Lawful Processing Criteria: что нужно знать украинскому бизнесу о GDPR

С момента внедрения Общего регламента по защите данных (GDPR) в мае 2018 года, все предприятия, которые обрабатывают персональные данные граждан и резидентов Европейского Союза, должны соблюдать строгие правила и требования по защите этих данных. Одним из ключевых аспектов GDPR являются критерии законной обработки данных, которые определяют, когда и при каких условиях предприятие имеет право обрабатывать персональные данные. В этой статье мы рассмотрим основные положения о законной обработке данных и предоставим рекомендации украинскому бизнесу по соблюдению этих требований.

Основные критерии законной обработки данных

Согласно GDPR, существует шесть основных оснований, по которым обработка персональных данных считается законной:

• Согласие субъекта данных: Обработка данных может осуществляться на основе явного и добровольного согласия лица, чьи данные обрабатываются. Согласие должно быть конкретным, информированным и однозначным.
• Выполнение договора: Если обработка данных необходима для выполнения договора, в котором субъект данных является стороной, или для принятия мер по запросу субъекта данных перед заключением договора.
• Юридическое обязательство: Обработка данных является законной, если она необходима для выполнения юридических обязательств, которые возложены на контролера данных.
• Жизненно важные интересы: Если обработка данных необходима для защиты жизненно важных интересов субъекта данных или другого физического лица.
• Задачи в общественных интересах или выполнение официальных полномочий: Обработка является законной, если она необходима для выполнения задачи, осуществляемой в общественных интересах или при осуществлении официальных полномочий, предоставленных контролеру данных.
• Законные интересы контролера данных: Обработка может быть осуществлена на основании законных интересов контролера данных или третьей стороны, при условии, что такие интересы не превышают права и свободы субъекта данных.

Практические рекомендации для украинского бизнеса

1. Получение согласия

Для большинства бизнесов, которые работают с персональными данными клиентов, получение согласия является наиболее распространенным основанием для обработки данных. Согласие должно быть получено перед началом обработки данных и должно быть задокументировано. Это означает, что субъекты данных должны четко понимать, какие данные собираются, с какой целью и как они будут использоваться. Важно также обеспечить возможность отзыва согласия в любой момент.

Получение согласия не должно быть сложным процессом. Наилучшей практикой является предоставление коротких и понятных форм, где субъекты данных могут легко прочитать и понять условия обработки их данных. Важно также учитывать, что согласие должно быть отдельным от других условий, например, условий использования услуг.

2. Выполнение договоров

Если бизнес заключает договоры с клиентами или партнерами, обработка персональных данных для выполнения этих договоров является законной. Важно, чтобы обработка данных ограничивалась только теми данными, которые необходимы для выполнения конкретного договора. Например, если вы продаете товары онлайн, вам необходимо собрать контактную информацию и адрес доставки клиента. Однако сбор дополнительной информации, которая не является необходимой для выполнения договора, может быть неправомерным без соответствующего согласия субъекта данных.

Для выполнения договоров важно также обеспечить надлежащий уровень защиты данных. Это включает в себя использование безопасных каналов связи, шифрование данных и ограничение доступа к персональным данным только тем сотрудникам, которые имеют соответствующие полномочия.

3. Соблюдение юридических обязательств

Бизнесы должны быть осведомлены обо всех юридических обязательствах, которые требуют обработки персональных данных. Это могут быть требования национального законодательства или международных соглашений, которые бизнес должен соблюдать. Например, законодательство о бухгалтерском учете может требовать хранения финансовых данных клиентов в течение определенного периода времени.

В таких случаях обработка данных должна ограничиваться только теми данными, которые необходимы для выполнения юридических обязательств, и храниться только в течение необходимого периода.

4. Защита жизненно важных интересов

Этот критерий обычно используется в чрезвычайных ситуациях, когда необходимо обрабатывать данные для защиты жизни или здоровья субъекта данных или других лиц. Например, в медицинском контексте, когда обработка данных необходима для оказания неотложной помощи.

Такие ситуации являются редкими, однако важно быть готовыми к ним и иметь надлежащие процедуры для обработки данных в случае чрезвычайных ситуаций.

5. Выполнение задач в общественных интересах

Для бизнесов, которые выполняют задачи в общественных интересах, такие как исследования, обучение или благотворительность, важно обеспечить, чтобы обработка данных соответствовала целям, которые действительно являются в общественных интересах.

При этом важно обеспечить прозрачность обработки данных и информировать субъектов данных о целях обработки и их правах. Для этого могут использоваться различные средства коммуникации, такие как публикация политики конфиденциальности на веб-сайте или информирование субъектов данных через электронную почту.

6. Законные интересы

Обработка данных на основании законных интересов может быть сложнее, поскольку требует тщательного баланса между интересами бизнеса и правами субъекта данных. Бизнесы должны проводить оценку воздействия на защиту данных (DPIA), чтобы определить, являются ли их интересы преобладающими и не нарушают ли они права субъекта данных.

Примеры законных интересов могут включать обработку данных для предотвращения мошенничества, обеспечения безопасности ИТ-систем или для прямого маркетинга. Однако в каждом случае необходимо провести оценку рисков и обеспечить, чтобы интересы субъекта данных были надлежащим образом защищены.

Документация и прозрачность

Одним из ключевых принципов GDPR является принцип прозрачности. Это означает, что бизнесы должны быть открытыми в отношении своих практик обработки данных и предоставлять субъектам данных четкую и понятную информацию о том, как их данные будут использоваться. Кроме того, необходимо вести документацию обо всех операциях с обработкой данных, чтобы иметь возможность доказать соответствие требованиям GDPR в случае проверки.

Прозрачность может быть обеспечена через различные средства коммуникации. Например, политика конфиденциальности должна быть доступна на веб-сайте компании и легко понятной для широкой аудитории. Также можно использовать информационные бюллетени или электронные письма для информирования клиентов о изменениях в практиках обработки данных.

Важным аспектом является также обучение сотрудников компании. Они должны быть осведомлены о требованиях GDPR и соблюдать внутренние политики и процедуры, касающиеся обработки персональных данных. Регулярное обучение и повышение квалификации поможет обеспечить соответствие требованиям GDPR и защиту данных клиентов.

Заключение

Соблюдение критериев законной обработки данных является критически важным для любого бизнеса, который работает с персональными данными граждан ЕС. Украинскому бизнесу следует внимательно изучить эти критерии и обеспечить, чтобы их деятельность соответствовала требованиям GDPR. Это не только поможет избежать значительных штрафов, но и способствует повышению доверия со стороны клиентов и партнеров, что является важным аспектом успешного ведения бизнеса в современных условиях.