З огляду на посилання тексту про GDPR, скажіть мені, як GDPR допомагає захистити персональні дані.
Загальний Регламент про захист даних (2016/679, «GDPR») є регламентом законодавства ЄС щодо захисту даних та конфіденційності в ЄС та Європейській економічній зоні (ЄЕЗ). GDPR є важливим компонентом законодавства ЄС про конфіденційність та права людини, зокрема статтею 8(1) Хартії основних прав Європейського Союзу. Вона також стосується передачі персональних даних за межі країн ЄС та ЄЕЗ. Основна мета GDPR полягає в тому, щоб посилити контроль і права фізичних осіб над їхніми персональними даними, а також спростити регуляторне середовище для міжнародного бізнесу. Замінюючи Директиву 95/46/ЄС про захист даних, цей Регламент містить положення та вимоги, пов'язані з обробкою персональних даних фізичних осіб, формально називаних "підприємствами даних", які знаходяться в ЄЕЗ, і застосовується до будь-якого підприємства, незалежно від його місця розташування та громадянства або місця проживання суб'єктів даних, що обробляє персональну інформацію фізичних осіб всередині ЄЕЗ.
GDPR був прийнятий 14 квітня 2016 року і став дієвим з 25 травня 2018 року. Оскільки GDPR є регламентом, а не директивою, він є безпосередньо обов'язковим і застосовується, і забезпечує гнучкість для певних аспектів регламенту, які можуть бути адаптовані окремими державами-членами.

Відповідно до Європейської Комісії, "персональні дані - це інформація, що стосується ідентифікованої або ідентифікованої особи. Якщо ви не можете безпосередньо ідентифікувати людину з цієї інформації, то вам потрібно розглянути, чи можна ідентифікувати людину. Ви повинні враховувати інформацію, яку ви обробляєте, разом з усіма засобами, які з розумом можуть бути використані вами або будь-якою іншою особою для ідентифікації цієї особи. Точні визначення таких термінів, як «особисті дані», «обробка», «підданий даних», «контролер» та «обробник», містяться в статті 4 Регламенту.

Принципи
Персональні дані не можуть оброблятися, якщо для цього немає принаймні однієї юридичної підстави. Стаття 6 визначає законні цілі:

a) якщо суб'єкт даних дав згоду на обробку своїх персональних даних;
(b) для виконання договірних зобов'язань з суб'єктом даних або для виконання завдань на запит суб'єкта даних, який перебуває в процесі укладення договору;
(c) для виконання юридичних зобов'язань контролера даних;
d) для захисту життєво важливих інтересів суб'єкта даних або іншої фізичної особи;
e) виконувати завдання в суспільному інтересі або в державній владі;
(f) для законних інтересів контролера даних або третьої особи, якщо ці інтереси не переважають інтереси суб'єкта даних або його або її прав відповідно до Хартії основних прав (особливо у випадку дітей).

Безпека персональних даних
Контролери та обробники персональних даних повинні встановити відповідні технічні та організаційні заходи для реалізації принципів захисту даних. Бізнес-процеси, які обробляють персональні дані, повинні бути розроблені і побудовані з урахуванням принципів і забезпечувати гарантії для захисту даних (наприклад, використання псевдонімізації або повної анонімності у відповідних випадках). Контролери даних повинні розробляти інформаційні системи з урахуванням конфіденційності. Наприклад, за замовчуванням використовуйте найвищі можливі налаштування конфіденційності, так що набори даних за замовчуванням не є загальнодоступними і не можуть бути використані для ідентифікації суб'єкта. Ніякі персональні дані не можуть оброблятися, якщо ця обробка не здійснюється на основі однієї з шести законних підстав, зазначених в регламенті (згода, договір, державне завдання, життєво важливий інтерес, законний інтерес або юридична вимога). Коли обробка ґрунтується на згоді, суб'єкт даних має право відкликати її в будь-який час.

Стаття 33 визначає, що контролер має юридичне зобов'язання повідомити наглядовий орган без невиправданої затримки, якщо порушення малоймовірно призведе до ризику для прав і свобод фізичних осіб. Існує максимум 72 години після того, як стало відомо про порушення даних, щоб зробити звіт. Особи повинні бути поінформовані, якщо встановлено високий ризик несприятливого впливу (стаття 34). Крім того, обробник даних зобов'язаний повідомити контролера без невиправданої затримки після того, як дізнається про порушення персональних даних (стаття 33). Однак повідомлення суб'єктам даних не вимагається, якщо контролер здійснив відповідні технічні та організаційні заходи захисту, які роблять персональні дані незрозумілими для будь-якої особи, яка не має доступу до них, наприклад, шифрування (стаття 34).

Офіцер захисту даних

Стаття 37 вимагає призначення службовця з захисту даних. Якщо обробка здійснюється державним органом (за винятком судів або незалежних судових органів, які діють у своїй юрисдикції), або якщо операції з обробки передбачають регулярний і систематичний контроль за суб'єктами даних у великому масштабі, або якщо обробка на великому обсязі спеціальних категорій даних та персональних даних, пов'язаних з кримінальними вироками та злочинами (статті 9 і 10), повинна бути призначена службовець з захисту даних (DPO) - особа з експертними знаннями про законодавство та практику захисту даних - щоб допомогти контролеру або обробнику у моніторингу їх внутрішнього дотримання Регламенту.

