GDPR — новые правила обработки персональных данных в Европе для международного IT-рынка
GDPR — new rules for personal data processing in Europe for the international IT market
Кунакбаева  Д.Д, Ракитина Н.А.
Санкт-Петербургский государственный экономический университет, 
г. Санкт-Петербург, Россия

В статье анализируется работа регламента по защите данных General Data Protection Regulation, раскрываются правила, требования, принципы, права данного механизма. Проект имеет предметную, исследовательскую направленность. 
Ключевые слова: персональные данные, обработка, защита, Европейский Союз, права, правила, предприятие/компания, конфиденциальность
The article analyzes the work of the General Data Protection Regulation, discloses the rules, requirements, principles, and rights of this mechanism. The project has a subject, research orientation. 
Keywords: personaldata, processing, protection, European Union, rights, rules, company, privacy

Общий регламент по защите данных General Data Protection Regulation — это общеобязательное постановление, вступившее в силу 25 мая 2018.
GDPR — важный документ на уровне закона, расширяющий уровень безопасности персональных данных и требующий к себе внимательного изучения и соблюдения неких норм. Реформа дает объяснение, и последовательность правил, использующихся в области защиты данных. Она также восстанавливает доверие пользователя-потребителя, что позволяет бизнесу максимально пользоваться возможностями на едином цифровом рынке Европы. Благодаря регламенту Европейский Союз усилил, а также унифицировал защиту персональных данных граждан Европейского Союза. Немалое экономическое значение играют сбор, анализ, перемещение персональных данных. Персональные данные – это, безусловно, “валюта” современной экономики. И если осуществляется сбор пользовательских данных в каком-либо виде — за их сохранностью надо внимательно следить, чтобы избежать утечек и возможных манипуляций ими третьими лицами.
Почему регламент, принятый еще в 2018 году до сих пор вызывает интерес? По GDPR штрафы достигают 19 миллионов евро, в переводе на Российские деньги 1,5 млрд рублей, или же 4% глобального дохода компании в год. В период действия GDPR по данным на март 2020 года сумма штрафов достигла 114 млн евро. Зафиксировано 160 тысяч нарушений. В настоящей статье мы проанализировали и структурировали правила и формы обработки персональных данных в ЕС.
Персональные данные — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, то есть субъект данных. К данной информации относится ФИО (фамилия, имя, отчество(при наличии)), данные о местоположении, онлайн идентификатор, также несколько фактов характерных для физиологической, генетической, физической, умственной, культурной, экономической или социальной идентичности данного лица. Определение довольно широкое и достаточно ясно определяет, что IP адреса не исключение и могут являться персональными данными.
Важно отметить, что существуют определенные типы персональных данных, относящиеся к категории особых или конфиденциальных персональных данных. Это информация, раскрывающая: расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения и членство в профсоюзах. Кроме того, к этой группе относятся генетические, биометрические данные, используемые для идентификации физического лица, данные о состоянии здоровья, сведения, касающиеся сексуальной жизни или сексуальной ориентации (статья 9).
Принципы обработки данных:
1. Справедливость, прозрачность, легальность.
Информацию о целях, способах, методах и объёмах обработки персональных данных следует излагать максимально доступно и ясно.
2. Минимизация данных.
Неприемлемы большие объемы.
3. Ограничение цели.
Данные используются исключительно в заявленных компанией целях.
4. Ограничение хранения.
Данные обязаны храниться в форме, позволяющей идентифицировать субъекты данных на срок не более чем это необходимо для целей обработки.
5. Целостность и конфиденциальность.
При обработке данных пользователей компании обязаны обеспечить конфиденциальность персональных данных от несогласованной или нелегальной обработки, утилизирования и повреждения.
6. Точность.
По требованию пользователя недействительные данные должны быть немедленно утилизированы.
Права субъекта данных, физического лица 
Правила защиты данных увеличивают права резидентов, граждан Европейского Союза по контролю над их персональными данными. Пользователи имеют право требовать подтверждение фактов обработки данных; цель, место обработки; категории, подвергающихся обработке персональных данных; знанию о третьих лицах, которым возможно раскрытие персональных данных; время, в течение которого данные подлежат обработке, а также уточнять первоисточник получения персональных данных организацией; запрашивать исправления и прекращения обработки своих данных.
Общий регламент по защите данных предусматривает право на забвение (right to erasure, right to be forgotten), дающее людям возможность удалять по запросу личные данные для избежание их распространения или нелегальной передачи другим лицам.
Это не новое в законодательстве, это право уже было в действующей Директиве. Суд справедливости ЕС объяснил, что субъекты данных имеют право  удалить информацию о них из результатов поиска, если она не представляет общественного интереса. Однако, право на забвение распространяется не только на поисковые системы. Любая компания, обрабатывающая данные, должна удалять чьи-либо персональные данные по запросу, если это не противоречит интересам общества или иным фундаментальным правам европейцев.
Например, если вы новостной сервис, то прежде, чем удалять данные, проверьте и убедитесь, что такое удаление не повлияет на свободу слова и на право к доступу информации.

