персональных данных является одним из ключевых основных принципов Закона. В связи с этим Закон обязывает контролера принимать соответствующие технические, организационные и персональные меры для обеспечения того, чтобы обработка персональных данных осуществлялась в соответствии с Законом, при этом контролер должен обращать внимание на характер, объем, обстоятельства, цели обработки, оценку риска для прав и свобод физических лиц.

При необходимости контролер должен быть способен продемонстрировать соблюдение этого юридического требования.

Хотя может показаться, что вышеупомянутое положение недостаточно точно, Закон фактически следует подходу Общего регламента по защите данных (GDPR), который учитывает все более быстрый технологический прогресс, а также различные сферы, в которых происходит обработка персональных данных. Вот почему Закон неохотно подробно определяет, какие «технические, организационные и персональные меры» должен реализовать контролер.

После внедрения мер защиты они не должны рассматриваться как постоянные и неизменные. Напротив, контролер должен оценивать и обновлять их при необходимости.

Защита персональных данных означает, что контролер и обработчик проводят соответствующие технические, организационные и персональные меры, чтобы обеспечить адекватный уровень безопасности персональных данных относительно конкретного риска, угрожающего их безопасности. При этом следует учитывать уровень технологических достижений и затрат на их внедрение, характер, объем, обстоятельства и цель обработки, а также вероятность возникновения риска и степень угрозы для прав и свобод физических лиц.

Значимость внедрения вышеупомянутых мер лучше всего отражается тем, что из-за отсутствия технической безопасности наложено множество штрафов за нарушения GDPR. Например, на компанию British Airways в Великобритании наложен штраф в размере 204 000 000,00 евро за нарушение персональных данных из-за хакерской атаки, о которой мы говорили в наших новостях «British Airways и Marriott International нарушили GDPR – Какие последствия им грозят?».

Для выбора соответствующих мер для вашей компании сначала необходимо определить, какие риски угрожают безопасности персональных данных, которые вы обрабатываете, а также вероятность реализации этих рисков и возможности их реального воплощения в жизнь.

Пример:

Если вы обрабатываете персональные данные в электронной форме, риски, которые угрожают их безопасности, могут включать в себя несанкционированный доступ к базам данных, изменение или удаление персональных данных, физическое повреждение серверов и другого оборудования, которое хранит данные или используется для других операций обработки, из-за пожара, наводнения и т. д.

Анонимизация — это обработка данных, которая вызывает постоянную невозможность установить личность субъекта данных. С момента анонимизации персональных данных вы больше не подпадаете под действие Закона о защите персональных данных, то есть вы больше не обязаны обрабатывать эти данные в соответствии с Законом.

Файловые системы должны быть защищены от доступа лиц, не имеющих права на доступ к ним внутри компании. Процесс соблюдения требований Закона о защите персональных данных подразумевает, что права, обязанности и ответственность сотрудников в отношении хранения и использования файловых систем должны быть четко определены. Некоторые данные могут быть доступны всем сотрудникам компании (например, рабочие электронные адреса), в то время как другие данные могут быть доступны только сотрудникам с особыми разрешениями (например, определенным лицам в отделе кадров).

В случае возникновения нарушения персональных данных, вне зависимости от принятых мер защиты, которые могут создать риск для прав и свобод физических лиц, контролер должен уведомить Комиссара о нарушении как можно скорее, но в пределах 72 часов с момента обнаружения нарушения.

С другой стороны, обработчик должен уведомить контролера о каждом нарушении данных, независимо от степени риска для прав и свобод физических лиц, без необоснованных задержек.

Контролер должен вести учет всех нарушений данных, который содержит детали нарушения, последствия нарушения и принятые меры для их устранения.

