GDPR для німецьких компаній: чекліст і ключові вимоги DSGVO

У 2025 році штрафи за порушення GDPR (DSGVO) досягли рекордного рівня. Оскільки NIS2, Закон ЄС про штучний інтелект (EU AI Act) і DORA додають нові вимоги, німецьким компаніям доводиться працювати в дедалі складнішому регуляторному середовищі. Ось практичний чекліст.

Ключові обов'язки за DSGVO

1. Правова підстава для обробки

Кожна операція з обробки даних потребує правової підстави: згода, договір, юридичний обов'язок або законний інтерес.

2. Інспектор із захисту даних (DPO)

Обов'язковий для компаній, у яких 20 і більше працівників регулярно обробляють персональні дані. Має бути незалежним і звітувати безпосередньо керівництву.

3. Повідомлення про витік даних

72 години — строк, щоб повідомити наглядовий орган. Якщо ризик високий, потрібно повідомити й постраждалих осіб.

4. Права суб'єктів даних

Запити потрібно обробляти впродовж 1 місяця: доступ, виправлення, видалення («право бути забутим»), перенесення даних.

5. Реєстр операцій з обробки

Ведіть письмові записи, що містять мету, категорії даних, одержувачів і строки зберігання.

Чекліст відповідності

• Визначте всі операції з обробки персональних даних
• Задокументуйте правову підставу для кожної операції
• Призначте DPO, якщо це обов'язково (20 і більше працівників)
• Впровадьте технічні й організаційні заходи (TOMs)
• Створіть і підтримуйте в актуальному стані політики конфіденційності
• Налагодьте процедури повідомлення про витоки даних
• Проводьте DPIA для обробки з високим ризиком
• Переконайтеся, що укладено договори з обробниками даних (AVV)
• Проведіть для всіх працівників навчання із захисту даних
• Впровадьте процедури обробки запитів суб'єктів даних

Штрафи

Нові вимоги

Директива NIS2 (2024–2025)

Розширена сфера застосування, обов'язкове повідомлення про інциденти, відповідальність керівництва за кібербезпеку.

Закон ЄС про штучний інтелект (застосовується з серпня 2026 року)

Класифікація систем ШІ за рівнем ризику, вимоги прозорості, обов'язковий нагляд з боку людини.

DORA (фінансовий сектор, січень 2025 року)

Система управління ІКТ-ризиками, тестування цифрової операційної стійкості.

Безпечна робота з документацією щодо відповідності

Коли передаєте документи щодо відповідності — оцінки впливу на захист даних, звіти про витоки, записи про обробку даних працівників, — користуйтеся захищеними каналами. LOCK.PUB дає змогу передавати конфіденційні відомості в захищених паролем нотатках. З Pro можна налаштувати нотатку так, щоб вона відкривалася лише один раз: після перегляду посилання вже не відкриється, тож передані записи не перетворяться на джерело ризиків для даних.

Зберігайте чеклісти відповідності DSGVO та конфіденційні внутрішні документи в безпеці за допомогою захищених паролем посилань LOCK.PUB, для яких можна задати термін дії (Pro), а не у вкладеннях до незашифрованих електронних листів.

Відповідність DSGVO — не вибір, а вимога закону. Почніть із чекліста вище, призначте DPO, якщо це обов'язково, і документуйте все.