RODO (GDPR) – не такий страшний чорт, як його малюють

ДЕНЬ «НУЛЬ»

25 травня цього року стало першим днем застосування Регламенту Європейського Парламенту та Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних та про скасування Директиви 95/46/ЄС (Загальний регламент про захист даних) (Офіційний вісник ЄС L 119 від 04.05.2016, стор. 1). Загальновідомо цей нормативно-правовий акт називають RODO (GDPR). З цією абревіатурою можна зустрітися в пресі, на телебаченні, а також читаючи електронну пошту, яка останніми тижнями була переповнена повідомленнями від інтернет-сервісів про відповідність обробки персональних даних вимогам RODO. На тлі цих повідомлень виникає запитання: звідки весь цей галас, якщо захист персональних даних не є чимось новим? Адже з 1997 року в Польщі діяло відповідне спеціальне законодавство. Саме в цьому і криється відповідь. Для тих суб’єктів, які суворо дотримувалися правил захисту персональних даних, RODO є еволюцією. Хоча регламент і впроваджує нові правила обробки даних, він не змінює суті системи захисту, що функціонувала дотепер. Водночас RODO є справжньою революцією, яка вимагає вжиття низки організаційних і правових заходів для організацій, які не виконували обов’язків, передбачених чинним до 24 травня ц.р. законом про захист персональних даних.

«СТИМУЛ»

Безсумнівним «стимулом» для впровадження RODO в організації є адміністративні грошові штрафи, які можуть накладатися новим органом — Головою Управління захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych – PUODO) — на суб’єктів, які обробляють персональні дані з порушенням чинних норм. Організаціям слід також пам’ятати про можливість пред’явлення до них цивільних позовів особами, чиїх даних це стосується; межа відповідальності визначається розміром завданої майнової шкоди або моральної шкоди, заподіяної цим особам у зв’язку з недотриманням RODO. Працівники та контрагенти організацій, що обробляють персональні дані й беруть участь у процесах обробки, також повинні суворо дотримуватися правил захисту персональних даних, наприклад, клієнтів свого роботодавця або партнера. Порушення цих правил може призвести до трудової дисциплінарної відповідальності (зауваження, догана, розірвання трудового договору, дисциплінарне звільнення, матеріальна відповідальність у розмірі до тримісячної заробітної плати працівника на день заподіяння шкоди), а для осіб, які працюють за цивільно-правовими договорами — до договірної відповідальності, зокрема до сплати штрафних санкцій. Незалежно від зазначеного, будь-яка особа, яка вчиняє злочин незаконної обробки персональних даних або злочин перешкоджання проведенню перевірки дотримання законодавства про захист персональних даних, підлягає кримінальній відповідальності, включно з позбавленням волі.

Що ж робити, щоб відповідати вимогам RODO?

