Истерия вокруг GDPR, часть 2. Полезные советы

https://jacquesmattheij.com/gdpr-hysteria-part-ii-nuts-and-bolts
  • Перевод
Статья опубликована 21 мая 2018 года

Первая часть статьи здесь. Если не читали её, пожалуйста, ознакомьтесь для контекста.

Разобравшись с самыми распространёнными заблуждениями о GDPR, давайте посмотрим на реальное влияние GDPR. Затем рассмотрим наиболее важные полезные советы для владельцев сайтов.

В любом законе кроме его буквального текста есть ещё дух закона, его предназначение. В данном случае предназначение GDPR состоит в том, чтобы обуздать корпорации, которые проявляют худшие практики ведения бизнеса в интернете с нарушением конфиденциальности пользователей. Законодатели стремятся вернуть контроль над данными обратно владельцам этих данных — частным лицам, которые здесь являются субъектами (отсюда термин «субъекты данных»). Есть бесчисленное множество примеров таких нарушений. Не собираюсь их здесь перечислять — на это просто не хватит времени. Но будьте уверены: положение дел таково, что регулирование не начнёт действовать быстро. Постоянные читатели моего блога знают, что тема конфиденциальности мне дорога, поэтому я приветствую GDPR и надеюсь, что закон приведёт к желаемому эффекту. Судя по количеству писем от компаний, которые почти умоляют меня разрешить им присылать спам и дальше — вероятно, это единственный закон, который явно положительно повлиял на мою жизнь ещё до того, как вступил в силу. (По иронии судьбы, эти компании нарушают закон, рассылая такие сообщения…).

Конфиденциальность (приватность) — важная вещь. Она настолько важна, что авторы Всеобщей декларации прав человека сочли нужным включить её в краткий список прав, которые должны быть у каждого человека на Земле. В то же время компании пытаются заработать деньги всеми возможными способами, и если нарушение приватности пользователя позволяет быстро заработать доллар, тем хуже для пользователя. Поэтому неудивительно, что законодатели сочли нужным разработать закон, защищающий это право на приватность. И неудивительно, что это законодательство принято сначала в Европе. В нашей европейской истории есть очень хорошие примеры того, что отсутствие приватности может сотворить с людьми.

В зависимости от типа данных, размера организации и объёма обрабатываемых данных, а также ваших отношений с владельцами данных, влияние GDPR может оказаться любым: от «нулевого» до «огромного» с соответствующими затратами. Попытаюсь составить примерное руководство, как новый закон ЕС повлияет на вашу компанию и насколько вы подвержены влиянию закона.

Прежде всего посмотрим, какие данные вы обрабатываете. Рассмотрим несколько различных сценариев, чтобы оценить влияние GDPR на каждый из них.

Типы данных


Данные бывают разных видов: есть данные, связанные с конкретным человеком (индивидуумом), а есть данные, не связанные с конкретным человеком. GDPR не затрагивает данные второго типа, пока их нельзя повторно связать с этим человеком. Это значит, что во всех намерениях и целях вы должны сосредоточиться на данных, связанных с конкретным человеком. В контексте большинства компаний в интернете эти данные хранятся в «профиле» — записи или серии записей, содержащих идентификатор, который может использоваться для присвоения записи конкретному лицу. Примерами данных профиля являются ваши публикации в социальных сетях, медицинская история, включая рентгеновские снимки, данные профиля рекламного агентства и так далее. GDPR просто разъясняет (и это разъяснение уже было в предыдущей директиве, которую все проигнорировали), что компания не является владельцем этих данных. Вы — просто их хранитель, а такое хранение возлагает ответственность на вашу компанию. Другими словами, данные являются активом для бизнеса только в том случае, если их стоимость превышает затраты, необходимые для надлежащего управления этими данными. И надлежащее хранение этих данных требует внедрения надлежащих процессов (которые у вас должны быть в любом случае!), в том числе возможности удаления данных по первому требованию пользователя, если только вы не обязаны хранить данные по закону, чтобы разрешить их исправление и предоставление «субъектам данных» (физическим лицам) доступ к данным, которые вы храните на них.

Если это звучит как бремя для вас, то вы правы — это действительно бремя. Но опять же, управление жизненным циклом данных в любом случае имеет смысл. В конце концов, чтобы действовать в интересах своих пользователей, вам и без GDPR следует исправлять неправильные данные и сообщать людям перечень собранных данных по их запросу. И это ключевой вопрос: законодательство ЕС написано с точки зрения граждан ЕС, а не с точки зрения бизнесменов, которые распоряжаются данными по этим субъектам. Их интересы законны, но вторичны.

Типы данных в распоряжении компании в значительной степени определяют бремя GDPR. Обычно чем критичнее данные, тем тяжелее бремя. Таким образом, если данные уже общедоступны, то бремя невелико или вообще отсутствует. Для конфиденциальных данных, такие как медицинские записи или финансовые операции, бремя значительно выше. Хорошая новость в том, что это соотношение было известно задолго до того, как GDPR вступил в силу. Поэтому банки обычно прилагают больше усилий для обеспечения конфиденциальности клиентов, чем магазин электронной коммерции, где вы купили пару носков на прошлой неделе. Конечно, не все банки одинаково заботятся об этом, и некоторым банкам предстоит усилить работу из-за GDPR. И одни больницы, вероятно, справляются с защитой информации лучше, чем другие. Всё то же самое относится к коммерческим предприятиям. Если они навели порядок, автоматизировали процедуры и в целом поставили себя в положение хранителей, а не владельцев данных, то они должны быть в лучшем положении, когда речь идёт о GDPR.

Таким образом, тип хранимых данных имеет большое значение.

Есть ещё данные особого типа PII, сокращение для личной идентифицируемой информации (Personally Identifiable Information). Это любая информация, которая помогает идентифицировать человека. Очевидные примеры PII — полные имена и номера социального страхования. Не очень очевидный пример — IP-адрес. Действительно не очевидный — факт наличия редкого заболевания в сочетании с названием маленького городка, места жительства. И ещё много подобных примеров. Самое просто решение — представить все данные о человеке, как будто это PII. Лучше предпринять излишние меры безопасности, чем потом сожалеть. Но если вам кажется, что к некоторым данным можно относиться проще, то тщательно взвесьте, какие из них следует рассматривать как PII, а какие нет.

Объём данных


Компании с тысячами записей (например, интернет-магазин, регистрирующий каждую продажу) менее подвержены действию нового закона, чем компания с миллионами или миллиардами записей о своих пользователей. Обычно это компании разного размера и им придётся тратить разное количество усилий и нести разное бремя совместимости с GDPR. Да, вышеупомянутое управление жизненным циклом реализуется у них одинаково, но если вы смогли автоматизировать сбор данных, то нет оправдания неспособности автоматизировать управление ими. Это просто издержки бизнеса. Но компании SaaS, которые обрабатывают большие объёмы данных о клиентах, захотят получить максимальную гарантию совместимости, потому что они гораздо более привлекательные цели для хакеров, а это увеличивает риски утечки данных. Обратите внимание, что есть исключения. Например, для хранения бухгалтерской информации у вашей налоговой службы могут быть собственные правила о сроках хранения. Но это бухгалтерия, которая, вероятно, практически не имеет отношения к вашим веб-сервисам, и касается только фактического движения денежных средств.

Размер организации


Бремя соблюдения требований для небольшой организации ниже, поскольку малому бизнесу не требуется отдельный сотрудник по защите данных (data protection officer, DPO) или директор по соблюдению требований (chief compliance officer, CCO), если у фирмы не очень большие объёмы данных или она имеет дело не с самыми конфиденциальными данными. В противном случае у компании, скорее всего, уже есть такой сотрудник, так что закон не вносит особой разницы.

Но очень маленькие компании (скажем, компания из одного человека), которые обрабатывают чрезвычайно конфиденциальные данные, могут рассмотреть наём человека со стороны хотя бы на некоторое время, чтобы убедиться, что они не подвергаются излишним рискам.

Всё в совокупности


Так что если у вас маленькая компания и вы имеете дело с небольшим количеством некритических данных, то влияние GDPR весьма ограничено и с ним легко справиться. Для средней компании, скажем, с 20 сотрудниками в штате и очень важными данными, бремя пропорционально больше. А если вы управляете очень большой компанией, то у вас, скорее всего, уже есть специально обученные люди, которые занимаются вопросами соблюдения законодательства. Закон действительно влияет на всех по-разному, но учитывая важность вопроса, права субъектов данных перевешивают коммерческие интересы компаний. Если есть выгода в сборе данных, то можно приложить усилия для их защиты и правильного хранения. И эта разница в воздействии закона в основном относительная. В абсолютном смысле крупные компании, а также компании с большим количеством данных или критическими данными потратят больше для гарантии соблюдения закона. Просто для меньших компаний влияние GDPR окажется больше по отношению к их общему обороту. Это хорошо известное явление относится ко всем аспектам ведения бизнеса, оно называется «экономия на масштабировании» и является одной из причин, почему программное обеспечение и услуги на основе программного обеспечения настолько прибыльны: экономия на масштабировании просто огромна.

Что больше нельзя делать


  • хранить вечно все полученные данные

До сих пор правило по сроку хранения данных о конечных пользователях, похоже, было таким: «Хранить, пока у нас не закончится дисковое пространство». Но диски стали достаточно дешёвыми, чтобы перестать беспокоиться об этом вообще — и просто добавлять данные, ничего не удаляя. Да, вы правильно прочитали: до GDPR у компаний была привычка никогда ничего не удалять. Даже если вы попросили их удалить данные — на что они могут пусть неохотно, но среагировать — в итоге данные просто помечаются как удалённые, но остаются на месте. Теперь такое не пройдёт: если вы запросите удаление данных, его больше нельзя игнорировать — и данные действительно должны быть удалены. Единственное исключение, если по закону вы обязаны хранить данные. Но в этом случае я бы посоветовал хранить их только в архивном хранилище.

Ситуация с резервными копиями немного сложнее — это одна из тех областей, где есть много слухов и опасений, что невозможно обеспечить выполнение закона. Но на самом деле требования очень просты: вы храните ключи удалённых записей в отдельном логе. И если по какой-то причине восстанавливаете с резервной копии, то просто заново воспроизводите запросы на удаление по этому логу, начиная с последнего бэкапа. Таким образом, восстановление резервной копии не может привести к случайному восстановлению удалённых записей. Если есть какие-то опасения в связи с ненадёжностью ключей, то можно просто перезаписать соответствующие данные нулями, чтобы безвозвратно их удалить. Обратите внимание, что это похоже на псевдоанонимизацию, которой в случае с PII недостаточно для соблюдения закона, если удалённые данные можно восстановить при помощи сохранённых данных. Реальное удаление — безусловно наиболее безопасный способ решения проблемы. Это всё с учётом того, что ваши бэкапы правильно зашифрованы, а ключи невозможно восстановить без участия ответственного лица.

  • игнорировать запросы пользователей на удаление, исправление или изучение данных

Бремя запросов на удаление, исправление или изучение данных от пользователей (или «субъектов данных») может оказаться довольно значительным. Здесь незаменима автоматизация: самообслуживание и единовременная затрата времени и сил многократно окупятся в последующие годы. Если игнорировать такие запросы, то расстроенный человек (возможно, я) рано или поздно свяжется со своим местным органом по защите данных, чтобы подать жалобу. В первый раз, когда это произойдёт, DPA может проигнорировать жалобу — мне кажется, в ближайшее время они будут очень заняты. Но они вероятно заведут дело. А если дело становится толще, потому что всё больше людей жалуются на вашу компанию, то рано или поздно кому-то поручат поговорить с вами.

Разговор будет примерно такой: «Мы получили несколько жалоб на то, что вы целенаправленно игнорируете законные запросы субъекта данных. Пожалуйста, объяснитесь». После чего вы — как всегда, нагло — объясните, закон слишком обременителен и пошли к чёрту все ваши DPA. Агентство ответит примерно так: «Очень жаль, что вы так считаете, но вы тоже обязаны соблюдать закон, иначе...», где после «иначе» будет предупреждением о том, какой штраф могут на вас наложить, если вы продолжите игнорировать закон. Затем пройдёт некоторое время. Новый пользователь подаёт жалобу. Это добавляют в дело. И при добавлении записи клерк делает пометку, что вы уже предупреждены. Здесь становится интересно. На этот раз DPA, скорее всего, выдаст «обязательное предупреждение» (binding warning) — директиву с предупреждением, что вы игнорируете её на свой страх и риск.

