Особенности применения GDPR для российских операторов персональных данных

Для начала напомню, что у GDPR расширена территориальная сфера применения (ст. 3):

1.  GDPR применяется к обработке персональных данных в контексте деятельности по учреждению контроллера или обработчика в ЕС, независимо от того, осуществляется ли обработка в ЕС или нет.
2.  GDPR применяется к обработке персональных данных субъектов персональных данных, находящихся в ЕС, обработанных контроллером или обработчиком, которые не учреждены в Евросоюзе, когда деятельность по обработке связана с:
   (a) предложением товаров или услуг, вне зависимости от того, требуется ли оплата от этого субъекта данных в ЕС;
   или
   (b) мониторингом их действий, поскольку их действия совершаются на территории ЕС.

То есть интернет-магазин с доставкой товаров в ЕС и гостиница, которая в соцсетях показывает таргетированную рекламу для европейцев, подпадают под область действия GDPR. Это частные случаи. На самом деле не каждая организация, обрабатывающая персональные данные европейцев (субъектов персональных данных, находящихся в ЕС), должна выполнять GDPR…

EDPB (European Data Protection Board) выпустила уже вторую редакцию разъяснений по этому вопросу (Guidelines 3/2018 on the Territorial Scope of the GDPR). Документ крайне интересен своими комментариями и примерами. Так, в новой его версии появились дополнительные кейсы про иностранные компании. В частности, пример № 8 говорит про то, что если услуга оказывается только гражданам не из ЕС и она продолжает оказываться им при нахождении в ЕС (например, когда они в качестве туриста в ЕС могут получить доступ к услуге), то эта деятельность не подпадает под GDPR. EDPB также подчеркивает, что единичные случаи нахождения заказчиков-субъектов в ЕС еще не говорят о том, что компания подпадает под GDPR по признаку оказания услуг на территории ЕС. Еще из важных комментариев стоит отметить, что если услуга оказывается не на территории ЕС, а европейцы могут ей воспользоваться, но основные потребители не они, то такая деятельность тоже не подпадает под GDPR (это, к примеру, относится к большинству локальных банков, гостиниц и медицинских центров).

К сожалению, универсальный ответ на вопрос "Подпадает ли российская компания под GDPR?" дать не получится, надо рассматривать каждый случай отдельно. Но я рекомендую ориентироваться вот на эти вопросы:

1.  Производится ли обработка персональных данных на территории ЕС (например, в европейских ЦОД)?
2.  Есть ли у компании офисы и представительства в ЕС? Представлены ли их европейские контакты (адреса и телефоны) на сайте компании или в рекламных материалах и брошюрах?
3.  Представлены ли Web-сайт компании, рекламные материалы и брошюры на одном из европейских языков, помимо английского? Предлагаете ли вы консультации и техническую поддержку на одном из европейских языков, помимо английского?
4.  Расположен ли адрес Web-сайта на европейском домене (например, .eu, .de)?
5.  Оказываете ли вы на постоянной основе услуги для европейцев, например для туристов?
6.  Представлены ли цены на услуги и продукты вашей компании в европейской валюте (например, EUR, SEK, CZK, HUF, NOK, GBP)?
7.  Организуете ли вы доставку товаров в ЕС и об этом явно сказано в вашем предложении?
8.  Используете ли вы таргетированную рекламу и другие маркетинговые активности, направленные на европейцев?
9.  Мониторите ли вы поведение субъектов персональных данных, находящихся в ЕС, составляете ли вы профили пользователей (например, получаете информацию о геолокации, используете cookies)?

И если хоть на один из них вы ответили да, то, скорее всего, вы подпадаете под действие GDPR.

Какие есть риски?

Консультанты очень любят пугать огромными административными штрафами за нарушение требований GDPR ("до 20 млн или применительно к хозяйствующему субъекту в размере до 4% от "общестранового" годового оборота за весь предыдущий финансовый год"), но почему-то не упоминают, что для взымания таких штрафов у компании должно быть юридическое лицо в ЕС, иначе обязать выплатить их довольно сложно.

•  Определить основной, помимо РКН, надзорный орган (Lead Supervisory Authority), изучить его требования и рекомендации.
•  Пересмотреть политику обработки персональных данных, особенно ее общедоступную версию.
•  Решить вопрос с cookies (отключить или оформить политику и согласие субъектов).
•  Пересмотреть цели и основания для обработки персональных данных, а также сроки их хранения.
•  Пересмотреть процессы трансграничной передачи данных и решить вопрос с местом (страной) хранения данных.
•  Пересмотреть и доработать формы уведомлений и согласий на обработку персональных данных.
•  Назначить DPO (Data Protection Officer), при необходимости, и опубликовать его контакты.
•  Провести DPIA (Data Protection Impact Assessment), при необходимости.
•  Выстроить процесс реагирования на утечки персональных данных.
•  Задуматься о разработке кодексов поведения (Codes of Conduct) и сертификации ISO 27001 и/или ISO 27701.

Замечу, что некоторые организации разрабатывают отдельные комплекты документов для 152-ФЗ и для GDPR. Такое возможно, но говорит скорее о том, что в компании не внедрены принципы и процессы защиты персональных данных, а руководство хочет "прикрыться бумажками".

Вместо заключения отмечу, что тема соответствия GDPR непростая. Чтобы разобраться в ней, необходимо изучить очень много дополнительного материала, в т.ч. официальных разъяснений (например, от EDPB и Article 29 Working Party).