Общий регламент по защите данных (Регламент (ЕС) 2016/679), [1] сокращенно GDPR , или фр. RGPD (от Règlement général sur la protection des données ) — это регламент Европейского союза о конфиденциальности информации в Европейском союзе (ЕС) и Европейской экономической зоне (ЕЭЗ). GDPR является важным компонентом законодательства ЕС о конфиденциальности и права человека , в частности статьи 8(1) Хартии основных прав Европейского союза . Он также регулирует передачу персональных данных за пределы ЕС и ЕЭЗ. Цели GDPR — усиление контроля и прав отдельных лиц в отношении их личной информации и упрощение правил для международного бизнеса . [2] Он заменяет Директиву о защите данных 95/46/EC и, среди прочего, упрощает терминологию.
Европейский парламент и Совет Европейского союза приняли GDPR 14 апреля 2016 года, который вступит в силу 25 мая 2018 года. Как регламент ЕС (а не директива ) , GDPR применяется напрямую с силой закона сам по себе без необходимости транспонирования . Однако он также предоставляет отдельным государствам-членам гибкость для изменения (отступления от) некоторых из его положений.
Как пример эффекта Брюсселя , регулирование стало моделью для многих других законов по всему миру, в том числе в Бразилии, Японии, Сингапуре, Южной Африке, Южной Корее, Шри-Ланке и Таиланде. [ необходима ссылка ] [3] После выхода из Европейского Союза Соединенное Королевство приняло свой «UK GDPR», идентичный GDPR. [4] Закон Калифорнии о защите конфиденциальности потребителей (CCPA), принятый 28 июня 2018 года, имеет много общего с GDPR. [5]
GDPR 2016 состоит из одиннадцати глав, касающихся общих положений, принципов, прав субъекта данных, обязанностей контролеров или обработчиков данных, передачи персональных данных в третьи страны, надзорных органов, сотрудничества между государствами-членами, средств правовой защиты, ответственности или штрафов за нарушение прав и различных заключительных положений. В пункте 4 провозглашается, что «обработка персональных данных должна быть направлена на служение человечеству».
Регламент применяется, если контролер данных (организация, которая собирает информацию о живых людях, независимо от того, находятся ли они в ЕС или нет), обработчик (организация, которая обрабатывает данные от имени контролера данных, например, поставщики облачных услуг), или субъект данных (лицо) находятся в ЕС. При определенных обстоятельствах [6] регламент также применяется к организациям, базирующимся за пределами ЕС, если они собирают или обрабатывают персональные данные лиц, находящихся в ЕС. Регламент не применяется к обработке данных лицом для «исключительно личной или бытовой деятельности и, следовательно, не связанной с профессиональной или коммерческой деятельностью». (Преамбула 18).
Согласно Европейской комиссии , «Персональные данные — это информация, которая относится к идентифицированному или идентифицируемому лицу. Если вы не можете напрямую идентифицировать лицо по этой информации, то вам необходимо рассмотреть, является ли лицо все еще идентифицируемым. Вы должны учитывать информацию, которую вы обрабатываете, вместе со всеми средствами, которые с большой долей вероятности могут быть использованы вами или любым другим лицом для идентификации этого лица». [7] Точные определения таких терминов, как «персональные данные», «обработка», «субъект данных», «контролер» и «обработчик», указаны в статье 4. [ 1] : Статья 4
Регламент не подразумевает применения к обработке персональных данных для деятельности по обеспечению национальной безопасности или правоохранительных органов ЕС; однако отраслевые группы, обеспокоенные возможным конфликтом законов, задаются вопросом, может ли статья 48 быть использована для того, чтобы помешать контролеру данных, подпадающему под действие законов третьей страны, выполнить законное распоряжение правоохранительных органов, судебных органов или органов национальной безопасности этой страны о раскрытии таким органам персональных данных лица ЕС, независимо от того, находятся ли данные в ЕС или за его пределами. Статья 48 гласит, что любое решение суда или трибунала и любое решение административного органа третьей страны, требующее от контролера или обработчика передать или раскрыть персональные данные, не могут быть признаны или исполнены каким-либо образом, если они не основаны на международном соглашении, например, действующем договоре о взаимной правовой помощи между запрашивающей третьей страной (не входящей в ЕС) и ЕС или государством-членом. Пакет реформ по защите данных также включает отдельную Директиву по защите данных для сектора полиции и уголовного правосудия, которая устанавливает правила обмена персональными данными на государственном уровне , на уровне Союза и на международном уровне. [8]
Единый набор правил применяется ко всем государствам-членам ЕС. Каждое государство-член создает независимый надзорный орган (SA) для рассмотрения и расследования жалоб, санкций за административные правонарушения и т. д. [1] : статьи 46–55 SA в каждом государстве-члене сотрудничают с другими SA, оказывая взаимную помощь и организуя совместные операции. Если у предприятия есть несколько учреждений в ЕС, оно должно иметь одно SA в качестве своего «главного органа» в зависимости от местонахождения его «главного учреждения», где осуществляются основные действия по обработке. Таким образом, главный орган действует как « единое окно » для надзора за всеми действиями по обработке этого предприятия по всему ЕС. [9] [10] Европейский совет по защите данных (EDPB) координирует SA. Таким образом, EDPB заменяет Рабочую группу по защите данных Статьи 29. Существуют исключения для данных, обрабатываемых в контексте занятости или национальной безопасности, которые по-прежнему могут регулироваться правилами отдельных стран. [1] : статьи 2(2)(a) и 88
Статья 5 устанавливает шесть принципов, касающихся законности обработки персональных данных. Первый из них определяет, что данные должны обрабатываться законно, справедливо и прозрачно. Статья 6 развивает этот принцип, указывая, что персональные данные не могут обрабатываться, если для этого нет хотя бы одного правового основания. Другие принципы относятся к «ограничению цели», « минимизации данных », «точности», «ограничению хранения» и «целостности и конфиденциальности».