Третьего раза лучше избегать. Вас реально оштрафуют. Можете проигнорировать штраф, потому что ваша компания зарегистрирована за пределами ЕС. Но регуляторы это предусмотрели: для ведения бизнеса в ЕС у вас должен быть «назначенный представитель» (designated representative) в ЕС. Да, вы правильно прочитали. Вероятно, это самое агрессивное изменение, которое мог установить Евросоюз: вы действительно обязаны иметь законного представителя в ЕС. Если ваш бизнес уже там работает, то это будет ваш назначенный представитель. Если нет, то вам придётся его получить. Уже появились компании, которые предлагают такую платную услугу.

Так что как только вас оштрафуют, назначенный представитель будет об этом уведомлён. Скорее всего, у него с вами договор и у него тоже есть представитель в вашей стране. Согласно контракту вы возмещаете представителю в своей стране любые штрафы, собранные через представительство вашего юрлица в Евросоюзе. Таким образом, у вас выбор: бороться с собственным представителем в суде в родной стране или раскошелиться на штраф.

  • замалчивать взломы

Люди обычно шокированы, когда узнают статистику по зарегистрированным взломам за последний год. Цифры просто страшные. Они пугают ещё до того, как приходит понимание, что о подавляющем большинстве утечек конфиденциальных данных никогда не сообщают, поэтому они не учитываются в статистике. Так происходит по двум причинам. Во-первых, много взломов не замечают. Во-вторых, даже об обнаруженных не всегда сообщают. По GDPR такое строго воспрещено. Не сообщить о нарушении — одна из худших вещей, что вы можете сделать. Это безответственно по отношению к пострадавшим людям. И это потенциально ухудшает последствия, потому что вы забираете у регуляторов важный инструмент: их способность понять масштаб проблемы, чтобы применить усилия там, где они наиболее эффективны.

Конечно, взлом — это плохой пиар. Но в этом случае есть смысл потратить ещё немного ресурсов на безопасность и уменьшить его последствия. Если вы сделали это, то хотя бы можете ответить чем-то позитивным на обвинения. Ответственное раскрытие информации в случае нарушения будет иметь большое значение для установления вашей добросовестности. Разобраться с проблемой втихаря может сработать, но если вас раскроют, то можете готовиться к наказанию по полной программе.

  • считать, что данные в вашем распоряжении принадлежат вам, а не конечным пользователям

Данные, которые вы обрабатываете от имени пользователей, являются их данными. GDPR очень прямо это формулирует. Отсюда и части закона по согласию/удалению/исправлению/изучению (и переносимости данных). В лучшем случае вы — хранитель этих данных, а если пользователи соглашаются на конкретное использование данных, то вам разрешено их обрабатывать. Но это не ваши файлы. Если вы начнёте представлять их своими, то лишь вопрос времени, когда вы совершите какое-то правонарушение. Не делайте так.

  • относиться к защите данных как к необязательной процедуре

У компаний довольно странное отношение к безопасности: она трактуется как чистые затраты с нулевой возможностью прибыли — и по возможности игнорируется. GDPR наконец-то даёт специалистам по безопасности реальный «финансовый» аргумент, если руководство игнорирует их доводы. Штрафы GDPR потенциально настолько велики, что обычно привлекают пристальное внимание директора. Большинство компаний не склонны так рисковать. Поэтому менеджеры скорее распорядятся привести в порядок безопасность, чем столкнутся с потенциально очень большим штрафом (даже если шансы на получение такого штрафа невелики). Пусть это и не самый сильный аргумент в пользу безопасности, но лучше, чем ничего. И похоже, что желаемый эффект есть: менеджеры больше не считают безопасность чем-то второстепенным, о чём компания позаботится, когда они уйдут на пенсию.

  • продавать данные с концами

Как вы не можете продать чужой автомобиль или дом, нельзя просто взять и продать чужие данные, которые пользователи доверили вам на хранение (или которые вы собираете со своих устройств, в том числе информацию о местоположении и другие ценные вещи). Если хотите продать данные своего пользователя, то нужно получить его согласие. Оно должно быть свободным и даваться для конкретной сделки, то есть с конкретной целью использования этих данных.

Если хотите рискнуть, то можете попробовать получить одноразовый общий карт-бланш вроде «Продажа ваших данных неопределённым партнёрам». Но на месте пользователя я бы, вероятно, не дал такого согласия. Но если — чтобы помочь вашей организации оставаться на плаву — попросить согласия продать данные «компании Pathfinders Inc. для анализа пробок в городе», то я могу согласиться. Так что получите согласие на продажу данных и поищите баланс между многократными запросами с большим процентом согласий — и однократным запросом, на который согласятся немногие. И всегда помните: однажды данное согласие потом может быть отозвано, так что вам следует иметь процедуру, как вы с покупателем данных обработаете этот отзыв согласия.

Конечно, самый простой способ справиться со всем этим — просто никому не продавать данные.

  • не получать согласие

Это одна из областей, где формулировки GDPR чрезвычайно точные и ясные: если хотите обрабатывать данные пользователей для какой-то новой цели, то следует получить согласие. Это почти комично, что многие компании внезапно осознали, что рассылают спам большому количеству народа без их разрешения, а теперь — застенчиво и довольно запоздало — выясняют, что наверное надо спросить разрешения, пока срок не вышел, потому что даже такое письмо, вероятно, будет рассматриваться как нарушение закона! (Так оно и будет рассматриваться, по моему мнению). Поэтому не поддавайтесь искушению и не используйте данные, которые у вас уже есть, для совершенно новых целей.

Что придётся сделать


  • наладить управление жизненным циклом данных

Как у всего остального, у информации тоже есть жизненный цикл. Бесконечное накапливание — не вариант. Вам нужно планировать, как получать данные, обрабатывать их, хранить, позволять владельцам данных вносить изменения и в конечном итоге — как их удалять. Чтобы быть справедливым к создателям GDPR: вы должны были раньше наладить такие процессы. Даже без всякого GDPR всё равно это должно быть. Просто здравый смысл требует грамотного управления жизненным циклом конфиденциальных данных, и для этого не нужно принимать закон. Подумайте вот о чём: в какой-то момент ваши субъекты данных умрут. Значит, существует по крайней мере одна веская причина, чтобы удалить информацию о конкретном человеке.

  • выяснить, какие данные попадают под регулирование GDPR

Звучит просто, но это может стать серьёзным объёмом работы для крупных компаний с большим количеством данных и плохими процессами. Если своевременно не начать, то вряд ли вы успеете в срок до начала действия GDPR [25 мая 2018 года — прим. пер.]. Для каждого набора данных следует определить следующее:

  • определить, что конкретно содержится в данных;
  • определить соответствие GDPR;
  • если данные попадают под GDPR, то принять решение: сохранить их или удалить;
  • безопасным образом удалить данные, которые вы не хотите хранить (и обновить соответствующие программы в случае необходимости);
  • как вариант, анонимизировать данные таким образом, что их нельзя использовать для идентификации лиц (это намного сложнее, чем может показаться на первый взгляд);
  • задокументировать персональные данные, которые остались у вас хранении, и процедуры их обработки.

  • убедитесь, что системы защищены

Повысьте защиту компьютерных систем, особенно которые экспонируются в веб. Почитайте статьи на эту тему, найдите в своей компании самого опытного специалиста по ИБ и попросите проанализировать системы с точки зрения безопасности. Реализуйте советы и сделайте безопасность неотъемлемой частью своей компании на всех уровнях.

  • раскрыть в политике конфиденциальности все варианты использования собранных данных

Постарайтесь составить краткую, уместную и полную политику конфиденциальности. Если планируете что-то делать с данными, получите согласие и раскройте все варианты их использования в общедоступном документе. При внесении изменений в политику конфиденциальности публикуйте журнал изменений.

  • заключайте DPA (соглашения об обработке данных) со всеми, кому передаёте данные для обработки

Абсолютно каждая фирма, которой вы передаёте данные для обработки, должна иметь специальный договор с вашей организацией, называемый DPA (Data Processing Agreement), без исключения. Если кто-то не хочет подписывать DPA, откажитесь от сотрудничества с такой фирмой. Если вы не чувствуете себя в безопасности, предоставляя фирме доступ к своим фамильным бриллиантам, не нужно с ней сотрудничать. Если чувствуете, что можно обойтись без этой конкретной службы, откажитесь от сделки. На сегодня самый простой способ справиться с рисками третьих лиц в отношении данных, которыми вы распоряжаетесь, — это обеспечить, чтобы данные никогда не покидали ваши помещения. Если этого не избежать, то убедитесь, что DPA выполняется должным образом. И что контрагент справится с отзывом согласия после передачи данных. И что он ни при каких обстоятельствах не передаст данные другим без вашего явного согласия (в письменной форме!).

  • раскройте компании, с которыми у вас есть DPA

Сообщите пользователям, какие компании обрабатывают данные от вашего имени. Уместно упомянуть это в политике конфиденциальности.

  • получить согласие пользователей на использование их данных

Прежде чем вы сможете использовать данные, предоставленные физическими лицами, вы должны получить их согласие. Это не просто хорошие манеры, это жёсткое требование. Это касается первоначального использования данных после сбора и всех последующих видов использования.

Поэтому если у вас есть блестящая новая идея, которая приведёт к новому использованию уже собранных данных, то придётся обновить политику конфиденциальности и повторно получить согласие.

  • запланировать отзыв согласия

Согласие может быть не только дано, но и отозвано. И этот вывод также влияет на отношения с субподрядчиками — теми, кто обрабатывает данные от вашего имени. Отозвать согласие должно быть не сложнее, чем дать его.

  • немедленно сообщать о взломах, превышающих порог значимости

Если в системе есть нарушения, которые превышают порог значимости для отчётности (который очень низкий!), то немедленно сообщите об этом. У вас есть 72 часа. Для протокола реагирования гораздо безопаснее разглашать информацию в первый день, а не ждать до последнего момента, потому что любая помеха в процессе подготовки отчёта замедлит вас и приведёт к срыву дедлайна. Если вы имеете дело с очень конфиденциальными данными, то всегда сообщайте о взломе, даже о маленьком. Ущерб субъектам данных может быть существенным, что увеличивает вероятность обращения в местный орган по защите данных. А если орган не найдёт ваш отчёт об инциденте, то у вас возникнет довольно большая проблема.

Что, вероятно, следует сделать


  • хранить данные в офлайне, если они не нужны в онлайне

Если вам не нужны данные прямо сейчас и в реальной системе (например, данные важны в исторической перспективе, но не являются частью текущего набора данных), то лучше переместить их в автономные системы. Таким образом, в случае взлома ущерб будет ограничен.

  • действуйте добросовестно, старайтесь уважать дух закона

В последнее время мне встречалось много людей, которые пытались схитрить и найти лазейку в GDPR, чтобы продолжать бизнес как раньше. Некоторые лазейки ужасны и притянуты за уши, другие более разумны, но всё же явно противоречат духу закона. Если вы согласны на рассмотрение спорного вопроса в суде, то можно рискнуть. Но если ваш бюджет ограничен и вы не хотите получить штраф или ввязаться в дорогостоящий судебный процесс, пожалуйста, действуйте добросовестно. Иначе потом будет очень сложно убедить регуляторов, что вы не намеревались сделать ничего плохого.

  • в первую очередь учитывайте интересы своих пользователей («субъектов данных», «индивидуумов»)

Если вы ставите свои интересы выше интересов людей и используете их данные как свои, то поступаете неправильно. Представьте, что одолжили эти данные на время — и будьте для них хорошим хранителем. Если учитывать в первую очередь интересы пользователей, то проявляются дополнительные побочные эффекты. Например, пользователи будут счастливы. А это в конечном итоге хорошо для бизнеса.

  • удалить данные, которые больше не используются

Если у вас есть данные, которые больше не представляют интереса, не держите их «на всякий случай». Лучше избавиться от них. Это значительно ограничит ущерб. Взлом — это уже плохое событие, не нужно ухудшать ситуацию утечкой данных, которые вы не использовали. Газеты любят большие числа. Если вы потеряете много данных, то легко можете предстать в худшем виде на первых страницах новостей. Обрабатывайте данные как ядерные отходы: избавляйтесь от них как можно скорее.

