Защита персональных данных: что должен знать бизнес (GDPR)

У вас есть CRM, форма заказа на сайте или мобильное приложение? Вы уже обрабатываете персональные данные. 

Эта статья — короткий, но практический гайд: что такое защита персональных данных, почему она критически важна для бизнеса, чем регулируется, какие принципы нужно выполнять, какие технические и организационные шаги внедрить, как действовать во время инцидента и какая ответственность предусмотрена за нарушения.

Что такое персональные данные, их обработка и защита

Под персональными данными понимают любую информацию, прямо или косвенно идентифицирующую человека: имя, e-mail, номер телефона, IP-адрес, идентификаторы устройства, данные местонахождения, историю покупок.

Защита персональных данных — это правовые, организационные и технические практики, гарантирующие законность, прозрачность и безопасность обработки. 

Обработка данных означает любую операцию по данным: сбор, хранение, использование, передачу, удаление. В статье каждое специальное понятие разъясняется при первом упоминании.

Почему это важно для бизнеса

• Репутация. Утечка всего лишь одной таблицы с e-mail'ами может обернуться волной отписок, негативом в соцсетях и разорванными контрактами.

• Доверие клиентов. Люди ожидают контроля над своими данными и полную прозрачность операций над ними. Бренды, которые откровенно объясняют, как защищают персональные данные и что делают для этого — выигрывают в конкурентной борьбе.

• Финансовые последствия. В ЕС за нарушение регламента в области обработки и защиты персональных данных (GDPR) предусмотрены штрафы до €20 млн. или 4% от глобального годового оборота. 

Какая ответственность предусмотрена в Украине

Правила защиты персональных данных действуют и внутри украинского законодательства. Профильный Закон Украины «О защите персональных данных» устанавливает требования к обработке, правам субъектов и обязанностям владельцев персональных данных.

Уголовный кодекс Украины (ст. 182) устанавливает ответственность за незаконный сбор, хранение, использование или распространение конфиденциальной информации о личности. Санкции в зависимости от обстоятельств включают штрафы, ограничения или лишение свободы.

Что такое GDPR и кто должен его соблюдать

Для рынков ЕС/ЕЭС правила обработки персональных данных устанавливает европейский регламент GDPR (General Data Protection Regulation).

Общий регламент защиты данных (GDPR) – это регламент ЕС, устанавливающий правила обработки персональных данных и права субъектов данных (Регламент (ЕС) 2016/679). Он распространяется и на компании вне ЕС, если они предлагают товары/услуги людям в ЕС или отслеживают их поведение (ст. 3 GDPR).

Если ваш бизнес предлагает товары или услуги людям в ЕС или отслеживает их поведение онлайн, правила регламента будут действовать и для ваших компаний, даже без юрлица в ЕС. Практический признак – сайт имеет локализацию/цены/доставку для стран ЕС или использует инструменты поведенческого трекинга для аудиторий в ЕС.

Для украинских компаний это означает: если ваш сайт/приложение таргетирует жителей ЕС (валюта, доставка, язык) или использует трекинг пользователей в ЕС, действуют требования GDPR.

В Украине параллельно действует Закон №2297-VI «О защите персональных данных», устанавливающий национальные правила. 

Основные принципы GDPR

Принципами GDPR являются требования о законности и прозрачности, определенности целей, минимизации данных, точности, ограничению сроков хранения, целостности и конфиденциальности, а также подотчетности бизнесов (ст. 5 GDPR). 

 Простыми словами: берите только нужное, объясняйте зачем, сохраняйте столько, сколько требуется и защищайте с должным уровнем контроля. Для продуктовых команд это означает, что ценность данных должна быть оправдана бизнес-целью, а каждое поле в форме иметь четкое «зачем».

Краткое мнение, поддерживаемое регуляторами: «надлежащие технические и организационные мероприятия обеспечивают уровень безопасности, соразмерный рискам» — это краткий пересказ требований ст. 32 по безопасности обработки.

