АҚШ және Еуропадан тыс компаниялар үшін GDPR талаптарына сай болу: практикалық нұсқаулық

Көптеген АҚШ бизнесі Жалпы деректерді қорғау регламенті, яғни GDPR, тек Еуропада тіркелген компанияларға ғана қатысты деп ойлайды. Бұл қауіпті қате түсінік. Егер сіздің бизнесіңіз Еуропалық Одақтағы адамдарға тауар немесе қызмет ұсынса, олардың әрекетін бақылайтын болса немесе сол әрекеттерге байланысты олардың жеке деректерін өңдесе, компанияңыз АҚШ-та құрылған және жұмыс істейтін болса да, GDPR қолданылуы мүмкін.

Құрылтайшылар, стартаптар және өсіп келе жатқан шағын бизнес үшін мәселе тек құқықтық теория емес. GDPR электрондық пошта мекенжайларын қалай жинайтыныңызға, жарнама науқандарын қалай жүргізетініңізге, cookie файлдарын қалай пайдаланатыныңызға, клиент жазбаларын қалай сақтайтыныңызға, төлемдерді қалай өңдейтініңізге, мердігерлерді қалай басқаратыныңызға және қауіпсіздік оқиғаларын қалай өңдейтініңізге әсер етуі мүмкін. Егер сіздің бизнесіңіз АҚШ-та тіркеліп, халықаралық аудиторияға қызмет көрсетсе, құпиялылыққа сәйкестік сіздің жұмыс үлгіңіздің басынан бастап бір бөлігі болуы тиіс.

Бұл нұсқаулық GDPR деген не екенін, неге Еуропадан тыс компанияларға оны сақтау қажет болуы мүмкін екенін, қандай деректер қамтылатынын және тәуекелді азайтуға көмектесетін практикалық қадамдарды түсіндіреді.

GDPR деген не

GDPR — Еуропалық Одақтың деректерді қорғау туралы заңы. Ол адамдарға олардың жеке деректері қалай жиналатынын, пайдаланылатынын, бөлісілетінін, сақталатынын және жойылатынын көбірек бақылауға мүмкіндік беру үшін әзірленген.

Бұл заңның қолданылу аясы кең. Ол деректерді өңдеудің көптеген түрлеріне қолданылады, соның ішінде:

• Формалар арқылы байланыс ақпаратын жинау
• Электрондық пошта маркетинг науқандарын жүргізу
• Веб-сайт келушілерін cookie файлдары немесе аналитикалық құралдар арқылы қадағалау
• Клиент немесе қызметкер жазбаларын сақтау
• Деректерді жеткізушілермен, платформалармен немесе қызмет көрсетушілермен бөлісу
• Төлемдер мен жазылым деректерін өңдеу
• Пайдаланушыларды профильдеу немесе сегменттеу үшін автоматтандырылған жүйелерді пайдалану

GDPR сонымен қатар ашықтық, қауіпсіздік, дерек субъектісінің құқықтары, бұзушылықтарға ден қою және есептілікке қатысты міндеттер жүктейді. Іс жүзінде бұл бизнестің жай ғана құпиялылық саясаты емес, нақты процестерге де ие болуы керектігін білдіреді.

Неге АҚШ компаниялары қамтылуы мүмкін

GDPR тек ЕО аумағында физикалық орналасқан компаниялармен шектелмейді. Бұл заң Еуропадан тыс ұйымдарға да төмендегілердің бірін істесе қолданылуы мүмкін:

• ЕО тұрғындарына тауар немесе қызмет ұсыну
• ЕО тұрғындарының мінез-құлқын қадағалау, соның ішінде бақылау технологиялары немесе мінез-құлық аналитикасы арқылы

Бұл АҚШ-тағы стартап, интернет-дүкен, SaaS компаниясы, кеңесші, қосымша әзірлеушісі немесе e-commerce бренді иелері, қызметкерлері мен серверлерінің бәрі АҚШ-та болса да, GDPR аясына түсуі мүмкін дегенді білдіреді.