Призначений DPO може бути поточним членом персоналу контролера або обробника, або роль може бути аутсорсирована зовнішній особі або агентству через договір про надання послуг. У будь-якому випадку орган, що обробляє дані, повинен переконатися, що немає конфлікту інтересів в інших ролях або інтересах, які може мати ДПО. Контактні дані для ДПЗ повинні бути опубліковані організацією обробки (наприклад, в повідомленні про конфіденційність) і зареєстровані в наглядовому органі.

DPO схожий на офіцера з питань відповідності, а також очікується, що він буде досвідчений у управлінні ІТ-процесами, безпекою даних (включаючи справу з кібератаками) та іншими критичними питаннями безперервності бізнесу, пов'язаними з зберіганням та обробкою персональних та чутливих даних. Набір необхідних навичок виходить за рамки розуміння правового дотримання законів і правил захисту даних. DPO повинен вести живий інвентар даних про всі дані, зібрані та збережені від імені організації. Більш детальну інформацію про функцію та роль відповідального за захист даних було надано 13 грудня 2016 року (переглянуто 5 квітня 2017 року) у документі про керівництво.

Організації, розташовані за межами ЄС, також повинні призначити особу, засновану в ЄС, як представника та контактну точку для виконання своїх зобов'язань щодо GDPR (стаття 27). Це відмінна роль від DPO, хоча існує перекриття обов'язків, які свідчать про те, що цю роль також може виконувати призначений DPO.
Загальний регламент про захист даних надає рекомендації щодо зберігання та обробки персональних даних. Персональні дані - це будь-яка інформація про ідентифіковану або ідентифіковану особу, також відома як суб'єкт даних. Персональні дані включають такі відомості, як:

Назва
Адреса
Номер посвідчення особи / номер паспорта
Доходи
Культурний профіль
Адреса Інтернет протоколу (IP)
дані, що зберігаються лікарнею або лікарем (які унікально ідентифікують особу для цілей охорони здоров'я).

Особливі категорії даних
Ви не можете обробляти особисті дані про когось:

расового або етнічного походження
Сексуальна орієнтація
Політичні думки
Релігійні або філософські переконання
членство в профспілці
генетичні, біометричні або медичні дані, за винятком конкретних випадків (наприклад, коли вам було надано прямою згодою або коли обробка необхідна з міркувань суттєвого суспільного інтересу, на підставі законодавства ЄС або національного законодавства);
персональні дані, пов'язані з кримінальними вироками і злочинами, якщо це не дозволено законодавством ЄС або національним законодавством.

Хто обробляє персональні дані?
Під час обробки персональні дані можуть переходити через різні компанії або організації. У рамках цього циклу існують два основні профілі, які стосуються обробки персональних даних:

Контролер даних - визначає мету і спосіб обробки персональних даних.
Обробник даних - зберігає та обробляє дані від імені контролера даних.
Хто контролює, як персональні дані обробляються в рамках компанії?
Офіцер з захисту даних (DPO), який може бути призначений компанією, відповідає за моніторинг того, як обробляються персональні дані, а також інформує і консультує співробітників, які обробляють персональні дані, про свої зобов'язання. DPO також співпрацює з Органом з захисту даних (DPA), що служить контактним пунктом для DPA та фізичних осіб.

Обробка даних для іншої компанії
Контролер даних може використовувати лише обробника даних, який пропонує достатні гарантії, які повинні бути включені в письмовий договір між учасниками. Договір також повинен містити ряд обов'язкових положень, наприклад: що обробник персональних даних буде обробляти персональні дані лише тоді, коли він отримав на це вказівку від контролера даних.

Передача даних за межі ЄС
Коли персональні дані передаються за межі ЄС, захист, запропонований GDPR, повинен співпадати з даними. Це означає, що якщо ви експортуєте дані за кордон, ваша компанія повинна забезпечити дотримання однієї з наступних заходів:

Захист країни, що не є членом ЄС, вважається адекватним.
Ваша компанія вживає необхідних заходів для забезпечення відповідних гарантій, таких як включення конкретних положень до угодженого договору з неєвропейським імпортером персональних даних.
Ваша компанія покладається на конкретні підстави для передачі (виключення), такі як згода фізичної особи.
Коли дозволяється обробка даних?
Правила захисту даних ЄС означають, що ви повинні обробляти дані чесно і законно, для певної і законної мети і обробляти тільки ті дані, які необхідні для виконання цієї мети. Ви повинні забезпечити виконання однієї з наступних умов для обробки персональних даних; ви:

було надано згоду зацікавленої особи
необхідні персональні дані для виконання договірного зобов'язання з фізичною особою
необхідні персональні дані для виконання юридичного зобов'язання
необхідні персональні дані для захисту життєво важливих інтересів індивіда
обробка персональних даних для виконання завдання в інтересах громадськості
діють у законних інтересах Вашої компанії, якщо фундаментальні права та свободи особи, чиї дані обробляються, не зазнають серйозного впливу. Якщо права особи переважають над інтересами вашої компанії, то ви не можете обробляти персональні дані.


Згода на обробку даних - згода
Право на доступ та право на переносимість даних
Право на виправлення і право на заперечення
Право на видалення (право бути забутим)
Автоматизоване прийняття рішень та профілювання
Порушення даних – надання належного повідомлення
Відповідаючи на запити
Оцінки впливу
Зберегти рекорд