Цель модуля
Научить разработчика замечать ситуации, в которых применяется GDPR, различать роли компании в разных проектах и соблюдать обязанности по срокам, уведомлениям и передаче данных.
Когда требования регламента применимы
Регламент применяется, когда компания предлагает товары или услуги людям в странах Европейского союза либо отслеживает их поведение, а также когда компания обрабатывает такие данные по поручению заказчика. Гражданство человека при этом не имеет значения — важны место его нахождения и характер обработки.
Поэтому один и тот же продукт может требовать разных мер на разных рынках, и определять это должны юристы вместе с ответственным за обработку данных, а не разработчик по своему усмотрению.
Роли в проекте
| Роль | Кто это | Ответственность |
|---|---|---|
| Распорядитель данных | Заказчик, который определяет цели и состав обработки | Отвечает за законность обработки, информирование людей, реагирование на обращения |
| Обработчик данных | Компания, обрабатывающая данные по поручению | Выполняет только порученные операции, обеспечивает защиту и помощь распорядителю |
| Субобработчик | Внешняя служба, привлечённая обработчиком | Работает по письменному поручению и с определёнными обязательствами |
Практические обязанности разработчика
- Не менять цель обработки данных по своему усмотрению: состав операций определяет поручение.
- Помогать распорядителю в исполнении обращений людей: удаление, исправление, выдача копии данных.
- Соблюдать сроки уведомления об утечке: значимое происшествие уведомляется в течение 72 часов.
- Не передавать данные субобработчикам без письменного согласия заказчика.
- Вести перечень операций обработки по каждому проекту.
Передача данных за пределы страны
- Передача персональных данных за пределы страны допускается только при наличии законного основания и надлежащих мер защиты.
- Включение внешней службы, серверы которой находятся за рубежом, означает такую передачу — её нужно согласовать заранее.
- Средство поддержки, журналирования или аналитики может незаметно создавать трансграничную передачу.
- Проверьте, куда фактически уходят данные, прежде чем подключать внешнюю службу к продукту с реальными данными.
Минимизация данных
Регламент требует собирать только те сведения, которые нужны для заявленной цели, и хранить их не дольше необходимого. На практике это значит: прежде чем добавить поле в форму, ответьте письменно, для какой цели оно нужно и сколько будет храниться.
Проверочный список перед выходом на работу
- Для проекта определена роль компании: распорядитель или обработчик.
- Обработка ведётся строго в рамках поручения заказчика.
- Обращения людей по их данным отрабатываются в установленный срок.
- Уведомление об утечке направляется в течение 72 часов.
- Привлечение внешних служб согласовано письменно.
- Передача данных за пределы страны согласована заранее.
Вопросы для самопроверки
- Когда применяется GDPR? Когда компания работает с людьми в странах Европейского союза или обрабатывает их данные по поручению заказчика.
- Что такое обработчик данных? Компания, которая обрабатывает данные по поручению распорядителя и обязана выполнять только порученные операции.
- В какой срок уведомляют об утечке по требованиям регламента? Значимое происшествие уведомляется в течение 72 часов.
Основание и что делать при сомнении
Модуль опирается на: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», постановление Правительства РФ от 01.11.2012 № 1119.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.