GDPR

Еврокомиссия объявила о том, что компании гиг-экономики (gig economy), привлекающие работников без оформления в штат, должны быть более прозрачными в части использования средств алгоритмического управления и мониторинга. По мнению экспертов, если эти правила вступят в силу, их следует распространить на всех работников, управление которыми осуществляется с помощью автоматизированных систем.

Как и в случае с другими законами ЕС, соответствующие правила затронут в том числе и американские компании, работающие на территории стран Союза.

Предложенная Комиссией директива в отношении алгоритмического управления является одним из трех представленных недавно наборов мер. Предлагается, в частности, предоставить полноценный статус сотрудника всем, кто поддерживает взаимодействие с «цифровыми трудовыми платформами» (digital labor platform). К ним относятся системы предприятий, занимающихся перевозками пассажиров (например, Uber и Lyft), компаний, специализирующихся на услугах доставки (Deliveroo), а также платформы неофициальной занятости в сфере бытовых услуг (TaskRabbit).

По оценкам Комиссии, в ЕС насчитывается 28 млн гиг-работников. Ожидается, что в 2025 году их число возрастет до 43 млн.

Предложения в отношении алгоритмического управления призваны обеспечить работникам защиту от любого негативного воздействия автоматизированных систем, используемых для контроля труда на условиях временной занятости.

«Мы видим еще один шаг вперед в осознании рисков, порождаемых алгоритмическим управлением, – указал профессор трудового права университета KU Leuven (Бельгия) Валерио де Стефано. – И он будет сопровождаться проявлением повышенного внимания со стороны Еврокомиссии».

Алгоритмическое управление

Алгоритмическое управление – ключевой компонент цифровых трудовых платформ. Он включает в себя инструменты и методы, используемые для автоматизации различных аспектов процесса координации деятельности работников, в том числе распределения задач и отслеживания эффективности их труда. Вместо контроля со стороны человека все здесь опирается на сбор данных и наблюдение.

Однако использование алгоритмического управления вызывает опасения в отношении отслеживания и оценки системами, представляющими собой «черный ящик», всего, что связано с работниками. При этом у работников практически нет возможности оспаривать принятые ими решения.

В отчете, опубликованном некоммерческой организацией Worker Info Exchange, отмечается распространенность слежки за гиг-работниками и отсутствие у них средств правовой защиты при возникновении разногласий. В качестве примера приводится блокирование сервисами агрегаторов такси учетных записей водителей из-за сбоев программного обеспечения распознавания лиц.

Пагубные последствия алгоритмического управления и мониторинга работников освещались в ноябрьском отчете британских парламентариев. «Поскольку работники испытывают постоянное давление со стороны средств микроуправления и автоматической оценки, повсеместный мониторинг и технологии определения целей оказывают выраженное негативное воздействие на их психическое и физическое состояние», – указывают члены межпартийной парламентской группы в документе под названием «Новый рубеж: искусственный интеллект на работе».

«Автоматическое распределение задач и измерение производительности по своей сути не должны вызывать проблем, – отметила вице-президент Gartner Хелен Пойтевин. – Однако проблемы могут возникнуть из-за чрезмерной зависимости от технологии и недостаточно плотного взаимодействия с человеком. Если у вас, к примеру, нет никакой системы поддержки, которая помогала бы работникам расти и учиться, или машины ошибаются, а положительный имидж продолжает играть важную роль. Нужна поддержка на месте».

Предложения Еврокомиссии направлены на повышение прозрачности при использовании инструментов алгоритмического управления для гиг-работников. Они включают в себя:

— Информирование работников о характере использования автоматизированных систем для принятия решений и действий, «оказывающих существенное влияние» на условия труда.

— Исключение из собираемых о сотрудниках данных сведений, в которых нет явной необходимости. Особенно это касается разговоров личного характера и информации, связанной с их здоровьем и эмоциональным состоянием.

— Контроль со стороны человека за функционированием автоматизированных систем. Необходимо исключить для работников риски для здоровья и их психологического состояния, обусловленные алгоритмическим принятием решений.

— Предоставление работникам возможности оспаривать автоматизированные решения, влияющие на их трудовую деятельность. Особенно актуально это для людей, не оформленных в штат, которые регулярно сталкиваются с закрытием или приостановкой действия их учетной записи без объяснения причин.

— Предъявление к поставщикам платформ требования проводить консультации с представителями работников перед внесением существенных изменений в функционирование систем принятия решений.

Предложения Комиссии основаны на действующем регламенте ЕС об общем регулировании защиты данных (General Data Protection Regulation, GDPR), учитывающем интересы работников в части сбора данных. Но, по словам де Стефано, GDPR не обеспечивает такой же ясности в отношении алгоритмического управления, как правила, предлагаемые для гиг-работников. В Комиссии отмечают, что при отстаивании своих прав в рамках GDPR они сталкиваются с определенными трудностями.

Не ограничиваясь временной занятостью

Профессор права Оксфордского университета Джеремиас Адамс-Прасл приветствует правила, предлагаемые в отношении автоматизированных систем принятия решений.

«Вокруг статуса работников, подключаемых к платформе, ходило много споров, а выдвинутая директива охватывает не только эти, но и многие другие вопросы, – подчеркнул он, назвав предложения по-настоящему важным шагом вперед. – Действие правил должно распространяться на всех работников, контролируемых сегодня автоматизированными системами, а не только на тех, кто трудится на условиях временной занятости. Ошибочно рассматривать временную занятость как изолированную часть рынка труда. Я посоветовал бы законодателям подумать о распространении соответствующих правил на всех работников, не ограничиваясь лишь теми из них, кто подключен к платформе».

