Відповідність GDPR і захист персональних даних
Вибудовуємо систему відповідності GDPR і українському закону про захист персональних даних під реальні потоки даних у вашому продукті.
Коли на вас поширюється GDPR
Якщо ваш продукт обробляє дані користувачів із ЄС, на компанію поширюється Загальний регламент про захист даних (GDPR), незалежно від того, де вона зареєстрована. Достатньо пропонувати товари чи послуги особам у Євросоюзі або відстежувати їхню поведінку. Паралельно для українського ринку діє Закон України «Про захист персональних даних» зі своїми вимогами до підстав обробки та повідомлення суб’єктів.
Невідповідність загрожує не лише штрафами, що сягають значного відсотка світового обороту, а й втратою клієнтів і провалом due diligence. У межах практики IT Law ми вибудовуємо систему, що одночасно задовольняє європейські й українські стандарти без зайвого дублювання.
Що вимагає регламент насправді
Поширена помилка — звести відповідність до шаблонної політики конфіденційності на сайті. GDPR вимагає системи:
- визначення ролей контролера та процесора в кожному потоці даних;
- законних підстав обробки (згода, договір, легітимний інтерес) і механізмів їх фіксації;
- ведення реєстру операцій з обробки та оцінки впливу (DPIA) для ризикових процесів;
- призначення відповідальної особи (DPO) за певних умов;
- процедури реагування на запити суб’єктів і на витоки з повідомленням наглядового органу впродовж стислого строку.
Кожен із цих елементів має відповідати тому, що відбувається в продукті насправді, а не існувати окремо від нього.
Як LEGIUS будує відповідність
Ми працюємо за такими напрямами:
- аудит процесів обробки даних і картування потоків від збору до видалення;
- підготовка політики конфіденційності, повідомлень і механізмів отримання згоди;
- договори про обробку даних (DPA) із підрядниками та хмарними провайдерами;
- процедури реагування на запити суб’єктів і на інциденти витоку;
- узгодження документації з вимогами українського закону про захист персональних даних.
Ми орієнтуємося на реальні потоки даних, тому документація відповідає практиці, а не залишається формальністю.
Транскордонні передачі та хмарні сервіси
Сучасний продукт майже завжди передає дані за межі ЄС — через хмарних провайдерів, аналітику чи субпідрядників. Такі передачі потребують належної правової підстави: рішення про адекватність, стандартних договірних положень (SCC) або інших механізмів, передбачених регламентом.
Інвестори та великі корпоративні клієнти все частіше перевіряють блок захисту даних під час due diligence. Налагоджена відповідність стає конкурентною перевагою, а не лише захистом від штрафів.
Ми перевіряємо ланцюг субпроцесорів і узгоджуємо DPA так, щоб транскордонні потоки були правомірними. Практичні роз’яснення публікуємо в блозі.
Чому LEGIUS
LEGIUS поєднує знання європейського регулювання даних і українського законодавства, тож будує єдину систему, зрозумілу і продуктовій команді, і регулятору. Ми не латаємо діри шаблонами, а проєктуємо відповідність під вашу архітектуру даних.
Щоб привести обробку персональних даних у відповідність до GDPR і українського закону, запишіться на консультацію з юристами LEGIUS.
Питання щодо послуги
Наш продукт мають користувачі з ЄС. Чи поширюється на нас GDPR?
Так. GDPR застосовується до обробки даних осіб із ЄС незалежно від місця реєстрації компанії. Потрібні політика конфіденційності, законні підстави обробки, механізми згоди, DPA з підрядниками та процедури реагування на інциденти, які LEGIUS готує під ваші реальні процеси.
Чи достатньо розмістити політику конфіденційності на сайті?
Ні. Регламент вимагає системи: реєстру операцій обробки, законних підстав, оцінки впливу для ризикових процесів, інколи призначення DPO та процедур на випадок витоку. Сама лише політика на сайті не покриває цих обов’язків.
Чи треба окремо дотримуватися українського закону про захист даних?
Так. Закон України «Про захист персональних даних» має власні вимоги до підстав обробки та повідомлення суб’єктів. Ми будуємо систему так, щоб вона одночасно відповідала українським і європейським стандартам без зайвого дублювання.
Що робити при витоку даних?
Потрібна заздалегідь підготовлена процедура: фіксація інциденту, оцінка ризику для суб’єктів, повідомлення наглядового органу впродовж стислого строку, а за високого ризику — і самих суб’єктів. Ми розробляємо такий план і навчаємо команду діяти за ним.
Потрібна послуга «Відповідність GDPR і захист персональних даних»?
Залиште заявку — профільний адвокат проаналізує вашу ситуацію та запропонує рішення.