25 мая 2018 года вступил в действие Регламент (ЕС) N 2016/679 Европейского парламента и Совета ЕС от 27 апреля 2016 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС (Общий Регламент о защите персональных данных — General Data Protection Regulation (GDPR)),. что существенно ужесточает требования по работе с персональными данными и делает недостаточным простое следование ФЗ-152,242.
Положения рассматриваемого Регламента носят трансграничный характер — ЕС распространяет его действие на организации, предоставляющие сервис, товары или услуги потребителям Европейского Союза. При этом не важно, где зарегистрирована компания — в ЕС или за его пределами, в том числе и на территории Российской Федерации. Речь идет, в первую очередь, о:
- Гостиницах
- Авиа и др. транспортных компаниях
- Туристических агентствах
- Интернет-магазинах
- Онлай-агрегаторах
- Операторах мобильной связи
- Разработчиках онлайн игр
- Образовательных учреждениях
- И иных сфер бизнеса, оперирующих данными европейских пользователей.
Так, например, во время прошедшего Чемпионата мира по футболу все сайты гостиниц России, при наличии формы бронирования или заказа (где пользователь должен указать свои ПД), были обязаны при работе с гражданами ЕС соблюдать нормы европейского Регламента. А именно: не только запрашивать разрешение на обработку персональных данных в виде чекбокса (галочки), но и передавать их в защищенном виде по цепочке «браузер пользователя» — «сервер сайта» — «CRM».
Подробнее о GDPR: https://www.l-b.ru/analitica/gdpr
Наши услуги
Анализ необходимости соблюдения GDPR, внедрение технической, юридической и административной системы обработки персональных данных в соответствии с требованиями Регламента (ЕС) N 2016/679 (GDPR), предоставление услуг Representative в ЕС.
Экспресс-аудит
Экспресс-аудит — это собеседование с уполномоченными лицами вашей компании, по результатам которого мы определяем, распространяется ли на вашу компанию действие регламента GDPR. Для этого мы анализируем бизнес-процессы, информационные потоки, юридические документы, этапы взаимоотношений с клиентами и т.д., которые имеют отношение к обработке персональных данных, а также возможность применения санкций к вашему бизнесу.
Так, изменение некоторых бизнес-процессов, возможно, незначительных для вашей компании, может устранить необходимость следовать требованиям Регламента. Например, анонимизация персональных данных на начальном этапе взаимоотношений с клиентами может исключить вас из списка обработчиков персональных данных, а значит требования GDPR на вас могут не распространяться.
Стоимость: экспресс-аудит мы проводим бесплатно.
Здесь будет блок проверки сайта сервисом 2GDPR
Проверьте прямо сейчас ваш сайт на соответствие GDPR
С помощью этого сервиса вы можете в режиме онлайн проверить cookies и передачу данных вашего сайта на соответствие требованиям GDPR
Заключение для европейских контрагентов о неприменимости GDPR
После вступления в силу GDPR многие европейские компании стали требовать от своих зарубежных контрагентов или соблюдение этих норм, или заключение о том, что данные компании не попадают под действие регламента.
Если GDPR не распространяются на вашу компанию (по результатам экспресс-аудита), то мы можем предоставить такое заключение на необходимом языке и на официальном бланке нашей компании.
Стоимость заключения — 70 000 ₽.
Услуга Representative (представителя) в Европе
Представитель (representative) — это физическое или юридическое лицо, созданное в Евросоюзе, которое специально уполномочено в письменной форме контролёром или обработчиком и представляет контролёра или обработчика, в отношении их соответствующих обязательств, предусмотренных Регламентом (Статья 4 Регламента GDPR).
В соответствии с регламентом российские компании обязаны иметь представителя в случае:
- У неё нет филиала в ЕС (в противном случае функции представителя может выполнять этот филиал).