В последние годы алгоритмическое управление и мониторинг внедряются компаниями в различных отраслях. Довольно часто с алгоритмическим контролем и мониторингом приходится сталкиваться сотрудникам складов. Многие их действия отслеживаются и направляются с помощью программного обеспечения. В ретейле работодатели иногда используют программное обеспечение для автоматического планирования смен.

Традиционные рабочие места также все чаще подвергаются контролю со стороны инструментов мониторинга, с помощью которых эффективность их труда отслеживается во время пандемии COVID-19. Широкое распространение получили средства автоматической записи скриншотов и регистраторы нажатия клавиш.

«Аналогичная тенденция наблюдается на рабочих местах по всему социально-экономическому спектру, но зарождение многих из этих технологий мы наблюдали по большей части в области временной занятости, – указал Адамс-Прассл. – Именно этим и объясняется реакция регуляторов на положение дел в этой сфере».

«Сегодня главная задача заключается в том, чтобы распространить защиту директивы ЕС о цифровой трудовой платформе на всех работников, – заявил де Стефано. – В противном случае мы получим, по сути, сегментированный рынок труда, где будут защищены только работники, подключенные к цифровым трудовым платформам».

Подготовка почвы

Подобно любому другому закону ЕС, новые правила в отношении алгоритмического управления могут иметь серьезные последствия и за пределами 27 стран, входящих в состав Евросоюза.

Если предложения Европейской комиссии будут приняты, компании из других стран, ведущие свою экономическую деятельность в ЕС, должны будут соблюдать правила, утвержденные в этом регионе. Адамс-Прассл подчеркнул значимость своего рода «эффекта Брюсселя», выражающегося в том, что влияние европейского законодательства (в частности, GDPR) в значительной мере распространяется на другие страны и регионы. И он вполне может материализоваться в том числе и в части правил, которые относятся к людям, работающим на условиях временной занятости.

Несмотря на то, что американские компании не имеют непосредственного отношения к GDPR, многие из них оказываются затронуты этим законом. И, выпуская продукт, соответствующий правилам GDPR, они распространяют его по всему миру. Так что влияние эффекта Брюсселя не стоит недооценивать. В конечном итоге последняя итерация превращается в новый ожидаемый стандарт для всей платформы.

Прежде чем предложения будут приняты, они должны пройти обсуждение в Европарламенте и Совете Европы. Никаких установленных сроков вступления их в силу пока нет. А поскольку правила должны пройти процедуру согласования между государствами-членами, ввод их в действие ожидается не ранее 2024 года.

Для того чтобы понять, подпадает ли формально российская компания под действие нового закона, надо ответить на три вопроса:

• Имеет ли компания юридические лица на территории ЕС?
• Реализует ли компания товары или услуги на территории ЕС (например, доставка в страны ЕС из интернет-магазина)?
• Принимает ли компания оплату в евро?

Существуют также косвенные факторы, которые свидетельствуют о работе с персональными данными граждан ЕС, – например, версия корпоративного сайта на одном из европейских языков (немецком, французском и пр.).

При утвердительном ответе хотя бы на один из вопросов компания подпадает под действие GDPR.

Несоблюдение требований нового регламента может повлечь штраф в размере до 20 млн евро или до 4% от годового оборота компании. Сразу хотелось бы раскрыть основной посыл этого текста: так или иначе любой бизнес в ближайшее время будет вынужден перейти на новые принципы работы с персональными данными.

Почему? GDPR – это совокупность российских законов: 152-ФЗ (закон о персональных данных), 13-ФЗ от 07.02.17 (штрафы за нарушения закона), 16-ФЗ от 22.02.17 (надзор), 242-ФЗ (хранение данных на территории РФ). С одной стороны, под эти законы подпадает весь российский бизнес (хотя не все об этом задумываются), с другой – если компания уже обеспечила выполнение перечисленных выше законов, то усилия по соблюдению GDPR (GDPR Compliance) будут сводиться к минимальной переработке внутренних регламентов и к юридическому консалтингу. Модернизации ИТ-инфраструктуры и внедрения новых технологий не потребуется.

Другой вопрос, что многие российские компании игнорируют эти законы из-за относительно небольших штрафов. Но вступление в силу GDPR и обсуждение подобных инициатив в Бразилии, США, России и других странах говорят о том, что отношение к персональным данным поменялось кардинально, и ужесточение законодательной базы в этом направлении – дело времени. В России даже не надо ничего законодательно менять, достаточно обеспечить исполнение.

Разложим GDPR на конкретные задачи

На основе нашего европейского и российского опыта работы по GDPR Compliance я предлагаю соотнести 9 основных принципов GDPR с конкретными задачами по их реализации. Одновременно я буду делать отсылки к российским законам. Логика очень проста: можно распределить принципы GDPR по задачам, которые их «закрывают», то есть приводят работу компании в соответствие с требованиями GDPR. Это инфраструктурные задачи, требующие инвестиций в технологии, регламентные или процедурные задачи, а также задачи, которые, по моему опыту, сейчас нерешаемы, но требуют формальных процедур.

Инфраструктурные задачи

Посредством модернизации ИТ-инфраструктуры решается прежде всего первый принцип GDPR «Right to be forgotten» (соответствует российскому закону о «праве на забвение»). Решения класса Data Management корректно справляются с этой проблемой. Удаление данных из продуктивных систем (систем работы с клиентами, поисковых систем и пр.) – это осуществимая процедура, которая может быть выполнена оператором системы вручную. Но представим, что возникла нештатная ситуация и вам пришлось восстанавливать данные, например, годовой давности. В ваших восстановленных данных вполне могут оказаться данные, которые из продуктивных систем уже удалены. И в восстановленные компоненты системы вполне могут попасть персональные данные, которые придется заново «вылавливать». То есть ложится дополнительная, регламентная нагрузка на ИТ-департамент: помимо восстановления данных, каждый раз осуществлять повторный мониторинг и поиск персональных данных. Это неэффективная и трудозатратная работа. Специализированные решения Commvault или другого вендора избавляют от этих сложностей и позволяют мониторить данные не только в продуктивных системах, но и в архивах, бизнес-средах, аналитике, тестовых средах. «Right to be forgotten» – это классический пример принципа GDPR, который сводится к решению конкретной инфраструктурной задачи, выполняемому под ключ определенными игроками.