Статья 6 гласит, что законными целями являются:
Если информированное согласие [1] : Статья 4(11) используется в качестве законного основания для обработки, согласие должно быть явным для собранных данных и каждой цели, для которой используются данные. [1] : Статья 7 Согласие должно быть конкретным, свободно данным, четко сформулированным и недвусмысленным подтверждением, данным субъектом данных; онлайн-форма, которая имеет варианты согласия, структурированные как отказ, выбранный по умолчанию, является нарушением GDPR, поскольку согласие не является однозначно подтвержденным пользователем. Кроме того, несколько типов обработки не могут быть «объединены» вместе в один запрос подтверждения, поскольку это не является конкретным для каждого использования данных, и отдельные разрешения не предоставляются свободно. (Преамбула 32).
Субъектам данных должно быть разрешено отозвать это согласие в любое время, и процесс этого не должен быть сложнее, чем его согласие. [1] : Статья 7(3) Контролер данных не может отказать в обслуживании пользователям, которые отказываются дать согласие на обработку, которая не является строго необходимой для использования услуги. [1] : Статья 8 Согласие для детей, определенных в регламенте как дети младше 16 лет (хотя с возможностью для государств-членов индивидуально установить минимальный возраст до 13 лет), должно быть дано родителем или опекуном ребенка и поддаваться проверке. [11] [12]
Если согласие на обработку уже было предоставлено в соответствии с Директивой о защите данных, контролеру данных не нужно повторно получать согласие, если обработка задокументирована и получена в соответствии с требованиями GDPR (Преамбула 171). [13] [14]
Статья 12 требует, чтобы контролер данных предоставлял информацию «субъекту данных в краткой, прозрачной, понятной и легкодоступной форме, используя ясный и простой язык, в частности, любую информацию, адресованную конкретно ребенку».
Право доступа ( статья 15 ) является правом субъекта данных. [15] Оно дает людям право на доступ к своим персональным данным и информации о том, как эти персональные данные обрабатываются. Контролер данных должен предоставить по запросу обзор категорий данных, которые обрабатываются [1] : статья 15(1)(b) , а также копию фактических данных; [1] : статья 15(3) кроме того, контроллер данных должен информировать субъекта данных о деталях обработки, таких как цели обработки, [1] : статья 15(1)(a) с кем передаются данные, [1] : статья 15(1)(c) и как он получил данные. [1] : статья 15(1)(g)
Субъект данных должен иметь возможность передавать персональные данные из одной электронной системы обработки в другую и обратно, не будучи лишенным возможности делать это со стороны контролера данных. Данные, которые были достаточно анонимизированы, исключаются, но данные, которые были только деидентифицированы, но по-прежнему могут быть связаны с рассматриваемым лицом, например, путем предоставления соответствующего идентификатора, не исключаются. [16] Однако на практике предоставление таких идентификаторов может быть сложной задачей, например, в случае Siri от Apple , где голосовые и расшифровочные данные хранятся с персональным идентификатором, доступ к которому производитель ограничивает, [17] или в онлайн-поведенческом таргетинге, который в значительной степени опирается на отпечатки пальцев устройств , которые может быть сложно захватить, отправить и проверить. [18]
Включены как данные, «предоставляемые» субъектом данных, так и данные, «наблюдаемые», например, о поведении. Кроме того, данные должны быть предоставлены контролером в структурированном и общепринятом стандартном электронном формате. Право на переносимость данных предусмотрено статьей 20 .
Право быть забытым было заменено более ограниченным правом на удаление в версии GDPR, принятой Европейским парламентом в марте 2014 года. [19] [20] Статья 17 предусматривает, что субъект данных имеет право потребовать удаления персональных данных, связанных с ним, по любому из ряда оснований, включая несоблюдение статьи 6(1) (законность), которая включает случай (f), если законные интересы контролера перевешиваются интересами или основными правами и свободами субъекта данных, которые требуют защиты персональных данных (см. также Google Spain SL, Google Inc. против Agencia Española de Protección de Datos, Марио Костеха Гонсалес ). [21]
Статья 21 GDPR позволяет человеку возражать против обработки персональных данных в маркетинговых или не связанных с обслуживанием целях. [22] Это означает, что контролер данных должен предоставить человеку право прекратить или запретить контролеру обрабатывать его персональные данные.
Есть некоторые случаи, когда это возражение не применяется. Например, если:
GDPR также ясно указывает, что контролер данных должен информировать лиц об их праве на возражение с первого общения с ними. Это должно быть ясно и отдельно от любой другой информации, предоставляемой контролером, и предоставить им возможность выбора наилучшего способа возражения против обработки их данных.