В общем случае контролер и обработчик могут назначить DPO, но не обязаны этого делать. Однако, когда речь идет о юридических лицах, Закон о защите персональных данных предписывает, когда назначение DPO является обязательным:

• Основные обязанности контролера или обработчика состоят в обработке деятельности, которая, по своей природе, объему или целям, требует регулярного и систематического контроля за большим количеством субъектов данных;
• Основная деятельность контролера или обработчика состоит в обработке особых категорий персональных данных (касающихся расовой или этнической принадлежности, политических взглядов, религиозных убеждений и т. д.) в крупном масштабе.

Если контролер или обработчик, являющиеся юридическими лицами, не назначат DPO в вышеупомянутых случаях, их оштрафуют за административное правонарушение в размере от 50 000 до 2 000 000 динаров.

Контролер или обработчик обязаны опубликовать контактную информацию DPO и передать ее Комиссару.

• Информировать и давать мнение контролеру или обработчику, а также сотрудникам, осуществляющим обработку данных, о их законных обязательствах в области защиты персональных данных;
• Контролировать соблюдение положений Закона о защите персональных данных и других законов, а также внутренних положений контролера или обработчика, касающихся защиты персональных данных, включая вопросы разделения ответственности, повышения осведомленности и обучения сотрудников, участвующих в обработке данных, а также контроля;
• Давать мнение по запросу оценки влияния обработки на защиту персональных данных и отслеживать действия, предпринятые в связи с этой оценкой;
• Быть контактным лицом для сотрудничества с Комиссаром и консультироваться с Комиссаром по вопросам, связанным с обработкой персональных данных.

Если данные собираются от лица, к которому эти данные относятся, контролер обязан предоставить этому лицу информацию, которую предписывает Закон на момент сбора данных, такую как идентификация и контактная информация контролера, контактная информация DPO, цель предполагаемой обработки и правовое основание для обработки, получатели, срок хранения персональных данных, права субъекта данных в отношении их данных, а также другая информация.

Субъект данных имеет право запросить у контролера информацию о том, обрабатывает ли контролер его персональные данные, запросить доступ к этим данным, а также информацию о целях обработки, о типах данных, которые обрабатываются, о сроке хранения персональных данных, о правах субъекта данных в отношении обработки их данных и другую информацию.

Контролер обязан после запроса субъекта данных предоставить копию персональных данных, которые он обрабатывает и которые относятся к данному субъекту данных.

Если персональные данные неверны, субъект данных имеет право запросить у контролера их исправление без ненадобной задержки.

Если персональные данные неполные, учитывая цель обработки, субъект данных имеет право дополнить свои персональные данные.

Субъект данных имеет право подать запрос контролеру на удаление своих персональных данных контролером.

Контролер обязан удалить персональные данные, если:

• персональные данные больше не нужны для достижения цели, для которой они были собраны или иным образом обработаны;
• субъект данных отозвал свое согласие, на основе которого проводилась обработка, и нет другого юридического основания для обработки;
• субъект данных подал возражение по поводу обработки своих персональных данных;
• персональные данные были незаконно обработаны;
• персональные данные должны быть удалены для выполнения юридических обязательств контролера.

Если контролер публично опубликовал персональные данные, их обязанность по удалению данных включает принятие всех разумных мер по уведомлению других контролеров, которые обрабатывают эти данные, о том, что субъект данных подал запрос на удаление всех копий этих данных и ссылок, то есть электронных ссылок на эти данные.

Субъект данных вправе в любое время подать возражение против обработки своих персональных данных контролеру, которая осуществляется в соответствии с общественным интересом или выполнением правовых полномочий контролера, или законными интересами контролера или третьей стороны, как юридическими основаниями для обработки.

Контролер обязан прекратить обработку данных лица, которое подало возражение, за исключением случаев, когда он может доказать, что существуют законные основания для обработки, которые превышают интересы, права или свободы субъектов данных или которые связаны с подачей, осуществлением или защитой правового требования.

Наконец, в третьем и заключительном тексте нашей серии текстов о Законе о защите персональных данных рассматриваются штрафные меры Закона.