Общият регламент за защита на данните (GDPR) е в сила вече близо десетилетие, а неотдавнашен анализ на Compliance Week връща въпроса, който съпътства закона от самото му въвеждане: дали прилагането на GDPR действително работи еднакво навсякъде, където се прилага? Според доклада отговорът все още е „не“. Десет години по-късно различията в това как отделните държави от ЕС контролират и санкционират нарушенията на поверителността остават постоянен проблем, който има реални последици за хората, които законът трябва да защитава.

Едно десетилетие GDPR: един закон, 27 различни правоприлагащи органа

GDPR беше замислен като единен, хармонизиран правилник, обхващащ всяка държава членка на ЕС, но никога не е бил прилаган от един-единствен централизиран регулатор. Вместо това всяка държава поддържа свой национален орган за защита на данните (Data Protection Authority – DPA), който отговаря за разследването на жалби, проверките на компании и налагането на глоби в рамките на своите граници. При случаи, които преминават националните граници – например мултинационална технологична компания, оперираща в целия блок – обикновено се определя „водещ надзорен орган“, а координацията се осъществява чрез Европейския комитет по защита на данните.

На хартия тази структура позволява местна експертиза и достъпност, като дава на жителите на всяка държава регулатор, който говори техния език и разбира националния им правен контекст. На практика, както подчертава анализът на Compliance Week, този децентрализиран модел е довел до неравномерни резултати. Някои DPA са по-добре финансирани, по-настойчиви и по-бързи в действията си от други. Тази неравномерност означава, че силата на вашите защити по GDPR може да зависи, поне отчасти, от това къде е съсредоточена компанията, обработваща вашите данни, или къде живеете вие.

Това не е нова критика. Застъпниците на правото на неприкосновеност на личния живот и правните специалисти я повдигат многократно през годините, а фактът, че все още се акцентира върху нея десетилетие след влизането на закона в сила, подсказва, че тя не е напълно разрешена. Един регламент е толкова силен, колкото и неговото прилагане, а когато правоприлагането варира значително от една държава членка в друга, обещанието за равна защита в целия ЕС става по-трудно гарантируемо на практика.

Защо пропуските в правоприлагането имат значение за обикновените потребители

Непоследователното правоприлагане не е само абстрактен проблем за корпоративните правни екипи по съответствието. То има практически последици в момента, в който нещо се обърка. Помислете какво се случва след пробив в данните: компанията е законово задължена да уведоми засегнатите лица и регулаторите, но колко бързо и задълбочено се проследява това уведомление и дали отговорният DPA търси реална отговорност, може да се различава рязко в зависимост от това коя държава обработва случая.

Един скорошен пример илюстрира залозите, когато защитите се провалят. Репортажът за атаката с рансъмуер Stormous срещу нидерландска църковна мрежа показа колко бързо чувствителни лични данни, в този случай свързани с религиозна организация, оперираща в Нидерландия, могат да се окажат изложени на показ, след като нападатели пробият мрежата. Инциденти като този подчертават защо последователното и добре обезпечено с ресурси правоприлагане има значение: когато настъпи пробив, силата и бързината на регулаторната реакция често определят дали жертвите получават истински отговори, дали засегнатите организации подобряват своята позиция по сигурността и дали изобщо се възпират бъдещи инциденти.

Когато правоприлагането е силно, пробивите водят до разследвания, глоби и публична отчетност, които тласкат организациите към по-добри практики за данните. Когато правоприлагането изостава, независимо дали поради недостатъчно ресурси на регулаторите, натрупани забавени случаи или различни национални приоритети, възпиращият ефект отслабва и хората остават по-изложени следващия път, когато нещо се обърка.

Какво означава това за вас

Ако живеете или работите в ЕС, GDPR все още ви дава значими права: възможността да поискате достъп до данните си, да поискате тяхното изтриване и да изискате прозрачност за начина, по който се използват. Но основният извод от доклада е полезно напомняне, че тези права не се прилагат с идеална еднаквост, така че си струва да бъдете проактивни, вместо да предполагате, че системата винаги ще улавя проблемите вместо вас.

Няколко практически стъпки могат да помогнат за намаляване на разликата между защитите, записани в закона, и защитите, които реално получавате в ежедневието си:

  • Упражнявайте правата си по GDPR директно пред компаниите, вместо да чакате регулаторите да действат от ваше име.
  • Обръщайте внимание на известията за пробиви и ги проследявайте, тъй като не всяка реакция на DPA ще бъде еднакво бърза или задълбочена.
  • Използвайте силни, уникални пароли и активирайте двуфакторна автентикация, тъй като техническите мерки за защита не зависят от това кой регулатор в коя държава действа.
  • Обмислете инструменти за поверителност като VPN или криптирани комуникации, когато работите с чувствителна информация, особено ако не сте сигурни доколко стриктно ще бъдат защитени данните ви по-нататък.

Изводът

Десет години след като GDPR стана закон, рамката безспорно е повишила базовото ниво на защита на данните в цяла Европа и е повлияла на регулациите за поверителност далеч отвъд границите на ЕС. Но анализът на Compliance Week е навременно напомняне, че един закон е толкова ефективен, колкото най-слабото звено в правоприлагането му. Докато прилагането между държавите членки не стане по-последователно, хората ще продължат да се възползват неравномерно от защитите, които GDPR беше създаден да гарантира. Най-сигурният път напред засега е да съчетаете осведомеността за правните си права с разумни навици за лична сигурност, вместо да разчитате единствено на регулаторите да затворят пропуските.