L'impact du RGPD sur les opérateurs de données personnelles russes

Publié par: Anastasia Zavedenskaya, analyste adjointe, Centre analytique de UTSB LLC
Réviseurs: Ekaterina Rubleva et Konstantin Samatov, chefs de la direction, Centre analytique de l'UTSB LLC

Une entreprise qui traite des données personnelles est considérée comme son opérateur. Très probablement, cette entreprise connaît la loi fédérale du 27 juillet 2006 n ° 152-FZ sur les données personnelles et ses exigences. Et si l'entreprise a des clients dans l'Union européenne ou si vous souhaitez les attirer? Ou tout simplement avoir un site Internet sur Internet avec des formulaires à remplir par l'utilisateur? Ensuite, vous devez comprendre ce que sont le RGPD et sa portée.

En 1995, les pays de l'UE ont adopté la directive n ° 95/46 / UE sur la protection des droits des individus dans le traitement des données personnelles. Mais tout change, et le 25 mai 2018, il a été remplacé par le règlement général sur la protection des données, adopté par le Parlement européen en avril 2016, simplement abrégé GDPR.

L'utilisation du RGPD sera approuvée dans trois autres pays de l'Association européenne de libre-échange (AELE), et plus précisément en Islande, au Liechtenstein et en Norvège, qui ne sont pas membres de l'UE. Le site Internet de l'AELE (AELE), dans un article sur «Intégrer le RGPD dans l'EEE (Espace économique européen) et continuer à appliquer la directive 95/46 / CE», indique que l'EPR devrait être adopté par le Comité mixte de l'EEE (EEE) Mixte) et son entrée en vigueur dans les États de l'AELE membres de l'EEE à la mi-juillet 2018. Jusque-là, la directive sur la protection des données n ° 95/46 / CE reste applicable dans l'accord EEE, garantissant ainsi la possibilité d'une distribution sans entrave des données entre l'EEE-AELE et les États membres de l'UE.

À qui le RGPD est-il applicable?

Vous devez d'abord comprendre qui doit suivre les exigences du RGPD et qui ne relève pas de ses exigences.



Figure 1 - Algorithme pour déterminer la portée du RGPD

Sur la base du texte du document, ses exigences s'appliquent non seulement aux organisations européennes, mais également à toutes les entreprises travaillant avec des données personnelles de citoyens de l'UE ou de personnes situées dans l'UE (voir Fig.1). Dans le même temps, l'emplacement de l'entreprise elle-même n'a pas d'importance.

Ainsi, si une entreprise est enregistrée dans l'UE ou, par exemple, dans l'Islande, le Liechtenstein et la Norvège susmentionnés, alors, quel que soit le lieu du processus de traitement lui-même, il s'agit sans ambiguïté du RGPD.

Pour comprendre si une organisation fournit des services ou des biens à des personnes situées dans l'UE, même son intention d'offrir des services / biens sera suffisante. Selon le RGPD, l'intention devient évidente si le site Web de l'entreprise utilise la langue et la monnaie nationales d'un État membre de l'Union européenne, et une commande dans cette langue est possible. Ou il y a des références aux consommateurs ou utilisateurs qui sont dans l'Union européenne.

Bien que même si le site est entièrement en russe et que sa disponibilité pour les citoyens de l'UE ne montre pas d'intentions, vous ne pouvez pas être complètement sûr que personne, étant dans l'Union européenne, n'utilisera ses services. Par conséquent, il est recommandé de se conformer aux exigences du RGPD dans tous les cas.

Un autre concept intéressant et pertinent dans le contexte du RGPD est le suivi. La surveillance dans le RGPD fait référence au suivi des individus sur Internet avec l'utilisation ultérieure ou l'application potentielle de diverses technologies de traitement des données personnelles pour analyser ou prédire les préférences, les caractéristiques personnelles et les caractéristiques comportementales. Autrement dit, si l'entreprise prend des mesures pour étudier le comportement des personnes situées dans l'UE, à des fins de marketing, de statistiques, etc. - c'est la surveillance. Par exemple, Yandex.Metrica, Google Analytics, etc. sont installés sur le site Web de l'organisation, donc le RGPD doit être appliqué. Parce que, comme déjà mentionné, il n'y a aucune garantie qu'une personne de l'UE ne se rendra pas sur le site sur lequel ces services sont utilisés.