  • используйте GDPR как возможность

Если десять компаний предлагают одну и ту же услугу, и только одна из них решила соблюдать GDPR и на самом деле относиться ко всем клиентам (и их данным) с надлежащей заботой и уважением, то в краткосрочной перспективе другие девять получат преимущество. Ведь они не понесли затраты на соблюдение закона — и могут потратить эти ресурсы на функциональность сервиса и маркетинг. Но я думаю, что в долгосрочной перспективе выиграет компания, которая поставила высокую планку. Она не будет подвергаться штрафам, сможет продать свой продукт еще 100 миллионам клиентов и сможет использовать свое соответствие GDPR в качестве простого конкурентного преимущества. Гораздо ниже вероятность утечки данных (что приводит к существенному ущербу для бренда), а доверие пользователей, соответственно, выше.

  • ежегодные пентесты и аудит

Хорошая практика — попросить посторонних испытать ваши системы на прочность, чтобы убедиться в их безопасности. Это относительно дорогостоящее мероприятие и, вероятно, недоступное для большинства маленьких компаний. Но если у вас достаточно большой бизнес, то это безусловно поможет вам хорошо спать по ночам. В конце концов, если ваши двери прочнее, чем у соседей, то воры скорее пройдут мимо. Поэтому не рассматривайте безопасность как абсолютную вещь (нет такого понятия, как идеальная безопасность), а относитесь к ней как к относительному понятию: необязательно быть быстрее тигра, нужно лишь обогнать парня, который бежит рядом.

  • если компания достаточно велика, есть смысл получить сертификат ISO27001

Сертификация ISO27001 не гарантирует соответствия GDPR. Однако несоблюдение GDPR (на данный момент) — довольно хороший признак несоответствия ISO27001, потому что хотя ISO27001 не касается конфиденциальности напрямую, но требует наличия существенных процессов вокруг безопасности. А это, в свою очередь, значительно уменьшит шансы подвергнуться взлому и связанной с этим обязательной отчётностью. Компании с сертификатом ISO27001 обычно не испытывают проблем с соблюдением законодательства о конфиденциальности. Оно заставляет вас представлять данные как обязательство, а не актив, и конкретно такое мышление необходимо, когда вы имеете дело с данными конечных пользователей.

  • прочитайте закон хотя бы раз или попросите сделать это одного из сотрудников

Чтение закона — это реальная работа. Если вы не юрист, то вам понадобится целый день, а то и больше. Это полезно, потому что в законе много полезной информации, чтобы сформировать целостную картину, что реально представляет собой закон, как он применяется к вашему бизнесу, а также к вам в качестве частного лица, чьи данные обрабатываются и хранятся другими компаниями. Если у вас нет времени на это (хотя лично я считаю, что каждый владелец бизнеса должен найти время, чтобы прочитать достаточно компактный документ, который может повлиять на их бизнес), то поручите задачу сотруднику или хотя бы прочитайте отличную статью в Википедии о GDPR, чтобы разбираться в условиях, намерении и общей области применения GDPR. Это поможет в обсуждениях и в определении влияния закона на ваш бизнес.

  • сократите количество участников, которым вы отправляете данные пользователей

Чем больше участников получают данные ваших пользователей, тем выше вероятность сбоя. Здесь вдвойне важен принцип сведения ущерба к минимуму, который мы обсуждали в разделе об удалении ненужных данных. Примером может служить компания, которая обрабатывает медицинские данные о пациентах на стационарном лечении. Вы можете внедрить тег аналитики от сторонней компании на страницы, где происходит сбор данных. Но ваша потребность в аналитике никоим образом не перевешивает потребности пациентов в конфиденциальности данных. Поэтому лучше просто удалить этот тег. Это может представлять некоторое неудобство, но это гораздо предпочтительнее утечки данных.

Лучше всегда держать в голове минимальную модель влияния GDPR на ваш бизнес. Так гораздо проще определять, где и как бизнес должен адаптироваться к новому законодательству. В целом это хорошая практика — иметь такую модель в голове, когда начинает действовать какое-то новое важное законодательство. Если бизнес достаточно серьёзный, то можете воспользоваться услугами юриста с опытом работы в данной области (защита конфиденциальных данных), но даже в этом случае хорошо знать основы — и прочитать текст закона.

Что, вероятно, не следует сделать


  • притворяться, что не знаешь о законе и надеяться, что он исчезнет

Игнорирование закона никогда не является хорошей защитой. Вы выглядите глупым и беспечным, выбирая самый простой способ защиты от каждого закона, который не хотите соблюдать. Притвориться, что не знаешь о нём — и проблема исчезнет. Как правило, так поступают маленькие дети, закрывая глаза: «Я тебя не вижу, поэтому ты не видишь меня». Это не работает у малышей и не будет работать у вас.

  • предположить, что закон не применяется к вам без надлежащего исследования

Есть исключения из правил. Вы можете прочитать о них и выяснить, применяется к вам закон или нет. Исследовав вопрос должным образом, вы можете выяснить, что закон на самом деле распространяется на вас, хотя вы думали, что не распространяется — или наоборот. В любом случае, знание — это сила. В одном случае вы будете предупреждены, а в другом будете знать, что находитесь в безопасности.

  • изобразить из себя юриста и попытаться избежать соблюдения закона

Я видел много таких случаев: люди не потрудились прочитать закон или ищут только одну строчку, которая поможет оправдать свою позицию. Это глупо и, скорее всего, приведёт к серьезному разочарованию. Если вы прочитаете закон и получите некоторое представление о нём, то увидите: он написан так, что даёт большую свободу для толкования. Это хорошо, даже если вы хотели, чтобы всё было конкретно прописано. Почему это хорошо? Потому что так регуляторы могут карать тех, кто пытается использовать максимально узкое толкование, игнорируя дух закона.

Такая стратегия узкого толкования работает в некоторых странах (в частности, в США), но в Европе она вообще не работает. Пожалуй, это самое серьёзное различие двух правовых систем, и очень важное. Если соблюдать дух закона, но нарушать букву, то почти всегда с вами всё будет в порядке. Если вы очень стараетесь соблюдать букву, в то же время игнорируя дух закона, то врежетесь в стену, и очень больно врежетесь.

  • сознательно нарушать закон

Это очевидно, но я всё-таки напишу на всякий случай: не нарушайте закон сознательно. Если вы это сделаете, то настроите себя на будущий провал. Либо соблюдайте закон, либо закройте свой сервис для Евросоюза (если вы действительно можете это сделать, что, как я уже говорил, трудноосуществимо).

Если у вас действительно глубокие карманы и вы готовы обратиться в суд, а затем, в конечном итоге, в Верховный суд Евросоюза, чтобы оспорить закон или его отдельные аспекты, то вам придётся нарушить закон, чтобы сознательно бросить вызов регуляторам. Но для большинства обычных компаний это не вариант. Лучше оставить такие приключения гуглам и фейсбукам.

Что упростит вашу жизнь


  • применять принципы GDPR во всём мире

Обратите внимание, что это имеет смысл делать даже в отсутствие закона. Просто теперь, когда закон существует, эти принципы помогут вам улучшить свою систему безопасности и в далёкой перспективе покажут вашу приверженность интересам пользователей.

Часто задаваемые вопросы по GDPR


Ещё раз: это не юридическая консультация, хотя подозрительно похожа на неё. Если вы собираетесь реализовать на практике что-либо из прочитанного, представляйте мою интерпретацию закона как 80% того, что вам нужно знать, если хотите минимизировать свои риски. Любой совет стоит столько, сколько вы за него заплатили, а в данном случае вы абсолютно ничего не платите. Тем не менее я как мог постарался не нести чепуху. Покупатель, будь бдителен!

  • Нужен ли мне (специальный) сотрудник по защите данных?

Это зависит от размера организации, типа данных и объёма имеющихся данных. Если обработка данных пользователей — ваш хлеб с маслом, а количество и вид данных указывают на существенный риск в случае утечки, и ваша организация достаточно велика, то скорее всего ответ «Да, нужен». Таким образом, медицинские, финансовые и рекламные компании любого размера почти наверняка потребуют наличия специального DPO. Если ваша компания обрабатывает очень мало данных (скажем, тысячи записей) и данные не являются сверхкритичными (скажем, вы продаёте одежду в интернете), то можно обойтись назначенным DPO, то есть нужно назначить роль DPO какому-нибудь сотруднику, который выполняет другие обязанности. Это не идеально, и придётся позаботиться, чтобы у DPO была достаточная независимость. Если вы вообще не обрабатываете данные пользователей, то вам не понадобится DPO.

  • Нужен ли мне назначенный представитель ЕС?

Если вы ведёте бизнес в ЕС, но находитесь за пределами ЕС, то да, по GDPR вам понадобится назначенный представитель. Это, безусловно, бремя. И я искренне надеюсь, что свободный рынок доведёт стоимость этой услуги до такого уровня, что даже самые маленькие предприятия смогут позволить себе её без проблем.

Функции представителя:

  • уполномоченный агент по получению юридических документов;
  • субъект исполнительного производства в случае несоблюдения компанией требований;
  • прямой контакт с властями
  • прямой контакт с субъектами данных в связи с их обработкой.

Если считаете это несправедливым, то имейте в виду — норма всего лишь устанавливает равные правила игры для компаний из Евросоюза и из-за рубежа. Несправедливость в том, что компания из ЕС не несёт дополнительной нагрузки для наличия зарегистрированного представителя, ведь они представляют сами себя. Альтернативой может стать взаимное признание законодательства, примерно как с нарушениями ПДД в странах ЕС. Государства-члены согласились между собой признавать штрафы за превышение скорости и парковку и собирать эти штрафы для своих иностранных коллег. Но пока GDPR действует только в Евросоюзе, взаимное признание не вариант. Если со временем другие регионы примут аналогичное законодательство, то можно заключить соглашения о взаимном признании, и тогда отпадёт необходимость в местном представителе.

  • Что будет, если я проигнорирую GDPR и просто продолжу бизнес как раньше?

Это очень опасный вопрос. Последствия во многом зависят от вашей деловой практики. Если вы исключительно добросовестно обращаетесь с пользовательскими данными, а все или большинство необходимых процедур уже реализованы, но вы ничего не изменили после вступления в действие GDPR, то привлечёте некоторое внимание. Вероятно, регуляторы получат смутное понимание этого, если им потребуется с вами взаимодействовать. Если вы действительно маленькая компания (скажем, приватный форум с несколькими сотнями постоянных посетителей), то можете даже избежать последствий. Но я бы не советовал такую стратегию. Проблема может возникнуть всего из-за нескольких сердитых пользователей, которые сообщат о вас в своё агентство DPA, если вы не выполните законные запросы. И вам будет трудно объяснить, почему вы решили игнорировать закон. Вы можете затянуть время о понадеяться на удачу, но если я что-то и понял за многие годы работы с коммерческими компаниями, так это что отсутствие стратегии настолько же глупо, как недооценка конкурентов.

Бремя соблюдения закона определённо выше для более-менее серьёзной компании. Но опять же, это открывает дорогу к аудитории из 300+ миллионов человек. Не грех приложить некоторые усилия для такой цели. А что может служить лучшим сигналом о вашей надёжности, чем уважение персональных данных ваших клиентов?

  • Можно ли хранить IP-адреса?

Да, можно, но в некоторых случаях они относятся к PII, и хотя все программы по умолчанию регистрируют IP-адреса, но если они вам действительно не нужны, то лучше обойтись без них. Если же они нужны, то убедитесь в их удалении или обнулении последнего октета, когда необходимость в этих данных исчезнет. Как вариант, обновляйте логи достаточно быстро, чтобы данные не хранились там дольше положенного срока.

  • Можно ли делать маркетинговые почтовые рассылки?

Да, можно, при условии получения соответствующего согласия. Но после 25 мая нельзя рассылать письма с просьбой дать такое согласие. Любые адреса, которые вы собрали без согласия пользователей, должны считаться утерянными. Как правило, такие сообщения, классифицируемые как «спам», запрещены к отправке частным лицам.

  • Можно ли поставить флажок, позволяющий пользователям отказаться от своих прав по закону GDPR?

Нет, ни в коем случае.

  • Следует ли нанять юриста?

Если можете себе это позволить, обязательно! Но обязательно получите рекомендации, прежде чем вступать в договорные отношения с кем-либо.

  • Нужно ли проходить сертификацию ISO27001?

ISO27001 не имеет прямого отношения к GDPR. Тем не менее, эта сертификация затрагивает многие вопросы, которые возникнут в случае взлома: например, предприняли ли вы всё возможное для его предотвращения. Сертификация ISO27001 по сути является внешним контролёром, которые проверяет вашу домашнюю работу. Конечно, после этого всё равно возможна утечка данных, она может стать результатом работы инсайдера или оплошности. Но по крайней мере вы сделали всё возможное, чтобы её избежать.