Компания IDC в отчете «Five Essential Steps for GDPR Compliance» прогнозирует рост спроса на единые платформенные решения по управлению данными, гарантирующие выполнение пункта «Right to be forgotten». Аналитики также рекомендуют использовать единое платформенное решение по управлению данными.

Повторюсь: этот пункт GDPR соответствует российскому закону. И, следовательно, выполнять его придется вне зависимости от того, подпадает ли российская компания формально под действие GDPR.

Второй пункт, требующий инвестиций в инфраструктуру, – «72-hour data breach notification». Он обязывает в течение 72 часов оповещать об утечке данных и о том, какие непосредственно данные утеряны, – статьи GDPR 33 и 34. Эта задача также решается при помощи конкретных продуктов класса DLP.

Процедурные задачи

Многие российские компании приняли решение ограничиться организационными изменениями и не тратить деньги на дополнительные технологии. Для некоторых принципов GDPR это вполне работает – например, «Data minimization principle» (принцип минимизации данных) относится прежде всего к внутренним процедурам. Создание дополнительных копий, архивов, правил хранения – это внутренние процедуры, не связанные напрямую с апгрейдом инфраструктуры. Практический совет: тут нет никаких ограничений, можно использовать и прописать любые доступные компании инструменты, которые способствуют минимизации данных.

В соответствии с принципом «Data protection by design and by default» (защита данных по умолчанию и изначально, статья 25), компаниям придется изначально планировать защиту данных при реализации товаров, работ и услуг, минимизируя объем используемых данных и сроки их обработки. Это также достигается внутренними политиками и регламентами.

При обработке данных пользователей компании обязаны обеспечить защиту их персональных данных от несанкционированной или незаконной обработки и потери – в соответствие с принципом «Security and ensuring, confidentiality, integrity, availability and resilience» (целостность и конфиденциальность). Этот принцип находится на стыке процедурных и инфраструктурных задач и может быть реализован как регламентно, так и технологически. Следовательно, исполнять его необходимо либо закладывая при модернизации инфраструктуры и интеграции решений Data Management, либо прописывая регламенты по аналогии с принципом минимизации данных.

Принцип «Defining use cases and managing consent» (ограничение целей использования персональных данных, статья 6) говорит о том, что данные должны собираться и использоваться исключительно в тех целях, которые заявлены компанией. Мы все столкнулись с этим принципом, когда массово начали получать почтовые рассылки с новыми правилами от европейских и американских компаний и, например, «Аэрофлота». Этот важный принцип также процедурный, но мы советуем незамедлительно прописать его и уведомить пользователей, причем не стоит брать типовые информативы, лучше учесть все исходя из того, что и как реально используется. Он имеет особую важность для компаний, поскольку для регулятора легче всего отследить его исполнение.

Принцип «Data transfers» (передача данных, статьи 44-50) нацелен прежде всего на ИТ-гигантов из США. Большинство американских компаний используют персональные данные граждан ЕС. Теперь они будут обязаны соответствовать и европейскому закону тоже.

Требование «Data portability» (возможность экспорта данных в открытом формате) не устанавливает четкого формата выгрузки персональных данных. Его выполнение будет зависеть от специфики компании. Например, для облачного провайдера, чьи клиенты теперь могут запрашивать перенос данных в другие системы, такие запросы могут стать массовыми и потребовать технологического решения и инфраструктурных инвестиций, для большинства же компаний отдельные (редкие) запросы будут исполняться в ручном режиме. Особенно это актуально для медицинских организаций, которые должны предоставлять, например, выгрузку всех анализов пациента за несколько лет. Одним из наших первых клиентов по GDPR Compliance в Европе стал английский госпиталь Chesterfield Royal Hospital.

Надо отметить, что, после того как мы создали любую процедуру, встает вопрос, к каким данным она будет применяться. Написать процедуру несложно, вопрос в реализации. Должна присутствовать базовая индексация данных. Закон требует гранулярного контроля за каждым субъектом персональных данных, а данные распределены по множествам информационных систем. Поэтому спрос на средства контроля данных уже увеличился и будет расти дальше.

Нереализуемые задачи

Принцип «State-of-the-art» (статьи 25 и 32), на мой взгляд, относится к нереализуемым, утопическим. Предполагается, что текущее решение по управлению данными должно предвосхищать будущие угрозы. Но системы эволюционируют, все вызовы предусмотреть невозможно. Вывод: закон требует невозможного. Могу прокомментировать этот принцип цитатой Джеффа Безоса, главы и основателя Amazon: «Мне часто задают вопрос: что изменится через 10 лет? Но у меня никогда не спрашивают, что не изменится на протяжении 10 лет, хотя второй вопрос, на мой взгляд, гораздо важнее, потому что бизнес можно построить только на том, что останется неизменным в обозримом будущем». Инвестируя в предсказуемые технологии, мы уверены, что эти инвестиции обязательно сработают, а принцип «State-of-the-art» требует от компаний инвестиций в решения, призванные противостоять угрозам, которые еще не случились. Кто, например, всерьез опасался вирусов-шифровальщиков в 2016 году? Поэтому я могу посоветовать только соблюдать вышеизложенные требования, которые все вместе работают и на обеспечение этого принципа.

