В Молдове в конце августа вступил в силу новый закон о защите персональных данных, который кардинально меняет правила для бизнеса и граждан. Документ, разработанный в соответствии с европейским регламентом GDPR (General Data Protection Regulation), не позволяет формально относиться к конфиденциальности личных данных и вводит огромные штрафы за нарушения. NM рассказывает, что предусматривает закон, почему предпринимателям придется перестроить свою работу, и какие новые инструменты защиты данных теперь у нас есть.
Что изменилось для бизнеса и организаций
Начнем с того, какие данные считаются персональными. Как пояснили NM в Центре защиты персональных данных (CNPDCP), любая информация, относящаяся к идентифицируемому физическому лицу, является персональными данными. Проще говоря, это любая информация, которая позволит определить личность конкретного человека. Это может быть имя, идентификационный номер, данные о местоположении, сетевой идентификатор, а также другие признаки, характерные для физической, физиологической, генетической, психической, экономической, культурной или социальной идентичности человека.
В Молдове действовали определенные правила работы с персональными данными и до вступления в силу нового закона, однако их соблюдение сводилось к формальности. Зачастую компании ограничивались сообщением на своем сайте о том, что они могут собирать персональные данные. Новый закон вводит принцип строгой подотчетности. Как отметили в CNPDCP, оператор персональных данных (любой, кто обрабатывает такие данные) должен доказать, что соответствует требованиям.
Оператор также обязан обеспечить защиту данных: шифровать или анонимизировать данные, регулярно тестировать меры безопасности и быть в состоянии быстро восстановить данные в случае инцидента.
Более того, собирать информацию «просто так» или «на всякий случай» теперь незаконно. Для обработки данных у оператора должны быть законные основания. К ним относятся, например, согласие на это человека, необходимость исполнения договора, законная обязанность компании, защита жизненно важных интересов, а также общественный или легитимный интерес компании.
Отдельное внимание закон уделяет кибербезопасности и утечкам информации. Если базу данных взломают, оператор обязан уведомить CNPDCP в течение 72 часов с момента обнаружения инцидента. Если же утечка представляет серьезную угрозу для людей, например, украдены пароли или паспортные данные, компания должна напрямую сообщить об этом и самим пострадавшим.
Изменения коснулись и внутренней документации бизнеса. Компании, в которых работают более 250 сотрудников, а также те предприятия, чья деятельность связана с высокими рисками или чувствительной информацией, обязаны вести подробный реестр операций. В этом документе фиксируется, какие именно данные компания собирает, с какой целью, кому их передают и в какие сроки они подлежат удалению. Кроме того, перед запуском любых масштабных цифровых проектов, способных повлиять на права граждан, бизнес обязан проводить предварительную оценку воздействия на защиту данных. В некоторых случаях, например, при массовом мониторинге, компаниям придется назначить специального сотрудника, ответственного за защиту данных.
Строже стали и правила передачи информации за границу: отправлять данные граждан за пределы страны теперь разрешается исключительно при наличии надежных гарантий безопасности.
За нарушение этих правил предусмотрены колоссальные штрафы, которые могут достигать 1-2 млн леев или 1-2% от годового оборота компании. Тем не менее выявление нарушения не влечет автоматического наложения штрафа. Предусмотрены корректирующие меры и предупреждения. Применение штрафа обязательно предваряется индивидуализацией его размера на основе поэтапного механизма и четких критериев с учетом конкретного случая.
При этом, как подчеркнули в CNPDCP, ни закон, ни сам CNPDCP не ставят целью превратить надзор в исключительно карательный механизм. «Задача ведомства — чтобы операторы поняли новые требования, адаптировали процессы и внедрили меры для законной, прозрачной и безопасной обработки данных. Два года после принятия закона были переходным периодом для подготовки. Центр понимает сложность адаптации и готов [при необходимости] предоставить разъяснения и методическую помощь», — пояснили в Центре защиты персональных данных.
Там также рассказали, что в первый год вступления закона в силу размер штрафа будет составлять не более 10% указанной в законе суммы, во второй год — 40%, а в полном объеме штрафы вступят в силу только с третьего года.
Что изменилось для граждан
Благодаря новому закону граждане получили новые возможности защиты своих данных, аналогичные действующим в ЕС. В первую очередь, закон гарантирует право на информацию. Теперь любая организация обязана максимально открыто и доступно объяснить вам, кто именно собирает ваши данные, зачем это делается и кому их могут передать в будущем.
Если человек сомневается в том, как используют его данные, он может потребовать от компании полный отчет о том, какие его данные у них хранятся и что с ними происходит. В случае обнаружения ошибок или неточностей вступает в силу право на исправление, обязывающее оператора оперативно и по первому требованию скорректировать данные.
Одним из самых важных нововведений стало право на удаление данных. Оно позволяет гражданам во многих ситуациях потребовать полного уничтожения своей личной информации из баз данных компании без каких-либо необоснованных задержек. Если же между физическим лицом и организацией возник спор, человек имеет право ограничить обработку своих данных, фактически «заморозив» их использование до завершения всех проверок.
Также благодаря праву на переносимость, граждане могут забрать свои цифровые данные в удобном формате и передать их другому поставщику услуг. Граждане могут воспользоваться всеми перечисленными правами, подав письменный запрос оператору, который не имеет права игнорировать такое обращение.
Подписывайтесь на наш Telegram-канал @newsmakerlive. Там оперативно появляется все, что важно знать прямо сейчас о Молдове и регионе.
Хотите поддержать то, что мы делаем?
Вы можете внести вклад в качественную журналистику, поддержав нас единоразово через систему E-commerce от банка maib или оформить ежемесячную подписку на Patreon! Так вы станете частью изменения Молдовы к лучшему. Благодаря вашей поддержке мы сможем реализовывать еще больше новых и важных проектов и оставаться независимыми. Независимо от того, как вы нас поддержите, вы получите небольшой подарок. Переходите по ссылке, чтобы стать нашим соучастником. Это не сложно и даже приятно.
Поддержи NewsMaker!
