25 мая 2018 года Общий регламент ЕС по защите данных (GDPR) вступает в силу. До этой даты осталось чуть больше полугода, а многие российские компании всё ещё считают, что европейское право их не касается. Это ошибка. Регламент действует экстерриториально: если вы обрабатываете персональные данные жителей ЕС – предлагаете им товары и услуги или отслеживаете их поведение, – нормы GDPR распространяются на вас независимо от того, где зарегистрирована компания. Штрафы доходят до 20 млн евро или 4% годового мирового оборота. Это не теоретический риск, а строка в бюджете, которую стоит закрыть заранее.

Кого это касается и что меняется

Под действие регламента попадают экспортёры, интернет-магазины с европейской аудиторией, SaaS-платформы, туристический и гостиничный бизнес, а также подрядчики, которые обрабатывают данные ЕС по заказу клиентов. Госсектор тоже не в стороне: трансграничный обмен данными и совместные проекты с европейскими партнёрами подпадают под те же требования.

GDPR вводит понятия, которых нет в привычной практике 152-ФЗ в полном объёме. Право на забвение и право на переносимость данных требуют, чтобы вы умели по запросу удалить или выгрузить все данные конкретного человека – из всех систем сразу. Согласие на обработку должно быть явным, отзываемым и задокументированным. Об утечке вы обязаны уведомить надзорный орган в течение 72 часов. Для ряда компаний обязательным становится назначение Data Protection Officer.

С чего начать подготовку

Готовность к GDPR – это не разовый проект, а перестройка процессов работы с данными. Практический порядок действий:

  • Инвентаризация данных. Составьте карту: какие персональные данные вы собираете, где они хранятся, кто имеет доступ, кому передаются. Без этой карты остальные шаги бессмысленны.
  • Privacy by design. Защита данных закладывается в архитектуру, а не прикручивается потом. Минимизируйте сбор, шифруйте на хранении и в передаче, разграничивайте доступ по ролям.
  • Управление согласиями. Постройте механизм фиксации, хранения и отзыва согласий с журналом изменений.
  • Реакция на инциденты. Регламент 72 часов работает только при отлаженном мониторинге и плане реагирования.

Последний пункт – про то, что многие недооценивают. Эпидемия WannaCry в мае показала, как быстро организация теряет контроль над данными при слабой защите периметра и несвоевременных патчах. В режиме GDPR такой инцидент означает ещё и обязательное уведомление регулятора с риском штрафа.

Технологическая сторона вопроса

Соответствие GDPR опирается на зрелую инженерную базу. Изоляция нагрузок, воспроизводимые окружения и контроль доступа проще даются командам, которые уже перешли на контейнеризацию – мы писали, почему Kubernetes становится стандартом для управляемой инфраструктуры. Отдельное внимание – системам, которые автоматически собирают пользовательские данные: например, чат-ботам с NLU-бэкендом, где каждое сообщение пользователя нужно обрабатывать с учётом согласия и сроков хранения.

Инвентаризация данных, архитектура по принципу privacy by design и отлаженные процессы реагирования на инциденты складываются в единую систему информационной безопасности. Чем раньше вы начнёте, тем спокойнее пройдёт май 2018-го.

Вывод

GDPR – не разовая бумажная отчётность, а постоянный режим работы с персональными данными. Времени до 25 мая 2018 года достаточно для подготовки, но мало для того, чтобы откладывать. Начните с карты данных и архитектуры – остальное выстраивается вокруг этих двух опор.