Общий регламент по защите данных (GDPR) — закон Европейского союза, который определяет, как организации собирают, используют и защищают персональные данные людей в ЕС, и предусматривает штрафы до 4% мирового годового оборота.
Как работает GDPR
GDPR, официально Регламент (ЕС) 2016/679, был принят в 2016 году и применяется с 25 мая 2018 года. Он распространяется на любую организацию, которая обрабатывает персональные данные людей в ЕС, независимо от того, где она находится. Ключевые принципы — законность, ограничение целей, минимизация данных, точность, ограничение срока хранения, целостность и конфиденциальность, а также подотчётность. Граждане получают право на доступ к своим данным, их исправление, удаление и перенос, а также право возражать против обработки.
Почему GDPR важен для кибербезопасности
Регламент превращает безопасность в юридическую обязанность:
- Статья 32 требует «надлежащих технических и организационных мер» и прямо упоминает шифрование и псевдонимизацию.
- Статья 33 обязывает уведомить надзорный орган об утечке персональных данных в течение 72 часов с момента, когда о ней стало известно; статья 34 требует информировать пострадавших при высоком риске. Поэтому хороший план реагирования на инциденты включает юридический трек.
- Штрафы достигают 20 млн евро или 4% мирового оборота — в зависимости от того, что больше.
Правоприменение оказалось существенным: в 2023 году ирландская Комиссия по защите данных оштрафовала Meta на рекордные 1,2 млрд евро за передачу пользовательских данных в США, а Amazon в 2021 году получила штраф 746 млн евро в Люксембурге. К санкциям приводили и утечки из-за слабой защиты, а сам GDPR вдохновил похожие законы по всему миру, включая UK GDPR и бразильский LGPD.
Как организации соблюдают GDPR
- Составить карту того, где хранятся персональные данные и зачем они обрабатываются.
- Применять принцип privacy by design, контроль доступа, шифрование и DLP-системы.
- Назначить инспектора по защите данных (DPO), где это требуется, и проводить оценку воздействия на защиту данных (DPIA).
- Подготовить и протестировать процедуру уведомления об утечках.