Существуют случаи, когда контролер может отклонить запрос, если запрос на возражение «явно необоснован» или «чрезмерен», поэтому каждый случай возражения должен рассматриваться индивидуально. [22] Другие страны, такие как Канада [23] , также, следуя GDPR, рассматривают законодательство, регулирующее автоматизированное принятие решений в соответствии с законами о конфиденциальности, хотя существуют политические вопросы относительно того, является ли это лучшим способом регулирования ИИ. [ необходима цитата ]
Статья 82 GDPR устанавливает, что любое лицо, которому был причинен материальный или нематериальный ущерб в результате нарушения настоящего Регламента, имеет право на получение от контролера или обработчика данных компенсации за причиненный ущерб.
В решении Österreichische Post (C-300/21) Суд Европейского Союза дал толкование права на компенсацию. [24] Статья 82(1) GDPR требует для возмещения ущерба (i) нарушения GDPR, (ii) (реального) понесенного ущерба и (iii) причинно-следственной связи между нарушением и понесенным ущербом. Не обязательно, чтобы понесенный ущерб достигал определенной степени серьезности. Не существует определенного европейского понятия ущерба. Компенсация определяется на национальном уровне в соответствии с национальным законодательством. Должны быть приняты во внимание принципы эквивалентности и эффективности. [25]
См. также заключение Генерального адвоката по делу Krankenversicherung Nordrhein (C-667/21). [26]
Контроллеры данных должны четко раскрывать любой сбор данных , объявлять законную основу и цель обработки данных, а также указывать, как долго данные хранятся и передаются ли они третьим лицам или за пределы ЕЭЗ. Фирмы обязаны защищать данные сотрудников и потребителей в той степени, в которой извлекаются только необходимые данные с минимальным вмешательством в конфиденциальность данных сотрудников, потребителей или третьих лиц. Фирмы должны иметь внутренний контроль и правила для различных отделов, таких как аудит, внутренний контроль и операции. Субъекты данных имеют право запрашивать переносную копию данных, собранных контролером в общем формате, а также право на удаление своих данных при определенных обстоятельствах. Государственные органы и предприятия, основная деятельность которых заключается в регулярной или систематической обработке персональных данных, обязаны нанимать сотрудника по защите данных (DPO), который несет ответственность за управление соблюдением GDPR. Контроллеры данных должны сообщать об утечках данных в национальные надзорные органы в течение 72 часов, если они оказывают неблагоприятное влияние на конфиденциальность пользователей. В некоторых случаях нарушители GDPR могут быть оштрафованы на сумму до 20 миллионов евро или до 4% от годового мирового оборота за предыдущий финансовый год для предприятия, в зависимости от того, какая сумма больше.
Чтобы иметь возможность продемонстрировать соответствие GDPR, контролер данных должен реализовать меры, которые отвечают принципам защиты данных по умолчанию и по замыслу. Статья 25 требует, чтобы меры по защите данных были разработаны в рамках разработки бизнес-процессов для продуктов и услуг. Такие меры включают псевдонимизацию персональных данных контролером как можно скорее (Преамбула 78). Контролер данных несет ответственность за реализацию эффективных мер и возможность продемонстрировать соответствие действий по обработке, даже если обработка осуществляется обработчиком данных от имени контролера (Преамбула 74). При сборе данных субъекты данных должны быть четко проинформированы об объеме сбора данных, правовой основе обработки персональных данных, сроке хранения данных, передаются ли данные третьей стороне и/или за пределы ЕС, а также о любом автоматизированном принятии решений , которое осуществляется исключительно на алгоритмической основе. Субъекты данных должны быть проинформированы о своих правах на конфиденциальность в соответствии с GDPR, включая право отозвать согласие на обработку данных в любое время, право просматривать свои персональные данные и получать доступ к обзору того, как они обрабатываются, право на получение переносимой копии сохраненных данных , право на удаление своих данных при определенных обстоятельствах, право оспаривать любое автоматизированное принятие решений, которое было сделано исключительно на алгоритмической основе, и право подавать жалобы в орган по защите данных . Таким образом, субъекту данных также должны быть предоставлены контактные данные контролера данных и его назначенного сотрудника по защите данных, где это применимо. [27] [28]
Оценки воздействия на защиту данных ( статья 35 ) должны проводиться в случае возникновения конкретных рисков для прав и свобод субъектов данных. Требуется оценка и смягчение рисков, а для высоких рисков требуется предварительное одобрение органов по защите данных.
Статья 25 требует, чтобы защита данных была встроена в разработку бизнес-процессов для продуктов и услуг. Поэтому настройки конфиденциальности должны быть установлены на высоком уровне по умолчанию, а контролер должен принять технические и процедурные меры, чтобы гарантировать, что обработка на протяжении всего жизненного цикла обработки соответствует регламенту. Контролеры также должны внедрить механизмы, гарантирующие, что персональные данные не будут обрабатываться, если это не необходимо для каждой конкретной цели. Это известно как минимизация данных.
В отчете [29] Агентства Европейского союза по сетевой и информационной безопасности подробно описывается, что необходимо сделать для достижения конфиденциальности и защиты данных по умолчанию. В нем указывается, что операции шифрования и дешифрования должны выполняться локально, а не удаленным сервисом, поскольку и ключи, и данные должны оставаться во власти владельца данных, если требуется достичь какой-либо конфиденциальности. В отчете указывается, что аутсорсинговое хранение данных в удаленных облаках практично и относительно безопасно, если ключи дешифрования хранятся только у владельца данных, а не у облачного сервиса.
