Общий регламент по защите данных, Общий регламент защиты персональных данных, Генеральный регламент о защите персональных данных (; Постановление 2016/679) — постановление Европейского союза, с помощью которого Европейский парламент, Совет Европейского союза и Европейская комиссия усиливают и унифицируют защиту персональных данных всех лиц в Европейском союзе (ЕС). .

GDPR направлен прежде всего на то, чтобы дать гражданам контроль над собственными персональными данными, и на упрощение нормативной базы для международных экономических отношений путём унификации регулирования в рамках ЕС.

В законе расширено понятие персональных данных, введены понятия трансграничной передачи данных, псевдонимизации, установлен ряд прав субъектов персональных данных, определена роль должностного лица по защите данных ().

В частности, введены понятия: контролёр данных — физическое или юридическое лицо, государственный орган, учреждение или другой орган, который самостоятельно или совместно с другими определяет цели и средства обработки персональных данных, например, социальная сеть или служба такси; обработчик данных — это физическое или юридическое лицо, государственный орган, учреждение или другой орган, который обрабатывает персональные данные от имени по поручению контролера, например, поставщик облачных услуг; субъект данных (лицо) — физическое лицо, данные которого обрабатываются; специальные категории персональных данных — данные о расе, политическом мнении, религиозных или философских убеждениях, генетические данные, членство в профсоюзах, биометрические данные, позволяющие определить конкретного человека, данные о здоровье, сексуальная ориентация.

Важным моментом является то, что GDPR применим и к тому, кто обрабатывает данные (процессор или обработчик), и к тому, кто собирает данные (контролёр). Контролёр определяет цель и значение обработки персональных данных, а процессор ответственен за непосредственную обработку данных, но оба несут ответственность за соблюдение норм GDPR.

За невыполнение закона накладывается штраф до 20 000 000 евро или до 4 % от годового мирового оборота компании за предыдущий финансовый год, в зависимости от того, что больше.

История Регламент GDPR заменил директиву от 1995 года. Постановление было принято 27 апреля 2016 года, вступило в силу 25 мая 2018 года после двухлетнего переходного периода и, в отличие от директивы, не требует от правительств стран — участниц ЕС никаких изменений в локальных законодательствах и, таким образом, является непосредственно обязательным к исполнению. Это применимо не только к странам — участницам ЕС, но также к любому юридическому лицу, обрабатывающему персональные данные лиц ЕС.

Ключевые принципы Закон определяет шесть принципов обработки персональных данных:

законность, справедливость и прозрачность — должны быть легальные основания в рамках GDPR для сбора и использования данных, ненарушение любых законов, открытость, честность от начала и до конца об использовании персональных данных; ограничение целью — обработка должна сводиться к тому, что было заявлено субъекту данных. Все конкретные задачи должны быть закреплены в политике конфиденциальности и должны чётко соблюдаться; минимизация данных — использование минимально необходимого объёма данных для выполнения поставленных целей; точность — персональные данные должны быть точными и не должны вводить в заблуждение; ошибочные данные подлежат корректировке; ограничение хранения данных — не хранить данные дольше, чем нужно, периодически проводить аудит данных и удалять неиспользуемые; целостность и конфиденциальность, безопасность — хранить данные в безопасном месте и уделять достаточное внимание сохранности данных.

Также закон устанавливает ключевой принцип для обработчиков данных:

подотчётность — ответственность за обработку персональных данных и выполнение всех остальных принципов GDPR, включая записи о конфиденциальности, защите, использовании, проверке данных, а также возможность продемонстрировать следование принципам закона по запросу.

Права субъектов персональных данных Закон существенно расширяет права пользователей в отношении их персональных данных:

право на доступ к данным (статья 15); право на внесение исправлений (статья 16); право на удаление данных (статья 17); право на ограничение обработки (статья 18); право на получение информации (статья 19); право на переносимость данных (статья 20); право на возражение (статья 21); право не становиться объектом решения, основанного исключительно на автоматизированной обработке (статья 22).

Примечания

Ссылки

Текст регламента Перевод Регламента на русский язык Анализ возможных последствий и влияния Регламента General Data Protection Regulation General Data Protection Regulation (GDPR) — Final text neatly arranged Сайт Европейской службы внешних связей Что надо знать о GDPR | Директор информационной службы | Издательство «Открытые системы» До вступления в силу GDPR осталось меньше года | Директор информационной службы | Издательство «Открытые системы» Кого коснётся GDPR в России | Директор информационной службы | Издательство «Открытые системы» Как защитить персональные данные в соответствии с GDPR | Директор информационной службы | Издательство «Открытые системы» Data privacy by design: a new standard ensures consumer privacy at every step What does the General Data Protection Regulation (GDPR) govern? | European Commission Guide to the General Data Protection Regulation (GDPR)

Категория:Постановления Европейского союза Категория:Управление данными Категория:Информационная безопасность