Мысалдар:

• Франциядағы немесе Германиядағы клиенттерге цифрлық өнімдер сататын Delaware корпорациясы
• ЕО тұрғындарына бағытталған ақылы жарнамалар жүргізетін Texas LLC
• ЕО келушілерін талдау үшін аналитика мен cookie файлдарын пайдаланатын California стартабы
• ЕО аумағындағы әлеуетті клиенттерден сұраулар жинайтын New York консалтинг фирмасы

Егер сіздің бизнесіңіз ЕО тұрғындарымен әдейі байланыс орнатса, GDPR қолданылуын бағалау қажет.

Жеке деректер деген не

GDPR жеке деректерді кең мағынада анықтайды. Ол тек аты-жөні немесе мемлекеттік сәйкестендіру нөмірі сияқты айқын идентификаторлармен шектелмейді. Заң анықталатын адамға қатысты кез келген ақпаратты қамтуы мүмкін.

Жиі кездесетін мысалдар:

• Аты-жөні
• Электрондық пошта мекенжайы
• Пошталық мекенжай
• Телефон нөмірі
• IP мекенжайы
• Құрылғы идентификаторлары
• Орналасу деректері
• Cookie идентификаторлары
• Төлем ақпараты
• Есептік жазба кіру деректері
• Жұмыспен қамту жазбалары
• Денсаулыққа қатысты ақпарат
• IP негізіндегі мінез-құлық деректері

Ақпараттың жеке дерек болып саналуы үшін оны өздігінен бірден сәйкестендіруі міндетті емес. Егер оны адаммен ақылға қонымды түрде байланыстыруға болса, ол GDPR аясында қарастырылуы мүмкін.

Бұл кең анықтама көптеген бизнес үшін заңды бағаламаудың бір себебі. Қарапайым жаңалықтарға жазылу формасы, клиент порталы немесе веб-аналитика құралы ЕО резиденттерімен жұмыс істесе, міндеттер туындатуы мүмкін.

«Біз АҚШ-та орналасқанбыз» деген уәж неге жеткіліксіз

Кейбір бизнес АҚШ штатының заңдары бойынша құрылғандықтан, GDPR оларға жүрмейді деп ойлайды. Алайда регламент дәл солай жұмыс істемейді.

GDPR өңдеу әрекетіне, дерегі өңделетін тұлғаға және ЕО-мен байланысқа назар аударады. Компанияның қай жерде құрылғаны оның нақты не істеп жатқанына қарағанда әлдеқайда аз маңызды.

Егер сіздің бизнесіңіз GDPR қамтитын түрде ЕО жеке деректерін өңдесе, келесі жағдайларда да заңды сақтау қажет болуы мүмкін:

• Delaware, Wyoming, Florida немесе кез келген басқа штатта құрылған корпорация болса
• Бір мүшелі LLC болса
• Бюджеті шектеулі стартап болса
• АҚШ-тан тыс физикалық кеңсесі жоқ қашықтан жұмыс істейтін компания болса

Сондықтан құрылтайшылар үшін жаңа компанияны ашқанда сәйкестік туралы ертерек ойлаған дұрыс. Компанияны тіркеу тек бастамасы ғана. Компанияның операциялары, жеткізушілері, келісімшарттары және клиент ағындары да маңызды.

Бизнес білуі керек негізгі GDPR қағидаттары

GDPR күнделікті сәйкестікті айқындайтын негізгі қағидаттарға сүйенеді. Шағын бизнес үшін ең маңыздысы:

Заңдылық, адалдық және ашықтық

Жеке деректерді өңдеуге заңды негіз болуы керек және сіз не істеп жатқаныңызды түсінікті тілмен түсіндіруіңіз қажет.

