Обработка персональных данных на предприятии (GDPR)

Когда предприятие вправе обрабатывать персональные данные?

Персональные данные – это любая информация об идентифицированном или идентифицируемом физическом лице, например имя, личный код, данные о местонахождении или сетевой идентификатор (GDPR ст. 4(1)) [7]. Предприятие, которое определяет цели и средства обработки, является контролёром (vastutav töötleja) (GDPR ст. 4(7)) [7].

Обработка законна, только если выполнено хотя бы одно из следующих условий (GDPR ст. 6(1)) [1]:

• субъект данных дал согласие на обработку для одной или нескольких конкретных целей (p a);
• обработка необходима для исполнения договора с субъектом данных или для мер до заключения договора по его просьбе (p b);
• обработка необходима для исполнения юридической обязанности контролёра (p c);
• обработка необходима для защиты жизненно важных интересов субъекта данных или другого физического лица (p d);
• обработка необходима для выполнения задачи в общественных интересах или для осуществления публичной власти (p e);
• обработка необходима в законных интересах контролёра или третьего лица, кроме случаев, когда над ними преобладают интересы или основные права и свободы субъекта данных (p f).

Кроме того, нужно соблюдать принципы обработки: данные собираются для точно и ясно определённых и законных целей, ограничиваются тем, что необходимо для цели, и хранятся в форме, позволяющей идентифицировать человека, лишь до тех пор, пока это нужно для цели (GDPR ст. 5(1) p b, c и e) [8]. Контролёр должен быть в состоянии доказать соблюдение принципов (GDPR ст. 5(2)) [8].

Если обработка основана на согласии, предприятие должно быть в состоянии доказать, что человек согласился (GDPR ст. 7(1)) [9]. Человек может отозвать согласие в любое время, и отозвать его должно быть так же просто, как дать (GDPR ст. 7(3)) [9]. Если услуга информационного общества предлагается непосредственно ребёнку и обработка основана на согласии, обработка данных ребёнка допускается, только если ему не менее 13 лет; для ребёнка младше нужно согласие законного представителя (IKS § 8 lg 1 и 2) [10].

Обработка особых категорий данных, например данных о здоровье, биометрических данных, используемых для однозначной идентификации человека, и данных о членстве в профсоюзе, запрещена (GDPR ст. 9(1)) [11], кроме перечисленных в статье случаев, например если человек дал явное согласие или если обработка необходима для исполнения обязанностей по трудовому праву (GDPR ст. 9(2) p a и b) [11].

Что предприятие должно сообщить человеку?

Если данные собираются у самого человека, в момент их получения ему нужно сообщить, в частности, имя и контактные данные контролёра, цель и правовое основание обработки, при законном интересе – сам этот интерес, а также, когда это применимо, получателей данных или их категории (GDPR ст. 13(1)) [2]. Нужно сообщить и срок хранения данных или критерии его определения, права человека и право подать жалобу в надзорный орган (GDPR ст. 13(2) p a, b и d) [2].

Информация предоставляется кратко, ясно, понятно и в легкодоступной форме, простым и ясным языком (GDPR ст. 12(1)) [3]. Предоставление информации бесплатно (GDPR ст. 12(5)) [3].

Какие права есть у человека и как быстро нужно ответить?

• Доступ к данным. Человек вправе получить подтверждение, обрабатываются ли его данные, и ознакомиться с ними, а также с информацией о цели обработки, получателях и сроке хранения (GDPR ст. 15(1)) [12]. Предприятие предоставляет копию обрабатываемых данных; за дополнительные копии можно взять разумную плату (GDPR ст. 15(3)) [12].
• Исправление. Неточные данные нужно исправить без неоправданной задержки (GDPR ст. 16) [13].
• Удаление. Данные нужно удалить, например, если они больше не нужны для цели, если человек отозвал согласие и другого основания нет или если данные обрабатывались незаконно (GDPR ст. 17(1) p a, b и d) [14]. Обязанность удалить не действует, если обработка необходима для исполнения юридической обязанности или для подготовки, предъявления или защиты правовых требований (GDPR ст. 17(3) p b и e) [14].
• Возражение против прямого маркетинга. Человек может в любое время возразить против обработки его данных в целях прямого маркетинга (GDPR ст. 21(2)) [15]; после этого данные больше нельзя обрабатывать для этой цели (GDPR ст. 21(3)) [15].