Не всё так страшно

GDPR не заставляет компании внедрять принципиально новые процедуры. Все понятия, ключевые требования, принципы обработки данных уже существуют, и их учитывают многие компании, ориентированные на внешний рынок. Российским компаниям стоит сначала озаботиться обеспечением соблюдения требований российского законодательства в области обработки и хранения персональных данных (152-ФЗ и 242-ФЗ). Необходимо разделить задачи и понять, какие нормы можно «закрыть» модернизацией инфраструктуры, а какие – новыми политиками. IDC в отчете «Five Essential Steps for GDPR Compliance» рекомендует внедрить единое решение Data Management и заняться идентификацией и индексированием вторичных данных. Кроме того, российским компаниям, работающим на европейском рынке, будет необходим юридический GDPR-консалтинг, который предлагают как некоторые вендоры, выполняющие проекты GDPR Compliance, так и юридические и аудиторские фирмы.

Автор – Андрей Вышлов, глава регионального представительства Commvault в России и СНГ.

25 мая 2018 года регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) вступает в силу в полном объеме, он касается любой компании в мире, занимающейся обработкой и хранением персональных данных лиц, проживающих в ЕС. Новый акт предоставляет людям больше прав касательно управления их персональными данными (Personally Identifiable Information, PII), осуществляемого компаниями. Также он предусматривает крупные штрафы за его неисполнение и нарушение конфиденциальности данных – до 4% годового дохода компании. Кроме того, компании должны в течение 72 часов предоставлять отчеты об утечках данных. (См. подробную информацию о данном регулирующем акте в «Требованиях, нормативных сроках и фактах “Общих положений о защите данных (GDPR)"».) 

Даже если вы не ведете бизнес с ЕС, вероятнее всего, новый закон окажет влияние на стандарты обеспечения глобальной безопасности в перспективе. Поэтому компании, работающие в ЕС или с данными, на которые распространяется действие GDPR, пытаются быстро и заблаговременно обеспечить соответствие этому документу. Службам безопасности необходимо будет убедиться в том, что данные, идентифицирующие личность, надлежащим образом защищены и соответствующие процедуры отчетности имеются.

По словам Брайана Вечи, технического евангелиста компании Varonis, которая специализируется на разработке систем по контролю и управлению правами доступа к распределенным файловым ресурсам, большинство компаний совсем не готовы к работе в новых условиях. Есть американские компании, которые подпадают под действие этого нового документа о конфиденциальности лишь потому, что кто-то из ЕС подписался на их информационную рассылку. И если в вашей организации имеются персональные данные гражданина одной из 28 стран – членов Сообщества, то этот акт касается и вас.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

Оливье ван Хуф, менеджер по предварительным продажам в Европе бельгийской компании Collibra, разрабатывающей ПО, считает, что GDPR начинается с управления данными: «Вы должны установить платформу управления данными прежде, чем вы действительно сможете начать защищать данные. Это значительно больше, чем просто техническая защита данных. Большинство организаций начинают с рассмотрения своих бизнес-процессов, затем переходят к рассмотрению логических процессов, используемых при сборе данных, и затем – к самим физическим данным. GDPR – это также понимание того, что данные действительно принадлежат личности. Вы же в действительности лишь размещаете у себя эти данные».

Что GDPR подразумевает под персональными данными?

Определение персональных данных в GDPR значительно шире, чем ранее существовавшие. Оно включает в себя любую информацию, касающуюся конкретного человека, будь то личные, публичные или профессиональные данные. Это не только имена, адреса и финансовая информации, но и все то, что может идентифицировать личность (например, IP-адреса, идентификация пользователей при регистрации для входа в систему, данные биометрической идентификации, данные о географическом местоположении, видеоматериалы, статистика лояльности клиента, посты и фото в социальных сетях).

Обеспечение соответствия GDPR означает, что вы не только должны обеспечивать защиту большего числа видов данных в будущем, но и затрачивать больше усилий на идентификацию существующих данных.

Страны, затрагиваемые GDPR, должны будут идентифицировать в силу своих возможностей информацию, которая не отслеживалась или не индексировалась ранее. Например, записанный звонок в службу поддержки клиентов, возможно, необходимо будет локализовать, защитить, отследить и внести в отчет.

Каковы новые права пользователей в сфере персональных данных?

Документально оформленное добровольное согласие лица на использование информации должно даваться каждым человеком (или его официальным представителем). Согласие должно однозначно определять собираемые данные, цель их использования и длительность их хранения. Пользователи могут отозвать свое согласие в любое время и отправить запрос на удаление их персональных данных (при условии, что они укажут обоснованную причину).

В соответствии с GDPR физические лица могут также контролировать, что происходит с их персональными данными. Они могут рассчитывать на исправление фактических ошибок, видеть, какая информация о них хранится, и даже экспортировать ее для своего персонального просмотра и использования. Эти важные права являются новыми для большинства организаций.

Большинству компаний сначала просто нужно понять, какие положения GDPR у них уже выполняются. Им необходимо выяснить, где хранятся эти данные и подпадают ли они под действие GDPR. Затем им необходимо обеспечить их защиту по принципу минимальных привилегий и отслеживание их изменений. Компания Varonis так и делала с самого начала. Она специализируется не только на поиске данных, но и на определении, кто к чему имеет доступ и нужен ли им доступ к этим данным. Прежние нормативные документы, касающиеся защиты данных, требовали обеспечивать защиту данных от доступа извне. Теперь их необходимо лучше защищать изнутри, поскольку статья 25 GDPR гласит, что данные должны быть защищены по принципу минимальных привилегий намеренно и по умолчанию. И вы не можете сделать это, не понимая, где они находятся и кто может получить к ним доступ.