Согласно GDPR, псевдонимизация является обязательным процессом для хранимых данных, который преобразует персональные данные таким образом, что полученные данные не могут быть отнесены к конкретному субъекту данных без использования дополнительной информации (в качестве альтернативы другому варианту полной анонимизации данных ). [30] Примером является шифрование , которое делает исходные данные непонятными в процессе, который не может быть отменен без доступа к правильному ключу дешифрования . GDPR требует, чтобы дополнительная информация (например, ключ дешифрования) хранилась отдельно от псевдонимизированных данных.
Другим примером псевдонимизации является токенизация , которая представляет собой нематематический подход к защите данных в состоянии покоя , который заменяет конфиденциальные данные неконфиденциальными заменителями, называемыми токенами. Хотя токены не имеют внешнего или эксплуатируемого значения или ценности, они позволяют сделать определенные данные полностью или частично видимыми для обработки и аналитики, в то время как конфиденциальная информация остается скрытой. Токенизация не изменяет тип или длину данных, что означает, что они могут обрабатываться устаревшими системами, такими как базы данных, которые могут быть чувствительны к длине и типу данных. Это также требует гораздо меньше вычислительных ресурсов для обработки и меньше места для хранения в базах данных, чем традиционно зашифрованные данные.
Псевдонимизация — это технология, повышающая конфиденциальность , которая рекомендуется для снижения рисков для соответствующих субъектов данных, а также для помощи контролерам и обработчикам в выполнении их обязательств по защите данных (Преамбула 28). [31]
Согласно статье 30 записи о деятельности по обработке данных должны вестись каждой организацией, соответствующей одному из следующих критериев:
Такие требования могут быть изменены каждой страной ЕС. Записи должны быть в электронной форме, и контролер или обработчик и, где применимо, представитель контролера или обработчика должны предоставить запись надзорному органу по запросу.
Записи контролера должны содержать всю следующую информацию:
Записи процессора должны содержать всю следующую информацию:
Контролеры и обработчики персональных данных должны внедрять соответствующие технические и организационные меры для реализации принципов защиты данных. [32] Бизнес-процессы, которые обрабатывают персональные данные, должны быть спроектированы и построены с учетом принципов и обеспечивать гарантии для защиты данных (например, используя псевдонимизацию или полную анонимизацию, где это уместно). [33] Контролеры данных должны проектировать информационные системы с учетом конфиденциальности. Например, используя максимально возможные настройки конфиденциальности по умолчанию, чтобы наборы данных не были общедоступными по умолчанию и не могли использоваться для идентификации субъекта. [34] Никакие персональные данные не могут обрабатываться, если эта обработка не выполняется на одном из шести законных оснований, указанных в регламенте ( согласие , договор, общественная задача, жизненно важный интерес, законный интерес или юридическое требование). Когда обработка основана на согласии, субъект данных имеет право отозвать его в любое время. [35]
Статья 33 гласит, что контролер данных имеет юридическое обязательство уведомлять надзорный орган без неоправданной задержки, за исключением случаев, когда нарушение вряд ли приведет к риску для прав и свобод лиц. Максимальный срок для сообщения составляет 72 часа с момента получения информации об утечке данных. Физические лица должны быть уведомлены, если определен высокий риск неблагоприятного воздействия. [1] : Статья 34 Кроме того, обработчик данных должен уведомить контролера без неоправданной задержки после того, как ему стало известно об утечке персональных данных. [1] : Статья 33 Однако уведомление субъектов данных не требуется, если контролер данных внедрил соответствующие технические и организационные меры защиты, которые делают персональные данные непонятными для любого лица, не имеющего права доступа к ним, например, шифрование. [1] : Статья 34
Статья 37 требует назначения должностного лица по защите данных. Если обработка осуществляется государственным органом (за исключением судов или независимых судебных органов, действующих в их судебном качестве), или если операции по обработке подразумевают регулярный и систематический мониторинг субъектов данных в больших масштабах, или если обработка в больших масштабах специальных категорий данных и персональных данных, касающихся уголовных приговоров и правонарушений ( статьи 9 и 10 ), должностное лицо по защите данных (DPO) — лицо, обладающее экспертными знаниями в области законодательства и практики защиты данных — должно быть назначено для оказания помощи контролеру или обработчику в мониторинге их внутреннего соответствия Регламенту.
Назначенный DPO может быть действующим членом персонала контролера или обработчика, или роль может быть передана на аутсорсинг внешнему лицу или агентству через договор на обслуживание. В любом случае обрабатывающий орган должен убедиться в отсутствии конфликта интересов в других ролях или интересах, которые может иметь DPO. Контактные данные DPO должны быть опубликованы обрабатывающей организацией (например, в уведомлении о конфиденциальности) и зарегистрированы в надзорном органе.
