Захист персональних даних та data privacy для бізнесу

Ні. GDPR є одним із ключових регламентів у сфері захисту персональних даних, але privacy compliance не обмежується лише ним. Залежно від бізнес-моделі та юрисдикцій можуть застосовуватись українське законодавство, законодавство інших країн, договірні вимоги клієнтів, правила платформ, галузеві стандарти та міжнародні підходи до data protection.

GDPR може застосовуватись до компанії за межами ЄС, якщо вона обробляє персональні дані осіб, які перебувають у ЄС, у зв’язку з пропонуванням їм товарів чи послуг або моніторингом їхньої поведінки в ЄС. Тому українські IT-компанії, SaaS-продукти, e-commerce бізнеси, маркетплейси та AI-сервіси можуть підпадати під GDPR залежно від фактичної моделі роботи.

Ні. Privacy policy є лише одним із документів. Повноцінна робота з персональними даними зазвичай включає аналіз процесів обробки, правових підстав, ролей сторін, договорів з процесорами, міжнародних передач, строків зберігання, технічних та організаційних заходів безпеки, а також процедур реагування на запити суб’єктів даних.

Data mapping це опис того, які персональні дані збирає компанія, звідки вони надходять, для яких цілей використовуються, кому передаються, де зберігаються, як довго обробляються та які сервіси залучені до обробки. Це базовий етап побудови privacy compliance.

Правові підстави залежать від застосовного законодавства та конкретного процесу обробки. У GDPR, зокрема, передбачені такі legal bases: згода, виконання договору, юридичний обов’язок, захист життєво важливих інтересів, виконання завдання в публічному інтересі та legitimate interests. Конкретна підстава має визначатися окремо для кожної цілі обробки.

Ні. Згода є лише однією з можливих правових підстав. Наприклад, для виконання договору, виконання юридичного обов’язку або захисту legitimate interests можуть застосовуватись інші підстави. Використання згоди має бути обґрунтованим, а не автоматичним рішенням для всіх процесів.

Data Processing Agreement, договір або розділ договору, який регулює обробку персональних даних між сторонами, наприклад між controller та processor. Він визначає предмет, тривалість, характер, мету обробки, тип персональних даних, категорії суб’єктів даних, обов’язки сторін та вимоги до безпеки.

DPO потрібен не завжди. Необхідність призначення Data Protection Officer залежить від юрисдикції, типу компанії, характеру діяльності, масштабу обробки, категорій даних та рівня ризику. Наприклад, GDPR передбачає обов’язкове призначення DPO у визначених випадках, зокрема для публічних органів або для компаній, основна діяльність яких передбачає регулярний і систематичний моніторинг у великому масштабі чи обробку спеціальних категорій даних у великому масштабі.

EU representative може бути потрібен компаніям, які не мають establishment у ЄС, але підпадають під територіальну дію GDPR. Необхідність призначення представника залежить від конкретної моделі обробки даних та наявності винятків.

DPIA потрібен, якщо певний тип обробки, особливо з використанням нових технологій, з огляду на характер, обсяг, контекст і цілі обробки, ймовірно створює високий ризик для прав і свобод фізичних осіб. Це може бути релевантно для AI-продуктів, profiling, scoring, автоматизованого прийняття рішень, обробки спеціальних категорій даних або масштабного моніторингу.

Так. Якщо компанія використовує AI tools для обробки даних користувачів, клієнтів, працівників або інших фізичних осіб, потрібно оцінити, які дані передаються до таких інструментів, хто є постачальником, де обробляються дані, чи використовуються вони для тренування моделей, які є налаштування конфіденційності та які договірні умови застосовуються.

Почати варто з data mapping: визначити, які дані збираються, для яких цілей, на яких підставах, кому передаються, де зберігаються та як довго використовуються. Після цього можна готувати документи, перевіряти договори з постачальниками, налаштовувати cookie / consent механіку, внутрішні процедури та процеси реагування на запити суб’єктів даних.