Мақсатты шектеу

Жеке деректерді тек жарияланған нақты мақсат үшін пайдаланыңыз. Деректі бір себеппен жинап, кейін оны басқа мақсатта тиісті хабарлама мен заңды негізсіз қайта қолданбаңыз.

Деректерді ең аз көлемде жинау

Тек шынымен қажет деректерді жинаңыз. Дерек неғұрлым көп болса, тәуекел соғұрлым жоғары.

Дұрыстық

Жеке деректердің дәл болуын қамтамасыз етіңіз және қажет болғанда жазбаларды жаңартыңыз.

Сақтау мерзімін шектеу

Жеке деректерді жай ғана сақтай бермеңіз. Оларды жарияланған мақсатқа қажет болғанша ғана сақтаңыз.

Тұтастық және құпиялылық

Жеке деректерді орынды техникалық және ұйымдастырушылық қауіпсіздік шараларымен қорғаңыз.

Есептілік

Сәйкестікті орындай алатыныңызды көрсете білуіңіз керек. Саясаттар маңызды, бірақ жазбалар, келісімшарттар және ішкі рәсімдер де маңызды.

Деректерді өңдеудің заңды негіздері

GDPR бойынша компанияларға жеке деректерді өңдеу үшін әдетте заңды негіз қажет. Жиі қолданылатын негіздер:

• Келісім
• Шартты орындау
• Заңдық міндеттеме
• Маңызды мүдделер
• Қоғамдық міндет
• Заңды мүдделер

Көптеген АҚШ бизнесі үшін ең жиі қолданылатын негіздер — келісім, шартты орындау және заңды мүдделер.

Маңыздысы — келісім әрдайым міндетті емес, бірақ егер ол қолданылса, ол хабардар етілген, нақты, ерікті түрде берілген және оңай кері қайтарылуы тиіс. Алдын ала белгіленген құсбелгілер немесе түсініксіз жалпылама рұқсаттар әдетте жеткіліксіз.

Шағын бизнес үшін жиі кездесетін триггерлер

Егер сіздің бизнесіңіз төмендегілерді жасаса, GDPR міндеттемелерін қайта қарау қажет болуы мүмкін:

• ЕО клиенттеріне сату
• ЕО тұрғындарын белсенді түрде нысанаға алатын веб-сайт ұсыну
• Қайта таргетинг немесе мінез-құлыққа негізделген жарнама жүргізу
• Келушілерді қадағалайтын cookie файлдарын, пиксельдерді немесе аналитикалық құралдарды пайдалану
• ЕО байланыстарына жарнамалық хаттар жіберу
• Клиенттік есептік жазба профильдерін сақтау
• ЕО деректерін өңдейтін үшінші тарап төлем өңдеушілерін, CRM жүйелерін немесе help desk бағдарламаларын пайдалану
• ЕО кандидаттарынан жұмысқа өтініштер жинау

Бизнесіңіз шағын болса да, ЕО клиенттері немесе пайдаланушыларының болуы міндеттеме тудыруы мүмкін.

IP бойынша бұғаттау сенімді шешім емес

Кейбір компаниялар GDPR-дан қашу үшін ЕО келушілерін IP арқылы бұғаттауға немесе олардан ЕО аумағында емес екенін растайтын ескертуді басуды талап етуге тырысады. Мұндай қысқа жолдар сенімсіз.

IP геолокациясы мінсіз емес. VPN, мобильді операторлар, ортақ желілер және сапарлар пайдаланушының нақты орнын жасыруы мүмкін. Формалық өріс немесе құсбелгі сіздің компанияңыздың ЕО тұрғындарына қызмет ұсынып отырған-отырмағаны немесе олардың мінез-құлқын қадағалап отырған-отырмағаны туралы негізгі сұрақты шешпейді.

Егер компанияңыз GDPR әсерінен аулақ болғысы келсе, ең сенімді жол — бизнес үлгісі мен веб-сайт тәжірибелерін соған сай құру. Көп жағдайда ең дұрыс шешім — талаптарды орындау.