Еще одно преимущество сертификации ISO27001 в том, что на данный момент она выступает как некий косвенный показатель (прокси) соответствия GDPR. Партнёры будут вести бизнес с вами в новом правовом климате, если вы получили этот сертификат, потому что они будут считать, что у вас всё в порядке.

Недостаток в том, что такой аудит не из дешёвых (его могут позволить себе только достаточно крупные организации), и что затраты будут регулярными (аудит проводится ежегодно).

  • Как я могу достоверно определить, является ли пользователь резидентом ЕС?

Если кратко, то никак. Да, вы можете спросить, но пользователь может соврать. Есть библиотеки для геотаргетинга, но они не абсолютно надёжны: кто-то может использовать прокси-сервис, спутниковую связь и так далее. Это досадно, но вы не можете со 100% уверенностью определить, где находится человек.

  • Следует ли внедрить на сайте отдельные системы для жителей ЕС и остального мира?

Вы могли бы сделать это, но это слишком трудоёмкая задача. В конце концов, разве вы не хотите проявить вежливость ко всем остальным пользователям, кроме жителей Евросоюза? Кажется абсолютно пустой тратой ресурсов поддерживать две системы только ради того, чтобы лишить пользователей за пределами ЕС каких-то полезных возможностей. Лично я бы использовал этот случай для пиара: громко и ясно рекламировал, что пользователи со всего мира получают тот же уровень защиты и тот же уровень контроля над своими данными, что и граждане ЕС. Возможно, это поможет вам в конкурентной борьбе, если конкуренты не сделают так же. И наоборот, это может сработать против вас, если конкурент решит пойти по такому пути.

  • Что насчёт моего «любительского проекта»?

GDPR не различает хобби и бизнес, что мне кажется правильным. Не имеет никакого значения, воспринимаете вы свой проект как хобби или нет. Как только вы начнёте сбор данных о частных лицах из ЕС, директива начнёт действовать — и вам придется соблюдать законодательство.

  • Что насчёт проекта с открытым исходным кодом?

Программное обеспечение с открытым исходным кодом — это не услуга, а программное обеспечение. Пока вы просто пишете программное обеспечение и распространяете его, не собирая данные о пользователях, ваши действия не входят в область действия GDPR. Как только вы запускаете онлайн-сервис, используя программное обеспечение, которое написали сами — даже с открытым кодом — ваш проект входит в область GDPR.

  • Что насчёт… [вставьте сюда какую-то дикую пограничную ситуацию]?

Есть много пограничных случаев, слишком много, чтобы перечислять их здесь, но давайте возьмем тот, который встречался мне несколько раз.

Если вас волнует, как среди пользователей выявлять резидентов ЕС, которые находятся за границей, то вы волнуетесь не о том, о чём нужно. Законодатели ЕС и агентства по защите данных не собираются выпрыгивать из кустов возле вашего дома, чтобы оштрафовать вас в таких ситуациях. Но вы всё равно должны рассматривать запросы на удаление, доступ и редактирование данных от этих пользователей (и, вероятно, от всех других), как будто это законные запросы. В конце концов, зачем их игнорировать?

Есть большая вероятность, что выйдет третья часть этой статьи, я пока не решил, статьи отнимают много времени.
Поделиться публикацией
Ой, у вас баннер убежал!

Ну. И что?
Реклама
Комментарии 103
    +1
    Хм, интересно, а как там на счёт данных сотрудников?
    Могут ли сотрудники/бывшие сотрудники компании потребовать удалить какие-то данные о себе?
    Ну и могут быть забавные вещи, например у нас в России для прохода во многих местах требуют паспорт и переписывают с него данные.
    Получается потом граждане ЕС могут с них требовать их удаления (понятно, что только чисто теоретически)? (или GDPR только про цифровые данные и сервисы)?
      0

      Сотрудники — Да могут. И их данные нужно удалить.


      При этом правда есть такое в законе, что часть данных вы обязаны хранить для обеспечения закона.
      Те например данные как имя фамилия и данные об оплатах зарплаты должны храниться в архиве бухгалтерии и их удалить невозможно.


      Иначе можно было бы направить запрос налоговики чтобы они забыли о вас :)

        0
        Иначе можно было бы направить запрос налоговики чтобы они забыли о вас :)

        Или ещё лучше в полицию :)
          0

          Не совсем так. Согласно регламенту удалить данные безусловно нужно только в случае, если они были получены по согласию (consent).
          Данные сотрудника получаются по трудовому договору, поэтому их можно хранить до окончания действия договора. И даже дольше, если это необходимо компании для каких-то легитимных целей.

            0
            И так и не так :)
            Некоторые данные работников работадатель обязан хранить по закону, например имена, банковские данные и тп. Их работадатель удалить не может, тут вы правы.

            При этом, если работодатель собирает и хранит какие либо другие данные о работнике, например сколько у работника детей, имя-фамилия жены, где учаться дети :) Какой любимый цвет работника — то эти данные не обязательные для работы, и их работник может потребовать удалить… Даже если давал разрешение на сбор их. Спорный вопрос, что из этого можно собирать самостоятельно, без разрешения работника. (работник правда может подписать трудовой договор в котором это всё разрешено автоматически.)

              0
              Данные о детях и жене не нужны для трудового договора, и не понятно, зачем они нужны работодателю. Тут скорее нарушается другой пункт — о минимизации данных.

              И кстати, регламент запрещает запрашивать разрешение на обработку таких данных внутри договора. Это должен быть отдельный документ.
                0
                Про детей — Работодатель может собирать эти данные для того что бы дарить на праздники Вашим детям подарки. Повышение лояльности и все такое.
                Если Вы откажетесь предоставлять информацию о детях, то, вероятно, Вас не уволят. Посему, выходит, что вы предоставляете эти данные добровольно и по собственному желанию. На обработку персональной информации детей до 16 лет (в некоторых странах до 13) должен дать согласие родитель. То есть, Вы выходите владельцем этих данных. И да, Вы можете потребовать их удалить.
                Про информацию о других членах семьи и/или не только — В случае если Вы в своей мед. карте или договоре страхования, кредита, ипотеки… указываете персональные другого человека, то контроллер этих данных должен уведомить этого другого человека и/или получить согласие на обработку его персональных данных (про согласие еще не точная информация). Например, письмо из банка: «Уважаемый Петр Васильевич. Ваш сын Гоша берет у нас кредит в 100500 денег. Вы указаны поручителем и мы будем теперь вечно хранить Ваши данные и звонить Вам если Гоша не будет платить.» А внизу две кнопки «Ок», «Не Ок»
                  0
                  Есть мнение, что если вы предоставляете банку ПДн третьих лиц, вы сами являетесь контроллером по отношению к ним, а не банк. И сами должны уведомлять субъекта.

                  П.С. Поручителем нельзя указать человека заочно. Поручитель несет материальную ответственность и оплачивает кредит за счёт собственных средств в случае отказа платить основным заемщиком.
        0
        А мне намного интереснее, последуют ли компании MRG этим непонятным европейским правилам )
          0
          Законы н непонятные, а вполне удобночитаемые и легко исполняемые.
          Да последуют.
          +2
          GDPR создан безусловно с благими намерениями. Благими намерениями, как известно, выстлана дорога в ад. Вангую, что ад GDPR будет очень некомфортным для всех.
            0
            Не надо ванговать. Все нормально проходит и будет проходить дальше нормально.
              +3
              Защита данных — весьма хитрая задача. Информация обладает свойством сверхрекучести, и если в периметре есть хотя бы микроскопическая дырочка, данные через неё утекают почти мгновенно, и притом сразу все. Это факт, который можно отказываться принимать, но от факта принятия реально ничего не изменяется. Надёжные периметры создавать можно, но это очень затратно и очень неудобно. GDPR требует, чтобы были созданы миллионы надёжных периметров. Чтобы наш сильно информационно связный мир был расчерчен миллионами глухих заборов. Невзламываемых. По ходу дела, GDPR — один из тех законов, которые невозможно исполнить.

              Мы здесь в России знаем, что бывает когда принимается закон, который невозможно исполнить. У нас половина законодательства такая. Ну ладно, не половина, но всё же существенная часть. А случается вот что: закон в силу объективных причин нарушается примерно всеми, и реально работает только как инструмент полицейского произвола. То есть нарушают все, а привлекаются к ответственности только те, кому не повезло быть слишком вкусными. Или кому просто не повезло оказаться в неправильном месте в неправильное время.

              Ад с точки зрения бизнеса: теперь все становятся преступниками, и только молитва правильным богам (а также регулярно заносимые тортики) поможет избежать драконовских штрафов. Розовые сопли типа «будем паиньками и сделаем как положено по закону» — в пользу бедных. Полностью законопатить все дырки не удастся никому. У малых бизнесов на это нет ни специалистов, ни оборудования, ни банально денег, а у крупных бизнесов слишком велик периметр.

              Ад с точки зрения нас, физиков: существенное снижение удобства при существенном возрастании стоимости. Если смотреть на динамику применения российского закона о персональных данных, то если раньше подписывать бумажку-согласие нужно было только в редких случаях (например, при оформлении кредитки), то теперь кипу бумаг нужно подписывать даже для того, чтобы ветеринар посмотрел, что за прыщик вскочил у собачки. Если дальше так дело пойдёт, скоро будем подписывать договор и согласие на обработку персональных данных чтобы купить жвачку в ларьке. Естественно, жвачка эта будет уже не полдоллара.
              Кроме того, GDPR даст ложное ощущение защищённости. Мне кажется, лучше знать о своей беззащитности перед big data, чем быть беззащитным (см. выше про сверхтекучесть информации), но об этом не знать.

              Ад с точки зрения властей: в условиях, когда есть закон, который охватывает всех, и который невозможно исполнить, ситуация быстро станет неуправляемой. Расцветёт коррупция. Начнёт перекидываться на другие сферы. Практика избирательного применения закона разъест саму основу знаменитого европейского законопослушания.

              Несомненно, то, что творится с персональными данными — форменное безобразие. Но, ребята, нельзя же подходить к решению задач так тупо. Типа «а давайте законодательно запретим зиму, и не нужно будет покупать шубу». Прям как дети, ё моё…
                0
                Интересно почитать вашу точку зрения, но…
                Я занимаюсь «проблемой» GDPR уже почти два года, я знаю людей, которые принимали непосредственное участиеЮ со стороны Италии, в разработке данного Регламента с самого начала. GDPR не говоорит о том, контроллер или процессор долже гарантировать на 100%, что данные клиента-физика никуда не убегут. Это глупо и все это понимают. Регламент говорит о процедурах хранения и обработки данных, о том, что контролллер обязан уведомлять физика как, почемуу, и кем будут обрабтываться его данные и кому и при каких условиях они будут переданы и зачем. Регламент обязывает принимать адекватные меры по защите данных физических лиц. Среди мер, которые регулятор называет оязательными — регулярные бэкапы, антивирус и файрвол. Этого не было ранее? Национальные законодательства стран ЕС уже имели схожие нормы, которые так или иначе действовали, Регалмент просто-напросто унифицирует законодательство и вводит некоторые дополнительные обязательства, главным из готорых является составление регистров обработки данных. Этои регистры делаются за пару человеко-часов, и они не для всех обязательны, что тоже стоит заметить.
                <<<GDPR требует, чтобы были созданы миллионы надёжных периметров.

                Я не знаю откуда вы это взяли. GDPR требует, что бы госучреждения и иные лица, занимающиеся обработкой персональных данных физических лиц, принимали минимальные меры по защите того, что они обрабатывают, а также имели четкую схему обработки и, что не мало важно, уничтожения этих данных, когда они больше не нужны. Большинство норм Регламента, я повторяюсь, уже были в действии и уже так или иначе выполнялись. Пройдет пару месяцев, отретушируются документы, которые подписывает физик, обновятся антивирусы и сетевые политики и все мягко забудут про весь этот хайп.
                Не стоит нагнетать там, где надо просто пару раз вдумчиво и с карандашом почитать один документ.
                  0
                  контроллер обязан уведомлять физика как, почему, и кем будут обрабатываться его данные и кому и при каких условиях они будут переданы и зачем
                  Обязан соврать в каждом пункте. Контролер не имеет сколь-либо приемлемо качественной информации по каждому из этих пунктов. Он может говорить о своих текущих намерениях, но насколько эти намерения соответствуют действительности и не поменяются ли они завтра, через месяц, год или десять, он не может иметь ни малейшего представления.
                  Все сервисы, на которые я подписан, дружно поприсылали мне изменения в Privacy Policy. Если честно, не читал ни одного, даже на свой интерес к этой теме. Мне слишком грустно смотреть на то, как люди под принуждением дают заведомо невыполнимые обещания.