DPO похож на сотрудника по обеспечению соответствия и также должен быть опытным в управлении ИТ-процессами, безопасности данных (включая борьбу с кибератаками ) и других критических вопросах обеспечения непрерывности бизнеса, связанных с хранением и обработкой персональных и конфиденциальных данных. Требуемый набор навыков выходит за рамки понимания юридического соответствия законам и правилам защиты данных. DPO должен вести оперативный учет всех данных, собранных и хранящихся от имени организации. [36] Более подробная информация о функции и роли сотрудника по защите данных была предоставлена 13 декабря 2016 г. (пересмотрена 5 апреля 2017 г.) в руководящем документе. [37]
Организации, базирующиеся за пределами ЕС, также должны назначить лицо из ЕС в качестве представителя и контактного лица по своим обязательствам GDPR. [1] : Статья 27 Это отдельная роль от DPO, хотя есть совпадения в обязанностях, которые предполагают, что эта роль также может выполняться назначенным DPO. [38]
Помимо определений в качестве уголовного преступления в соответствии с национальным законодательством в соответствии со статьей 83 GDPR могут быть применены следующие санкции:
Это некоторые случаи, которые конкретно не рассматриваются в GDPR, поэтому рассматриваются как исключения. [39]
И наоборот, субъект или, точнее, «предприятие» должно заниматься «экономической деятельностью», чтобы подпадать под действие GDPR. [b] Экономическая деятельность широко определяется в соответствии с законодательством Европейского Союза о конкуренции . [40]
GDPR также применяется к контролерам и обработчикам данных за пределами Европейской экономической зоны (ЕЭЗ), если они занимаются «предложением товаров или услуг» (независимо от того, требуется ли оплата) субъектам данных в пределах ЕЭЗ или отслеживают поведение субъектов данных в пределах ЕЭЗ (статья 3(2)). Регламент применяется независимо от того, где происходит обработка. [41] Это было истолковано как намеренное предоставление экстерриториальной юрисдикции GDPR для учреждений, не входящих в ЕС, если они ведут бизнес с людьми, находящимися в ЕС. Сомнительно, что ЕС или его государства-члены на практике смогут применять GDPR в отношении организаций, не имеющих учреждений в ЕС. [42]
В соответствии со статьей 27 , учреждения, не входящие в ЕС, подпадающие под действие GDPR, обязаны иметь назначенное лицо в Европейском Союзе, «Представителя ЕС», который будет выступать в качестве контактного лица для их обязательств в соответствии с регламентом. Представитель ЕС является контактным лицом Контролера или Обработчика по отношению к европейским надзорным органам по защите конфиденциальности и субъектам данных по всем вопросам, касающимся обработки, для обеспечения соблюдения настоящего GDPR. Физическое (физическое) или юридическое (корпорация) лицо может играть роль Представителя ЕС. [1] : Статья 27(4) Учреждение, не входящее в ЕС, должно выдать надлежащим образом подписанный документ (письмо об аккредитации), назначающий данное лицо или компанию своим Представителем ЕС. Указанное назначение может быть дано только в письменной форме. [1] : Статья 27(1)
Неспособность учреждения назначить представителя ЕС считается незнанием регламента и соответствующих обязательств, что само по себе является нарушением GDPR, влекущим за собой штрафы в размере до 10 миллионов евро или до 2% от годового мирового оборота за предыдущий финансовый год в случае предприятия, в зависимости от того, что больше. Намеренный или небрежный (умышленная слепота) характер нарушения (неспособность назначить представителя ЕС) может скорее представлять собой отягчающие факторы. [1] : Статьи 83(1) и 83(2) и 83(4a)
Учреждению не нужно назначать представителя ЕС, если оно занимается только эпизодической обработкой, которая не включает в себя в больших масштабах обработку специальных категорий данных, указанных в статье 9(1) GDPR, или обработку персональных данных, касающихся уголовных приговоров и правонарушений, указанных в статье 10, и такая обработка вряд ли приведет к риску для прав и свобод физических лиц, принимая во внимание характер, контекст, объем и цели обработки. Государственные органы и учреждения, не входящие в ЕС, в равной степени освобождены. [1] : Статья 27(2)
Глава V GDPR запрещает передачу персональных данных субъектов данных ЕС в страны за пределами ЕЭЗ — известные как третьи страны — если только не будут приняты соответствующие меры предосторожности или правила защиты данных третьей страны не будут официально признаны адекватными Европейской комиссией (статья 45). [43] [44] Обязательные корпоративные правила , стандартные договорные положения о защите данных, выпущенные в соответствии с Соглашением об обработке данных (DPA), или схема обязательных и подлежащих исполнению обязательств со стороны контролера или обработчика данных, расположенного в третьей стране, являются примерами. [45]
На применимость GDPR в Соединенном Королевстве влияет Brexit . Хотя Соединенное Королевство официально вышло из Европейского Союза 31 января 2020 года, оно продолжало подчиняться законодательству ЕС, включая GDPR, до конца переходного периода 31 декабря 2020 года. [43] Соединенное Королевство предоставило королевское согласие на Закон о защите данных 2018 года 23 мая 2018 года, который дополнил GDPR, включая аспекты регулирования, которые должны определяться национальным законодательством, и уголовные преступления за сознательное или безрассудное получение, распространение или хранение персональных данных без согласия контролера данных. [47] [48]
В соответствии с Законом о Европейском союзе (выход) 2018 года существующее и соответствующее законодательство ЕС было транспонировано в местное законодательство по завершении перехода, а GDPR был изменен нормативным актом для удаления определенных положений, которые больше не нужны из-за нечленства Великобритании в ЕС. После этого регламент будет именоваться «UK GDPR». [49] [44] [43] Великобритания не будет ограничивать передачу персональных данных в страны в пределах ЕЭЗ в соответствии с UK GDPR. Однако Великобритания станет третьей страной в соответствии с EU GDPR, что означает, что персональные данные не могут быть переданы в страну, если не будут введены соответствующие гарантии или Европейская комиссия не примет решение о достаточности в отношении пригодности британского законодательства о защите данных (глава V). В рамках соглашения о выходе Европейская комиссия обязалась провести оценку достаточности. [43] [44]
В апреле 2019 года Управление комиссара по информации Великобритании (ICO) выпустило детский кодекс поведения для социальных сетей, используемых несовершеннолетними, подлежащий исполнению в соответствии с GDPR, который также включает ограничения на механизмы « лайков » и «стриков» с целью предотвращения зависимости от социальных сетей , а также на использование этих данных для обработки интересов. [50] [51]
В марте 2021 года государственный секретарь по цифровым технологиям, культуре, СМИ и спорту Оливер Дауден заявил, что Великобритания изучает возможность отхода от GDPR ЕС, чтобы «[сосредоточиться] больше на результатах, которые мы хотим получить, и меньше на бремени правил, налагаемых на отдельные предприятия». [52]
Вот некоторые распространенные заблуждения относительно GDPR:
Согласно исследованию, проведенному Deloitte в 2018 году, 92% компаний считают, что они способны соблюдать GDPR в своей деловой практике в долгосрочной перспективе. [57]
Компании, работающие за пределами ЕС, вложили значительные средства в приведение своей деловой практики в соответствие с GDPR. Область согласия GDPR имеет ряд последствий для предприятий, которые записывают звонки в порядке практики. Типичный отказ от ответственности не считается достаточным для получения предполагаемого согласия на запись звонков. Кроме того, если запись началась, а звонящий отзывает свое согласие, то агент, принимающий звонок, должен иметь возможность остановить ранее начатую запись и гарантировать, что запись не будет сохранена. [58]
IT-специалисты ожидают, что соблюдение GDPR потребует дополнительных инвестиций в целом: более 80 процентов опрошенных ожидают, что расходы, связанные с GDPR, составят не менее 100 000 долларов США. [59] Опасения были отражены в отчете, заказанном юридической фирмой Baker & McKenzie , в котором говорится, что «около 70 процентов респондентов считают, что организациям необходимо будет инвестировать дополнительный бюджет/усилия для соблюдения требований согласия, сопоставления данных и трансграничной передачи данных в соответствии с GDPR». [60] Общая стоимость для компаний ЕС оценивается в 200 миллиардов евро, тогда как для компаний США эта оценка составляет 41,7 миллиарда долларов. [61] Утверждалось, что у малого бизнеса и стартапов может не быть финансовых ресурсов для адекватного соблюдения GDPR, в отличие от крупных международных технологических компаний (таких как Facebook и Google ), на которые, по всей видимости, в первую очередь нацелено регулирование. [62] [63] Недостаток знаний и понимания правил также вызывал беспокойство в преддверии их принятия. [64] Контраргументом на это было то, что компании были осведомлены об этих изменениях за два года до их вступления в силу и должны были иметь достаточно времени, чтобы подготовиться. [65]
Правила, включая вопрос о том, должно ли предприятие иметь сотрудника по защите данных, подверглись критике за потенциальное административное бремя и неясные требования к соблюдению. [66] Хотя минимизация данных является обязательным требованием, а псевдонимизация является одним из возможных средств, правила не содержат никаких указаний относительно того, как или что представляет собой эффективную схему деидентификации данных, с серой зоной относительно того, что будет считаться неадекватной псевдонимизацией при условии соблюдения мер по обеспечению соблюдения Раздела 5. [31] [67] [68] Также существует обеспокоенность относительно внедрения GDPR в блокчейн- системы, поскольку прозрачная и фиксированная запись транзакций блокчейна противоречит самой природе GDPR. [69] Многие СМИ прокомментировали введение « права на объяснение » алгоритмических решений, [70] [71] но с тех пор ученые-юристы утверждают, что существование такого права крайне неясно без судебных проверок и в лучшем случае ограничено. [72] [73]
GDPR получил поддержку со стороны предприятий, которые рассматривают его как возможность улучшить управление данными. [74] [75] Марк Цукерберг также назвал его «очень позитивным шагом для Интернета » [76] и призвал принять в США законы в стиле GDPR. [77] Группы по защите прав потребителей, такие как Европейская организация потребителей, являются одними из самых ярых сторонников этого законодательства. [78] Другие сторонники приписывают его принятие осведомителю Эдварду Сноудену . [79] Сторонник свободного программного обеспечения Ричард Столлман похвалил некоторые аспекты GDPR, но призвал к дополнительным мерам безопасности, чтобы помешать технологическим компаниям «изготавливать согласие». [80]
Ученые-эксперты, участвовавшие в разработке GDPR, писали, что закон «является наиболее последовательным нормативным изменением в информационной политике за последнее поколение. GDPR вводит персональные данные в сложный и защитный режим регулирования». [81]