GDPR-ға дайындықты жақсартудың практикалық қадамдары

Шағын бизнестің GDPR-ға бейімделуі үшін үлкен заңгерлік бөлім қажет емес. Бірақ құрылымды тәсіл керек.

1. Деректеріңізді картаға түсіріңіз

Қандай жеке деректерді жинайтыныңызды, ол қайдан келетінін, қайда баратынын, оған кім қол жеткізе алатынын және оны қанша уақыт сақтайтыныңызды анықтаңыз.

2. Қажетсіз жинауды азайтыңыз

Егер формадағы өріс қажет болмаса, алып тастаңыз. Егер жеткізуші құралы сіз ешқашан пайдаланбайтын деректерді жинаса, оны қайта қараңыз.

3. Құпиялылық хабарламасын жаңартыңыз

Құпиялылық хабарламасында мыналар нақты көрсетілуі керек:

• Қандай деректер жинайсыз
• Неліктен жинайсыз
• Өңдеудің заңды негізі қандай
• Деректерді үшінші тараптармен бөлісесіз бе
• Деректерді қанша уақыт сақтайсыз
• Пайдаланушылардың қандай құқықтары бар
• Пайдаланушылар сізбен қалай байланыса алады

4. Cookie файлдары мен бақылау құралдарын тексеріңіз

Егер сіз аналитика, жарнама пиксельдері, қайта таргетинг құралдары немесе сеанс жазу бағдарламаларын қолдансаңыз, келісім немесе басқа ашып көрсету талап етіле ме, соны анықтаңыз.

5. Жеткізуші келісімдерін жасаңыз

Егер қызмет көрсетушілер сіздің атыңыздан жеке деректерді өңдесе, жауапкершілікті дұрыс бөлетін келісімшарттар қажет. Бұл хостинг, жалақы, CRM, электрондық пошта маркетингі және клиент қолдау платформалары үшін өте маңызды.

6. Дерек субъектісінің сұрауларына жауап беру процесін орнатыңыз

ЕО азаматтары өздерінің жеке деректерін көру, түзету, жою немесе пайдалануды шектеу құқығына ие болуы мүмкін. Сұраулардың қалай қабылданатынын, тексерілетінін, бақылауға алынатынын және жауап берілетінін алдын ала білуіңіз керек.

7. Бұзушылықтарға дайын болыңыз

Қауіпсіздік инциденттеріне әрекет ету жоспары болсын. GDPR белгілі бір бұзушылық жағдайларында жедел хабарлауды талап етуі мүмкін, сондықтан кім жауапты екенін, не құжатталатынын және қашан заңгерлік тексеріс қажет болатынын білуіңіз керек.

8. Командаңызды оқытыңыз

Клиент деректерімен жұмыс істейтін кез келген адам құпиялылық пен қауіпсіздіктің негізгі талаптарын түсінуі тиіс. Саясат тек оны адамдар орындаса ғана пайдалы.

Дерек қауіпсіздігі маңызды

Қауіпсіздік тек IT мәселесі емес. GDPR бойынша жеке деректер рұқсатсыз қол жеткізу, жария ету, өзгерту және жоғалудан қорғалуы тиіс.

Жақсы базалық бақылауларға мыналар кіреді:

• Күшті құпиясөздер және көп факторлы аутентификация
• Рөлге негізделген қол жеткізу бақылауы
• Тасымалдау кезінде және сақтау кезінде шифрлау, қажет болғанда
• Жеткізушілерді тексеру
• Бағдарламаларды үнемі жаңарту және патчтау
• Резервтік көшіру және қалпына келтіру рәсімдері
• Құпия жүйелерге кіру журналдары
• Ескі жазбаларды қауіпсіз жою

Шағын бизнес бәрін шамадан тыс күрделендірмеуі керек, бірақ өз шешімдерін түсіндіріп, орынды шаралар қолданғанын көрсете алуы тиіс.

