Кто несёт ответственность?

Понимание GDPR

Shalini Kurapati, CIPP/E

Co-founder, Clearbox AI

Ключевые роли в GDPR

  • Контролёр данных
  • Обработчик данных
  • Сотрудник по защите данных (DPO)
  • Надзорный орган (SA) / Орган по защите данных (DPA)
Понимание GDPR

Контролёр данных

  • Определяет цели и способы обработки данных
  • Совместные решения — совместная ответственность
  • Несёт конечную ответственность

Пример: кондитерская передаёт расчёт зарплат на аутсорсинг

  • Контролёр данных: кондитерская
  • Обработчик данных: компания по расчёту зарплат
Понимание GDPR

Обработчик данных

Иллюстрация экрана ноутбука с графиками анализа данных и двумя руками, печатающими на клавиатуре. Изображение представляет обработчика данных.

  • Как правило, третья сторона / субподрядчик, обрабатывающий персональные данные от имени контролёра
  • Прямой ответственности не несёт
  • Условия закреплены в соглашении об обработке данных
  • Обязан соблюдать требования, установленные контролёром
Понимание GDPR

Сотрудник по защите данных (DPO)

Иллюстрация DPO в образе женщины, указывающей на символ замка как символ защиты данных.

  • Осуществляет мониторинг, консультирует, помогает соблюдать требования
  • Взаимодействует с SA и выступает контактным лицом
  • Назначается как контролёрами, так и обработчиками
  • Обязателен для:
    • Государственных органов
    • Обработки данных высокого риска
  • Критерий — степень риска, а не размер компании
1 Guidelines on Data Protection Officers ('DPOs') (wp243rev.01)
Понимание GDPR

Надзорный орган / орган по защите данных

Несколько флагов ЕС перед зданием в Брюсселе.

  • Независимый государственный орган
  • Налагает штрафы за нарушения
  • Есть в каждом государстве-члене
    • Garante per la Protezione dei Dati Personali (ITA)
    • Autoriteit Persoonsgegevens (NL)
1 https://edpb.europa.eu/about-edpb/about-edpb/members_en
Понимание GDPR

Утечки данных: как действовать?

Что такое утечка данных?

  • Потеря, незаконный доступ или раскрытие данных
  • Нарушение конфиденциальности, целостности или доступности

Что делать?

  • Уведомить SA/DPA без промедления
  • В течение 72 часов
  • При высоком риске — информировать субъектов данных и принять меры

Пример: взлом онлайн-маркетплейса

  • DPO: ключевая роль
  • Реестр утечек данных
  • Политика реагирования на утечки
1 Guidelines on personal data breach notification under regulation 2016/679, WP250 rev.01
Понимание GDPR

Координация между странами

Логотип Европейского совета по защите данных.

Список членов EDPB с их флагами

  • Единообразное применение норм
  • Взаимодействие между членами
  • Надзорные органы стран ЕС27
  • EDPS — Европейский инспектор по защите данных
  • Исландия, Норвегия и Лихтенштейн не имеют права голоса
1 https://edpb.europa.eu/about-edpb/about-edpb/members_en
Понимание GDPR

Давайте потренируемся!

Понимание GDPR

Preparing Video For Download...