Развитието на информационните технологии и международната търговия през последните десетилетия доведе до необходимостта от актуализиране на действащите мерки за защита на личните данни.
С влизането в сила, през май 2016 г., на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета – Общ регламент относно защитата на данните (General Data Protection Regulation – GDPR) – относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни, и за отмяна на Директива 95/46/ЕО, се създава единна правна рамка, която хармонизира законодателството за защита на личните данни на физическите лица в Европейския съюз.
Регламентът (GDPR) се прилага от 25 май 2018 г. и има за цел да улесни свободното движение на потоци от лични данни в рамките на ЕС и извън него, във връзка с международната търговия и сътрудничество, като осигури механизми за защита на личната неприкосновеност при използването на автоматизирани и други средства за обработване.
След тази дата правата на субектите на данни и задълженията на администраторите и обработващите лични данни следва да се вземат предвид още на етапа на планиране на всяка дейност, попадаща в обхвата на GDPR. Въведените промени водят до съществени изменения в регулаторните политики и в механизмите за тяхното прилагане.
 
Основни промени, въведени с GDPR, и тяхното отражение върху бизнеса
🔹Териториален обхват
GDPR се прилага и извън територията на ЕС – към администратори и обработващи лични данни, установени извън Съюза, когато обработването е свързано с предлагане на стоки или услуги на физически лица в Съюза или с наблюдение на тяхното поведение, доколкото то се извършва в рамките на ЕС.
 
🔹Съгласие за обработване на лични данни
Регламентът въвежда подробни изисквания относно условията за валидно съгласие. То трябва да бъде:

• свободно дадено, конкретно, информирано и недвусмислено;
• представено на ясен и разбираем език, без използване на неясен правен жаргон;
• отделено от други изявления или въпроси;
• свързано с конкретните цели на обработването.

Необходимо е да се гарантира, че оттеглянето на съгласието е също толкова лесно, колкото и неговото предоставяне.
 
🔹Съгласие от непълнолетни при ползване на онлайн услуги
Обработването на лични данни на дете е законосъобразно, ако то е навършило 16 години. За деца под тази възраст обработването е допустимо само със съгласието на лицето, упражняващо родителски права или настойничество.
Държавите членки могат да определят по-ниска възраст, но не под 13 години.
 
🔹Права на субектите на данни
GDPR предоставя на физическите лица редица права, включително правото да получат потвърждение относно:

• целите на обработването;
• категориите лични данни;
• получателите или категориите получатели, на които се разкриват данните;
• срока на съхранение или критериите за неговото определяне;
• правото на възражение срещу обработването;
• съществуването на автоматизирано вземане на решения, включително профилиране;
• правото на коригиране, изтриване („право да бъдеш забравен“) или ограничаване на обработването;
• правото да се подаде жалба до надзорен орган;
• източника на данните, когато не са събрани от субекта;
• правото да получи копие от личните данни в структуриран, широко използван и пригоден за машинно четене формат.

 
🔹Право на изтриване („право да бъдеш забравен“)
Съгласно чл. 17 от GDPR, субектът на данни има право да поиска от администратора заличаване на личните му данни и прекратяване на по-нататъшното им обработване, когато:

• данните вече не са необходими за целите, за които са били събрани;
• субектът е оттеглил съгласието си;
• обработването е незаконосъобразно;
• данните трябва да бъдат изтрити с цел спазване на задължение по правото на ЕС или на държава членка;
• субектът е упражнил правото си на възражение по чл. 21.
• При разглеждането на искания за изтриване следва да се отчита обществен интерес от съхранението на данните.

 
🔹Преносимост на данните
Субектът на данните има право да получи своите лични данни в структуриран, широко използван и пригоден за машинно четене формат и да ги предаде на друг администратор, без пречки от първоначалния администратор.
 
🔹Уведомяване на надзорния орган при нарушения
Администраторът на лични данни е длъжен да уведоми компетентния надзорен орган (в България – Комисията за защита на личните данни) без ненужно забавяне и, доколкото е възможно, не по-късно от 72 часа след узнаване за нарушение на сигурността на личните данни.
Обработващият лични данни следва без забавяне да уведоми администратора при узнаване за такова нарушение.
 
🔹Административни санкции
Санкциите се определят за всеки конкретен случай и могат да достигнат до 20 000 000 евро или до 4 % от общия годишен световен оборот за предходната финансова година – прилага се по-голямата сума.
Санкциите трябва да бъдат ефективни, пропорционални и възпиращи.
Регламентът допуска възможност за групови искове от страна на субекти на данни срещу нарушителите, което може да доведе до финансови загуби и щети за репутацията на организацията.
 
🔹Сигурност на обработването
Неприкосновеността на личния живот и сигурността на личните данни са в основата на управлението на информационната сигурност.
След 25 май 2018 г. администраторите и обработващите лични данни са задължени по закон да прилагат технически и организационни мерки, съобразени с нивото на риска за правата и свободите на физическите лица. Такива мерки могат да включват:

• псевдонимизация и криптиране на лични данни;
• гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите;
• възможност за възстановяване на наличността и достъпа до данните при инцидент;
• редовно тестване и оценяване на ефективността на мерките.

ISO/IEC 27001 не е изискване по GDPR, но прилагането на подобни стандарти може да подпомогне изпълнението на задълженията по сигурност.
 
🔹Длъжностно лице по защита на данните (DPO)
Администраторите и обработващите лични данни са длъжни да определят Длъжностно лице по защита на данните (Data Protection Officer – DPO), когато:

• обработването се извършва от публичен орган или структура;
• основните дейности включват редовно и систематично наблюдение на субекти на данни в голям мащаб;
• обработването обхваща мащабно обработване на специални категории данни (чл. 9) или на данни, свързани с присъди и нарушения (чл. 10).

Група предприятия може да назначи едно общо DPO, при условие че то е лесно достъпно от всяко от тях.
 
🔹Сътрудничество и механизъм за последователност
GDPR предвижда тясно сътрудничество между Европейския комитет по защита на данните (ЕКЗД/EDPB) и националните надзорни органи на държавите членки, включително при уведомяване и координация по случаи на нарушения на сигурността.
 
🔹Демонстриране на съответствие с GDPR
Администраторите и обработващите лични данни могат да доказват съответствие чрез одобрени кодекси за поведение или механизми за сертифициране, които насърчават доверието в техните услуги и осигуряват подходящи гаранции, включително при международно предаване на данни между публични органи на основание на споразумения или административни договорености.
 
🔹Въздействие и ограничения
Хармонизирането на законодателството на ЕС относно защитата и сигурността при свободното движение на лични данни се очаква да засили доверието и да донесе икономически ползи.
В същото време се въвеждат ограничения, като например достъпът на администраторите и обработващите до лични данни се ограничава само до данните, необходими за изпълнение на конкретните им задачи.
Нарушаването на това изискване се счита за инцидент по сигурността, дори когато не е установено изтичане на информация извън организацията.

🔗 Подробности за етапите на консултиране и внедряване на GDPR може да прочетете ТУК

Източници: http://www.europarl.europa.eu; http://www.eugdpr.org