Несмотря на то, что у них было не менее двух лет на подготовку и реализацию, многие компании и веб-сайты изменили свои политики конфиденциальности и функции по всему миру непосредственно перед внедрением GDPR и обычно отправляли электронные письма и другие уведомления, в которых обсуждались эти изменения. Это подверглось критике за то, что привело к утомительному количеству сообщений, в то время как эксперты отметили, что в некоторых письмах с напоминаниями неверно утверждалось, что новое согласие на обработку данных должно быть получено на момент вступления GDPR в силу (любое ранее полученное согласие на обработку действительно, если оно соответствует требованиям регламента). Фишинговые мошенничества также возникали с использованием фальсифицированных версий писем, связанных с GDPR, и также утверждалось, что некоторые письма с уведомлениями GDPR могли быть фактически отправлены с нарушением законов о борьбе со спамом. [82] [13] В марте 2019 года поставщик программного обеспечения для обеспечения соответствия обнаружил, что многие веб-сайты, управляемые правительствами государств-членов ЕС, содержали встроенное отслеживание от поставщиков рекламных технологий. [83] [84]
Поток уведомлений, связанных с GDPR, также вдохновил на создание мемов , в том числе мемов, связанных с уведомлениями о политике конфиденциальности, доставляемыми нетипичными способами (например, доской Уиджа или вступительным текстом к «Звездным войнам» ), предполагающих, что список «непослушных или хороших» Санта-Клауса является нарушением, а также записи отрывков из регламента бывшим диктором BBC Radio 4 Shipping Forecast . Также был создан блог GDPR Hall of Shame , чтобы продемонстрировать необычную доставку уведомлений GDPR и попытки соблюдения, которые содержали вопиющие нарушения требований регламента. Его автор отметил, что регламент «содержит много мельчайших деталей, но не так много информации о том, как соблюдать», но также признал, что у компаний было два года на соблюдение, что делает некоторые из его ответов неоправданными. [85] [86] [87] [88] [89]
Исследования показывают, что около 25% уязвимостей программного обеспечения имеют последствия GDPR. [90] Поскольку статья 33 делает акцент на нарушениях, а не на ошибках, эксперты по безопасности советуют компаниям инвестировать в процессы и возможности для выявления уязвимостей до того, как ими смогут воспользоваться, включая скоординированные процессы раскрытия уязвимостей . [91] [92] Исследование политик конфиденциальности приложений Android, возможностей доступа к данным и поведения при доступе к данным показало, что многочисленные приложения демонстрируют несколько более дружественное к конфиденциальности поведение с момента внедрения GDPR, хотя они по-прежнему сохраняют большую часть своих привилегий доступа к данным в своем коде. [93] [94] Расследование Норвежского совета потребителей в отношении панелей мониторинга субъектов данных после вступления в силу GDPR на платформах социальных сетей (таких как панель мониторинга Google ) пришло к выводу, что крупные компании социальных сетей используют обманные приемы, чтобы отговорить своих клиентов от ужесточения своих настроек конфиденциальности. [95]
С даты вступления в силу некоторые веб-сайты начали полностью блокировать посетителей из стран ЕС (включая Instapaper , [96] Unroll.me, [97] и газеты, принадлежащие Tribune Publishing , такие как Chicago Tribune и Los Angeles Times ) или перенаправлять их на урезанные версии своих сервисов (в случае National Public Radio и USA Today ) с ограниченной функциональностью и/или без рекламы, чтобы они не несли ответственности. [98] [99] [100] [101] Некоторые компании, такие как Klout и несколько онлайн-видеоигр, полностью прекратили свою деятельность, чтобы совпасть с его внедрением, сославшись на GDPR как на бремя для их дальнейшей деятельности, особенно из-за бизнес-модели первого. [102] [103] [104] Объем размещения поведенческой рекламы в Интернете в Европе упал на 25–40% 25 мая 2018 года. [105] [106]
В 2020 году, через два года после начала внедрения GDPR, Европейская комиссия оценила, что пользователи по всему ЕС повысили уровень своих знаний о своих правах, заявив, что «69% населения старше 16 лет в ЕС слышали о GDPR, а 71% людей слышали о своем национальном органе по защите данных». [107] [108] Комиссия также обнаружила, что конфиденциальность стала конкурентным качеством для компаний, которое потребители учитывают в своих процессах принятия решений. [107]
Facebook и дочерние компании WhatsApp и Instagram , а также Google LLC (целевая Android ) были немедленно поданы в суд некоммерческой организацией NOYB Макса Шремса всего через несколько часов после полуночи 25 мая 2018 года за использование ими «принудительного согласия». Шремс утверждает, что обе компании нарушили статью 7(4), не предоставив согласия на обработку данных на индивидуальной основе и потребовав от пользователей согласия на все действия по обработке данных (включая те, которые не являются строго необходимыми), в противном случае им будет запрещено пользоваться услугами. [109] [110] [111] [112] [113] 21 января 2019 года французская DPA оштрафовала Google на 50 миллионов евро за демонстрацию недостаточного контроля, согласия и прозрачности в отношении использования персональных данных для поведенческой рекламы. [114] [115] В ноябре 2018 года после журналистского расследования в отношении Ливиу Драгни румынское Управление по защите прав потребителей (ANSPDCP) использовало запрос GDPR, чтобы потребовать информацию об источниках проекта RISE . [116] [117]