                  … что не мало важно, уничтожения этих данных, когда они больше не нужны
                  Это вообще смешной пункт. Кажется, историю с «забыть Герострата» ещё в Древней Греции проходили, но народ, кажется, вообще ничему не учится. Информацию. Вообще. Никак. Невозможно. Уничтожить. Точка.

                  Если немножко зажмуриться, всё это, конечно, выглядит достаточно невинно. Мы, лягушки, сидим в кастрюле, и температура воды поднимается всего на пару градусов. Но что-то подсказывает, что самая правильная с точки зрения выживания стратегия — устраивать переполох на полную катушку при любом повышении температуры воды.
                    0
                    Контролер не имеет сколь-либо приемлемо качественной информации по каждому из этих пунктов

                    Контролёр не знает кому и с какими целями лично он передаёт данные? Ну тогда правильно что такого контролёра оштрафуют.

                    Он может говорить о своих текущих намерениях, но насколько эти намерения соответствуют действительности и не поменяются ли они завтра, через месяц, год или десять, он не может иметь ни малейшего представления


                    Если он не знает свои текущие намерения, то опять же правильно что такого контролёра оштрафуют. А если в будущем у него намерения поменяются, то он должен заново сообщить об этом пользователю и спросить у пользователя разрешения использовать данные для своих новых намерений.

                    Это вообще смешной пункт. Кажется, историю с «забыть Герострата» ещё в Древней Греции проходили, но народ, кажется, вообще ничему не учится. Информацию. Вообще. Никак. Невозможно. Уничтожить. Точка.


                    Вы как сервис должны уничтожить те данные, которые хранятся у вас. Если вы данные давали кому-то ещё, то вы должны затребовать чтобы он тоже позаботился об их удалении. Если он этого не сделает, то оштрафуют его, а не вас. В чём проблема?

                    Если немножко зажмуриться, всё это, конечно, выглядит достаточно невинно. Мы, лягушки, сидим в кастрюле, и температура воды поднимается всего на пару градусов. Но что-то подсказывает, что самая правильная с точки зрения выживания стратегия — устраивать переполох на полную катушку при любом повышении температуры воды


                    Ну так и расскажите мне пожалуйста, какие конкретно минусы по вашему с этого закона получает «лягушка», читай средний обыватель.
                    Единственное что вижу я теоретически возможное повышение цен на услуги. Но на мой взгляд даже если такое и произойдёт то оно того стоит.
                    Возможно ещё что GDPR ускорит централизацию и консолидацию в сфере онлай-бизнеса. Ну так это всё равно происходит и от этого никуда не денешься. Да и само по себе ничего плохого это не несёт.

                      0
                      Контролёр знает свои текущие намерения. По крайней мере думает, что знает. В больших организациях левая рука никогда досконально не знает, всех подробностей про правую, а голова вообще витает в облаках и «определяет основные направления...». Впрочем, важно не это, а то, что своего будущего не знает никто.

                      если в будущем у него намерения поменяются, то он должен заново сообщить об этом пользователю
                      Но свои ПД я уже отдал. Даже если я резко отпишусь от сервиса, всё равно я их уже отдал, и лишь один Аллах ведает, куда они расползлись. Получаю ситуацию «поздно пить Боржоми».

                      Вы как сервис должны уничтожить те данные, которые хранятся у вас.
                      Предположим, я это сделать не могу. Причин — миллион. Во-первых, у моих менеджеров на компьютерах не отрублены USB-порты и Интернет (пробовали отрубить, но пришлось врубить, когда они дружно принесли заявления). Во-вторых, некоторые данные я обязан хранить по другим законам. Например, для того, чтобы предоставить налоговому аудитору. В-третьих, архитектура моей инфосистемы банально может не поддерживать затирание данных задним числом. Очень популярная, кстати, тема в мире BigData.

                      какие конкретно минусы по вашему с этого закона получает «лягушка», читай средний обыватель
                      Вы сами перечислили два минуса, из которых первый не убивает, а второй страшен как смерть, и то, что оно всё и само к тому катится, оптимизма ни разу не прибавляет.
                      Я думаю, вопрос нужно ставить не так. Более правильная формулировка: «Какие конкретно плюсы с этого закона получает средний обыватель?» Если честно, никаких плюсов кроме призрачной возможности пошакалить на судебных тяжбах, я не наблюдаю. Нам, обывателям, важно, чтобы наши ПД не попадали к тем товарищам, которые нам больше всего угрожают, а именно к бандитам и спецслужбам. Но в этом плане GDPR, похоже, полностью беспомощен. Или нет? Поправьте меня, если я не прав.
                        +1
                        Контролёр знает свои текущие намерения. По крайней мере думает, что знает. В больших организациях левая рука никогда досконально не знает, всех подробностей про правую, а голова вообще витает в облаках и «определяет основные направления...».

                        Тогда по моему мнению вы заслуживаете быть оштрафованным.

                        Но свои ПД я уже отдал. Даже если я резко отпишусь от сервиса, всё равно я их уже отдал, и лишь один Аллах ведает, куда они расползлись. Получаю ситуацию «поздно пить Боржоми».

                        Вы можете потрeбовать стереть ваши данные и сервис обязан это сделать. Если существует закон обязывающих сервис хранить ваши данные какое-то время, то он обязан стереть их по прошествию этого срока и пока он их не сотрёт он не имеет права их использовать как-то иначе кроме как для исполнения этого закона. Если он нарушит эти правила и это вcплывает, то он будет оштрафован.

                        Предположим, я это сделать не могу. Причин — миллион. Во-первых, у моих менеджеров на компьютерах не отрублены USB-порты и Интернет (пробовали отрубить, но пришлось врубить, когда они дружно принесли заявления). В-третьих, архитектура моей инфосистемы банально может не поддерживать затирание данных задним числом. Очень популярная, кстати, тема в мире BigData.

                        Это ваши проблемы и ваш технический долг. Либо вы их решаете, либо не работаете с жителями ЕС, либо платите штрафы.

                        Вы сами перечислили два минуса, из которых первый не убивает, а второй страшен как смерть, и то, что оно всё и само к тому катится, оптимизма ни разу не прибавляет.

                        Ничего страшного как смерть я не вижу. И этот процесс идёт уже давно и без всякого GDPR и практически во всех областях бизнеса. GDPR тут мало что меняет.

                        Нам, обывателям, важно, чтобы наши ПД не попадали к тем товарищам, которые нам больше всего угрожают, а именно к бандитам и спецслужбам. Но в этом плане GDPR, похоже, полностью беспомощен. Или нет? Поправьте меня, если я не прав.

                        Ну во первых если произойдёт утечка данных сервис обязан теперь вас об этом известить. Во вторых если утечка произошла по вине сервиса, то он должен будет оплатить приличный штраф.
                        Эти два факта уже большой плюс по сравнению с тем что мы имеем сейчас.
                        А на тему со спецслужбами: если у них есть решение суда на то чтобы получить эти данные, то они их получат. Если решения суда нет, то сервис уже не сможет добровольно отдать им ваши данные(естественно если вы не давали на это согласия). Если же сервис отдаст данные спецслужбам без судебного решения и вашего разрешения, то он платит штраф.

                        Кроме того если кто-то нарушал ваши права до введения GDPR вы должны были сами с ними судится. Если вы этого не делали, то он уходил безнаказанным. А мало кто был готов судится с иностранными фирмами и большими концернами.
                        После введения GDPR вы всё ещё можете судится, но дополнительно ЕС может назначать штрафы провинившимся фирмам. И тут для фирм не работает презумпция невиновности. Tо есть они сами должны доказать что они не виноваты. Если они это сделать не могут, то платят штраф или получают втык от ЕС. Вплоть до замораживания счетов и прочего подобного веселья.
                          0
                          … заслуживаете быть оштрафованным… будет оштрафован… штраф… штраф… не работает презумпция невиновности… штраф ...
                          Ах, как мы все любим насилие. Прям жить без него не можем. Пусть придёт суровый добрый дядя и накажет плохих парней. А мы возьмём попкорна и посидим посмотрим. Приходит дядя, и мы почему-то не сидим с попкорном, а лежим попой вверх получаем розги. А плохие парни делают маленький бизнес на поставке розг. Как так получилось? Почему всё пошло наперекосяк? Потому что сами тупые, насмотрелись боевиков про добрых и бравых супергероев.

                          Когда «добрый дядя» наказывает меня, я несу убыток. Когда он наказывает моего клиента, я тоже несу убыток. Когда он наказывает моего поставщика, я тоже несу убыток. Когда наказывает поставщика моего поставщика, я тоже несу убыток. Вездесущие штрафы, замораживания счетов и прочие варианты веселья — это всё за счёт тех самых простых граждан, которых добрые дяди как-бы защищают. А за чей ещё?

                          если произойдёт утечка данных сервис обязан теперь вас об этом известить
                          Что мне делать с этой инфой? Покрыться холодным потом? Поменять фамилию? Поменять место жительства? Сделать пластическую операцию? Вообще, человека, видевшего подноготную по себе на всяких трешовых ресурсах всякой такой ерундой не испугать. Ну у текла и утекла, далеко не в первый и далеко не в последний раз. Разница только в том, что в данном случае я об этом узнал.

                          Если я знаю, что я беззащитен перед расползанием моих ПД куда попало, я осторожен. Я сам принимаю контрмеры. Я сам просчитываю последствия заполнения каждого поля и нажатия кнопки «Отправить». Последствия нажатия каждой кнопки «лайк». Я готов к тому, что те данные, которые я отпустил гулять на волю, будут сопоставлены и кто-то попытается этим воспользоваться. Я учусь прятать то, что мне нужно прятать. Я не надеюсь на доброго дядю, приучил себя справляться сам. Это — единственная выигрышная стратегия выживальщика в дивном новом мире больших данных, оплодотворяемых т.н. ИИ.

                          Безопасность нельзя делегировать. Когда мы делегируем безопасность, мы в опасности. Безоглядно положились на антивирус — получаем зоопарк вирусов. Безоглядно положились на закон о защите ПД — получаем… кстати, что? Казалось бы, ничего страшного, но здесь фишка в том, что информация — мощный инструмент обретения власти. Давая информацию о себе, мы даём инструмент манипулирования собой. А вы думали, почему все так яростно охотятся за этими самыми ПД?
                            0
                            Если у вас на фирме бардак и левая рука не знает что делает правая, если вы сами не знаете какие вы данные собираете и зачем, если вы храните данные непонятно как и кто попало имеет к ним доступ, то вас вообще нельзя пускать к персональным данным других людей. И я рад что есть закон, который долбанёт вас как следует если вы к ним полезете.

                            И GDPR это не панацея, не решение всех проблем и не 100% гарантия что с вашими данными ничего не случится. Это всего лишь инструмент который позволяет вам немного лучше контролировать что с вашими данными происходит. Но это однозначно шаг вперёд в вопросах защиты персональных данных.
                              0
                              У нас на фирме всё хорошо с персональными данными. И нашими, и чужими. В пределах разумного, конечно. И у клиентов, которым мы, бывало, помогали проходить сертификацию их (сделанных нашими руками) систем — тоже. С формальной точки зрения. То есть все пункты соблюдены, комар носа не подточит. Но реально, когда начинаешь просчитывать сценарии, понимаешь, что немножко технической сноровки и социальной инженерии, и всё это яйца выеденного не стоит. Такие дела.
                                0
                                У нас на фирме всё хорошо с персональными данными.

                                Вот это по вашему «все хорошо»:
                                левая рука никогда досконально не знает, всех подробностей про правую, а голова вообще витает в облаках и «определяет основные направления…

                                Во-первых, у моих менеджеров на компьютерах не отрублены USB-порты и Интернет (пробовали отрубить, но пришлось врубить, когда они дружно принесли заявления).

