GDPR: 5 проверок перед отправкой персональных данных

Скан паспорта, кадровое дело, список клиентов: как только в файле есть данные, по которым можно опознать человека, его отправка — это уже обработка персональных данных в понимании GDPR, а используемый вами инструмент становится звеном этой цепочки. Вот пять проверок, которые стоит сделать до того, как нажать «отправить».

Касается ли это вас? (спойлер: да)

GDPR распространяется не только на крупные платформы: бухгалтерская фирма, которая получает расчётные листки, фотограф, который передаёт портреты, небольшая компания, которая пересылает кадровое дело, — все они обрабатывают персональные данные. Ответственность нельзя переложить на инструмент, но выбор инструмента к многому обязывает.

1. Где хранятся данные

Первый вопрос к вашему сервису передачи файлов: где именно хранятся файлы? Хранение в Европейской экономической зоне радикально упрощает соответствие требованиям, а передача за пределы ЕЭЗ требует дополнительных гарантий (решение об адекватности, стандартные договорные условия). TransferNow хранит данные в Европе, а на некоторых тарифах регион можно выбрать самостоятельно.

2. Договорная база (DPA)

Если вы действуете от имени юридического лица, сервис передачи файлов выступает вашим обработчиком в смысле статьи 28: отношения должны регулироваться соглашением об обработке данных (DPA). Убедитесь, что оно существует и доступно, — этот документ обязательно запросит ваш DPO. Наше соглашение открыто и доступно по ссылке в политике конфиденциальности.

3. Срок хранения

GDPR требует не хранить данные дольше, чем необходимо. В переводе на язык передачи файлов: ссылка с истекающим сроком — это плюс к соответствию требованиям. Выбирайте срок под реальную задачу — часто хватает 7 дней — и сервис, который позволяет отключить ссылку сразу после того, как файлы дошли до адресата.

4. Прослеживаемость

Если возникнет вопрос — от клиента или от надзорного органа, — вы должны быть в состоянии сказать, у кого был доступ к данным. Именные уведомления о каждом скачивании дают эту историю без каких-либо дополнительных процедур: кто забрал файл и когда.

5. Минимизация

Самый простой и самый забываемый принцип: отправляйте только то, что действительно нужно. Полный комплект документов «на всякий случай» многократно увеличивает риск. Перед каждой отправкой чувствительных данных задайте себе вопрос: этому получателю правда нужны все эти файлы?

Эти пять пунктов не заменяют юридическую консультацию, но охватывают то, что DPO проверит в первую очередь. Техническую сторону дополняет наш чек-лист по безопасности.