Общий регламент по защите данных (GDPR) предоставляет европейским гражданам расширенные права в отношении их персональных данных, включая право на удаление информации с серверов компаний. Для организаций, работающих с данными европейцев, важно понимать механизмы GDPR и правильно выстраивать процессы обработки информации.
Основные положения GDPR об удалении данных
GDPR закрепляет за субъектами данных «право на забвение» (right to be forgotten). Это означает, что при определенных обстоятельствах гражданин ЕС может потребовать от компании полностью удалить всю информацию о себе.
Основания для удаления данных по GDPR:
- Персональные данные больше не нужны для целей, для которых они были собраны
- Субъект отозвал согласие на обработку данных
- Данные обрабатывались незаконно
- Удаление необходимо для выполнения юридического обязательства
- Данные были собраны в отношении предложения услуг информационного общества несовершеннолетнему
При получении запроса на удаление компания обязана без неоправданной задержки стереть персональные данные, если применимо одно из вышеуказанных оснований.
Процедура удаления данных по запросу субъекта
Для реализации права на забвение компаниям следует разработать четкую процедуру обработки запросов на удаление:
- Создать форму запроса на удаление данных на сайте/в приложении
- Установить процесс верификации личности заявителя
- Определить сроки рассмотрения запросов (не более 1 месяца)
- Назначить ответственных сотрудников за обработку запросов
- Внедрить технические средства для поиска и удаления данных из всех систем
- Вести журнал запросов и предпринятых действий
Важно обеспечить полное удаление данных не только из активных баз, но и из резервных копий, архивов, временных файлов.
Трансграничная передача данных
GDPR устанавливает строгие правила передачи персональных данных за пределы ЕС. Компаниям следует учитывать следующие аспекты:
- Передача данных возможна только в страны с «адекватным» уровнем защиты по оценке Еврокомиссии
- При передаче в другие страны требуются дополнительные гарантии (стандартные договорные условия, обязательные корпоративные правила)
- Необходимо получить явное согласие субъекта на трансграничную передачу
- Следует вести реестр трансграничных передач данных
При удалении данных по запросу важно обеспечить их удаление также со всех зарубежных серверов и у партнеров, которым они передавались.
Технические аспекты удаления данных
Для эффективного выполнения запросов на удаление рекомендуется:
- Внедрить системы поиска данных по всей IT-инфраструктуре
- Использовать инструменты для безвозвратного удаления информации
- Настроить автоматическое удаление данных по истечении срока хранения
- Регулярно проводить аудит хранимых данных
- Применять шифрование данных при хранении и передаче
Важно обеспечить полное удаление данных со всех носителей, включая облачные хранилища и резервные копии.
Документирование процессов
Для подтверждения соответствия GDPR компаниям следует вести подробную документацию:
- Политика обработки и защиты персональных данных
- Реестр операций по обработке данных
- Оценка воздействия на защиту данных (DPIA)
- Журнал запросов субъектов на удаление данных
- Процедуры реагирования на запросы
- Соглашения с подрядчиками о соблюдении GDPR
Наличие актуальной документации поможет продемонстрировать регулятору соблюдение требований GDPR в случае проверок.
Ответственность за нарушения
За несоблюдение требований GDPR, в том числе в части удаления данных, предусмотрены серьезные штрафы:
- До 20 млн евро или 4% годового оборота компании
- Административные меры вплоть до запрета на обработку данных
- Возмещение ущерба субъектам данных
Кроме того, нарушения могут нанести серьезный репутационный урон бизнесу. Поэтому крайне важно выстроить процессы в соответствии с GDPR.
Таким образом, GDPR предоставляет европейским гражданам широкие возможности для контроля над своими данными, включая право на их удаление. Компаниям следует внимательно подходить к выполнению требований регламента, чтобы избежать санкций и сохранить доверие клиентов. Грамотно выстроенные процессы позволят эффективно обрабатывать запросы на удаление и обеспечивать надежную защиту персональных данных.
Ключевые слова: GDPR, европейские серверы, трансграничная передача
Источники:
Статья 17 GDPR. Право на удаление данных
Статья 45 GDPR. Передача данных на основании решения об адекватности