Каким образом GDPR влияет на структуру служб безопасности?

GDPR дает определение многочисленных функций участников процесса, прописывает правила и обязанности каждого из них. Субъект данных – это лицо, чьи персональные данные собираются. Управляющий данными – это организация, собирающая данные. Обработчик – это организация, обрабатывающая данные по поручению управляющего данными. Управляющие и обработчики обязаны вести письменный учет того, какие данные были собраны, каким образом они были собраны, как они были использованы, когда они были удалены.

Службам безопасности предстоит не только защищать данные от традиционных угроз, но и делать это так, чтобы процесс был прозрачным, документально оформленным и пригодным для возможного использования в отношении большого количества субъектов данных, и все это при строгом обеспечении безопасности данных. Каждому члену службы компьютерной безопасности необходимо разъяснить методы обеспечения соответствия требованиям GDPR.

Многие предприятия-участники, частные и государственные, должны иметь ответственного за защиту данных (data protection officer, DPO). Руководитель по защите данных должен обладать техническими знаниями или иметь персонал для защиты данных и обеспечения преемственности бизнеса. В ЕС считают, что позиция DPO настолько важна, что разработали отдельный, подробный 18-страничный документ о данной позиции.

Может показаться, что позиция по защите данных больше всего подходит руководителю информационной безопасности, однако руководитель по защите данных должен четко понимать требования к конфиденциальности и обеспечению соответствия, что обычно лучше понимают директора по вопросам конфиденциальности (chief privacy officer, CPO) или другие защитники конфиденциальности, однако они могут не понимать технической стороны вещей. В малом бизнесе все может закончиться назначением «наиболее подходящего» работника в качестве управляющего данными или даже выбором внешнего руководителя по защите информации. В любом случае GDPR требует, чтобы такой руководитель был независимым аудитором соответствия требованиям и был доступен для субъектов данных, для организации, следующей предписаниям данного акта, и для инспекторов GDPR.

Ван Хуф отмечает, что большинство европейских компаний уже наняли директоров по защите данных.

Отчеты о защите и обработке данных должны храниться и предоставляться для текущих и регулярных проверок не только аудиторам, но и субъектам данных. Каким образом организация обеспечит доступ к отчетам для индивидуальной частной проверки и в то же время защитит их от несанкционированного просмотра? Потребуется ли для каждого отдельного субъекта новая система сопровождения управления идентичностью и контроля доступа с учетом того, что потенциально возможных субъектов данных миллионы? Может ли организация соответствовать требованиям GDPR, просто распечатывая личные отчеты и рассылая пользователям бумажные копии? Это важные моменты, которые должны проработать директора по защите данных, руководящий состав и служба безопасности.

Национальные органы управления защитой данных

Каждая страна – член Сообщества имеет национальный орган управления защитой данных (data protection authority, DPA). DPA несут ответственность за установление соответствия и проведение в жизнь соответствующих законов на национальном уровне, но обязаны быть независимыми даже от контроля со стороны собственного национального правительства.

Страны – члены Сообщества могут иметь один или более органов управления. Каждая организация может выбрать один DPA, который контролирует соответствие GDPR для организации в целом. Единый надзорный орган имеет возможность контролировать обработку и защиту данных, обеспечиваемые в других странах-членах. Критики справедливо отмечают, что компании, работающие в нескольких странах – членах Сообщества, могут выбрать для работы наиболее гибкий DPA подобно тому, что они уже сегодня делают для снижения налогов и организационной независимости.

DPA созданы в рамках предыдущего закона ЕС о защите данных, но были значительно усилены в регулирующем акте. DPA фактически являются официальными государственными регулирующими и надзорными органами в структуре GDPR. Орган управления защитой данных помогает принимать решения в правовых вопросах и может расследовать деятельность компаний в случае нарушений и приостанавливать работу управляющих данными и обработчиков, несущих юридическую ответственность за нарушения GDPR, и определять штрафные санкции. Кроме того, он решает, может ли организация передавать данные за пределы ЕС, и если да, то какие механизмы защиты следует применить. В конкретной организации основным лицом, поддерживающим связь с DPA, вероятно, будет руководитель по защите данных.

Если субъект данных понимает, что произошло нарушение, он может связаться либо с DPO, либо с DPA, который был выбран данной компанией и контакты которого были переданы субъекту. На практике это может быть очень неудобно, поскольку DPO или DPA компании, управляющей данными или обрабатывающей их, может не находиться в той же стране.

Об утечках данных следует сообщать незамедлительно

Об утечках персональных данных следует сообщать немедленно или по крайней мере в течение 72 часов в единый надзорный орган – DPA. Лица, которых это коснулось, должны быть оповещены, если ожидаются негативные последствия. Однако если эти данные соответствующим образом зашифрованы или обезличены и эта критичная защита не была взломана, то людей оповещать не следует.

Службы безопасности, вероятно, будут испытывать больше давления, поскольку должны убедиться в том, что все персональные данные надлежащим образом зашифрованы или обезличены. Ранее шифрование в основном было направлено на защиту портативных устройств. Обеспечение соответствия GDPR, скорее всего, приведет к большому спросу на еще большее шифрование данных во всей компании.

Также службы безопасности будут подвергаться повышенному давлению из-за необходимости быстрее, чем раньше, определить, явилась ли утечка данных событием, требующим отчетности. 72 часа – слишком малое время для многих организаций, особенно если пытаться понять, может ли какой-либо факт предотвратить необходимость сообщать об утечке затронутым субъектам данных или в прессу.

