25 мая 2018 года вступил в силу Общий регламент по защите данных (GDPR). Бизнес ждал волну многомиллионных штрафов – за нарушение регламент позволяет взыскать до 20 млн евро или 4% годового мирового оборота. За первый год регуляторы наказали меньше компаний, чем пугали консультанты, но прецеденты уже задают планку. Разберём, кого оштрафовали и что из этого следует для российских компаний, работающих с европейскими данными.

Первые штрафы: за что и сколько

Самый громкий случай – 50 млн евро для Google от французского регулятора CNIL в январе 2019 года. Причина не утечка, а непрозрачность: пользователь не мог понять, как и зачем собираются его данные для персонализации рекламы, а согласие получали по умолчанию, без явного действия. Регулятор счёл, что согласие не было ни осознанным, ни конкретным.

Второй показательный кейс – немецкий чат-сервис Knuddels, оштрафованный в ноябре 2018 года на 20 тыс. евро. После утечки выяснилось, что компания хранила пароли пользователей в открытом виде. Сумма скромная, но логика регулятора важна: штраф снизили именно потому, что компания быстро сообщила об инциденте и устранила причину. GDPR карает не сам факт утечки, а отсутствие должных технических мер и попытки замолчать проблему.

Из этих дел видно главное: регуляторов интересует не объём данных, а то, как вы обосновываете их сбор, как защищаете и как ведёте себя при инциденте.

Почему это касается российских компаний

GDPR действует экстерриториально. Если вы обрабатываете данные граждан ЕС – предлагаете им товары и услуги, ведёте аналитику поведения на сайте, нанимаете европейских сотрудников – регламент применяется к вам независимо от того, где расположен сервер. Это напрямую затрагивает экспортёров ПО, аутсорсинговые команды, операторов трансграничных платежей и любые сервисы с европейской аудиторией.

При этом GDPR не отменяет требований российского 152-ФЗ – их приходится выполнять параллельно, и расхождения в трактовках согласия и локализации данных создают отдельную работу. Тема приоритета цифрового регулирования звучит и в государственной повестке: мы разбирали её в обзоре национального проекта «Цифровая экономика».

Что делать на практике

Опыт первого года сводится к нескольким конкретным шагам.

  • Инвентаризация данных. Заведите реестр обработки: какие данные собираете, на каком правовом основании, где храните, кому передаёте. Без этой карты вы не докажете регулятору соответствие.
  • Согласие как явное действие. Уберите предзаполненные галочки и формулировки «продолжая пользоваться сайтом». Согласие должно быть отдельным, конкретным и отзываемым.
  • Технические меры по умолчанию. Шифрование паролей и чувствительных данных, минимизация сбора, разграничение доступа. Кейс Knuddels показал, что хранение паролей открытым текстом неприемлемо.
  • План реагирования на инциденты. GDPR даёт 72 часа на уведомление регулятора об утечке. Регламент работы должен существовать до инцидента, а не сочиняться в момент.

Отдельный риск – автоматизированные системы. Когда предиктивная аналитика или RPA в бэк-офисе обрабатывают персональные данные, под регламент попадают и они: профилирование требует отдельного основания, а роботизированные процессы – контроля доступа к данным на каждом шаге.

Выстроить эти процессы без капитального ремонта инфраструктуры реально, но требует системного подхода к защите данных и аудиту. Если у вас есть европейская аудитория или планы выхода на рынок ЕС, начинать стоит с независимой оценки текущего состояния информационной безопасности.

Вывод

Первый год GDPR показал: регуляторы наказывают за непрозрачность и небрежность, а не за масштаб. Штрафы пока единичны, но прецеденты создают правила игры. Российским компаниям с европейскими данными выгоднее привести процессы в порядок сейчас – реестр обработки, явное согласие, шифрование и план реагирования. Это дешевле штрафа и проще, пока вы делаете это по своей инициативе, а не по предписанию.