GDPR oddiy tilda: Yevropa Ittifoqidan tashqaridagi kompaniyalar uchun
Asoslar4 daqInnovialabs tahririyati
Qisqacha
GDPR Yevropa Ittifoqidan tashqaridagi kompaniyaga, agar u YeIdagi odamlarga tovar yoki xizmat taklif qilsa yoki ularning xatti-harakatini kuzatsa, qo‘llaniladi. Bunda har bir ishlov berish uchun huquqiy asos, tushunarli siyosat, foydalanuvchi so‘rovlariga javob berish tartibi va sizib chiqish haqida 72 soat ichida xabar berishga tayyorlik kerak.
GDPR sizning kompaniyangizga taalluqlimi
GDPR (General Data Protection Regulation) — Yevropa Ittifoqining shaxsga doir ma’lumotlarni himoya qilish reglamenti. U kompaniya qayerda ro‘yxatdan o‘tganiga emas, kimning ma’lumotlariga ishlov berilayotganiga qaraydi. 3-modda uni YeIdan tashqaridagi biznesga ikki holatda tatbiq etadi:
- siz YeIdagi odamlarga tovar yoki xizmat taklif qilasiz — hatto bepul bo‘lsa ham. Belgilari: sayt YeI davlati tilida, narxlar yevroda, YeIga yetkazib berish, Yevropa auditoriyasiga reklama;
- siz YeIdagi odamlarning xatti-harakatini kuzatasiz — analitika, profillash, retargeting, foydalanuvchilarni treking qilish.
Saytingiz Germaniyadan ochilishining o‘zi sizni GDPR subyektiga aylantirmaydi. Ammo yevroda to‘lov qabul qiladigan va Yevropada reklama qilinadigan inglizcha SaaS — aniq aylantiradi.
Alohida holat — siz yevropalik mijoz topshirig‘i bo‘yicha ma’lumotlarga ishlov berasiz (masalan, uning CRM tizimini ishlab chiqib, qo‘llab-quvvatlaysiz). Unda siz processor, mijoz esa controller bo‘ladi va o‘rtangizda ma’lumotlarga ishlov berish shartnomasi (DPA) kerak.
Huquqiy asoslar: har bir ishlov berish nimaga tayanadi
Shaxsga doir ma’lumotlarga har qanday ishlov berish 6-moddadagi oltita asosdan biriga tayanishi shart:
| Asos | Odatiy misol |
|---|---|
| Rozilik | Xabarnoma, marketing cookie fayllari |
| Shartnomani bajarish | Buyurtma uchun yetkazib berish manzili |
| Qonuniy majburiyat | Buxgalteriya uchun ma’lumot saqlash |
| Hayotiy muhim manfaatlar | Favqulodda tibbiy holatlar |
| Ommaviy vazifa | Davlat organlari faoliyati |
| Qonuniy manfaat | Firibgarlikdan himoya, xavfsizlik loglari |
Ko‘p uchraydigan xato — hammasini «rozilik bilan yopish». Rozilikni istalgan vaqtda qaytarib olish mumkin, shuning uchun xizmat ko‘rsatish uchun zarur ma’lumotlarda shartnomaga tayanish to‘g‘riroq. Rozilik esa erkin, aniq va faol bo‘lishi kerak: oldindan belgilangan katakchalar bo‘lmasin.
Foydalanuvchi huquqlari
YeIdagi odamlar sizdan quyidagilarni talab qilishi mumkin:
- kirish — ular haqida qanday ma’lumot saqlanayotganini ko‘rsatish;
- noto‘g‘ri ma’lumotlarni tuzatish;
- saqlashga asos qolmagan bo‘lsa, o‘chirish («unutilish huquqi»);
- ishlov berishni cheklash;
- ko‘chirish — ma’lumotlarni mashina o‘qiy oladigan formatda berish;
- ishlov berishga, ayniqsa marketingga e’tiroz bildirish;
- ularga jiddiy ta’sir qiladigan faqat avtomatik qarorlardan voz kechish.
So‘rovga bir oy ichida javob berish kerak (murakkab holatlarda odamni ogohlantirib, muddatni uzaytirish mumkin). Amalda bu shuni anglatadi: so‘rovlar uchun e-mail yoki forma bo‘lishi va aniq bir odamning ma’lumotlari qaysi tizimlarda — bazada, CRMda, xabarnoma servisida, loglarda, bekaplarda — turganini bilishingiz kerak.
Ma’lumotlar sizib chiqishi: 72 soat qoidasi
Shaxsga doir ma’lumotlarning sizib chiqishi — bu buzib kirish, jadvalni noto‘g‘ri odamga yuborish yoki shifrlanmagan noutbukni yo‘qotish bo‘lishi mumkin. Agar u odamlar uchun xavf tug‘dirsa, controller bu haqda bilgan paytdan boshlab 72 soat ichida nazorat organini xabardor qilishi shart. Xavf yuqori bo‘lsa, foydalanuvchilarning o‘ziga ham xabar beriladi.
Processor hodisa haqida controllerga kechiktirmasdan xabar beradi. Xabar berish talab qilinmaydigan hodisalarni ham ichki jurnalga yozib borish foydali.
YeI foydalanuvchilari bor sayt uchun minimal cheklist
- Ma’lumotlar xaritasi: nima yig‘asiz, nima uchun, qayerda saqlaysiz, kimga berasiz, qancha vaqt saqlaysiz.
- Oddiy tilda yozilgan, asoslar va huquqlar ko‘rsatilgan maxfiylik siyosati.
- Haqiqiy tanlovli cookie-banner: analitika va reklama faqat rozilikdan keyin ishga tushadi.
- Formalar faqat kerakli maydonlarni so‘raydi, xabarnomaga rozilik — alohida, belgilanmagan katakcha.
- HTTPS, kirish huquqlarini ajratish, bekaplarni shifrlash, admin panel uchun ikki bosqichli autentifikatsiya.
- Pudratchilar bilan DPA shartnomalari: hosting, pochta servislari, CRM, analitika.
- Xalqaro uzatish: ma’lumotlar YeI tomonidan himoya darajasi yetarli deb tan olinmagan mamlakatga ketsa, standart shartnoma shartlari (SCC) kabi mexanizmlar kerak.
- YeIdagi vakil (27-modda) — reglament qo‘llaniladigan YeIdan tashqaridagi ko‘pchilik kompaniyalar uchun majburiy; istisno faqat vaqti-vaqti bilan bo‘ladigan, past xavfli ishlov berishga tegishli.
- Foydalanuvchi so‘rovlari va hodisalarga javob berish tartibi.
GDPR bo‘yicha jarimalar 20 mln yevro yoki yillik global aylanmaning 4% igacha yetishi mumkin — qaysi biri katta bo‘lsa. Kichik kompaniya uchun esa real xavf ko‘pincha boshqa: yevropalik mijoz va hamkorlar ma’lumotlar bilan asosiy tartibni ko‘rsata olmaydigan pudratchi bilan shunchaki ishlamaydi.
Reglamentning to‘liq matni EUR-Lex saytida.