Право на переносимость данных
Право на переносимость данных –новое  в правилах обработки данных ЕС, введенное GDPR. Его суть  в том, что компании обязаны передавать бесплатно электронную копию персональных данных другой компании по требованию самого субъекта персональных данных.
Например, компания “Заря” хочет выйти на рынок с сайтом для обмена социальными медиа, но на рынке уже есть свои крупные компании с огромной долей рынка. Право на переносимость данных упростит клиентам процесс передачи своих данных от одного онлайн-сервиса к другому (без повторного введения одних и тех же данных на разных сайтах).
Особая защита детей
Детские персональные данные заслуживают особой защиты, ведь они менее осведомлены о рисках, последствиях, гарантиях и их правах в отношении обработки персональных данных. Согласие на обработку данных ребенка должно быть авторизовано родителями (или законными представителями ребенка). 
Назначение ответственного за защиту персональных данных
Это требование относится к компаниям, которые осуществляют регулярные и систематические крупномасштабные наблюдения, мониторинг лиц  или которые осуществляют обработку специальных персональных данных, например, медицинские записи или сведения об уголовной судимости.
В любом случае, любая организация может добровольно назначить сотрудника по защите данных для управления процессами обработки данных пользователей и контроля за соблюдением требований GDPR. В таком случае компания должна опубликовать информацию о таком сотруднике, а также направить её национальному регулятору по защите персональных данных соответствующей страны ЕС.
Что делать?
Если вы входите в зону действия нового европейского регламента о защите данных или планируете расширяться и предоставлять услуги и товары в страны ЕС, то рекомендуется провести комплексную оценку применяемых в компании методов и средств обработки персональных данных и привести их в соответствие с новыми правилами GDPR. Следует также пересмотреть политику конфиденциальности и положения об обработке персональных данных пользовательских соглашений (Terms of use) своих сайтов и онлайн-сервисов, ориентированных на европейских потребителей и пользователей. Для соответствия требованиям GDPR необходимо разработать внутренние политики защиты данных, обучать персонал, проводить проверки деятельности по обработке данных, вести документацию по процессам обработки, внедрять меры по встроенной системе конфиденциальности, а также назначить сотрудника ответственного за обработку персональных данных (естественно, с учётом характера и объёмов обрабатываемых персональных данных).
Несмотря на то, что новые требования к обработке персональных данных серьезны, в них есть положительные стороны для внеевропейских игроков: легче придерживаться единого набора правил защиты и обработки данных, чем учитывать национальные нюансы обработки персональных данных каждой отдельной страны ЕС, как это приходилось делать до введения GDPR. Более того, реформа направлена на стимулирование экономического роста путем сокращения расходов и бюрократии для компаний, работающих в ЕС. Соблюдение одного правила вместо 28 (количество стран-членов ЕС) поможет маленьким и развивающимся компаниям выйти на новые рынки. Согласно закону в ряде случаев обязательства изменяются в зависимости от размера бизнеса, природы обрабатываемых данных и иных факторов.
Также следует заранее продумать механизмы реагирования на запросы европейских регуляторов и субъектов персональных данных (пользователей), которые возможны в рамках GDPR (например, об уточнении данных, их удалении, прекращении обработки или передаче другой компании по праву на переносимость данных).
Исходя из всего вышеперечисленного можно сделать вывод о том, что общие правила защиты данных являются неотъемлемой частью нашей жизни, а также экономики. Соблюдение правил GDPR – непрерывный процесс, который со временем постоянно развивается, корректируется и, которому нужно соответствовать. 

Список литературы:
Иванов А.А. Хранение персональных данных за рубежом с точки зрения российского права // Закон. 2015. № 1. С. 134–143.
Директива (ЕС) 2016/680 Европейского парламента и Совета
	Mayer F. Europe and the Internet: The Old World and the new medium // The European Journal of International Law. 2000. Vol. 11. N 1. P. 149–169.