Как подготовиться

Любой сотрудник компаний, подпадающих под действие GDPR, занятый сбором, хранением, обработкой данных, уже должен знать основы регулирующего акта. Необходимо сформировать группы людей, которые будут заниматься подготовкой к введению GDPR в действие и обеспечением его выполнения. Наиболее важные сотрудники должны пройти обучение по GDPR с проверкой их знаний. При необходимости назначьте или наймите сотрудника, ответственного за обеспечение соответствия данных требованиям GDPR.

Оцените готовность вашей компании выполнить требования GDPR (например, персонал, инструменты и процессы), отметив области, требующие наибольшего внимания. Простое определение имеющихся данных, уже соответствующих требованиям GDPR, будет серьезной первоначальной задачей. Большинство компаний столкнутся с необходимостью создать новые системы для отслеживания изменений данных в соответствии с нормами GDPR или изменить существующие системы.

Заранее определите, что вашей компании придется делать в случае утечки персональных данных. С кем вы будете связываться? Какую информацию вы должны передать? Кто определяет, следует ли уведомить субъектов данных?

GDPR – это новый стандарт по защите конфиденциальности персональных данных. Он призван дать субъектам данных больше возможностей по контролю данных и обеспечить прозрачность операций и защиту. Это отличная вещь для защиты конфиденциальности, но масса работы для тех, кто должен выполнять требования этого акта.

***

Многие компании видят в GDPR лишь еще одну обузу, дополнительные расходы. Но, может быть, следует его рассматривать как возможность? Часто бывает, что компании собирают данные в течение длительного времени и даже не уверены, нужны ли они им. А GDPR заставит их пересмотреть причину сбора этих данных, срок их хранения, способ их обработки. Это шанс оптимизировать не только данные, но и работу, связанную с этими данными.

− Roger A. Grimes. How to protect personally identifiable information under GDPR. CSO. August 14, 2017

Регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) вступит в силу 25 мая 2018 года и кардинально изменит способы сбора и использования персональных данных, поэтому европейские (и не только) компании должны полностью пересмотреть свои механизмы обработки клиентской информации. Подчеркнем, что эти требования распространяются и на многие российские компании, которые могут даже и не подозревать об этом; например, отечественный интернет-магазин может оказаться «оператором» клиентских данных посетившего его гражданина ЕС, а потому должен надлежащим образом обрабатывать, хранить и защищать их. Мы попросили специалистов отечественных ИТ-компаний пояснить, кого может реально коснуться закон в России.

Кому следует задуматься?

Андрей Янкин, заместитель директора центра информационной безопасности компании «Инфосистемы Джет», считает, что для большинства российских компаний данная тема не актуальна, но есть организации, которым все же пришлось озаботиться данным вопросом. В первую очередь это «дочки» западных организаций, а также компании, имеющие филиалы в Евросоюзе или предоставляющие сервисные услуги европейским потребителям. Последняя категория не подпадает напрямую под GDPR, но их клиентам необходимо выполнять требования регулятора, и они требуют того же от поставщиков услуг.

«Нормы GDPR конкретно коснутся тех, кто так или иначе работает со странами Европы. Это финансовые компании, технологические, медиа- и телеком-компании, фармацевтические, транспортные, интернет-магазины», – отмечает Тимур Аитов, заместитель генерального директора группы компаний «Программный Продукт» и заместитель председателя подкомитета по платежам и информационной безопасности ТПП РФ. К примеру, система «Платон», в которой зарегистрировано около 2 млн личных кабинетов, сразу подпадает под действие GDPR. В сфере внимания окажутся и те, кто намерен предоставлять свои товары и услуги в странах Европейской экономической зоны: использует для их описания европейские языки, ведет заметный (агрессивный) маркетинг в ЕЭЗ, осуществляет мониторинг поведения европейцев, анализируя его с целью подготовки прогнозов, выявления предпочтений и т. п.

По мнению Антона Боженко, архитектора управления пресейла и прототипирования центра компетенций Больших Данных компании «Техносерв», закон коснется еще и тех компаний, которые ведут регистрацию пользователей веб-ресурсов, используют адресный или интернет-маркетинг, обрабатывают большие объемы персональных данных. Например, это могут быть не только транспортные и финансовые компании, но и туроператоры или социальные сети.

Анастасия Казакова, специалист по связям с государственными органами «Лаборатории Касперского», рекомендует обратить внимание на два ключевых момента, которые подскажут, попадает ли компания под действие закона: сфера применения GDPR и определение «персональных данных» и их «обработки». Сфера применения охватывает практически все случаи, когда деятельность компании распространяется не только на территорию ЕС, но и на ее граждан.

Говоря о втором пункте, стоит отметить, что GDPR существенно расширяет определение персональных данных – теперь это любая информация, которая может прямо или косвенно идентифицировать пользователя (имя, фамилия, адрес и т. д.). Более того, закон выделяет особую категорию персональных данных – sensitive personal data, куда входят биометрические данные, указание расовой, религиозной и этнической принадлежности, философские взгляды, членство в профсоюзных и иных некоммерческих ассоциациях, данные о здоровье и сексуальной ориентации. Для обработки таких данных GDPR вводит еще более строгие правила.

«Можно выделить три типа организаций, которых коснется GDPR», – говорит Руслан Вагизов, исполнительный директор ICL Services. В первую очередь это организации, у которых есть представительства в ЕС, а также компании, которые реализуют свои товары гражданам ЕС. К третьей группе относятся организации, использующие при реализации товаров валюту и язык одной из стран ЕС, адаптирующие под них свои продукты, проводящие маркетинговые акции для европейских потребителей, отслеживающие их потребительские предпочтения. По этим критериям под действие GDPR могут, например, попасть нефтегазовые, фармацевтические, медицинские и ИТ-компании.