                                архитектура моей инфосистемы банально может не поддерживать затирание данных задним числом

                                ?
                                Лично для меня это «очень хорошо» не называется.
                      +1
                      Удивительно то, что вы сейчас комментируете не Регламент, который вы не читали, не правоприменитульную практику ЕС… Вы коментируете свои личные убеждения по поводу Регламента, который вы не читали и правоприменительной практики в ЕС, о которой понятия не имеете.
                      Если контроллер не имеет понятия какие данные он собирает и зачем они уме нужны, то он не только должен быть оштрафован на полную сумму, но и вообще закрыт как субъкет хозяйствования. Точка.
                        0
                        Совершенно верно. Регламент не читал (м.б. прочитаю на досуге, почему бы и нет). Относительно правоприменительной практики ЕЭС ни в зуб ногой, и надеюсь с ней никогда не познакомится непосредственно. Но у меня есть некоторый опыт по части российского закона о защите ПД как с позиции обывателя, так и с позиции архитектора инфосистем. Ни то, ни другое не доставляет оптимизма от слова «совсем». Опыта вполне достаточно, чтобы составить чёткое мнение о том, что законы о защите ПД (а) несостоятельны в плане достижения задекларированных целей, (б) доставляют массу неудобств и (в) уводят решение серьёзной проблемы в бесперспективное русло.

                        Понимаете, принуждение (в т.ч. законодательное) — это не универсальное решение, применимое к любой задаче. Что бы ни утверждали поклонники насилия. Наступление зимы невозможно предотвратить законом о запрете зимы. Есть задачи, которые принуждением решаются, а есть те, которые не решаются. Всё как везде — каждый метод имеет свою область применимости. Заставить всех написать красивые Privacy Policy, делать бэкапы (кстати, бэкапы — это плюс один канал утечки), поставить антивирусы и файрволлы… ага, ещё и руки мыть перед едой и не есть незнакомые грибы. Заставить можно, но единственный эффект — самоуспокоение. Мой внутренний параноик говорит мне, что самоуспокоение — это как раз то, что в данной ситуации нужно меньше всего.
                        Если господа принуждальщики не могут решить задачу, то, может быть, лучше им стать в сторонке, не отсвечивать и не мешать искать действительно эффективные решения? А то ведь и так всё хреново, а тут ещё и этот геморрой…
                          0
                          Относительно правоприменительной практики ЕЭС ни в зуб ногой, и надеюсь с ней никогда не познакомится непосредственно. Но у меня есть некоторый опыт по части российского закона о защите ПД как с позиции обывателя, так и с позиции архитектора инфосистем. Ни то, ни другое не доставляет оптимизма от слова «совсем»

                          А вот у меня есть достаточно длительный опыт в плане правоприменительной практики Германии и того как здесь работают законы о защите ПД. И с точки зрения пользователя и с точки зрения программиста, который должен делать продукты следующие этим законам.
                          И на мой взгляд работают они конечно неидеально, но не то чтобы особо плохо. И
                          хорошо что общеевропейские законы приблизили к немецким и дали Германии инструмент для преследования нарушителей, находящихся вне Германии.

                          Если господа принуждальщики не могут решить задачу, то, может быть, лучше им стать в сторонке, не отсвечивать и не мешать искать действительно эффективные решения?

                          Если у вас есть вариант более эффективного решения, то озвучьте его. Если у вас его нет, то на мой взгляд лучше иметь неидеальное решение, чем вообще никакого.
                            0
                            мне нравятся все эти «не читал но осуждаю»… Не зватает еще что-нибудь типа «и вообще в гейропе все г…
                            такое ощущение, что это не хабр, а однокласники, прости господи…
                              0
                              Если у вас есть вариант более эффективного решения, то озвучьте его.
                              Решения у меня нет. Но даже если бы оно и было, не имело бы никакого смысла его озвучивать, потому что всё равно никто не услышит и к сведению не примет.

                              Пока есть тщательно разрекламированные решения типа «запретить, держать, не пущать, штрафовать», невозможно даже начать конструктивное обсуждение альтернатив. Живём в навязанной повестке дня, ломая копья вокруг истинности оценочных суждений «GDPR — это хорошо» и «GDPR — это плохо». Друзья, оценочные суждения не бывают ни истинными, ни ложными. Не об этом надо думать, а о корнях проблем, эффективности методов их решений и перспективах развития ситуации. Но, повторюсь, в такой обстановке мы даже не можем начать продуктивно об этом думать.
                                0
                                Решения у меня нет.

                                На этом могли бы и остановиться. Потому что всё остальное это фантазии человека, который по своим же собственным словам даже не читал закон, который он тут ругает.
                                И учитесь говорить за себя, если вам какая-то там обстановка мешает думать, то это не значит что так же обстоят дела и у других людей.

                                  0
                                  Может быть, мне не везло, но я ни разу не видел по этому вопросу обсуждений альтернатив, выходящих за рамки «что бы такое законодательно запретить, чтобы всем стало хорошо».
                                  Ситуация выглядит так, как будто не только мне оно мешает думать.

                                  А закон как-нибудь на досуге прочитаю. Любопытство возьмёт верх.
                  0
                  Вангую, что ад GDPR будет очень некомфортным для всех.

                  Подозреваю, что он будет некомфортным для тех, кто хранит данные. И совсем наоборот для физ.лиц, которые теперь могут потребовать удалить данные о себе.
                    0

                    И получить отписку об удалении данных, хотя все прекрасно понимают что на самом деле данные всё равно удаляются лишь пометкой об удалении. Только недалёкий человек поверит что его данные в самом деле удалены. Закон для идиотов, от идиотов.

                      0
                      Ну тут не совсем. Если Компания не будет удалять данные, а будет лишь делать пометку об удалении, то если (когда) случиться утечка персональных данных и вместе с ней утекут данные пользователей, которые формировали запрос на удаление данных — компания попадет на не хилые $$ + репутационные риски. Европейским крупным компаниям будет выгодней все же удалять данные.
                        0

                        И без GDPR утечка персональных данных представляет существенные репутационные риски. GDPR к ним добавляет произвольные штрафы. Штрафы — это, конечно, неприятно, но не всё ли равно, когда твоя компания уже банкрот?


                        Недопустимость утечек стала ещё более важна.

                        0
                        Если вы по другим законам не обязаны хранить данные и пользователь потребовал их удаления, то вы должны их физически удалить. Если вы этого не сделали и это всплывет, то вы получите штраф.
                        И только недалёкий человек верит что такое никогда-никогда не всплывёт :)
                          0

                          Такое всплывает когда? Правильно, при утечке персональных данных. Когда пользовательская база Facebook или подобной компании утечет, что произойдет с самой компанией? Правильно, про существование этой компании можно будет смело забыть. Потому нет никакого смысла для больших компаний на самом деле выполнять требования GDPR, потому как поймать на невыполнении требований об удалении данных практические невозможно без событий, и без GDPR приводящих к уничтожению крупных компаний до основания.


                          Никакой Facebook и Google не будут в самом деле удалять ваши данные, прекратите верить в сказки. Это не имеет никакого смысла для них.


                          Другое дело что если раньше, когда злодей удалял вашу переписку и ваш аккаунт, по обращению в поддержку всё можно было вернуть, то сейчас такое запрещено законом и вам никто не поможет. Даже если данные не удалены на самом деле. Кому такое нужно? Даже и не знаю, мне — точно не нужна такая забота.

                            0
                            Такое всплывает когда? Правильно, при утечке персональных данных.

                            Или если недовольный сотрудник(или бывший сотрудник) даст регулятору ЕС анонимную «подсказку» что вашу фирму неплохо бы проверить. Или если достаточное количество пользователей просто нажалуется регулятору и он решит эту проверку провести.

                            Когда пользовательская база Facebook или подобной компании утечет, что произойдет с самой компанией? Правильно, про существование этой компании можно будет смело забыть.

                            Не смешите меня. Утечки происходят постоянно и далеко не всегда приводят к закрытию компании. У twitter'a вроде бы недавно были утечки, у Sony, у google, у вконтакте. И это конечно наносило им вред, но к закрытию компаний не привело.

                            Никакой Facebook и Google не будут в самом деле удалять ваши данные, прекратите верить в сказки.

                            Ну значит будут платить штрафы пока не научатся это делать. А небольшая добавка к бюджету ЕС тоже не особо плохое дело.
                              0

                              И что эта проверка даст? Компания скажет: вот интерфейс в базе данных, в нём данные не находятся. База данных наша проприетарная облачная, исходники мы вам не дадим. А если даже и дадим, то вы никогда не узнаете из тех ли исходников собрана та база, которой мы на самом деле пользуемся, или из других. А кроме базы есть ещё пару слоёв абстракции над данными на физических носителях. Хорош уже верить в сказки, сколько можно?


                              Да, компании будут тщательней относиться к данным, будут больше скрывать принципы своей работы, утечки будут стоить дороже. В остальном очень сомнительно что этот закон приведёт к фактическому выполнению хотя бы некоторых из заявленных целей. Потому что ну просто потому так работает мир, потому что выгодно делать так, а не иначе. Только недалёкие составители этих законов этого не понимают.

                                0
                                Компания скажет: вот интерфейс в базе данных, в нём данные не находятся. База данных наша проприетарная облачная, исходники мы вам не дадим. А если даже и дадим, то вы никогда не узнаете из тех ли исходников собрана та база, которой мы на самом деле пользуетесь, или из других

                                И таким образом не пройдёт проверку и заплатит штраф. Потому что это фирма должна доказывать что у них всё в порядке, а не регулятор что есть ошибки. Не хочешь показывать или показываешь вещи, которые регулятора не убеждают -> плати штраф.

                                Ну и кроме того что например мешает просто до официальной проверки потребовать удалить данные нескольких юзеров, а потом проверить остались ли данные во всех используемых фирмой базах данных?
                                  0

                                  Ну вы считаете что компания с многомиллионным бюджетом не найдет несколько талантливых разработчиков высокого уровня, которые изобретут любые доказательства за увеличенный годовой бонус в акциях этой же компании?


                                  Очень сложно делать утечки когда твоё состояние непосредственно зависит от успеха компании, акциями которой ты владеешь. Не важно, что обычно момент появления права продажи акций откладывается на несколько лет. Важно что ты можешь стать беднее на полмиллиона долларов из-за возможного падения курса акций твоего работодателя. Очень серьёзные аргумент против утечек, знаете ли.

                                    0
                                    Ну вы считаете что компания с многомиллионным бюджетом не найдет несколько талантливых разработчиков высокого уровня, которые изобретут любые доказательства за увеличенный годовой бонус в акциях этой же компании?

                                    А вы считаете что ЕС, которой светят многомиллиардные плюсы в бюджет, не найдёт парочку людей которые хотя бы смогут установить попытку скрытия? Кроме того шила в мешке не утаишь и если компания начинает мухлевать и подтасовывать факты, то это всё равно рано или поздно всплывёт(опять недовольный сотрудник, который в курсе, или обычная утечка) и тогда будут не только денежные штрафы, но и уголовное преследование как владельцев фирмы, так и тех самых «талантливых разработчиков».
                                    Так что не проще ли фирмам не заморачиваться такой ерундой и не рисковать штрафами и уголовным преследованием, а просто взять и стереть данные? И да, я вполне верю что какие-то фирмы решат рискнуть, но большинство скорее всего решит не рисковать.
                                      0

                                      Так я о чём говорю? Большим компаниям, у которых и так всё очень хорошо с конфиденциальностью данных пользователей и без GDPR, не имеет экономического смысла в самом деле выполнять требования по удалению данных. Ведь именно потому что у них всё хорошо с конфиденциальность, о формальном подходе к удалению данных никто не узнает.


                                      Я не вижу чтобы закон требовал у компаний, как вы пишите, доказывать что у них всё в порядке. Есть требование продемонстрировать, а это весьма отличное требование от требования доказать.


                                      Да, если у небольших компании всё очень печально с конфиденциальностью, дампы полной БД доступны каждому разработчику, то тут, конечно, лучше данные в самом деле удалять. Про большие компании вроде FB так точно нельзя сказать. Они и до GDPR не давали свободного доступа даже своим инженерам к полной БД. Почитайте про то, какие требования предъявляются к людям, обслуживающим сервера Google, на которых все данные и так зашифрованы. Утечками их не испугаешь.


                                      Если утечки не пугают, то и к GDPR можно формально подойти.

                                        0
                                        Большим компаниям, у которых и так всё очень хорошо с конфиденциальностью данных пользователей и без GDPR, не имеет экономического смысла в самом деле выполнять требования по удалению данных.