Как защитить персональные данные: ключевые факторы

Начните с базовой гигиены: шифрование данных в хранилищах и во время передачи, повсеместный HTTPS, регулярные обновления. Введите управление доступами по ролям и принцип наименьших привилегий, многофакторную аутентификацию (MFA) для критических систем, журналирование и мониторинг инцидентов. Поможет и политика хранения: определите, что сколько храните, а что удаляете.

Второй блок — организационные процессы. Создайте реестр операций обработки (что, кто, зачем, как долго), обновите политику конфиденциальности (напишите её на понятном языке), научите команду распознавать фишинг и работать с документами. Для рисковых проектов проведите оценку влияния на защиту данных (DPIA) — это снизит шанс неприятных сюрпризов.

И наконец — подход "privacy by design". Встраивайте приватность в продукт с первых этапов: минимизируйте поля форм, анонимируйте аналитику, используйте проверенные SDK и сохраняйте секреты вне кода. Как заключает ENISA, «частность по замыслу — это базовый принцип встроенной защиты в продукт и сервисы».

Добавьте регулярные аудиты безопасности и ревизию доступов — это позволяет выявить накопившиеся риски еще до инцидента. Контролируйте сделки с обработчиками: проверяйте, как подрядчики защищают данные и фиксируйте требования в контрактах. 

Кстати: как защитить свои персональные данные в интернете следует объяснять и пользователям — простые подсказки (2FA, менеджер паролей, ограничение публичности профилей) снижают риски и для клиента, и для вас.

Как действовать в случае утечки или незаконной обработки

Алгоритм действий состоит из следующих шагов:

1. Изолируйте инцидент (отзывайте доступы, остановите скомпрометированные интеграции).
2. Оцените влияние людей, зафиксируйте факты и решения.
3. Сообщите субъектам. Если риск существенный, регламенты требуют оперативного, без промедлений и, если возможно, не позднее 72 часов, сообщения надзорного органа (ст. 33 GDPR). В тяжелых случаях требуется информирование пользователей (ст. 34 GDPR).
4. Задокументируйте инцидент. Факты, последствия, действия и выводы являются частью принципа подотчетности (см. также практические советы ICO).
5. Примените превентивные изменения. Обновите политики, патчи, обучение; проведите повторный аудит.

Что учесть разработчикам вебсайтов и мобильных приложений

Согласно ст. 32 GDPR уровень безопасности должен быть соразмерен рискам. Проще говоря, для большинства случаев это:

• в бэкенде — безопасные API с авторизацией и лимитами, валидация ввода, управление секретами, автоматические тесты;

• во фронтенде — прозрачное управление cookies и согласиями, корректные настройки тег-менеджеров;

• в инфраструктуре — сегментация сетей, контроль журналов, регулярные резервные копии с проверкой восстановления.

Для разработчиков и архитекторов это означает:

• Безопасные API: валидация входных данных, rate-limiting, OAuth 2.0/OIDC, ротация секретов, разделение сред (dev/test/prod).

• TLS/SSL везде (HSTS, правильные cipher suites), серверное шифрование баз и бекапов, управление ключами (KMS/HSM).

• Контроль доступа на уровне кода: RBAC/ABAC, авторизация на бэкенде, а не только в UI.

• Защита сессий: httpOnly/SameSite для cookie, короткие TTL токенов, обновление refresh-токенов, защита от CSRF/XSS.

• Логи и телеметрия: централизованные, без персональных данных или с маскировкой; alert'ы на подозрительную активность.

• Secure SDLC: code review по безопасности, SAST/DAST, SBOM, зависимости с подписями, принцип «минимальной необходимости».

Эти практики напрямую поддерживают принципы целостности/конфиденциальности и подотчетности GDPR.

Вывод

Защита данных — это не разовый чек-лист, а процесс: дизайн систем, обучение людей, аудит поставщиков, реакция на инциденты. Следуя требованиям Закона Украины и принципам GDPR, вы снижаете риски, строите доверие и ускоряете продажи — потому что клиенты охотнее выбирают те компании, которые заботятся об их конфиденциальности и безопасности.

FAQ