Il est important de savoir que l'organisation doit désigner un représentant dans l'UE lorsqu'au moins une des conditions suivantes est remplie:

1. le traitement est en cours;
2. traitement à grande échelle de catégories spéciales de données personnelles;
3. les données personnelles traitées liées à des condamnations pénales ou à des délits;
4. le risque de violation des droits et libertés de la personne est élevé.

Selon le RGPD, des catégories spéciales de données personnelles sont définies de manière similaire à la législation russe. À l'exception du fait que les données sur les condamnations et les délits sont publiées séparément, avec l'obligation de contrôler leur traitement par un organisme officiel ou autorisé par la loi de l'État.

Un représentant peut être une personne physique ou morale spécifiquement autorisée sur la base des documents pertinents. Le représentant doit être situé dans le pays de l'UE dans lequel se trouvent les personnes concernées. Sa tâche au nom de l'entreprise est d'interagir avec les autorités de l'UE et les citoyens, afin de se conformer aux instructions de l'entreprise. Il est également tenu responsable des violations.

Par exemple, une entreprise russe qui n'a pas de filiales en Finlande fournit constamment ses services à ses citoyens. Cela signifie que l'entreprise doit désigner un représentant officiellement situé en Finlande. S'il existe une filiale, elle peut être désignée comme représentant.

Il s'avère que le règlement général sur la protection des données a une couverture assez large, et si tout est assez logique avec les entreprises de l'UE, alors d'autres pays sont également tombés sous la distribution. Il devient clair que les organisations russes, orientées client vers l'Union européenne, doivent également se conformer aux exigences du RGPD.

Supposons qu'une petite entreprise russe possède une boutique en ligne et qu'un citoyen letton achète ses produits. Cela signifie que les exigences du RGPD s'appliquent à cette boutique en ligne, car les données personnelles d'un citoyen de l'UE y seront traitées. Si le site de cette société a initialement une version anglaise et fixe des prix en devise en fonction de l'état de l'utilisateur, il rentre également dans le champ d'application du RGPD. Et dans tous les cas, si l'entreprise ne travaille pas personnellement avec chaque client, vous ne pouvez pas savoir exactement d'où vient le client. Cela signifie que même un site Web entièrement russe d'une petite entreprise doit être préparé pour répondre aux exigences du RGPD.

La liste des entreprises couvertes par le RGPD peut être prolongée pendant longtemps, mais jusqu'à présent, il n'existe aucune pratique d'application de la loi, selon l'auteur, il est nécessaire d'analyser à qui les actions de l'entreprise sont destinées et avec qui elle interagit.

Quels rôles offre le RGPD?

Comme tout processus, le traitement des données a deux faces - celle dont les données sont traitées, c'est-à-dire Le sujet des données personnelles et celui qui traite ces données. Arrêtons-nous plus en détail sur le second. Les concepts de contrôleur (contrôleur de données anglais) et de processeur (processeur de données anglais) sont introduits dans le RGPD.

Nous traiterons ces conditions sur la base du RGPD et des explications données sur le site Internet de la Commission européenne.

Le responsable du traitement, conformément au paragraphe (7) de l'article 4 du RGPD, est constitué de personnes physiques ou morales, de divers organismes et agences qui déterminent dans quel but et par quels moyens les données sont traitées.

Le responsable du traitement est entièrement responsable du respect des exigences relatives au traitement et à la protection des données personnelles. Le contrôleur doit pouvoir vérifier la conformité.

Il s'avère que l'entreprise décide "pourquoi?" et "comment?" données personnelles traitées, il s'agit d'un responsable du traitement. Les employés de l'entreprise de traitement le font en tant que contrôleur de données.

Si une entreprise, conjointement avec une ou plusieurs organisations, détermine conjointement «pourquoi?» et "comment?" données personnelles traitées, il peut être appelé un contrôleur conjoint (contrôleur conjoint anglais). Les contrôleurs conjoints concluent un accord précisant les obligations de se conformer aux exigences du RGPD. Les principaux aspects de cet accord devraient être transférés aux personnes dont les données sont traitées.