                                        Извините, но я с вами не согласен. Хотя бы потому что, как показывает практика, у больших компаний тоже куча проблем в этой области и тоже регулярно бывают утечки. Даже у таких гигантов как google. Кроме того штраф в 4% от годового оборота у большой компании будет больше, так как у неё больше оборот. Сколько у google был оборот в прошлом году? :)

                                        Я не вижу чтобы закон требовал у компаний, как вы пишите, доказывать что у них всё в порядке. Есть требование продемонстрировать, а это весьма отличное требование от требования доказать.

                                        Правда? А в чём вы видите принципиальную разницу? Вот попросят вас «продемонстрировать» что ваша инфраструктура и бизнес-процессы полностью соответствуют GDPR. И если ваша «демонстрация» регулятора не устроит, то вы платите штраф. Вам будет легче от того, что использовали слово «продемонстрировать»? :)
                                          0

                                          Если вам так хочется прибывать в иллюзии что большие компании будут в самом деле выполнять сказочные требования GDPR, то я не тот человек который должен разубеждать вас.

                    +1

                    Надо просто принять закон, обязующий компании хранить все полученные данные о пользователях неограниченное время. Тогда все находящиеся в стране, принявшей закон, компании получат (частичную) защиту от GDPR (а сама страна получит ухудшение репутации и, может быть, что‐то ещё похуже). Как думаете, кто‐нибудь так сделает?

                      0
                      Сомали?
                        0
                        Ну для того чтобы это работало компания должна как минимум находится под юрисдикцией этой страны. И даже если такая страна вдруг найдётся, я всё же очень сомневаюсь что это будет одна из стран, куда фирмы захотят «переехать». И даже если какие фирмы и переедут, то я сомневаюсь что пользователи будут охотно работать с такими фирмами. Так что особой пользы в таком хаке я не вижу.
                          0

                          Туда можно отлично перетащить archive.org. И хостинги для всякой мелочи (блоги, сайты‐визитки, …). Если результат будет удобнее, то пользователи будут вполне охотно работать.

                            0

                            Это гики может там будут охотно работать. А средний обыватель скорее всего побоится. Особенно если ему по телевизору покажут парочку страшных передач о защите персональных данных и нехороших странах, которые обходят европейские законы:)

                              0
                              Кстати, archive.org потихоньку перетаскивается из США в Канаду.
                          0

                          Получается что если ко мне(владельцу сайта) придёт полиция что бы я дал им данные злоумышленника(например постил детское порно), то у меня может не остаться этих данных?

                            0
                            Данные можно (иногда нужно) хранить для соответсвия законодательству.*

                            *не юрист
                              0
                              Блин. Ну если я удаляю какие-то данные то я автоматически не могу представить их следствию и это например переписка, история авторизаций, ip. Если все это не будет удалятся то в чем смысл закона? Если я удаляю письмо с gmail то по GDRP он должен быть затёрт нулями, но потом следствие не получит эти данные.
                                0
                                Ну если я удаляю какие-то данные то я автоматически не могу представить их следствию

                                А вы обязаны по закону предоставлять их следствию? В течении неограниченного срока? Хотелось бы мне узнать что это за закон такой :)
                                А если вы обязаны предоставлять их скажем в течении трёх лет, а пользователь хочет их удалить, то вы храните их три года в соотвествии с законом и удаляете потом.

                                  0
                                  Ну насколько я знаю не обязан но по факту обычно владельцы сайтов сотрудничают со следствием. К тому же гугл приходят письма из суда об передаче переписки определенных людей.
                                    0
                                    Ну никто вам и не мешает дальше сотрудничать. Но если вы данные стёрли не нарушая никаких законов, то и к вам никаких претензий со стороны следственных органов быть не может.
                            +1

                            Как насчет децентрaлизованных пиринговых сетей, tor, i2p и т.п.?
                            Еще непонятно при чем тут форумы. Если форум хранит ники и хеши от паролей — это разве персональные данные?

                              0
                              Была статья, где расписывалось, что важно «идентифицируемые» данные. Если ник идентифицирует однозначно человека, то да персональные.
                              Например, email идентифицирует, если на форуме есть привязка email к вашим комментариям, то да, вы можете запросить удалить их с форума, так же как и хеши от паролей.
                              Но никто не запрещает их хранить, так как они нужны для нормального пользования форумом.
                              0
                              В контексте этого закона, как лучше поступить:
                              • Включить резгистрацию пользователей в моём блоге, чтобы они могли оставлять комментарии.
                              • Запретить регистрацию и позволить оставлять анонимные комментарии.
                              • Или вообще запретить комментирование? Но это будет как-то совсем грустно.
                                0
                                • Встроить стороннюю систему комментариев, типа disqus (а дальше пусть они парятся).
                                • Сделать регистрацию, требующую только логин, пароль и почту (указать что почта используется «для уведомлений об ответах на ваши комментарии», если такой функционал вообще есть, отдельный бонус за необязательную почту).
                                • Анонимные комментарии с капчей.
                                Варианты 2 и 3 можно вообще совместить.
                                  +1
                                  Встроить стороннюю систему комментариев, типа disqus (а дальше пусть они парятся).

                                  По итогу получается еще больший геморрой: ведь в этом случае твой сайт передает информацию о пользователе третьим лицам (сервису комментариев). Так что вместо упрощения придется еще больше обрасти всякими галочками и подтверждениями.
                                    0
                                    Да в принципе нет — они сами об этом говорят —
                                    In most all cases, unless a publisher integrates Disqus with their own user management system through Single Sign-On (SSO), users sign-up and login to comment through Disqus. This makes Disqus a controller and we are taking necessary steps to ensure we have lawful basis for the collection of personal data that is necessary for using Disqus to comment on publisher sites.
                                    и
                                    Publishers may receive questions from visitors of their site about the data that Disqus may store about them. Publishers can refer these users to us at disqus.com/support/.
                                    В любом случае у них наверняка уже есть боилерплейт со всеми подтверждениями с легкой интеграцией в сайт.
                                      0
                                      Если Disqus поменяет правила регистрации или начнут утекать данные, то ваш сайт будет ответственным за это.
                                      Никто не снимает ответственности с Disqus, но если у вас нет соглашения с Disqus (DPA) как написано в статье, то вас могут привлечь.
                                    0
                                    А логин, почта и пароль не являются персональными данными подпадающими под действие закона?
                                      0
                                      loki3000 neocode — главная проблема что логин, если его кто-то видит вообще, МОЖЕТ БЫТЬ персональными данными. Никто не остановит талантливых личностей от вписывания в логин своих имя-фамилию-паспортныеданные.

                                      Так как нам можно использовать деперсонализированные данные то наиболее дуракостойкий подход видится таким —
                                      • логин, для входа — храним от него соленый хеш, и, например первые-последние пару символов что-бы показывать в профиле пользователя только ему самому,
                                      • дисплей нейм — имя, которое видят все, для этого нужно добавить «consent» что пользователь согласен, что оно будет показываться на комментарии, в профиле и прочих местах (количество коих лучше уменьшить),
                                      • почта для восстановления пароля — аналогично — хеш и пару начальных-конечных символов,
                                      • опционально — почта для контакта — опять-же описываем как она будет использоваться, можно просто сделать галочкой для предыдущего поля, и сохранять почту еще и текстом если пользователь подтверждает согласие,
                                      • пароль — тут все стандартно, никто не хранит пароли плеинтекстом,
                                      Итого у нас есть только одно обязательное поле, которое можно считать персональными данными.
                                    0
                                    Как вожможный сценарий:
                                    1) Включить опциональную регистрацию
                                    2) При регистрации пользователь должен поставить галочку «Да, я подтверждаю, что я НЕ являюсь гражданином ЕС»
                                    3) Без этой галочки — не регистрировать («Извините, из-за Вашего замечательного закона я не могу Вас зарегистрировать»)
                                    4) Но для тех, кто не может зарегистрироваться, оставить возможность анонимных комментов. :)
                                    0
                                    Мне вот непонятно: типичная регистрация на сайте содержит логин, пароль, email. Если я правильно трактую статью, то логин и email подпадают под действие этого закона. Так и есть? И что делать в этом случае? Спрашивать пользователя можно ли хранить его регистрационные данные?
                                      0

                                      Я бы тоже хотел знать является ли логин персональными данными. Это же просто рандомная строка, которую просто придумывают...

                                        0
                                        Исходите из такого принципа: к любым данным, которые теоретически могут представлять из себя персональные данные, стоит относится как к персональным. Логин и мыло теоретически могут содержать имя и фамилию человека. Следовательно они теоретически могут быть персональными данными.
                                          0

                                          Я могу на анонимный форум или доску выложить свои (или даже чужие) персональные данные. Получается что любая(!) информация, вводимая пользователями, должна рассматриваться как потенциально содержащая персональные данные?

                                            0
                                            Я конечно могу ошибаться, но насколько я понял GDPR, если вы знали что выкладываете данные в открытый доступ, то в таком случае это уже ваши личные проблемы.
                                            GDPR же рассмартривает данные которые вы даёте(или с точки зрения GDPR «одалживаете») онлайн-сервису потому что сервис считает что эти данные нужны ему для работы.

                                            П.С. Hо если вам хочется интересную головоломку, то можете подумать как быть с данными, которые люди пересылают друг-другу в различных мессенджерах и приватных чатах :)
                                              0
                                              По мессенджерам и чатам на первый взгляд все просто: все логи также являются собственностью пользователей, которые хранит компания-оператор средства общения. То есть, если кто-то потребует удаления своих данных, то и все логи должны быть удалены. Хотя моменты тоже есть. Например, является ли диалог собственностью двух пользователей, или каждого по отдельности? Если один будет настаивать на удалении лога, а второй захочет его сохранить, должен ли диалог удалиться полностью, или только реплики отдельного участника? Но обычно все же сервисы прописывают в соглашениях с клиентами возможность «отказа от предоставления услуг без объяснения причин», поэтому, наверное, лучше удалить лишнее, чем оставить что-то сомнительное. Впрочем, могу ошибаться, нюансов действительно много.
                                                0

                                                Данные, используемые для личных целей, не подпадают под действие gdpr.

                                                0
                                                Речь идет об информации, которая собирается СОЗНАТЕЛЬНО. Приведу примеры.
                                                Ситуация 1. Если на сайте есть форма, где нужно заполнить имя, адрес, телефон, почту — то эти данные подпадают под GDPR без сомнения.
                                                Ситуация 2. Кто-то ведет блог на вашем сайте, где упоминает данные неких третьих лиц. Логично, что и вам, и автору контента хочется, чтобы публикация была доступна всегда и в будущем на нее можно было бы ссылаться, поэтому настраивать автоматическое удаление публикаций (представим на секундочку, что это сделают на Хабре) — не вариант. Также логично, что формат блога не предусматривает обязательное появление в нем чьих-то персональных данных, но не может гарантировать, что там не будет, например, фотографий с третьими лицами или упоминаний их имен-фамилий. То есть, они все же могут там появиться.
                                                В чем же разница между 1 и 2? Дело в том, что закон — о защите персональных данных. В том числе, от использования со злым умыслом. В случае 1 хакеры могут попытаться взломать базу, и они при этом уверены, что там хранится информация пользователей и они смогут ее использовать каким-то образом. В случае 2 информация и так доступна публично. Тем не менее, в случае 2 упомянутые в блоге лица также вправе требовать удаления данных с упоминаниями о себе, что вы, вероятно, должны сделать и без GDPR. Но вы не обязаны это делать автоматически, так как вы не могли предусмотреть их появления в этом месте.
                                                  0

                                                  А как быть в случае, если я фотограф, подписал релиз модели, а потом модель захотела удалить опубликованные мной снимки?

                                                    0
                                                    Собственно, она могла этого захотеть и до GDPR. Здесь дело в том, как прописан с ней договор, и какая мотивация отказа. Если, например, снимок получился слишком откровенным, а в контракте речи об этом не шло — тогда это очень даже оправдано. Но и в других случаях она может запретить вам публиковать снимки с ней, и имеет шансы добиться этого через суд даже если в контракте вроде бы полностью передала вам все права. Другое дело, что придется возвращаться деньги, а также немотивированные капризы плохо сказываются на репутации.
                                            0
                                            В GDPR есть несколько типов согласия. Например, когда данные отправляются заинтересованным пользователем (legitimate interest) — Согласие не нужно.
                                            Примером может быть отправка CV работодателю. Тот факт, что Вы отправляете свое резюме в компанию уже как бы подразумевает Ваше согласие на обработку Ваших персональных данных. То же самое и при регистрации на сайте: когда вы у пользователя спрашиваете только Логин+Пароль+Е-маил — Согласие не нужно. Вы же не профилируете пользователя по Логину или Е-маилу?
                                              0
                                              Получается что если в форму регистрации затолкать так же имя, фамилию, домашний адрес и номер карты, то тоже получается legitimate interest — он же, типа, сам захотел зарегистрироваться?
                                                0
                                                Не совсем. Ведь, вы начинаете собирать персональные данные и в таком случае Вам необходимо будет дать объяснение пользователю как Вы будете обрабатывать, хранить и когда удалите его данные (согласие с Term of Use и Privacy policy)
                                            –2
                                            Можно ли поставить флажок, позволяющий пользователям отказаться от своих прав по закону GDPR?
                                            Нет, ни в коем случае.