Какие действия точно надо предпринимать, а от чего можно воздержаться?

«Стоит отметить, что и сами европейские компании пока слабо понимают, что именно необходимо делать для соответствия законодательству. Из-за этого множество проектов в области безопасности поставлено на паузу», – подчеркивает Янкин. Нет полного понимания того, как гармонизировать эти активности с новыми требованиями GDPR. Пока можно однозначно говорить о том, что необходимо выстраивать риск-ориентированный подход к ИБ, строить систему менеджмента ИБ. В целом в этом нет ничего нового, но для многих компаний GDPR – это стимул для выхода на новый уровень зрелости по данным направлениям.

Боженко согласен с тем, что требования закона предполагают наличие организованного процесса использования данных – он должен включать сбор, обработку, хранение, защиту и уничтожение. Стоит обратить внимание на полноту процесса, степень его соответствия закону, уровень реализации и контроля за его исполнением. При этом важной его частью является возможность удаления персональных данных («право на забвение»). Причем удаление персональных данных из системы должно осуществляться без потери ее работоспособности.

Что касается защиты информации, то явное указание на методологию в законе отсутствует. Российские компании защищают персональные данные в соответствии с Федеральным законом № 152-ФЗ «О персональных данных» и используют методологию защиты информации, построенную на базе международного стандарта ISO/IEC 27001. В связи с этим возможно использование существующих мер по защите персональных данных и для данных граждан Евросоюза. Однако при оценке защищенности данных граждан ЕС стоит учесть, что трактовка понятия «персональные данные» в GDPR несколько шире, чем в российском законодательстве, они могут включать информацию, которая неявно указывает на физическое лицо – например, к ним могут относиться онлайн-идентификаторы или сookies.

«Можно самостоятельно пройти короткий тест или вообще на время «забыть» о проблеме GDPR. Однако при таком подходе возникают риски – возможная потеря репутации, огромные штрафы и пр.», – считает Аитов. Штрафы за нарушение требований GDPR могут достигать 20 млн евро или 4% годовой выручки компании. Помимо этого, каждая страна Евросоюза может установить дополнительные санкции. Самый очевидный шаг – при малейших сомнениях обратиться к консультантам, хотя ряд положений GDPR до сих пор не вполне однозначно трактуется самими экспертами.

«Для законной обработки данных существует несколько оснований, – говорит Казакова. – Одним из них является получение недвусмысленного и ясно выраженного согласия от пользователя. При запросе такого согласия оператор должен простым и понятным языком изложить цель обработки данных, а также указать на право пользователя отозвать это согласие впоследствии и потребовать от оператора удаления данных». Кроме того, операторы должны сделать процессы обработки персональных данных прозрачными: GDPR обязывает компании предоставлять сведения об обработке и передаче данных третьим лицам по запросу пользователей или правомочных органов. Более того, данные должны быть представлены в структурированном формате для простой перезаписи.

Как указывает Вагизов, очень многое зависит от того, как в организации сейчас построены процессы обработки персональных данных. Однако в качестве отправной точки можно порекомендовать руководство «Подготовка к GDPR за 12 шагов» («Preparing for the GDPR: 12 steps to take now»), разработанное британским регулятором в области защиты данных.

Некоторые из этих рекомендаций будут актуальны только для британских компаний, но в любом случае они помогут сформировать общую картину и понять, на что обратить внимание.

Какие ИТ-решения могут быть полезными?

«Отдельные провайдеры облачных сервисов уже предлагают решения, которые соответствуют требованиям нового законодательства, ведь во многом GDPR «заточен» именно на облака и соцсети», – говорит Аитов. При собственной же разработке ИТ-решений действовать придется по принципу «семь раз отмерь» и советоваться с юристами. Причем это относится к разработке всех политик, процедур и всех информационных систем организации.

По словам Янкина, с точки зрения технических средств защиты информации необходимо прежде всего учитывать те риски, которые выявляет для себя компания. Однако уже сейчас можно говорить о том, что GDPR вызовет рост на рынке шифрования и обезличивания данных, так как такие технологии защищают компанию от необходимости разглашать информацию о компрометации систем, тем самым снижая репутационные риски.

«Текст закона не предполагает обязательного внедрения каких-либо решений и инновационных продуктов», – подчеркивает Боженко. Его требования направлены на развитие процессов управления данными в организациях и усиление взаимодействия между подразделениями ИТ и ИБ. Для повышения уровня автоматизации при приведении ИТ-процессов в соответствие требованиям GDPR следует обратить внимание на решения класса Data Governance. Наличие полной и актуальной информации о данных, местах их размещения, методах обработки и правах доступа поможет в практической реализации требований закона.

Казакова, напротив, полагает, что инновацией GDPR является то, что закон заставляет операторов не только перестроить организационные процессы, но и существенно пересмотреть техническую сторону работы компании. Для этого GDPR вводит принципы Privacy by Design и Privacy by Default. Иными словами, ИТ-процесс должен стать таким, чтобы конфиденциальность персональных данных была обеспечена по определению и по умолчанию. Например, GDPR говорит о проведении псевдонимизации и шифровании персональных данных, внедрении механизмов для обеспечения конфиденциальности, целостности, доступности и устойчивости систем обработки данных, об обеспечении способности систем своевременно восстанавливать доступ к персональным данным в случае инцидента, при проведении регулярного тестирования.

Какой подход следует избрать?

