Сегодня, 25 мая 2018 года, вступает в силу Общий регламент по защите данных (GDPR). Двухлетний переходный период закончился. Регламент действует экстерриториально: если вы обрабатываете данные граждан ЕС – предлагаете им товары и услуги или отслеживаете их поведение, – он распространяется и на российскую компанию без офиса в Европе. Штрафы доходят до 20 млн евро или 4% годового мирового оборота. Это не повод для паники, но повод привести процессы в порядок. Ниже – практический чек-лист.

Что проверить в первую очередь

Начните с инвентаризации. Без понимания, какие данные вы собираете, где они лежат и куда передаются, любые меры будут декларативными.

  • Реестр обработки (Article 30). Зафиксируйте категории субъектов, цели обработки, сроки хранения, получателей и трансграничные передачи. Это базовый документ, который запросит регулятор.
  • Правовое основание. Для каждой цели обработки определите основание из Article 6: согласие, исполнение договора, законный интерес. Согласие теперь должно быть явным, информированным и легко отзываемым – преднастроенные галочки не работают.
  • Права субъектов. Постройте процессы для права на доступ, исправление, удаление («право быть забытым») и переносимость данных. На запрос есть один месяц.
  • Privacy by design. Защита данных закладывается в архитектуру, а не прикручивается сбоку. Минимизируйте сбор, псевдонимизируйте где можно, шифруйте передачу и хранение.
  • Уведомление об утечках. О серьёзном инциденте надо сообщить надзорному органу в течение 72 часов. Нужен заранее описанный регламент реагирования.
  • DPO. Если ваша основная деятельность – масштабная обработка или мониторинг, назначьте Data Protection Officer.

Где это упирается в ИТ-инфраструктуру

GDPR – это не только юридические бумаги. Большинство требований реализуется на уровне систем. Право на удаление бессмысленно, если данные размазаны по десятку legacy-приложений без единого реестра. Здесь напрямую помогает наведение порядка в наследуемых системах: их разделение на сервисы и контейнеризация legacy-приложений дают контроль над тем, где физически живут персональные данные и как их изолировать.

Отдельный вопрос – трансграничная передача. Если данные граждан ЕС хранятся на серверах в России, нужно обеспечить адекватный уровень защиты: стандартные договорные оговорки или явное согласие субъекта. Параллельно действует российское требование о локализации персональных данных (152-ФЗ), и эти два режима нужно совмещать, а не противопоставлять.

Практический фундамент соответствия – управляемое хранилище с прозрачной моделью данных, журналированием доступа и возможностью точечно находить и удалять записи. Такая платформа вырастает из проектирования хранилищ данных и единой модели BI: единый каталог данных, контроль происхождения, разграничение доступа и автоматизированные выгрузки по запросам субъектов.

Связь с государственной повесткой

Тема защиты данных перекликается с курсом на цифровизацию внутри страны. Майский указ № 204 задаёт ориентиры цифровой экономики, где зрелое обращение с данными становится базовой компетенцией, а не опцией. Компании, которые ещё в итогах 2017 года откладывали наведение порядка в данных, сегодня платят за это сжатыми сроками.

Вывод

GDPR уже работает. Соответствие – это не разовый аудит, а постоянный процесс, в котором юридические основания опираются на ИТ-архитектуру. Начните с реестра обработки и инвентаризации систем, закройте права субъектов и регламент реагирования на утечки. Технический долг в данных теперь имеет конкретную цену в евро и лучше платить за порядок, чем за штраф.