В июле 2019 года Управление британского комиссара по информации объявило о намерении оштрафовать British Airways на рекордные 183 миллиона фунтов стерлингов (1,5% от оборота) за ненадлежащие меры безопасности, которые позволили провести в 2018 году атаку по скиммингу, затронувшую около 380 000 транзакций. [118] [119] [120] [121] [122] British Airways в конечном итоге была оштрафована на сокращенную сумму в 20 миллионов фунтов стерлингов, при этом ICO отметило, что они «рассмотрели как заявления BA, так и экономическое влияние COVID-19 на свой бизнес, прежде чем установить окончательный штраф». [123]
В декабре 2019 года Politico сообщило, что Ирландия и Люксембург — две небольшие страны ЕС, имеющие репутацию налоговых убежищ и (особенно в случае Ирландии) как база для европейских дочерних компаний крупных технологических компаний США — столкнулись со значительными задержками в своих расследованиях крупных иностранных компаний в соответствии с GDPR, причем Ирландия ссылалась на сложность регулирования как на фактор. Критики, опрошенные Politico, также утверждали, что правоприменение также затрудняется различными толкованиями между государствами-членами, приоритетом руководства над правоприменением некоторыми органами и отсутствием сотрудничества между государствами-членами. [124]
В ноябре 2021 года Ирландский совет по гражданским свободам подал официальную жалобу Комиссии на то, что она нарушает свое обязательство в соответствии с законодательством ЕС по тщательному контролю за тем, как Ирландия применяет GDPR. [125] До января 2023 года Комиссия опубликовала новое обязательство, основанное на жалобе ICCL. [125]
Хотя компании теперь обязаны соблюдать юридические обязательства, в практической и технической реализации GDPR все еще существуют различные несоответствия. [126] Например, в соответствии с правом GDPR на доступ компании обязаны предоставлять субъектам данных собираемые ими о них данные. Однако в исследовании карт лояльности в Германии компании не предоставляли субъектам данных точную информацию о приобретенных товарах. [127] Можно утверждать, что такие компании не собирают информацию о приобретенных товарах, что не соответствует их бизнес-моделям. Поэтому субъекты данных склонны рассматривать это как нарушение GDPR. В результате исследования предложили лучший контроль со стороны органов власти. [127]
Согласно GDPR, согласие конечных пользователей должно быть действительным, свободно данным, конкретным, информированным и активным. [128] Однако отсутствие возможности принудительного исполнения в отношении получения законных согласий стало проблемой. Например, исследование 2020 года показало, что крупные технологические компании , то есть Google , Amazon , Facebook , Apple и Microsoft (GAFAM), используют темные шаблоны в своих механизмах получения согласия, что вызывает сомнения относительно законности полученного согласия. [128]
В марте 2021 года сообщалось, что государства-члены ЕС во главе с Францией пытаются изменить влияние регулирования конфиденциальности в Европе, освободив от него агентства национальной безопасности. [129]
После того, как в 2020 году было наложено около 160 миллионов евро штрафов в соответствии с GDPR, в 2021 году эта цифра уже превысила один миллиард евро. [130]
Массовое принятие этих новых стандартов конфиденциальности многонациональными компаниями было приведено в качестве примера « брюссельского эффекта » — явления, при котором европейские законы и правила используются в качестве основы из-за их весомости. [131]
Американский штат Калифорния принял Закон о защите конфиденциальности потребителей Калифорнии 28 июня 2018 года, вступивший в силу 1 января 2020 года; он предоставляет права на прозрачность и контроль над сбором личной информации компаниями аналогичными способами, как и GDPR. Критики утверждают, что такие законы должны быть реализованы на федеральном уровне, чтобы быть эффективными, поскольку набор законов на уровне штата будет иметь различные стандарты, что усложнит соблюдение. [132] [133] [134] С тех пор два других штата США приняли аналогичное законодательство: Вирджиния приняла Закон о защите конфиденциальности данных потребителей 2 марта 2021 года, [135] а Колорадо принял Закон о защите конфиденциальности Колорадо 8 июля 2021 года. [136]
Турецкая Республика , кандидат на членство в Европейском Союзе , приняла Закон о защите персональных данных 24 марта 2016 года в соответствии с законодательством ЕС . [137]
Закон Китая о защите персональных данных 2021 года является первым в стране всеобъемлющим законом о правах на персональные данные и разработан по образцу GDPR. [138] : 131
Швейцария также примет новый закон о защите данных, который в значительной степени соответствует GDPR ЕС. [139]
Исследование 2024 года показало, что GDPR снизил как просмотры страниц веб-сайта пользователями ЕС, так и доход от веб-сайта на 12%. [140]
Стратегия единого цифрового рынка ЕС касается деятельности « цифровой экономики », связанной с предприятиями и людьми в ЕС. [148] В рамках стратегии GDPR и Директива NIS применяются с 25 мая 2018 года. Предлагаемый Регламент ePrivacy также планировалось ввести в действие с 25 мая 2018 года, но он будет отложен на несколько месяцев. [149] Регламент eIDAS также является частью стратегии.
В первоначальной оценке Европейский совет заявил, что GDPR следует рассматривать как «предпосылку для разработки будущих инициатив цифровой политики». [150]
Аналогичные законы о конфиденциальности в других странах:
Соответствующее регулирование ЕС:
Связанные концепции:
Тактика соблюдения требований некоторыми компаниями:
