Когда вы покупаете что-то онлайн, публикуете посты в соцсетях или просто гуляете с телефоном в кармане, вы создаёте персональные данные. Это отправная точка объяснения Vox Ukraine о европейской защите персональных данных, и это полезная рамка для данного руководства. Ниже — GDPR простыми словами: что охватывают правила, какие права они вам дают, как они обеспечиваются и где вам нужны собственные инструменты.

Примечание об источниках: доступный нам фрагмент материала Vox Ukraine короткий, поэтому этот пост придерживается широких, устоявшихся принципов европейского законодательства о защите данных и избегает конкретных утверждений за их пределами.

Что GDPR означает для cookie-файлов, приложений и данных о местоположении

Общий регламент по защите данных (GDPR) регулирует то, как организации собирают и используют персональные данные о людях в Европе. На практике наиболее важны три повседневные области.

Cookie-файлы и трекеры. Сайты, размещающие на вашем устройстве необязательные технологии отслеживания, как правило, нуждаются в законном основании, и для большинства рекламных и аналитических целей это означает запрос вашего согласия. Баннеры о cookie, которые вы видите, — видимый результат этого. Правила призваны сделать выбор реальным, чтобы отказ был так же прост, как и согласие.

Отслеживание в приложениях. Приложения, собирающие идентификаторы, данные об использовании или контактную информацию, должны объяснять, что они собирают и зачем. Данные должны ограничиваться тем, что необходимо для заявленной цели, а не собираться на случай, если пригодятся позже.

Данные о местоположении телефона. Местоположение может раскрыть, где вы живёте, работаете и молитесь, поэтому к нему относятся с особой осторожностью. У приложений должна быть ясная причина запрашивать его, и вы должны иметь возможность отказаться или позже отозвать разрешение.

Общая нить такова: организациям нужна законная причина для обработки ваших данных, и они должны быть открытыми в этом отношении.

Ваши права по европейскому законодательству о защите данных

GDPR — это не только чек-лист соответствия для компаний. Он даёт людям конкретные права, которыми они могут воспользоваться:

  • Доступ: спросить у организации, хранит ли она ваши данные, и запросить копию.
  • Исправление: добиться исправления неточных данных.
  • Удаление: в определённых обстоятельствах попросить удалить ваши данные.
  • Возражение и ограничение: возразить против некоторых видов обработки, например прямого маркетинга.
  • Переносимость: получить свои данные в пригодном для использования формате, чтобы перенести их в другое место.
  • Отзыв согласия: передумать после того, как вы сказали «да».

Эти права полезны, только если вы ими пользуетесь. Большинство компаний публикуют контакт по вопросам конфиденциальности или форму запроса, и письменный запрос — разумная отправная точка.

Правовые рамки также остаются живым политическим вопросом. Наш материал о плане Reform UK отменить GDPR показывает, что форма законодательства о защите данных может меняться от страны к стране, поэтому стоит знать, какие правила применяются там, где вы живёте.

Как регуляторы обеспечивают соблюдение правил и где остаются пробелы

Права на бумаге зависят от правоприменения. Национальные органы по защите данных расследуют жалобы и могут налагать штрафы. Наш материал о том, как работает двухуровневая система штрафов GDPR, объясняет, почему заголовочные суммы штрафов часто искажают представление о том, как устанавливаются наказания.

Крупные дела показывают систему в действии. Управление по защите данных Нидерландов решило оштрафовать Uber на €825 млн, примерно $966 млн, согласно документу, с которым ознакомилось Reuters, — об этом мы писали в нашем репортаже о штрафе нидерландского регулятора для Uber.

Однако пробелы остаются. Одна из давних претензий состоит в том, что правоприменение применялось неравномерно по государствам-членам, поэтому мы следили за усилиями регуляторов ЕС сделать штрафы GDPR более согласованными. Расследования также занимают время, а закон работает только после того, как что-то пошло не так. Технически он не мешает сбору данных с самого начала и не может увидеть всё, что происходит внутри приложения или браузера. Утверждения, подобные тем, что в нашем материале о Browsergate от LinkedIn, иллюстрируют, как скрытый сбор данных может быть трудно заметить обычным пользователям.

Что это значит для вас

GDPR даёт вам юридическое право на ваши данные, но он работает постфактум и зависит от действий компаний и регуляторов. Он не скрывает ваш IP-адрес от сайтов, которые вы посещаете, не шифрует ваш трафик в публичном Wi-Fi и не мешает разрешённому приложению читать данные о местоположении, которые вы уже разрешили.

Здесь на помощь приходят личные инструменты. VPN может шифровать ваше соединение и скрывать ваш IP-адрес от посещаемых сайтов, а сквозное шифрование сообщений защищает содержание переписки. Эти инструменты не заменяют юридические права. VPN также не мешает сайту, на который вы входите, знать, кто вы, и не удаляет данные, которые компания уже хранит. Рассматривайте закон и технологии как взаимодополняющие слои.

Практические шаги для защиты ваших данных за пределами закона

  1. Проверьте разрешения приложений. Установите доступ к местоположению «при использовании» или «никогда» для приложений, которым он не нужен, и отзовите разрешения для приложений, которые вы редко открываете.
  2. Отклоняйте необязательные cookie. Используйте варианты отказа или управления в баннерах о cookie и периодически очищайте cookie.
  3. Отправьте запрос о данных. Выберите один сервис, которым вы активно пользуетесь, и спросите, какие данные он о вас хранит. Запросите удаление аккаунтов, которыми вы больше не пользуетесь.
  4. Используйте шифрование. Обновляйте устройства, включите шифрование устройства, используйте надёжные уникальные пароли с менеджером паролей и включите двухфакторную аутентификацию.
  5. Рассматривайте VPN как один из слоёв. Он может снизить подверженность риску в недоверенных сетях, но это дополнение к вашей правовой защите, а не замена.

Главное

GDPR простыми словами сводится к следующему: закон даёт вам права в отношении cookie, отслеживания в приложениях и данных о местоположении, и регуляторы могут обеспечивать их соблюдение, но пробелы в скорости и согласованности остаются. Потратьте несколько минут на этой неделе, чтобы проверить настройки конфиденциальности и воспользоваться одним из ваших прав на данные. Затем прочитайте наше руководство о том, как работают штрафы GDPR, чтобы увидеть, как правоприменение работает на практике.