О мерах, принятых по запросу, предприятие должно сообщить не позднее чем в течение одного месяца; при необходимости, с учётом сложности и количества запросов, срок можно продлить на два месяца, сообщив о продлении и его причинах в течение одного месяца (GDPR ст. 12(3)) [3]. Если предприятие не выполняет запрос, оно должно в течение одного месяца назвать причины и разъяснить возможность подать жалобу (GDPR ст. 12(4)) [3]. При явно необоснованном или чрезмерном запросе можно взять разумную плату или отказать; доказать это должно предприятие (GDPR ст. 12(5)) [3].

Человек может подать жалобу в надзорный орган (GDPR ст. 77(1)) [16], а лицо, понёсшее материальный или нематериальный ущерб из-за нарушения, имеет право на возмещение (GDPR ст. 82(1)) [17].

Что делать при утечке данных?

Нарушение, связанное с персональными данными, – это нарушение безопасности, которое приводит к случайному или незаконному уничтожению, утрате, изменению или несанкционированному раскрытию персональных данных или доступу к ним (GDPR ст. 4(12)) [7].

• Надзорный орган нужно уведомить без неоправданной задержки и по возможности в течение 72 часов после того, как стало известно о нарушении, кроме случаев, когда нарушение вряд ли создаёт риск для прав и свобод людей (GDPR ст. 33(1)) [4].
• В уведомлении описываются характер нарушения, его возможные последствия и принятые меры, а также указываются данные контактного лица (GDPR ст. 33(3)) [4]. Если всю информацию нельзя предоставить сразу, её можно предоставлять поэтапно (GDPR ст. 33(4)) [4].
• Обработчик (volitatud töötleja, например поставщик IT-услуг) должен уведомить контролёра без неоправданной задержки (GDPR ст. 33(2)) [4].
• Все нарушения нужно документировать, в том числе те, о которых не уведомляют (GDPR ст. 33(5)) [4].
• Если нарушение, вероятно, создаёт высокий риск для прав и свобод людей, без неоправданной задержки нужно уведомить и самих людей (GDPR ст. 34(1)) [18]. Этого не требуется, например, если данные были защищены мерами, делающими их нечитаемыми, такими как шифрование (GDPR ст. 34(3) p a) [18].

Каковы штрафы?

За проступки, предусмотренные законом о защите персональных данных, назначается денежный штраф, а внесудебным органом производства по ним является Инспекция по защите данных (IKS § 73 lg 2) [19].

• Нарушение принципов обработки и порядка дачи согласия: юридическому лицу до 20 000 000 евро или до 4 процентов общемирового годового оборота за предыдущий хозяйственный год, в зависимости от того, какая сумма больше (IKS § 65 lg 2) [6]; тот же максимум действует за нарушение прав субъекта данных (IKS § 66 lg 2) [20].
• Нарушение обязанностей контролёра или обработчика (в т. ч. уведомление о нарушении, безопасность, договор с обработчиком): юридическому лицу до 10 000 000 евро или до 2 процентов общемирового годового оборота за предыдущий хозяйственный год, в зависимости от того, какая сумма больше (IKS § 62 lg 2) [21].
• Лицу, у которого есть доступ к персональным данным в силу трудовых или служебных обязанностей и которое незаконно собирает, просматривает, использует их или делает по ним запросы, может быть назначен денежный штраф до 200 штрафных единиц (trahviühik), если отсутствуют составы, предусмотренные §§ 157 и 157¹ Пенитенциарного кодекса (karistusseadustik) (IKS § 71) [22].
• Срок давности проступков – три года (IKS § 73 lg 1) [19].

Кроме того, при невыполнении предписания Инспекции по защите данных может применяться принудительный штраф (sunniraha), верхний предел которого за каждый раз – до 20 000 000 евро или для предпринимателя до 4 процентов общемирового годового оборота за предыдущий хозяйственный год, в зависимости от того, какая сумма больше (IKS § 60) [23].

Что говорит закон

• „Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest“ [1] (перевод: обработка персональных данных законна только в том случае, если выполнено хотя бы одно из следующих условий; GDPR ст. 6(1)) – без правового основания данные обрабатывать нельзя.
• „Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja“ [8] (перевод: за выполнение пункта 1 отвечает и способен доказать его выполнение контролёр; GDPR ст. 5(2)) – предприятие должно уметь показать, что обработка соответствует требованиям.
• „Nõusoleku tagasivõtmine on sama lihtne kui selle andmine.“ [9] (перевод: отозвать согласие так же просто, как его дать; GDPR ст. 7(3)) – отзыв согласия нельзя усложнять.
• „Kui järelevalveasutust teavitatakse hiljem kui 72 tunni jooksul, esitatakse teates selle kohta põhjendus.“ [4] (перевод: если надзорный орган уведомлён позже чем через 72 часа, в уведомлении приводится обоснование; GDPR ст. 33(1)) – опоздание нужно объяснить.
• „Kui andmesubjekt esitab vastuväiteid otseturunduse eesmärgil toimuva andmete töötlemise suhtes, ei tohi isikuandmeid sellisel eesmärgil enam töödelda.“ [15] (перевод: если субъект данных возражает против обработки в целях прямого маркетинга, персональные данные больше нельзя обрабатывать для этой цели; GDPR ст. 21(3)).

Что делать

1. Составьте перечень: какие персональные данные обрабатывает предприятие, с какой целью и на каком правовом основании (GDPR ст. 6(1)) [1]. Ведите реестр операций обработки, содержание которого перечислено в регламенте (GDPR ст. 30(1)) [24]. Предприниматель с числом работников менее 250 должен вести реестр, если обработка, вероятно, создаёт риск для прав и свобод людей, если он обрабатывает данные не только эпизодически или если он обрабатывает особые категории данных или данные о судимостях и правонарушениях (GDPR ст. 30(5)) [24].
2. Подготовьте условия защиты данных со всей требуемой информацией (GDPR ст. 13(1) и 2) [2].
3. Заключите письменный договор (в т. ч. в электронной форме) с каждым обработчиком, который обрабатывает данные от имени предприятия (GDPR ст. 28(3) и 9) [25].
4. Примените соответствующие риску технические и организационные меры безопасности, например псевдонимизацию и шифрование (GDPR ст. 32(1) p a) [26].
5. Проверьте, нужно ли назначить специалиста по защите данных (andmekaitseametnik), например если основная деятельность предприятия – масштабная обработка особых категорий данных (GDPR ст. 37(1) p c) [27]; его контактные данные нужно опубликовать и сообщить надзорному органу (GDPR ст. 37(7)) [27].
6. Установите порядок, как отвечать на запросы людей в течение одного месяца (GDPR ст. 12(3)) [3] и как при нарушении уведомлять надзорный орган без неоправданной задержки и по возможности в течение 72 часов (GDPR ст. 33(1)) [4].

Частые вопросы

Всегда ли предприятию нужно согласие человека?

Нет. Согласие – лишь одно из шести оснований; обработка может основываться, например, на исполнении договора, обязанности по закону или законном интересе (GDPR ст. 6(1) p b, c и f) [1].

Как быстро нужно ответить на запрос о доступе к данным?

Без неоправданной задержки, но не позднее чем в течение одного месяца после получения запроса; при необходимости, с учётом сложности и количества запросов, срок можно продлить на два месяца (GDPR ст. 12(3)) [3].

Можно ли брать плату за ответ на запрос?

Как правило, нет: уведомление и принятие мер бесплатны (GDPR ст. 12(5)) [3]. Плату можно взять за дополнительные копии (GDPR ст. 15(3)) [12] и при явно необоснованном или чрезмерном запросе (GDPR ст. 12(5)) [3].

Нужно ли сообщать о каждой утечке данных?

Уведомлять надзорный орган не нужно, если нарушение вряд ли создаёт риск для прав и свобод людей (GDPR ст. 33(1)) [4], но документировать нарушение всё равно нужно (GDPR ст. 33(5)) [4].

Должно ли небольшое предприятие назначать специалиста по защите данных?

Специалиста нужно назначить, например, если основная деятельность включает масштабный регулярный и систематический мониторинг субъектов данных или масштабную обработку особых категорий данных (GDPR ст. 37(1) p b и c) [27].