Стартаптар мен жаңа компанияларға ерекше назар

Егер сіз қазір бизнес құрып жатсаңыз, құпиялылыққа сәйкестік іске қосу тізіміңіздің бір бөлігі болуы керек. Бұл әсіресе АҚШ-тан тыс клиенттерге қызмет көрсетуді жоспарласаңыз маңызды.

Құрылтайшылар компанияны тіркегенде, ұйым түрі, меншік құрылымы, тіркелген агент қызметі, ішкі келісімдер, банк шоттары және салық тіркеуі туралы шешім қабылдап жатады. Сол кезде мыналар туралы да ойланған дұрыс:

• Бизнес қандай деректерді жинайды
• Ол деректерді қандай жеткізушілер өңдейді
• Бизнес қандай клиент нарықтарына бағытталады
• Бизнеске ЕО келушілері немесе клиенттері бола ма
• Іске қосуға дейін қандай ішкі саясаттар дайын болуы керек

Zenind кәсіпкерлерді компания құру үдерісінде қолдайды, ал құпиялылыққа дайындық та осы тәртіпті тәсілдің бір бөлігі: болашақ өсім артық тәуекел тудырмауы үшін бизнесті басынан дұрыс құру.

Қашан заңгерлік көмек қажет

GDPR егжей-тегжейлі жазылған, сондықтан көптеген бизнеске өз міндеттемелерін бағалау үшін заңгерлік қолдау қажет болады. Төмендегі жағдайларда кәсіби кеңес алған жөн:

• Компанияңызда ЕО клиенттері немесе пайдаланушылары болса
• Сіз сезімтал жеке деректерді жинасаңыз
• Жарнама, қадағалау немесе профильдеуге қатты тәуелді болсаңыз
• Деректерді ауқымды көлемде өңдесеңіз
• Қандай заңды негіз қолданылатынына сенімсіз болсаңыз
• Жеткізуші келісімдерін дайындау немесе тексеру қажет болса
• ЕО резидентінен немесе реттеушіден сұрау алсаңыз

Бұл мақала практикалық шолу ғана, заңдық кеңес емес. Нақты сәйкестік бағасы үшін білікті заңгерге немесе құпиялылық маманына жүгініңіз.

Негізгі қорытындылар

• GDPR АҚШ және Еуропадан тыс басқа компанияларға да қолданылуы мүмкін.
• Заң тек компанияңыздың қай жерде құрылғанына емес, жеке деректерді қалай өңдейтініңізге назар аударады.
• Жеке деректер кең түрде анықталады және IP мекенжайларды, cookie файлдарын және мінез-құлық идентификаторларын қамтуы мүмкін.
• Шағын бизнес деректер ағындарын картаға түсіріп, хабарламаларды жаңартып, жеткізушілерді бақылап, пайдаланушы сұрауларына дайын болуы керек.
• Егер сіздің компанияңыз ЕО клиенттеріне қызмет көрсетсе немесе ЕО келушілерін қадағаласа, GDPR сіздің жұмыс жоспарыңыздың бөлігі болуы тиіс.

Қорытынды

АҚШ бизнесі үшін GDPR алыс Еуропалық мәселе емес. Ол сіздің веб-сайтыңыз қалай жұмыс істейтініне, келісімшарттарыңыз қалай жазылатынына, маркетингіңіз қалай жүргізілетініне және деректеріңіз қалай қорғалатынына әсер ететін практикалық сәйкестік мәселесі.

GDPR-ды жақсы басқаратын компаниялар оны елемейтіндер емес. Олар оны ерте анықтайды, деректерді аз жинайды, нақты ережелер қояды және сәйкестікті басынан бастап жұмыс процесіне енгізеді. Егер сіздің бизнесіңіз қазір құрылып жатса немесе халықаралық кеңеюге дайындалып жатса, дәл осы сәтте ретке келтіру керек.