Общий регламент по защите данных в ЕС¶
Общий регламент по защите данных (англ. General Data Protection Regulation, GDPR; Регламент (ЕС) 2016/679) — нормативный правовой акт Европейского союза, устанавливающий единые правила обработки персональных данных и защиты прав субъектов данных на территории ЕС и Европейской экономической зоны. Принят 27 апреля 2016 года, вступил в силу 24 мая 2016 года, начал применяться с 25 мая 2018 года. Заменил директиву 95/46/EC и стал актом прямого действия, не требующим имплементации в национальное законодательство стран-членов.
¶История
Работа над регламентом началась в 2012 году, когда Европейская комиссия предложила реформу законодательства о защите данных. После длительных согласований между Европарламентом, Советом ЕС и Комиссией текст был утверждён в 2016 году. Двухлетний переходный период позволил организациям адаптировать процессы к новым требованиям. Цель реформы — унификация разрозненных национальных норм и усиление контроля граждан над своими данными в условиях цифровой экономики.
¶Основные принципы
Регламент опирается на ряд базовых принципов обработки данных:
- Законность, справедливость и прозрачность — обработка должна иметь правовое основание, а субъект — получать понятную информацию.
- Ограничение цели — данные собираются для конкретных, заранее заявленных целей.
- Минимизация данных — объём собираемых сведений должен быть необходимым и достаточным.
- Точность — данные подлежат актуализации и исправлению.
- Ограничение хранения — срок хранения не превышает необходимого.
- Целостность и конфиденциальность — обеспечивается защита от несанкционированного доступа.
¶Права субъектов данных
GDPR закрепляет за физическими лицами расширенный набор прав:
| Право | Содержание |
|---|---|
| Доступ | Получение копии своих данных и сведений об обработке |
| Исправление | Корректировка неточных данных |
| Удаление («право быть забытым») | Удаление данных при отсутствии законных оснований для хранения |
| Ограничение обработки | Приостановка обработки в определённых случаях |
| Переносимость | Получение данных в машиночитаемом формате и передача другому оператору |
| Возражение | Отказ от обработки, в том числе для маркетинга |
¶Обязанности организаций
Операторы и обработчики данных обязаны вести учёт обработки, обеспечивать защиту по умолчанию и по замыслу (privacy by design), уведомлять надзорный орган о крупных утечках в течение 72 часов. В ряде случаев требуется назначение ответственного за защиту данных (DPO) и проведение оценки воздействия на защиту данных (DPIA). Согласие субъекта должно быть явным, информированным и отзываемым.
¶Территориальная сфера действия
Регламент применяется не только к организациям, находящимся в ЕС, но и к зарубежным компаниям, которые обрабатывают данные лиц, находящихся в ЕС, при предложении им товаров или услуг либо при отслеживании их поведения. Это придало GDPR экстерриториальный характер.
¶Штрафы и надзор
Контроль осуществляют национальные надзорные органы, координируемые Европейским советом по защите данных. Максимальные штрафы достигают 20 млн евро или 4% годового глобального оборота — в зависимости от того, что больше. Наиболее крупные санкции применялись к технологическим компаниям за нарушения в сфере согласия и передачи данных.
¶Значение и влияние
GDPR стал ориентиром для законодательства о приватности во всём мире: аналогичные акты приняты в Бразилии (LGPD), Калифорнии (CCPA/CPRA), Японии и других юрисдикциях. Регламент изменил практику сбора согласий, повлиял на рынок интернет-рекламы и усилил требования к трансграничной передаче данных.
IRONLIVE — база данных и аналитика по компаниям России.
На главную IRONLIVE →