Насамперед необхідно провести повну інвентаризацію всіх процесів обробки персональних даних в організації. Під час впровадження RODO адміністратори даних нерідко виявляють неідентифіковані раніше масиви даних, невідомі їм процеси обробки, дізнаються про запилені папки в підвалах, забуті бази даних в інформаційних системах або робочі файли, створені «про всяк випадок» на службових комп’ютерах співробітників чи будь-яких інших носіях інформації. Інвентаризація даних дає змогу з’ясувати принципове питання: наявність законної підстави для обробки персональних даних. Адміністратор даних повинен визначити, чи має він право обробляти дані, а також чи не обробляє він їх у більшому обсязі, ніж необхідно для цілей, заради яких вони збираються та використовуються. RODO вказує на ці правові підстави у ст. 6 (щодо звичайних даних) та у ст. 9 (щодо спеціальних категорій даних, наприклад, даних про стан здоров’я). Регламент також надає настанови щодо заходів, яких слід вжити для належного захисту персональних даних. Однак він не дає готових шаблонів. Навпаки — відповідальність за вибір рішень покладається безпосередньо на суб’єктів, які обробляють персональні дані. Регламент зобов’язує їх провести оцінку ризиків порушення прав і свобод суб’єктів даних, а потім обрати відповідні організаційні та технічні заходи. На практиці це не обов’язково означає радикальну перебудову всієї організації. Нерідко достатньо таких простих кроків, як зміна місця зберігання документів із персональними даними (наприклад, перенесення їх у шафи, що замикаються на ключ, замість відкритих полиць у приміщенні, де приймають клієнтів). Впровадження RODO може також вимагати організаційних та формальних змін, що призведуть до оновлення процедур, регламентів, правил обслуговування клієнтів тощо. Оцінка того, які саме заходи необхідно вжити в конкретному випадку, залежить саме від інвентаризації процесів та аналізу ризиків порушення прав і свобод відповідних осіб. Безпека даних настільки важлива, що RODO запровадило обов’язок повідомляти Голову UODO про порушення захисту персональних даних протягом 72 годин після виявлення інциденту, а в окремих випадках — інформувати й самих осіб, чиї дані постраждали. Наступний етап впровадження RODO стосується формальних аспектів, тобто аудиту договорів із партнерами, залученими до обробки, та розробки документації із захисту персональних даних. RODO не містить вичерпного переліку таких документів, проте аналіз положень регламенту та практика їх застосування дозволяють визначити мінімально необхідний обсяг. Зокрема, рекомендується розробити реєстр операцій з обробки даних (RODO визначає випадки, коли ведення реєстру є обов’язковим), процедури реалізації прав суб’єктів даних, повідомлення про порушення безпеки, правила вибору операторів обробки, регламенти знищення чи видалення даних, управління ризиками, а також надання офіційних повноважень працівникам та іншим особам на обробку даних.

RODO в автошколах (OSK)

Специфіка діяльності автошкіл (центрів підготовки водіїв) свідчить про те, що обробка персональних даних курсантів є одним із ключових елементів цієї роботи. Відтак описані вище заходи щодо впровадження RODO не могли оминути автошколи. Центри підготовки водіїв є адміністраторами (володільцями) персональних даних курсантів. Вони обробляють їх у більшому чи меншому масштабі залежно від розміру автошколи, проте в будь-якому разі зобов’язані здійснювати обробку для чітко визначених цілей на законних підставах (підставою є відповідні норми Закону про водіїв транспортних засобів, а також згода, якщо автошкола має намір використовувати дані в інших цілях, не пов’язаних безпосередньо з навчанням) та забезпечувати належний захист цих даних (у цьому допоможуть інвентаризація та аналіз ризиків). Автошколи зобов’язані виконувати інформаційний обов’язок перед курсантами: роз’яснювати правила обробки персональних даних, мету збору, терміни зберігання та перелік суб’єктів, яким дані можуть передаватися. В інформаційному застереженні слід детально описати права курсантів, закріплені у статтях 15-22 RODO, а також повідомити про право подати скаргу Голові UODO у разі неправомірної обробки даних автошколою. Незалежно від цього, курсанти мають право отримувати цю інформацію на першу вимогу (за рідкісними винятками). Нерідко автошколи співпрацюють з інструкторами за цивільно-правовими договорами, обробляють дані курсантів у хмарних інформаційних системах на сторонніх серверах, користуються послугами бухгалтерських або кадрових агенцій. У всіх цих випадках спочатку необхідно визначити статус такого партнера (наприклад, чи виступає він оператором/обробником даних), а потім урегулювати в договорі між сторонами питання захисту даних. Більшість зазначених заходів мала бути реалізована ще за часів дії закону про захист персональних даних 1997 року. Якщо цього не сталося — слід пам’ятати, що RODO надало як регулятору (UODO), так і громадянам дієві інструменти примусового забезпечення виконання закону. Захист персональних даних в автошколах повинен бути інтегрований у щоденні бізнес-процеси як один із пріоритетних факторів безпеки.

Сильвія Ратайчик, юридичний радник