Четыре правила работы с персональными данными в Евросоюзе

Инструкция для тех, кто хочет начать работать с ЕС.

Привет! Меня зовут Олег Блинов. Я защищаю персональные данные всех пользователей Joom. По моему опыту, европейцы чаще всего обращаются в поддержку по вопросам персональных данных. Для них это привычная часть сервиса. Хочу поделиться с вами короткими советами, которые помогут начать вести бизнес в Европе.

Всегда сложно ответить точно на вопрос, какой закон действует при ведении дела в другой стране. Компания может быть зарегистрирована в стране А, бизнес-команда сидеть в стране Б, а основная масса клиентов находиться в стране В.

Что значит «идти к клиенту»? Перечень открытый, потому начнем с наиболее явных признаков.

Другие признаки можете определить на основании здравого смысла. Чем больше ваша стратегия ориентирована на европейцев, тем больше вероятность попасть под GDPR.

GDPR применяется только к гражданам ЕС? Не совсем. GDPR применим к данным людей, которые находятся на территории ЕС, вне зависимости от гражданства. Это делает применимость более предсказуемой — можно просто ориентироваться на IP адрес и не нужно бояться, что случайно попадете на гражданина ЕС, оказавшегося в Москве.

Нужно ли соблюдать несколько законов одновременно? Правильного на 100% ответа нет. Жаловаться европейцы будут своему регулятору, а с плановой проверкой придет Роскомнадзор.

Тут нужно сесть с толковым юристом и оценить свои риски. Базовый сценарий — российским компаниям нужно всегда быть готовыми к проверке РКН. Скорее всего он не будет учитывать применение GDPR и потребует все делать в соответствии с российским законом.

Со стороны ЕС все неоднозначно — штрафы к компаниям за пределами ЕС применяются скорее в крайних случаях. Например, когда нужно наказать Google.

Источники: ст. 3 GDPR, а также подробные пояснения регулятора.

Если вы поняли, что GDPR к вам применяется, то первый позыв — заказать у знакомого юриста красивую Privacy Policy. Сопротивляйтесь этому желанию. Деньги за работу он возьмет, но своей цели вы не достигнете. Почему?

Чаще всего в России Privacy Policy — это написанный тяжелым юридическим языком документ, который на 90% состоит из копипаста формулировок из закона. Причина кроется в том, что основной «клиент» данного документа — Роскомнадзор, а не пользователь.

В ЕС политика приватности — это коммуникация с вашим пользователем. Вы должны просто и понятно раскрыть всю важную информацию о том, как обрабатываете данные. Для этого нужно составить список бизнес-процессов и выписать на листочек ответы на три вопроса:

Давайте на примере.

У команды рекламы есть бизнес-процесс рекламной рассылки по email. Какие данные обрабатываем? Адрес электронной почты, имя (для обращения в заголовке), время последнего входа на сервис (чтобы «догнать» пользователей, которые давно не заходили на сайт или в приложение), вектор предпочтений для составления списка рекомендаций. Какую цель достигаем? Привлекаем внимание к своему продукту, стимулируем покупки. Какие действия выполняются с данными? Данные собираются у пользователя, хранятся в наших базах данных, используются для машинного обучения, передаются поставщику, который делает саму рассылку.

Это упрощенный вариант data mapping. На основании него юрист уже может составить полезную и правдивую Privacy Policy.

Источники: ст. 13 GDPR.

У пользователей из Европы есть два права, которыми они пользуются чаще всего и которые не имеют полного аналога в российском праве: право на удаление данных и право на выгрузку данных.

Право на удаление данных. Чаще всего вы будете получать письма с текстом «Удалите все мои данные!». На них нужно ответить в течение 30 дней.

Если в команде нет юриста, который помог бы разобраться с такими запросами, то наиболее безопасный вариант — действительно все удалять. Вы удалите больше, чем в действительности требуется по закону, но обязанность удалить вы выполните.

Для этого нужно написать скрипт, который принимает идентификатор пользователя и вычищает строки с таким id из ваших баз данных. Скорее всего, в первые разы это закончится плохо, потому что другие системы будут пытаться обратиться к несуществующим данным.

Если у вас есть подходящий специалист по персональным данным, то он поможет вам сократить объем удаляемых данных. Дело в том, что по таким запросам без вопросов нужно прекращать обрабатывать только те данные, которые получены для исполнения договора или по согласию. Не буду перегружать эту статью юридическими деталями, их можно прочитать в источниках чуть ниже.

Право на выгрузку данных. Иногда вы будете получать запросы на выгрузку данных о пользователе в машиночитаемом формате. Такое право у пользователей действительно есть, и существует несколько стратегий соблюдения этого права.

Источники: удаление — ст. 7(3), 17, 21 GDPR; выгрузка — ст. 20 GDPR и пояснения регулятора.

В своей недавней колонке на Rusbase я рассказал об исследовании BCG о просадке экономики сервисов в результате того, что пользователи недовольны обработкой данных. Если коротко, то компании теряют 5-8% от своего общего годового дохода из-за обид пользователей на несправедливое обращение с их данными.

В этих цифрах сокрыта возможность — вы можете выделиться по сравнению с конкурентами за счет уважительного отношения к клиенту и его данным. Такое уважение строится на трех принципах: законность, справедливость и прозрачность.

Законность. GDPR содержит гигантское количество различных требований к ведению обработки данных. Увы, но качественный комплаенс невозможен без участия специалиста, желательно сертифицированного международной ассоциацией. Есть даже гипотеза, что GDPR был пролоббирован крупными IT-компаниями, чтобы усложнить выход на рынок конкурентам.

Тем не менее, задерживаться с соблюдением закона не стоит. Несоответствие требованиям воспринимается пользователями как личная обида, а не как нарушение интересов государства.

Справедливость. Когда разрабатываете продукт, представьте себя на месте вашего пользователя. Что бы вы почувствовали, если бы знали, как обрабатываются данные? Уверен, что расстроились бы, если бы узнали, что сайт отслеживает ваши посещения, чтобы увеличить цену билетов на самолет при повторном заходе. Или справедливо возмутились бы передаче данных куче непонятных рекламных партнеров, созданных в оффшорах.

Старайтесь в таких случаях как можно реже идти на сделку с совестью. Это поможет завоевать доверие пользователей и повысит уровень комплаенса.

Прозрачность. Здоровые отношения строятся на честности. Сообщите пользователю в удобном и понятном формате, зачем вам требуются те или иные данные, когда вы их удалите, кому они передаются. Даже если нет конкретной статьи закона, которая требует такого раскрытия, информированность дает пользователю ощущение контроля, который неотделим от приватности.

Источники: ст. 5, 25 GDPR.

ИТОГО: