Безпечний обмін інформацією в епоху законів про захист даних

Закони про захист персональних даних давно вийшли за межі інтересів великих корпорацій. Російський ФЗ-152 "Про персональні дані", європейський GDPR, американські закони штатів на кшталт CCPA застосовуються до організацій будь-якого масштабу. Якщо ви обробляєте хоча б одне ім'я, адресу електронної пошти або номер телефону клієнта, ці закони поширюються на вас.

Цей посібник узагальнює ключові вимоги основних законів про захист даних та пропонує практичні методи безпечного обміну персональними даними у повсякденній роботі.

Огляд основних законів про захист даних

Російський ФЗ-152 «Про персональні дані»

Федеральний закон регулює збирання, зберігання, обробку та передачу персональних даних. Вимагає отримання згоди суб'єкта, повідомлення Роскомнагляду та забезпечення належного захисту даних.

Європейський GDPR

GDPR, що діє з 2018 року, - один із найсуворіших законів про захист даних у світі. Застосовується до будь-якої організації, яка обробляє дані резидентів ЄС. Штрафи сягають 4% світового річного обороту.

Закони штатів США (CCPA/CPRA та інші)

У США немає єдиного федерального закону про конфіденційність, але штати Каліфорнія (CCPA/CPRA), Вірджинія та Колорадо ухвалили власні комплексні нормативні акти.

Що вважається персональними даними

Наступні категорії класифікуються як персональні дані у більшості законів.

категорія	приклади
Ідентифікаційні дані ПІБ, паспортні дані, СНІЛЗ
Контактні дані Електронна пошта, телефон, адреса
Онлайн-ідентифікатори	IP-адреса, файли cookie, ID пристрою
Фінансові дані Номери карток, банківські реквізити, транзакції
Дані про здоров'я Медичні записи, дані ЗМС
Дані про місцезнаходження	GPS-дані, маршрути пересування

Обов'язки при обміні персональними даними

1. Мінімізація даних

Збирайте та передавайте лише мінімально необхідну інформацію.

2. Шифрування під час передачі

Персональні дані повинні передаватись через зашифровані канали. Незашифрована електронна пошта або звичайні месенджери можуть не відповідати вимогам закону.

3. Терміни зберігання

Персональні дані зберігаються лише протягом терміну, який буде необхідний досягнення мети. Після цього дані підлягають знищенню.

4. Згода

Збір чи передача третім особам зазвичай потребує згоди суб'єкта даних.

5. Обмеження доступу

Обмежте коло осіб із доступом до персональних даних мінімально необхідною кількістю.

Порівняння основних законів

| Критерій | РФ ФЗ-152 ЄС GDPR | США CCPA/CPRA | |----------|----------|---------|---------------| | Сфера застосування Усі оператори ПД в РФ | Будь-яка орг. із даними резидентів ЄС | Підприємства з клієнтами з Каліфорнії | | Згода | Обов'язково | Згода чи законний інтерес | Орієнтація на відмову | Максимальні штрафи До 18 млн руб. | 4% обороту або 20 млн. EUR | До $7 500 за порушення | | Зберігання даних Знищення для досягнення мети | Вилучення з досягнення мети | Вилучення у розумний термін | | Права суб'єкта | Доступ, зміна, видалення, блокування Доступ, виправлення, видалення, перенесення Доступ, видалення, відмова

Використання LOCK.PUB для обміну відповідно до закону

Функції LOCK.PUB узгоджуються із ключовими принципами законів про захист даних.

Захист паролем = контроль доступу

Тільки людина, яка знає пароль, отримує доступ до інформації.

Термін дії = дотримання термінів зберігання

Встановлення терміну дії на загальних посиланнях забезпечує автоматичне відкликання доступу після досягнення мети.

Відправка по окремих каналах = посилена безпека

Передача посилання та пароля різними каналами означає, що компрометація одного каналу не розкриває дані.

Аналітика доступу = журнал аудиту

Аналітика відстежує, хто і коли звертався до інформації, забезпечуючи готовність до перевірок.

Практичні поради для малого бізнесу

При передачі даних клієнтів

• не надсилайте безпосередньо поштою або в месенджерах; використовуйте записки з паролем
• Включайте лише необхідні дані
• Встановлюйте термін дії

При передачі даних підрядникам

• Укладайте угоду щодо обробки даних
• Передавайте через захищені посилання із терміном дії
• Ведіть журнал доступу

Під час обміну даними всередині команди

• Не зберігайте персональні дані у загальних таблицях
• Передавайте лише потрібним людям через записки з паролем
• Встановлюйте термін для автоматичного відкликання доступу

Штрафи за порушення

• Росія: До 18 млн рублів, кримінальна відповідальність за незаконний збір чи розповсюдження
• ЄС: 4% світового обороту або 20 млн. євро
• США Каліфорнія: До $7 500 за умисне порушення

Почніть прямо зараз

Дотримання законів про захист даних не вибір, а обов'язок. Перегляньте поточні практики обміну даними та перейдіть на безпечні методи із захистом паролем та автоматичним терміном дії.

Створіть секретну записку, яка відповідає вимогам закону, на LOCK.PUB вже сьогодні.

Створити секретну записку