GDPR: 5 перевірок перед надсиланням персональних даних
Хостинг, правова підстава, термін зберігання, простежуваність, мінімізація: що GDPR означає на практиці для ваших передач файлів.
Скан документа, кадрове досьє, список клієнтів: щойно файл містить дані, за якими можна ідентифікувати людину, його надсилання стає обробкою персональних даних у розумінні GDPR — а інструмент, яким ви користуєтеся, стає ланкою цього процесу. Ось п’ять речей, які варто перевірити, перш ніж натиснути «надіслати».
Чи це стосується вас? (спойлер: так)
GDPR поширюється не лише на великі платформи: бухгалтерська фірма, яка отримує розрахункові листки, фотограф, який передає портрети, невелика компанія, яка надсилає кадрове досьє, — усі вони обробляють персональні дані. Відповідальність не можна перекласти на інструмент, але вибір інструмента до чогось зобов’язує.
1. Де зберігаються дані
Перше запитання до вашого сервісу передавання файлів: де саме зберігаються файли? Зберігання в межах Європейського економічного простору радикально спрощує відповідність вимогам; передавання за межі ЄЕП потребує додаткових гарантій (рішення про адекватність, стандартні договірні положення). TransferNow зберігає дані в Європі, а залежно від тарифу можна обрати регіон.
2. Договірні рамки (DPA)
Якщо ви дієте від імені юридичної особи, сервіс передавання файлів є вашим обробником у розумінні статті 28: відносини має регулювати угода про обробку даних (DPA). Переконайтеся, що вона існує і доступна, — цей документ обов’язково попросить ваш DPO. Наша угода публічна, посилання на неї є в політиці конфіденційності.
3. Строк зберігання
GDPR вимагає не зберігати дані довше, ніж потрібно. У перекладі на мову передавання файлів: посилання, що втрачає чинність, — це плюс для відповідності. Обирайте строк, який відповідає реальній потребі (часто достатньо 7 днів), і сервіс, який дає змогу вимкнути посилання одразу після того, як файли передано.
4. Простежуваність
Якщо виникне запитання — від клієнта чи від наглядового органу, — ви маєте змогти сказати, хто мав доступ до даних. Іменне сповіщення про кожне завантаження дає цей слід без жодних додаткових процедур: хто саме забрав файл і коли.
5. Мінімізація
Найпростіший і найчастіше забутий принцип: надсилайте лише те, що справді потрібно. Ціла тека «про всяк випадок» лише збільшує ризики. Перед кожним надсиланням чутливих даних поставте собі одне запитання: чи справді цьому одержувачу потрібні всі ці файли?
Ці п’ять пунктів не замінять юридичної консультації, але саме їх ваш DPO перевірить найпершими. Технічний бік доповнює наш чекліст із безпеки.
Поширені запитання
Чи можна надсилати персональні дані через безкоштовний масовий сервіс?
Питання не в тому, безкоштовний сервіс чи платний, а в гарантіях: зберігання в ЄЕП, доступна угода DPA, контрольований строк зберігання, простежуваність. Перевірте ці чотири пункти — багато масових сервісів не закривають жодного.
Чи має одержувач передачі теж бути в Європі?
Не обов’язково, але якщо дані залишають ЄЕП, застосовуються додаткові гарантії (рішення про адекватність, стандартні положення). Європейське зберігання сервісу закриває питання зберігання; щодо одержувача рішення ухвалюєте ви самі в кожному конкретному випадку.
Де знайти угоду DPA від TransferNow?
Посилання на неї є в нашій політиці конфіденційності (transfernow.net/uk/privacy-gdpr) у форматі PDF, французькою та англійською.
Що таке DPA і коли вона потрібна?
DPA (угода про обробку даних) — це договір, який регулює відносини з обробником у розумінні статті 28 GDPR. Щойно ви надсилаєте персональні дані від імені юридичної особи, ваш сервіс передавання файлів стає обробником: угода DPA має існувати й бути доступною.
Чи допомагає посилання з обмеженим строком дії відповідати вимогам GDPR?
Так, напряму: GDPR вимагає не зберігати дані довше, ніж потрібно, а посилання з обмеженим строком дії втілює цей принцип без жодних процедур. Доповніть його ручним вимкненням одразу після підтвердження передавання.
5 ГБ за передачу безкоштовно, без реєстрації