GDPR простыми словами для компаний за пределами ЕС

Касается ли GDPR вашей компании

GDPR (General Data Protection Regulation) — регламент ЕС о защите персональных данных. Он действует не по месту регистрации компании, а по тому, чьи данные она обрабатывает. Статья 3 распространяет его на бизнес за пределами ЕС в двух случаях:

• вы предлагаете товары или услуги людям в ЕС — даже бесплатно. Признаки: сайт на языке страны ЕС, цены в евро, доставка в ЕС, реклама на европейскую аудиторию;
• вы отслеживаете поведение людей в ЕС — аналитика, профилирование, ретаргетинг, трекинг пользователей.

Сам факт, что сайт открывается из Германии, ещё не делает вас субъектом GDPR. А вот англоязычный SaaS с оплатой в евро и рекламой в Европе — уже да.

Отдельный случай — вы обрабатываете данные по заказу европейского клиента (например, разрабатываете и поддерживаете его CRM). Тогда вы processor, а клиент — controller, и между вами нужен договор об обработке данных (DPA).

Правовые основания: на чём держится каждая обработка

Любая обработка персональных данных должна опираться на одно из шести оснований статьи 6:

Частая ошибка — пытаться «закрыть всё согласием». Согласие можно отозвать в любой момент, поэтому для данных, без которых услуга невозможна, честнее опираться на договор. Согласие при этом должно быть свободным, конкретным и активным: никаких заранее проставленных галочек.

Права пользователей

Люди в ЕС могут потребовать от вас:

• доступ — показать, какие данные о них хранятся;
• исправление неточных данных;
• удаление («право быть забытым»), если нет оснований хранить дальше;
• ограничение обработки;
• переносимость — выгрузку данных в машиночитаемом формате;
• возражение против обработки, особенно маркетинговой;
• отказ от решений, принятых исключительно автоматически, если они существенно на них влияют.

На запрос нужно ответить в течение одного месяца (в сложных случаях срок можно продлить, сообщив об этом). На практике это значит: у вас должен быть e-mail или форма для запросов и понимание, в каких системах лежат данные конкретного человека — в базе, CRM, рассылке, логах, бэкапах.

Утечка данных: правило 72 часов

Если произошла утечка персональных данных (взлом, отправка таблицы не тому адресату, потерянный ноутбук без шифрования), controller обязан уведомить надзорный орган в течение 72 часов с момента, когда узнал о ней, — если утечка создаёт риск для людей. Если риск высокий, сообщить нужно и самим пользователям.

Processor обязан без задержки сообщить о происшествии своему controller. Все инциденты, даже не требующие уведомления, стоит записывать во внутренний журнал.

Минимальный чек-лист для сайта с европейскими пользователями

1. Карта данных: какие данные собираете, зачем, где храните, кому передаёте, сколько храните.
2. Политика конфиденциальности простым языком, с указанием оснований и прав пользователей.
3. Cookie-баннер с реальным выбором: аналитика и реклама запускаются только после согласия.
4. Формы собирают только нужные поля, согласие на рассылку — отдельной неотмеченной галочкой.
5. HTTPS, разграничение доступа, шифрование бэкапов, двухфакторная аутентификация для админки.
6. Договоры (DPA) с подрядчиками: хостинг, почтовые сервисы, CRM, аналитика.
7. Международная передача: если данные уходят в страну без решения ЕС об адекватности защиты, нужны механизмы вроде стандартных договорных условий (SCC).
8. Представитель в ЕС (статья 27) — обязателен для большинства компаний вне ЕС, подпадающих под регламент; исключение касается лишь эпизодической обработки с низким риском.
9. Процедура обработки запросов пользователей и реагирования на инциденты.

Штрафы по GDPR могут достигать 20 млн евро или 4% мирового годового оборота — в зависимости от того, что больше. Но для небольшой компании реальный риск чаще в другом: европейские клиенты и партнёры просто не станут работать с подрядчиком, который не может показать базовый порядок с данными.

Полный текст регламента опубликован на EUR-Lex.