                                            .
                                            Да, пользователь может отказаться от этой филькиной грамоты GDPR.
                                            Никто не смеет мне указывать, кому я хочу отправить МОИ ДАННЫЕ.


                                            GDPR — тоталитарный закон от марионеток в европейских парламентах, служащий узурпации персональных данных Хозяином и удушению всех альтернативных свободных сервисов.


                                            Не надо пытаться выдать GDPR как "заботу о вашей безопасности" — это не забота, а Власть Мордора и тоталитаризм.

                                              0
                                              Никто не смеет мне указывать, кому я хочу отправить МОИ ДАННЫЕ

                                              Прикольное передёргивание. А ведь ВАМ ни кто и не указывает как вам распоряжаться ВАШИМИ ДАННЫМИ. Наоборот, дают правовую возможность что-то сделать, если кто-то ДРУГОЙ решит воспользоваться ВАШИМИ данными не так, как вы этого хотели бы.


                                              GDPR — тоталитарный закон от марионеток в европейских парламентах, служащий узурпации персональных данных Хозяином

                                              Стоп. Строкой выше вы хотели сами распоряжаться вашими данными, а теперь себя называете узурпатором? Похвальная самокритичность! Да, по новому закону вы и ТОЛЬКО вы являетесь единственным Хозяином своих персональных данных и можете узурпировать их использование и удушать "альтернативные свободные" спам-сервисы.


                                              а Власть Мордора и тоталитаризм.

                                              Тоталитаристы из Мордора наступили мразям спамерам на яйтса и спамеры так прикольно визжат!

                                              0
                                              Да, пользователь может отказаться от этой филькиной грамоты GDPR.
                                              Никто не смеет мне указывать, кому я хочу отправить МОИ ДАННЫЕ.

                                              Нет, не может отказаться. Единственный способ это сделать это не ничем пользоваться. Если вы пользуетесь, то вы автоматом попадаете под GDPR.

                                              Tочно так же вы не можете отказатся от защиты в виде УК: если над вами совершенно уголовное преступление, то государство будет его расследовать и наказывать преступника вне зависимости от того хотите вы этого или нет.
                                                –1
                                                Нет, это мои персональные данные.

                                                Может я хочу, чтобы МОИ ПЕРСОНАЛЬНЫЕ ДАННЫЕ, которые я добровольно опубликовал, были на каждом компьютере Евросоюза — ни одна зараза не должна ограничивать меня и запрещать мне распространять мои персональные данные.

                                                Ни одна зараза — что бы она о себе там не мнила!
                                                  0
                                                  Может я хочу, чтобы МОИ ПЕРСОНАЛЬНЫЕ ДАННЫЕ, которые я добровольно опубликовал, были на каждом компьютере Евросоюза — ни одна зараза не должна ограничивать меня и запрещать мне распространять мои персональные данные.

                                                  Извините, а каким местом GDPR запрещает вам это делать? Публикуйте их сколько угодно. Если вы сами добровольно выложили свои данные в публичный доступ, то GDPR тут вообще непричём.
                                                  И если вы сами добровольно отдали свои данные какому-либо сервису, разрешили с ними делать что угодно и никогда не потребует их стирать, то никаких проблем с GPDR не будет ни у вас, ни у сервиса.
                                                  Но если вы вдруг всё-таки захотите ваши даные стереть и потребуете это у сервиса, то он обязан это сделать вне зависимости от того какие вы там галочки до этого ставили или не ставили.

                                                  Так что я не понимаю в чём должна заключаться проблема: GDPR никомy не запрещает выкладывать данные в публичный доступ или разрешать поступать с ними тем или иным споосбом. Это ваше решение, вы его принимаетe и сами несёте за него ответственность.
                                                    0
                                                    Этого вам никто не запрещает, GDPR не говорит о том, что вы (либо кто-то иной) не имеете права размещать свои данные где хотите.
                                                  0
                                                  Не так давно я написал статью GDPR — палка о двух концах.

                                                  Истерия на тему внезапных громадных штрафов действительно немного поутихла.

                                                  А вот так называемое право на забвение пугает всё больше и больше, когда вижу, насколько сильно народ верит в такое:
                                                  Как у всего остального, у информации тоже есть жизненный цикл. Бесконечное накапливание — не вариант. Вам нужно планировать, как получать данные, обрабатывать их, хранить, позволять владельцам данных вносить изменения и в конечном итоге — как их удалять. Чтобы быть справедливым к создателям GDPR: вы должны были раньше наладить такие процессы. Даже без всякого GDPR всё равно это должно быть. Просто здравый смысл требует грамотного управления жизненным циклом конфиденциальных данных, и для этого не нужно принимать закон. Подумайте вот о чём: в какой-то момент ваши субъекты данных умрут. Значит, существует по крайней мере одна веская причина, чтобы удалить информацию о конкретном человеке.
                                                  А как же история? Как же понимание людей, народов, человечества? Так и будет у нас каждый день, как в дне сурка, только без дня и без сурка (с)?

                                                  Данные, которые вы обрабатываете от имени пользователей, являются их данными. GDPR очень прямо это формулирует. Отсюда и части закона по согласию/удалению/исправлению/изучению (и переносимости данных). В лучшем случае вы — хранитель этих данных, а если пользователи соглашаются на конкретное использование данных, то вам разрешено их обрабатывать. Но это не ваши файлы.
                                                  GDPR не различает хобби и бизнес, что мне кажется правильным. Не имеет никакого значения, воспринимаете вы свой проект как хобби или нет. Как только вы начнёте сбор данных о частных лицах из ЕС, директива начнёт действовать — и вам придется соблюдать законодательство.
                                                  Что, теперь нельзя создать проект специально для исследований по психологии, социологии, а хоть бы и медицины? Это ж те самые области, за уровень развития которых человечеству должно быть стыдно, и при таком удалястском подходе они обречены.
                                                  А как насчёт того, чтобы поиграть в бога на своём игровом сервере, как Rimas, например?
                                                  Создать мир со своими правилами становится всё сложнее — можно провести параллели с требованиями принимать на работу полный набор категорий граждан.
                                                    0
                                                    А как же история? Как же понимание людей, народов, человечества?

                                                    Ну историю, исторические личности и людей, принимающие активное участие в общественной жизни, никто особо и не предлагает подвергать этому самому «праву на забвение». Они в общем-то всегда имели особый статус.
                                                    А если говорить о истории народов и человечества, то там, опять же за исключением исторических личностей, вполне себе хватает и «анонимизированных данных».

                                                    Что, теперь нельзя создать проект специально для исследований по психологии, социологии, а хоть бы и медицины?

                                                    Почему нельзя, можно. Просто результаты нужно публиковать в анонимизированном виде. И это правило, а именно о тайне медицинских данных, действовало в большинстве стран ЕС и до GDPR.

                                                    А как насчёт того, чтобы поиграть в бога на своём игровом сервере, как Rimas, например? Создать мир со своими правилами становится всё сложнее — можно провести параллели с требованиями принимать на работу полный набор категорий граждан.

                                                    Я не совсем понимаю причём здесь GDPR? Хотите играть, ну и играйте.

                                                      0
                                                      Ну историю, исторические личности и людей, принимающие активное участие в общественной жизни, никто особо и не предлагает подвергать этому самому «праву на забвение». Они в общем-то всегда имели особый статус.
                                                      Это ещё попробуй отдели, кто насколько влияет на историю. Да и те же политики только так трут Интернет.

                                                      Почему нельзя, можно. Просто результаты нужно публиковать в анонимизированном виде.
                                                      Речь о запрете не только публикации, но и хранения, а без этого исследование не провести.

                                                      В принципе, можно использовать аргумент об общественной значимости, но это ж надо доказывать. :(
                                                      0
                                                      Я понимаю вашу мысль, но не совсем понимаю почему именно GDPR должен внезапно создать эти проблемы. Потому что то, что вы описываете релевантно и для закнов, существовавших и до GDPR.

                                                      Кроме того хранить данные о «простых» людях, нужные для историков, в принципе тоже можно в анонимизированном виде. Ведь если речь идёт о таких вещах, то историку не особо важно как конкретно завли каждого матроса, который участвовал в штурме Зимнего :)
                                                        0
                                                        Тут скорее беспокоит тот самый дух закона (хотя надо смотреть на практику применения). Ситуация, когда штрафуют за мемуары, с правдивыми сведениями, уже не кажется невероятной.
                                                        Ещё дальше
                                                        Придём к тому, что нельзя делать очень уж сложные игры, потому что некоторых это огорчает.
                                                          0
                                                          Извините, но какое отношение к GDPR имеют мемуары или уж тем более сложные игры?

                                                            0
                                                            Тенденция
                                                            Сегодня ты играешь джаз…
                                                              0
                                                              Ну если так рассуждать, то да, можно спокойно собирать вещички и двигать в направлении кладбища :)
                                                        0
                                                        хороший тоталитарный закон и очень денежный, государство разрешило себе наказывать всех, преступников(включая госслужащих) закона что попали на видео и владельца видео что согласия не взял у преступника на публикацию этого видео, лепота.
                                                          0
                                                          Здравствуйте! Спасибо за статью. Подскажите, пожалуйста, а что делать с пользователями, которые уже подписаны? (компания не делает частые маркетинговые рассылки, если делаются какие-либо рассылки то только по делу: тарифы, счет фактуры). Можно ли использовать согласие по умолчанию? Т.е. написать письмо клиентам и спросить в нем о согласии: если не согласны на сбор и обработку данных, то предложить им связаться с нами по электронному адресу для отписки?
                                                            0
                                                            По хорошему вы им теперь даже емэйл с вопрос послать не имеете право. И если вы это сделаете и кто-то пожалуется, то теоретически вас могут оштрафовать. То есть я сомневаюсь что оштрафуют, но могут.
                                                            И опять же по хорошему вы должны ждать пока ваши клиенты не спросят вас «а где наши рассылки?» и тогда уже отреагировать новым пользовательским соглашением, которое вы им предложите.
                                                            0
                                                            Мне вот непонятно, не получится ли так что этот закон создаст проблемы законопослушным компаниям, но никак не отразится на непослушных? Если совсем уж явно не подставляться, вставляя ФИО в рассылку от своего имени, сказать «даа, удолили» нетрудно, как проверить что удалили?
                                                              0
                                                              Проверить никак нельзя. Но если факт обмана всплывёт, то соответственно и штраф будет выше.
                                                              А вероятность что такое всплывёт не так низка, как многие думают :)
                                                              0
                                                              Интересно.
                                                              А на Blizzard этот закон сильно влияет?
                                                              Хотелось бы удалить имя фамилию из профиля, сохранив при этом профиль — но техподдержка требует скан паспорта.
                                                              Можно ли принудить их сделать по-моему?
                                                                0
                                                                Если я не совсем ошибаюсь, то вы можете либо согласиться с условиями Blizzard и сохранить аккаунт, либо потребовать у них удалить аккаунт целиком. Заставить их оставить аккаунт и удалить лишь часть данных вы не можете.
                                                                  0
                                                                  Тут интересная штука есть, GDPR говорит, что вы имеете право на исправление своих персональных данных, но не регламентирует, как компания должна предоставить Вам такой механизм.
                                                                    0
                                                                    техподдержка требует скан паспорта.
                                                                    Вполне логично — они должны подтвердить что вы это вы, а не кто-то левый стирает данные для чужого аккаунта. Насколько я помню GDPR не запрещает подтверждение личности при таких запросах.
                                                                    0
                                                                    Скажите, а куда может обратиться обычный пользователь, резидент ес, в случае обнаружения нарушения его прав согласно gdpr? К адвокату, или есть какие-то специальные сервисы?

                                                                  Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                                                  Самое читаемое