Le sous-traitant (sous-traitant), conformément au paragraphe (8) de l'article 4 du RGPD, est des personnes, des personnes physiques ou morales, divers organismes et agences qui sont engagés dans le traitement de données à caractère personnel pour le compte du responsable du traitement.

Il s'avère que le processeur n'a le droit de traiter des données personnelles qu'au nom du responsable du traitement. Un processeur de traitement de données, par exemple, peut être une société tierce impliquée dans le traitement de données.

Une organisation peut être un contrôleur de données ou un processeur de données, ou les deux en même temps.

Dans la loi fédérale du 27 juillet 2006 n ° 152-FZ «sur les données personnelles», il existe un concept d'opérateur, qui est similaire à un responsable du traitement, et un processeur est similaire à une personne qui traite des données personnelles pour le compte de l'opérateur.

RGPD et n ° 152-FZ «Sur les données personnelles». Général et différences

Tout document réglementaire utilise ses propres règles de définition, les considère et les compare.

Les données personnelles, conformément à l'article 3 de la loi fédérale sur les données personnelles, sont toutes les informations qui vous permettent directement ou indirectement d'identifier une personne. La clause (1) de l'article 4 de la RDA fournit une définition similaire, sauf qu'au lieu du mot «définir», «identifier» est utilisé.

Les termes sont similaires, mais le RGPD parle plus en détail des informations relatives aux données personnelles. Où obtenons-nous que les informations qui permettent de déterminer l'identité de la personne concernée sont des données personnelles. Peu importe si le sujet peut être directement identifié par eux ou si des outils ou programmes spéciaux sont nécessaires.

Le RGPD contient la liste suivante de données personnelles:

1. Prénom;
2. Numéro d'identification;
3. Données de localisation;
4. Identifiant en ligne;
5. La combinaison d'identifiants / indicateurs.

La chose la plus difficile avec les identifiants en ligne. Il s'agit notamment des adresses IP, des cookies, etc. Une adresse IP, par exemple, peut amener une certaine personne à accéder à Internet, ou elle peut simplement montrer le point d'accès au réseau, c'est-à-dire dans certains cas, il peut être utilisé pour déterminer une personne uniquement en conjonction avec d'autres données. Le fait qu'une adresse IP se rapporte à des données personnelles est un point discutable et dépend du contexte de la situation. Mais comme le RGPD se concentre sur les identifiants en ligne, il est recommandé de les protéger également.

Les principes et conditions de traitement sont énoncés aux articles 5, 6 de la loi fédérale sur les données personnelles et aux articles 5.6 du RGPD.

La loi sur les données personnelles de la Fédération de Russie contient 7 principes de traitement, et le RGPD en contient 6. Tous les principes sont comparables, sauf que la législation russe clarifie l'interdiction de combiner des bases de données créées à des fins incompatibles. Un complément important aux principes du RGPD est le principe de transparence / transparence. A savoir, toutes les informations et messages liés au traitement des données personnelles étaient facilement accessibles au sujet et clairs à sa compréhension, c'est-à-dire qu'un langage clair et simple était utilisé. De plus, le RGPD définit la sécurité des données personnelles comme un principe [p. (f), article 5, RGPD,], mais avec nous, il est plus susceptible d'être présenté comme un devoir.

Les conditions dans lesquelles le traitement est licite sont également comparables. Ce faisant, le RGPD permet aux États d'introduire leurs exigences de traitement.

L'article 9 de la loi fédérale sur les données personnelles et l'article 7 du RGPD décrivent le consentement du sujet au traitement des données personnelles. Les deux documents parlent de concrétisme, de conscience et de conscience. Il est important que le RGPD exige que le consensus soit compilé dans un langage compréhensible et facilement accessible. Le consentement au traitement des données doit être donné séparément des autres conditions et accords. Il doit inclure tous les objectifs de traitement. Le processus de retrait du consentement doit être aussi simple que son obtention - voici comment cocher la case et la retirer.

Il s'avère que l'accord ne doit pas être ambigu, mais précis - "Je suis d'accord ...". Il doit inclure une liste d'objectifs de traitement spécifiques. Il est également impossible d'utiliser, par exemple, des cases à cocher pour définir le consentement par défaut. Cela est contraire à la liberté de consentement. Et l'opérateur doit toujours être prêt à confirmer que le sujet a donné son consentement.

L'une des principales différences du RGPD est qu'il établit des règles spéciales pour consentir à la fourniture de services de la société de l'information aux mineurs. Si un enfant de 16 ans est impliqué dans le traitement de données personnelles, alors c'est légal. Pour les enfants de moins de 16 ans, le consentement doit être donné par une personne exerçant des fonctions parentales ou tutrices.

Les deux documents à l'examen décrivent de manière assez détaillée les droits de la personne concernée. Là et là, les individus peuvent recevoir leurs données et informations sur la façon dont ils sont traités, peuvent corriger, supprimer des informations les concernant. L'essentiel est que, conformément à la loi fédérale sur les données personnelles, une entité peut recevoir des informations sur le traitement des données personnelles lors de la collecte de données sur demande. Et selon le RGPD, l'organisation est tenue de fournir toutes les informations sur le traitement au moment de la réception des données personnelles. Le RGPD décrit la suppression et la modification d'informations comme le droit du sujet, et la loi russe comme le devoir de l'opérateur. La personne concernée peut toujours retirer son consentement au traitement et demander la suppression des données la concernant.

Une autre différence importante du RGPD est qu'il existe un droit distinct de transférer ses données. Une entreprise opérant dans le cadre du RGPD doit comprendre que lorsqu'un sujet demande des informations qui lui ont été précédemment fournies, il est tenu de les fournir sans entrave. Le RGPD précise que ces données doivent être structurées et avoir un format lisible par machine. De plus, à la demande de l'utilisateur, l'organisation doit transférer ses données à toute autre organisation. Tout cela est nouveau pour les exigences légales.

Il y a une section distincte dans le RGPD sur le délégué à la protection des données. Ce rôle est similaire à la personne désignée comme responsable de l'organisation du traitement des données personnelles de la loi russe. Selon le RGPD, si une organisation surveille constamment des entités ou traite des catégories spéciales à grande échelle, elle doit nommer un délégué à la protection des données. Sinon, la nomination est faite à la discrétion de l'organisation ou sur la base des lois de son état. Conformément à la loi fédérale sur les données personnelles, l'opérateur est obligé de nommer une personne responsable de l'organisation du traitement des données, dans tous les cas.

Lors de l'énumération des mesures de sécurité, la loi fédérale sur les données personnelles fait référence à la comptabilisation du traitement des données personnelles. À son tour, le RGPD oblige également à conserver ces enregistrements sous une forme documentée, y compris sous forme électronique. Aucune obligation n'est imposée aux organisations de moins de 250 employés, si elles ne procèdent pas à un traitement continu, ne traitent pas à grande échelle des catégories spéciales ou des données sur les condamnations, les infractions. Selon l'auteur, il est conseillé de conserver ces enregistrements dans tous les cas.

Si l'entreprise est un contrôleur, la comptabilité doit contenir:

1. des informations sur le responsable du traitement, son représentant et le délégué à la protection des données (le cas échéant);
2. objectifs de traitement;
3. des informations sur les personnes concernées et les catégories de données à caractère personnel traitées;
4. des informations sur d'autres destinataires de données personnelles;
5. dates de suppression des données, si possible;
6. Description des mesures de sécurité, si possible.

Si l'entreprise est un transformateur, la comptabilité doit contenir:

1. Informations sur le processeur, le responsable du traitement et, si possible, son représentant et son délégué à la protection des données;
2. le traitement des informations;
3. des informations sur d'autres destinataires de données personnelles;
4. dates de suppression des données, si possible;
5. Description des mesures de sécurité, si possible.

L'organisation doit être prête à fournir ces informations au superviseur à tout moment.

Quelles sont les données personnelles elles-mêmes, alors «comment?», «Pourquoi?» et "pourquoi?" ils sont en cours de traitement, quelles mesures sont utilisées pour protéger les informations, ce que le sujet peut faire et ce que l'opérateur est obligé de faire - ces points clés sont similaires dans la loi fédérale sur les données personnelles et le RGPD. Mais voici ce qu'il faut faire si, néanmoins, une fuite de données indésirable s'est produite, cela n'est spécifiquement indiqué que dans le RGPD. Ainsi, si une entreprise autorise néanmoins une fuite de données à caractère personnel, elle est obligée d'en informer le superviseur et l'entité qui en a subi les pertes dans un court laps de temps. Sinon, l'entreprise sera condamnée à une amende. En vertu du RGPD, un superviseur est nommé dans chaque pays par les actes juridiques réglementaires pertinents. Les dirigeants de ces organes de contrôle forment le Conseil européen de la protection des données.

Et le plus intéressant: pour renforcer le respect obligatoire des normes, le RGPD introduit des amendes pour toute violation. Le montant des amendes atteint jusqu'à 20 millions d'euros soit 4% du cash-flow de l'entreprise (le montant le plus élevé est retenu). Mais en réalité - tout n'est pas si effrayant. Dans les cas où la violation est mineure, une simple réprimande peut être faite. Les sanctions intangibles peuvent également inclure une interdiction par le superviseur du traitement des données personnelles (ou de leur transfert à la contrepartie) jusqu'à ce que la violation soit corrigée.

La sanction, tout d'abord, devrait avoir un effet convaincant, ce qui signifie qu'elle peut varier considérablement à l'intérieur du montant établi. Le montant de l'amende est fixé en fonction des caractéristiques de l'infraction elle-même:

1. la nature, la gravité et la durée de l'infraction;
2. intentionnellement ou par négligence, une violation complète;
3. des mesures pour réduire les dommages;
4. mesures de protection utilisées;
5. violations passées;
6. catégories de données personnelles affectées par la violation;
7. comment la violation a été connue;
8. d'autres facteurs aggravants et atténuants.

C'est-à-dire, par exemple, que la notification de fuite précédemment considérée est un facteur important pour atténuer la peine.

Pour résumer

Le règlement général sur la protection des données est un nouveau document volumineux avec un long préambule et 99 articles, que chacun peut interpréter à sa manière. Mais si une entreprise ne veut pas être soumise à une amende de plusieurs millions de dollars, il est nécessaire de se conformer aux exigences du RGPD et, bien sûr, de ne pas oublier la loi fédérale sur les données personnelles et ses statuts.

Si vous êtes une entreprise russe, vous devez d'abord déterminer si le champ d'application de l'organisation entre dans le champ d'application du RGPD.

S'ils sont inclus, les actions prioritaires qui doivent être prises pour aligner les nouvelles exigences seront les suivantes:

déterminer si un représentant dans l'UE est nécessaire. Attribuez-le si nécessaire.
Vérifier la disponibilité des informations aux sujets du processus de traitement (objectifs, périodes de stockage, informations sur les droits de la personne concernée, etc.), ainsi que l'existence de processus structurés et documentés pour répondre au traitement des sujets de données personnelles.
Vérifiez le consentement au traitement des données personnelles pour vérifier la conformité aux exigences du RGPD. Il doit être indiqué dans un langage compréhensible, en particulier, contenir tous les objectifs de traitement, situés séparément des autres conditions / accords. Le consentement est donné sur la base d'actions actives et non «par défaut» ou d'inaction. Si nécessaire, mettez-le à jour.

Vérifiez la conformité des données personnelles traitées avec les objectifs de traitement spécifiés.
Gardez une trace de toutes les activités de traitement des données personnelles

Réaliser une évaluation de l'impact de la protection des données, c'est-à-dire déterminer le degré d'importance de chaque processus métier spécifique lié au traitement des données personnelles en évaluant les dommages causés lors d'un dysfonctionnement.

Vérifiez la conformité des mesures de sécurité avec le RGPD. Si nécessaire, améliorez-les.

Introduire des processus bien organisés et documentés pour la notification d'un incident par un superviseur, de préférence dans les 72 heures suivant la détection. Inclure des informations sur la nature de la fuite, des informations pour la rétroaction, les conséquences possibles, des mesures pour éliminer la fuite dans les notifications. Si possible, informez le sujet des données personnelles s'il existe un risque pour ses droits et libertés et si les données n'ont pas été cryptées, dans un délai raisonnable.

Soyez prêt à apporter la preuve de la légitimité des activités de traitement de PD.