Руководство по GDPR (DSGVO) для компаний в Германии: чек-лист и ключевые требования

Штрафы по GDPR (в Германии — DSGVO) в 2025 году достигли рекордного уровня. Вместе с новыми требованиями NIS2, Закона ЕС об искусственном интеллекте (AI Act) и DORA немецкий бизнес сталкивается со всё более сложной регуляторной средой. Вот практический чек-лист.

Ключевые обязанности по DSGVO

1. Правовое основание для обработки

Любая обработка данных требует правового основания: согласия, договора, юридической обязанности или законного интереса.

2. Инспектор по защите данных (DPO)

Обязателен для компаний, в которых 20 и более сотрудников регулярно обрабатывают персональные данные. Должен быть независимым и подчиняться непосредственно руководству.

3. Уведомление об утечке

72 часа на уведомление надзорного органа. Если риск высок, нужно уведомить и затронутых лиц.

4. Права субъектов данных

Запросы нужно обрабатывать в течение 1 месяца: доступ, исправление, удаление («право на забвение»), переносимость данных.

5. Реестр операций по обработке

Ведите письменный реестр, где указаны цели, категории данных, получатели и сроки хранения.

Чек-лист соответствия

• Выявить все операции по обработке персональных данных
• Задокументировать правовое основание для каждой операции
• Назначить DPO, если это требуется (20+ сотрудников)
• Внедрить технические и организационные меры (TOM)
• Разработать и поддерживать политику конфиденциальности
• Установить порядок уведомления об утечках
• Провести оценку воздействия на защиту данных (DPIA) для обработки с высоким риском
• Обеспечить наличие договоров об обработке данных (AVV)
• Обучить всех сотрудников защите данных
• Внедрить порядок обработки запросов субъектов данных

Штрафы

Новые требования

Директива NIS2 (2024–2025)

Расширенная сфера действия, обязательная отчётность об инцидентах, ответственность руководства за кибербезопасность.

Закон ЕС об ИИ (применяется с августа 2026 года)

Классификация систем ИИ по уровню риска, требования прозрачности, обязательный контроль со стороны человека.

DORA (финансовый сектор, январь 2025 года)

Система управления ИКТ-рисками, тестирование цифровой операционной устойчивости.

Безопасный обмен документацией по соответствию

Передавая документы по соответствию — оценки воздействия на конфиденциальность, отчёты об утечках, реестры обработки данных сотрудников, — используйте защищённые каналы. LOCK.PUB позволяет передавать конфиденциальные сведения в заметках, защищённых паролем. В Pro заметку можно настроить так, чтобы она открывалась только один раз: после просмотра ссылку больше нельзя открыть, и переданные записи не превращаются в источник рисков для данных.

Храните чек-листы соответствия DSGVO и конфиденциальные внутренние документы в защищённых паролем ссылках LOCK.PUB, для которых можно задать срок действия (Pro), а не в незашифрованных вложениях к письмам.

Соблюдение DSGVO — не выбор, а требование закона. Начните с чек-листа выше, назначьте DPO, если это требуется, и документируйте всё.