RODO (GDPR) — не так страшен черт, как его малюют

ДЕНЬ «НОЛЬ»

25 мая сего года стало первым днем применения Регламента Европейского парламента и Совета (ЕС) 2016/679 от 27 kwietnia 2016 r. о защите физических лиц при обработке персональных данных и о свободном перемещении таких данных, а также об отмене Директивы 95/46/ЕС (Общий регламент по защите данных) (Официальный журнал ЕС L 119 от 04.05.2016, стр. 1). В обиходе этот правовой акт известен как RODO (GDPR). С этой аббревиатурой можно столкнуться в прессе, на телевидении, а также при чтении электронной почты, которая в последние недели была заполнена сообщениями от интернет-сервисов, информирующих своих клиентов о соответствии обработки их персональных данных требованиям RODO. На фоне этих новостей возникает вопрос: к чему весь этот шум, если защита персональных данных не является чем-то новым? Ведь с 1997 года в Польше действовали соответствующие законодательные нормы. Именно в этом и кроется ответ. Для тех организаций, которые строго соблюдали правила защиты персональных данных, RODO является эволюцией. Хотя регламент вводит новые правила обработки данных, он не меняет сути ранее функционировавшей системы защиты персональных данных. Однако RODO является революцией, требующей принятия целого ряда организационных и юридических мер для тех субъектов, которые не выполняли обязательства, вытекавшие из действовавшего до 24 мая с.г. закона о защите персональных данных.

«СТИМУЛ»

Несомненным «стимулом» к внедрению RODO в организации являются административные денежные штрафы, которые могут налагаться новым органом — Председателем Управления по защите персональных данных (UODO) — на организации, обрабатывающие персональные данные с нарушением действующих правил. Этим организациям также следует помнить о возможности предъявления к ним гражданских исков со стороны физических лиц, чьи данные обрабатываются; предел ответственности определяется размером причиненного имущественного ущерба или степенью морального вреда, понесенного этими лицами в связи с несоблюдением RODO. Работники и партнеры организаций, обрабатывающих персональные данные, участвующие в процессах обработки, также обязаны помнить о соблюдении правил защиты персональных данных, например, клиентов своего работодателя или контрагента. Нарушение этих правил может повлечь за собой трудовую ответственность (замечание, выговор, расторжение трудового договора, дисциплинарное увольнение, материальную ответственность в размере до трехмесячного оклада работника на день причинения ущерба), а в случае лиц, работающих по гражданско-правовым договорам — договорную ответственность, включающую, в частности, договорные неустойки. Независимо от вышесказанного, любое лицо, совершившее преступление незаконной обработки персональных данных или препятствования проведению проверки соблюдения законодательства о защите персональных данных, подлежит уголовной ответственности, вплоть до лишения свободы.

Что же делать, чтобы соответствовать требованиям RODO?

Прежде всего необходимо провести инвентаризацию всех процессов обработки персональных данных в организации. В ходе внедрения RODO администраторы данных нередко обнаруживают ранее не идентифицированные массивы данных, неизвестные им процессы обработки, узнают о запыленных папках в подвалах, забытых базах данных в ИТ-системах или созданных «на всякий случай» рабочих файлах на служебных компьютерах сотрудников и других носителях информации. Инвентаризация данных позволяет выяснить принципиальный вопрос: наличие правового основания для обработки персональных данных. Администратор данных должен определить, имеет ли он право обрабатывать данные, а также не обрабатывает ли он их в большем объеме, чем необходимо для целей сбора и использования. RODO указывает эти правовые основания в ст. 6 (касательно обычных данных) и в ст. 9 (относящейся к особым категориям данных, напр., данным о состоянии здоровья). Регламент также дает ориентиры относительно мер, которые необходимо принять для надлежащей защиты обрабатываемых персональных данных. Однако он не предлагает готовых шаблонных решений. Напротив — бремя выбора решений возлагается на организации, обрабатывающие данные. Он обязывает их провести оценку рисков нарушения прав и свобод субъектов данных, а затем подобрать соответствующие этим рискам организационные и технические меры. На практике это не обязательно означает проведение революционных преобразований в организации. Зачастую достаточно таких действий, как смена места хранения документации с персональными данными (напр., перенос ее в запираемые на ключ шкафы вместо открытых полок в помещении, где принимают клиентов). Внедрение RODO может также потребовать организационных и формальных изменений: обновления процедур, регламентов, правил обслуживания клиентов и т.д. Оценка того, какие действия следует предпринять в конкретном случае, зависит именно от инвентаризации процессов обработки персональных данных и анализа рисков нарушения прав и свобод соответствующих лиц. Безопасность данных настолько важна, что RODO ввело обязанность уведомлять Председателя UODO об утечках и нарушениях защиты персональных данных в течение 72 часов с момента обнаружения, а в определенных случаях — информировать и самих лиц, чьи данные были затронуты. Следующий этап внедрения RODO касается формальных вопросов: проверки договоров с контрагентами, участвующими в обработке, и составления внутренней документации по защите персональных данных. RODO не содержит закрытого перечня такой документации, однако анализ норм регламента и практики их применения позволяет определить минимальный объем. В частности, рекомендуется разработать реестр операций по обработке данных (RODO уточняет случаи, когда ведение реестра обязательно), регламенты реализации прав субъектов данных, процедуры сообщения об утечках, правила выбора обработчиков данных, порядок уничтожения или удаления данных, управление рисками, а также оформление полномочий сотрудников и иных лиц на обработку персональных данных.

RODO в автошколах (OSK)

Специфика деятельности автошкол (центров подготовки водителей) позволяет утверждать, что обработка персональных данных курсантов является одной из важнейших составляющих этой работы. Соответственно, вышеописанные шаги по внедрению RODO не могли обойти автошколы стороной. Автошколы выступают операторами (администраторами) персональных данных курсантов. Они обрабатывают их в большем или меньшем объеме в зависимости от масштаба школы, однако в любом случае обязаны обрабатывать их для строго определенных целей на законных основаниях (основанием служат соответствующие положения Закона о водителях транспортных средств, а также согласие, если автошкола намерена обрабатывать данные в иных целях, не связанных с обучением) и обеспечивать надлежащую защиту (в этом помогут инвентаризация процессов и оценка рисков). Автошколы обязаны выполнять информационную обязанность перед курсантами — разъяснять им правила обработки данных, указывать цели сбора, сроки хранения и круг лиц, которым данные могут передаваться. В информационном сообщении необходимо также разъяснить курсантам их права (подробно регулируемые ст. 15-22 RODO) и уведомить о праве подать жалобу Председателю UODO на неправомерную обработку данных автошколой. Курсанты имеют право на получение этой информации по первому требованию (за редкими исключениями). Зачастую автошколы сотрудничают с инструкторами по гражданско-правовым договорам, обрабатывают данные курсантов в облачных системах на серверах сторонних компаний, пользуются услугами бухгалтерских или кадровых агентств. Во всех этих случаях в первую очередь необходимо определить статус таких партнеров (напр., является ли субъект обработчиком данных — procesor), а затем урегулировать в договоре вопросы защиты персональных данных. Многие из описанных выше мер должны были выполняться еще во времена действия Закона о защите персональных данных 1997 года. Если же этого сделано не было, следует помнить, что RODO наделило как регулятора (UODO), так и граждан эффективными инструментами принудительного исполнения правил. Защита персональных данных в автошколах должна стать неотъемлемой и приоритетной частью всех бизнес-процессов.

Сильвия Ратайчик, юрисконсульт