«Пока не сформировалась четкая практика приведения процессов обработки данных в компаниях в соответствие требованиям GDPR, я бы рекомендовал заняться требованиями по сбору согласий на обработку, выстраиванию каналов взаимодействия с субъектами персональных данных, – говорит Янкин. – Эти направления деятельности вполне понятны всем, кто занимался, например, вопросами соответствия российским требованиям по защите персональных данных. К тому же стоит пересмотреть свою систему менеджмента ИБ и управления рисками».

Как полагает Боженко, в первую очередь необходимо выявить виды обрабатываемой информации (из защищаемых законом), цели и последовательность процессов их обработки, а также существующие методы их защиты. После этого надо разработать комплексный план мероприятий по реализации требований закона. Комплекс мероприятий должен затрагивать зоны ответственности ИТ-подразделений и подразделений информационной безопасности. Именно по этой причине так важно с самого начала проекта обеспечить участие в нем руководителей уровня CIO и CISO.

«Для начала ИТ-директору полезно написать красочную «страшилку» и отправить руководству», – рекомендует Аитов. Адаптация к нормам GDPR – это огромная и длительная работа, которая ляжет на службы ИТ, ИБ, корпоративных юристов.

Европейцы от контроля за нормами GDPR отступать не намерены, и огромные штрафы появились неслучайно. Обстановка в мире непростая: поводы со стороны GDPR могут быть использованы в том числе для «наказания» крупных отечественных представителей бизнеса – конкуренцию никто не отменял. Однако неприятности могут возникнуть у компании любого размера.

GDPR как свод законов – это заметный вызов для самих стран европейской экономической зоны именно потому, что нормы закона получили прямое действие в отношении всех стран.

В апреле Европейский парламент принял нормы Общего регулирования защиты данных (General Data Protection Regulation, GDPR). От бизнеса требуют обеспечить защиту персональных данных и конфиденциальности граждан Европейского Союза при выполнении транзакций внутри государств, входящих в ЕС. Вместе с тем GDPR регулирует пересылку персональных данных за пределы Евросоюза. Компании, ведущие бизнес в странах ЕС и обрабатывающие персональные данные их граждан, должны выполнить соответствующие требования к 25 мая 2018 года.

Положения эти согласованы между всеми 28 странами Евросоюза, а значит, компании должны соблюдать внутри ЕС единые стандарты. Требования этих стандартов исключительно высоки и большинству компаний понадобятся значительные инвестиции в реализацию и администрирование необходимых мер. (Подчеркнем, что эти требования распространяются и на многие российские компании, которые могут даже и не подозревать об этом; например, отечественный интернет-магазин может оказаться «оператором» клиентских данных посетившего его гражданина ЕС, а потому должен надлежащим образом обрабатывать, хранить и защищать их. — Прим. ред.)

GDPR содержит 99 статей, которые определяют требования и права, предоставляемые гражданам ЕС, операции и структуру норм регулирования, а также штрафные санкции. Наиболее существенное влияние на бизнес окажут несколько статей.

Статья 5: обработка и хранение персональных данных. Все персональные данные должны обрабатываться прозрачно, в соответствии с действующим законодательством и в целях, определенных их владельцами. Данные разрешено хранить «в форме, позволяющей идентифицировать их субъекта не дольше, чем это необходимо для целей, в которых обрабатываются персональные данные». Все персональные данные должны обрабатываться с учетом требований к безопасности и обеспечению защиты от несанкционированного доступа, потерь и повреждений, с использованием подходящих технических и организационных средств. Указанные средства не регламентированы, но если данные потеряны или украдены, компания может быть обвинена в несоблюдении нормативных требований.

Статьи 6, 7 и 8: согласие. Обработка персональных данных должна осуществляться в соответствии с требованиями законодательства; каждый индивидуум должен дать согласие на использование его персональных данных. Собранные данные должны быть нужны для выполнения задач или транзакций, инициированных индивидуумом. Исключение составляют запросы органов государственной власти.

Статья 15: право доступа. Граждане стран Евроcоюза имеют право знать, какие персональные данные хранит компания, и как они используются.

Статья 17: право на забвение и уничтожение данных. Граждане стран Евроcоюза вправе требовать прекращения обработки и удаления их персональных данных по первому требованию.

Статья 20: право на перенос данных. Граждане стран Евроcоюза имеют право на перенос своих персональных данных из одной компании в другую по запросу.

Статьи 25 и 32: защита данных. Компании должны предоставлять гражданам стран Евроcоюза «разумный» уровень защиты данных и конфиденциальности. Что понимается под «разумным уровнем», неясно.

Статья 35: оценка воздействия. Компании должны проводить оценку воздействия защиты данных с целью выявления рисков для граждан стран Евроcоюза. В оценке необходимо указать, каким образом компания намерена управлять этими рисками.

Статьи 37, 38 и 39: ответственные за защиту данных. В некоторых компаниях необходимо ввести должность ответственного за защиту данных, который будет контролировать выполнение стратегии в области безопасности и соответствие нормам GDPR. Ответственный должен назначаться, если компания обрабатывает или хранит большие объемы данных о гражданах ЕС, обрабатывает или хранит специальные персональные данные, регулярно осуществляет мониторинг субъектов данных либо относится к органам государственной власти. По оценке Международной ассоциации специалистов в области конфиденциальности (International Association for Privacy Professionals, IAPP), в целом потребуется заполнить 28 тыс. таких вакансий.

Статья 50: международные компании. Международные компании, собирающие и обрабатывающие данные граждан ЕС, должны соответствовать нормам GDPR.

Статья 83: штрафные санкции. На компании может быть наложен штраф в размере 20 млн евро или 4% глобального годового оборота, в зависимости от того, какая сумма окажется больше.

- Michael Nadeau. What are the GDPR requirements? CSO. June 29, 2017