GDPR в Риге говорит то же, что и в Роттердаме. Не переезжает слой под ним: согласие с 13 лет, реестр специалистов по защите данных, годичное ограничение для записей аудита и пятилетний срок для исков, о котором GDPR не говорит ничего.
Самое интересное — не сам GDPR
Основные правила в Риге те же, что и в Роттердаме. GDPR применяется напрямую в каждой стране ЕС, поэтому программа соответствия, построенная для одной из них, по большей части переезжает вместе с вами.
Не переезжает слой под ним. GDPR оставляет определённое число выборов национальному закону, и Латвия сделала их в Законе об обработке данных физических лиц — законе, который в основном про регулятора, а не про вас. Именно те несколько норм, которые про вас, и есть место, где скопированная из-за рубежа политика ошибается.
Во-первых: распространяется ли GDPR на вас вообще
Он простирается дальше, чем подсказывает «мы работаем в Латвии», и делает это двумя отдельными путями.
У вас есть присутствие в ЕС. GDPR распространяется на обработку, осуществляемую в контексте деятельности структуры, учреждённой в ЕС, даже если сама обработка происходит в другом месте. Латвийская дочерняя компания с серверами в Сингапуре под него подпадает.
Вы обращаетесь к людям в ЕС или следите за ними. Он распространяется и на компании, у которых присутствия в ЕС нет вовсе, если они предлагают товары или услуги людям в ЕС — прямо указывая, платит за них кто-нибудь или нет, — либо наблюдают за их поведением. Бесплатный продукт с пользователями в Латвии и аналитика, следующая за ними, подпадают под него дважды.
Критерий не в том, где вы зарегистрированы. Обычно он в том, где ваши пользователи и наблюдаете ли вы за ними.
Вы контролёр или обработчик — и что должно быть в договоре
У двух ролей на всём протяжении разные обязанности, и технологическая компания обычно является обеими: контролёром в отношении собственного маркетинга и данных работников и обработчиком в отношении всего, что в продукт помещают её клиенты.
Если вы действуете как обработчик, отношения должен регулировать договор, отвечающий требованиям GDPR. Содержание задаёт сам регламент, поэтому стоит знать, что в нём должно быть.
В нём надо указать предмет и срок обработки, её характер и цель, виды данных, категории затронутых лиц, а также права и обязанности контролёра. Затем он должен возложить на обработчика конкретные обязательства: действовать только по письменным указаниям, в том числе о передаче за рубеж; возложить на работников обязанность конфиденциальности; применять требуемые меры безопасности; привлекать субобработчика только с предварительного письменного разрешения и на тех же условиях, оставаясь за него полностью ответственным; помогать с правами людей на данные и с обязанностями по безопасности, нарушениям и оценке воздействия; в конце удалить или вернуть данные; и допускать аудиты.
Два последствия легко упустить. Обработчик, который начинает решать, зачем и как данные обрабатываются, в этой части становится контролёром. И Европейская комиссия опубликовала для этих отношений стандартные оговорки, которыми можно воспользоваться вместо составления договора с нуля.
Исключение для компаний до 250 работников почти никогда не применяется
Это норма GDPR, которую вычитывают неверно чаще всего. В ней сказано, что реестр операций обработки вести не нужно, если работников меньше 250, — а затем это отбирается, если обработка способна создать риск для людей, если она не является нерегулярной либо если она затрагивает чувствительные данные или данные о судимости.
Работу делает среднее условие. Продукт, обрабатывающий пользовательские данные непрерывно, делает это не «нерегулярно». Для большинства технологических компаний с числом работников менее 250 исключение попросту недоступно, и полезный вопрос — какое из трёх условий его отбирает.
Что Латвия на самом деле решила
Шесть норм Закона об обработке данных физических лиц меняют ответ для технологической компании.
| Вопрос | Латвийский выбор |
|---|---|
| Согласие детей | Действительно с 13 лет для онлайн-услуг; для младших согласие даёт родитель |
| Специалисты по защите данных | Государственная инспекция данных ведёт публичный список специалистов, сдавших её квалификационный экзамен, который проводится по правилам Кабинета министров 2020 года, — но назначить можно кого-то из списка или любого другого |
| Записи аудита | Хранятся не дольше одного года после записи, если иной закон или характер обработки не требует иного |
| Таблички о видеонаблюдении | Должны указывать наименование контролёра, контактные данные и цель, а также где можно получить остальную информацию |
| Кому данные переданы | Насколько далеко назад это должно простираться — см. ниже |
| Срок давности для исков | Пять лет на подачу гражданского иска о прекращении нарушения, считая от нарушения или, если оно продолжается, со дня, когда оно прекратилось |
Именно последних двух в импортированной программе не будет вовсе. Срок давности — норма, о которой GDPR не говорит ничего. Норма о том, кому данные переданы, требует внимания: собственное право по GDPR охватывает получателей, которым данные переданы или будут переданы, без какого-либо срока, поэтому то, как латвийская норма соотносится с ним, — вопрос, который следует задать, а не ответ, который следует предположить.
Пункт о специалисте чаще всего излагают ровно наоборот. В Латвии есть экзамен и реестр, что необычно, и легко заключить, что специалист по защите данных в Латвии должен быть сертифицирован. Верно обратное: нахождение в списке даёт заметность, а не монополию.
Сообщение о нарушении и как выглядит правоприменение
Латвийский закон здесь не меняет ничего. Контролёр сообщает надзорному органу без неоправданной задержки и, если возможно, в течение 72 часов. Обработчик без неоправданной задержки сообщает своему контролёру — на стороне обработчика цифры в 72 часа нет, как нет и прямой связи с регулятором. Обязанности по безопасности из отдельного латвийского закона о кибербезопасности — это другая обязанность, с другим отсчётом и перед другим органом.
Штрафы происходят из самого GDPR и делятся на два уровня: до 10 миллионов EUR или 2 процентов мирового оборота за обязанности контролёра и обработчика и до 20 миллионов EUR или 4 процентов за основные принципы, права людей и передачу за рубеж. Стоит знать одно: неисполнение предписания надзорного органа находится в верхнем уровне, какой бы обязанности предписание ни касалось.
То, вокруг чего компании на самом деле надо планировать, — это время. Государственная инспекция данных решает в течение шести месяцев с возбуждения дела, с возможностью продления до года и до двух лет, если установление фактов занимает много времени или задействован механизм сотрудничества ЕС. Обжалование действие решения не приостанавливает.
С чего начать
Если у вас уже есть общеевропейская программа, работа по Латвии узкая: сверьте возрастной порог с 13 годами, проверьте, не исходило ли назначение специалиста из предположения, что нужна сертификация, и сверьте срок хранения записей аудита с годичной нормой.
Если программа ещё не построена, работайте в обратном направлении. Установите, какой из двух путей втягивает вас в охват, роль за ролью решите, контролёр вы или обработчик, и создайте реестр операций обработки — исключение для компаний до 250 работников почти наверняка не поможет, и именно из этого реестра отвечают на каждый последующий вопрос.