- Она обрабатывает персональные данные находящихся в Евросоюзе субъектов данных и если её деятельность по обработке связана с предложением товаров и услуг этим субъектам данных в Евросоюзе, вне зависимости от того, требуется ли оплата от субъекта данных (за исключением частных случаев, указанных в статье 27 Регламента GDPR).
Мы предоставляем услуги представителя (representative) в Евросоюзе по взаимодействию с европейскими субъектами персональных данных и надзорными органами в рамках регламента GDPR. В качестве вашего представителя в ЕС будет выступать наша чешская компания: L Bridge Consulting s.r.o.
Почему Чехия:
- Лояльный местный DPA (надзорный орган по соблюдению регламента GDPR).
- Стоимость судебных издержек значительно ниже, чем во многих других странах ЕС.
В услугу входит:
- Составление юридической документации по GDPR с указанием нашей компании как представителя в ЕС.
- До 20* ответов на запросы субъектов ПД в год.
- До 10* ответов на запросы надзорных органов в год.
*При превышении лимитов цена обговаривается индивидуально.
Стоимость — 850 € в год.
Разработка юридических документов для соответствия требованиям GDPR
При этом варианте сотрудничества мы разрабатываем только юридическую часть комплекса мер по соответствию GDPR: различные регламенты, политики конфиденциальности и другие документы.
В итоге вы получаете индивидуальный пакет документов, который регламентирует работу ваших сотрудников, взаимоотношения с контрагентами и клиентами.
Стоимость — от 170 000 ₽.
Комплексное внедрение системы обработки персональных данных в соответствии с требованиями регламента GDPR
1 этап
Комплексный аудит технической, юридической и административной составляющей вашего бизнеса в разрезе требований GDPR.
На этом этапе мы проводим анализ:
- Всех этапов прохождения информации с персональными данными по цепочке «сайт-сервер-CRM-оператор» или иной последовательности в зависимости от вашей сложившейся практики.
- Защищенности данных на каждом этапе.
- Юридических и технических регламентов и распределение доступов среди сотрудников и/или контрагентов к персональным данным.
- CRM на соответствие требованиям Регламента.
- Распределения ролей Controller/Processor/Recipient.
- Технические и административные возможности предоставления доступа/анонимизации/удаления/изменения персональных данных.
- Маркетинговую составляющую вашего бизнеса, связанной с обработкой персональных данных.
На основании собранных данных мы составляем рекомендации и план дальнейших действий по приведению системы обработки персональных данных в соответствие с требованиями GDPR.
2 этап
Разработка юридических регламентов, политики конфиденциальности и других документов для соответствия требованиям GDPR
На этом этапе нашими юристами разрабатывается индивидуальный пакет документов, который регламентирует работу ваших сотрудников, взаимоотношения с контрагентами и клиентами.
3 этап
На этом этапе техническими специалистами производится:
- Разработка алгоритмов обеспечения безопасности передачи и хранения информации с ПД.
- Обеспечение защиты от внешнего несанкционированного доступа (хакерских атак).
- Обеспечение защиты от внутреннего несанкционированного доступа — распределение прав доступа среди сотрудников к просмотру, копированию и удалению данных.
- Настройка CRM под требование Регламента.
- Разработка алгоритмов предоставления доступа/анонимизации/удаления/изменения персональных данных.
4 этап
Заключительный (административный) этап внедрения системы обработки ПД.
На этом этапе производится
- Обучение сотрудников рядового и менеджерского состава работе с персональными данными (в том числе в CRM-системе), в частности по порядку предоставления доступа/анонимизации/удаления/изменения данных.
- Распределение прав доступа в соответствии с бизнес-процессами вашей компании.
- Выстраивание взаимоотношения с вашими контрагентами.
- Сбор подписей сотрудников под «Обязательством о неразглашении конфиденциальной информации».
- Обучение отдела маркетинга о правилах взаимодействия с клиентами в рамках GDPR.
- Обучение вашего сотрудника функциям Data Protection Officer вашей компании.
Стоимость комплексного внедрения — определяется индивидуально.
