Общее регулирование защиты данных (ВВП)

Общий регламент по защите данных (GDPR) был принят в Европейском союзе (ЕС) в 2016 году и обязывает все предприятия защищать обновленное определение персональных и частных данных граждан ЕС при совершении транзакций на территории государств-членов ЕС. Директива устанавливает правила защиты данных, обеспечивающие прозрачность и расширенные права на неприкосновенность частной жизни для граждан ЕС.

Каково обновленное определение конфиденциальности?

Основное определение персональных данных — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу (субъекту данных).

Примеры персональных данных, подпадающих под действие GDPR:

• Имя и фамилия
• Email
• Номер телефона
• Домашний адрес
• Дата рождения
• Гонки
• Генетические маркеры или выявленные предрасположенности
• пол
• Религиозная принадлежность
• Политические мнения
• Номера кредитных карт
• Данные, хранящиеся в больнице или у врача
• Фотография, на которой можно идентифицировать человека
• Номер удостоверения личности
• Идентификатор cookie-файла
• IP-адрес
• Данные о местоположении (например, данные о местоположении с мобильного телефона)
• Рекламный идентификатор вашего телефона

В соответствии с GDPR, при обнаружении утечки данных компании обязаны уведомить всех пострадавших лиц и надзорные органы в течение 72 часов. Регламент GDPR распространяется на все конфиденциальные данные, созданные для жителей ЕС, независимо от того, являются ли они гражданами стран ЕС или нет.

GDPR устанавливает штрафные санкции за несоблюдение требований. Несоблюдение предписаний GDPR может повлечь за собой штрафы в размере от 10 миллионов евро до четырёх процентов от годового мирового оборота компании.

В соответствии с GDPR, компании не могут на законных основаниях обрабатывать персональные данные каких-либо лиц, не соблюдая хотя бы одно из следующих шести условий:

1. Явное согласие пользователя; или обработка данных о конфиденциальности необходима:

1. для исполнения договора с пользователем или для принятия мер по заключению договора; или
2. за соблюдение юридического обязательства; или 
3. для защиты жизненно важных интересов пользователя или другого лица; или
4. для выполнения задачи, осуществляемой в общественных интересах или при осуществлении официальных полномочий, возложенных на контролера; или
5. для целей законных интересов, преследуемых контролером или третьей стороной, за исключением случаев, когда такие интересы перевешиваются интересами, правами или свободами пользователя.

Кроме того, компании, осуществляющие масштабную обработку данных или мониторинг субъектов данных, обязаны назначить ответственного по защите данных (DPO). DPO является официальным лицом, ответственным за управление данными и обеспечение соблюдения компанией GDPR. Это лицо отвечает за применение соответствующих принципов защиты данных при обработке персональных данных.

Что это означает для малого и среднего бизнеса?

Компаниям, работающим за пределами ЕС и не обрабатывающим персональные данные субъектов данных ЕС, как указано в списке выше, не нужно беспокоиться о самом GDPR. Однако аналогичное законодательство действует в большинстве стран мира, поэтому компаниям следует сосредоточиться на изучении прав на конфиденциальность данных в своей стране. Определив свои правовые обязательства в своей стране, вам следует разработать план уведомления о нарушениях.

Важность плана уведомления о нарушениях

Крайне важно иметь план уведомления всех пользователей и соответствующих органов, замешанных в утечке данных. Разбираться с тем, как уведомлять пользователей и какие законы и требования применимы к вашей стране, нужно не во время утечки, а до неё. В США законы о конфиденциальности данных в отдельных штатах представляют собой лоскутное одеяло. Действующего федерального закона нет. При подготовке к уведомлению об утечке данных обязательно обратитесь к внешним консультантам и экспертам, которые помогут вам соблюдать требования каждого штата, в котором у вас могут быть данные (или страны, в зависимости от ситуации).

Правила конфиденциальности данных в разных странах (пример): 

• Европейский Союз Положение о защите данных Общие (GDPR)
• Закон о защите прав потребителей Калифорнии (2018)
• Поправка к закону о конфиденциальности в Австралии Закон 2017 года о подлежащих уведомлению утечках данных
• Закон о защите личной информации и электронных документов (ПИПЕДА)
• Закон Германии о защите данных в сравнении с GDPR (БДСГ)

CyberHoot рекомендует вам ознакомиться с законами, регулирующими деятельность вашей компании, и подготовить документ о процессе уведомления о нарушении, отражающий его. Не забывайте также ежегодно тестировать этот процесс.

Лучшая защита от штрафов за утечку данных — отсутствие утечки вообще

Помимо внедрения процесса уведомления о нарушениях, ваша компания может предпринять множество других действий для снижения риска нарушений. CyberHoot рекомендует следующие основные меры противодействия нарушениям:

• Обучайте и тестируйте сотрудников, как выявлять и избегать фишинг, smishing и Вишинг нападения;
• Управлять сотрудниками с помощью набора политик кибербезопасности, устанавливающих требования компании к кибербезопасности;
• Использовать принцип наименьших привилегий путем лишения прав администратора пользовательских компьютеров и ноутбуков;
• Используйте менеджер паролей, чтобы улучшить гигиену паролей сотрудников;
• Включить двухфакторную аутентификацию для всех критически важных учетных записей (электронная почта, банк и т. д.); а также
• Проходите аутентификацию клиентов в вашей компании, когда они обращаются с важными запросами (запрашивают информацию, вносят изменения в бронирование, снимают средства с кредитной карты и т. д.). Компании, имеющие доступ к номерам мобильных телефонов клиентов, должны отправлять SMS-сообщение с кодом аутентификации каждому отправителю запроса на изменение.

Чтобы узнать больше о GDPR, посмотрите это короткое 5-минутное видео:

источники: 

CSO Online

TechTarget

ZDNet

Дополнительная литература:

Booking.com оштрафован после атаки вишинга

Регулирование не ограничивается CCPA в Калифорнии

Связанные термины:

Калифорнийский закон о защите прав потребителей (CCPA)

Узнайте, как CyberHoot может защитить ваш бизнес.

График демо