Загальний регламент захисту даних (GDPR) діє вже близько десяти років, і нещодавній аналіз видання Compliance Week повертається до питання, яке супроводжує закон із моменту його ухвалення: чи працює правозастосування GDPR однаково скрізь, де воно застосовується? Згідно зі звітом, відповідь і досі «ні». Через десять років відмінності в тому, як окремі країни ЄС контролюють і карають за порушення приватності, залишаються стійкою проблемою, яка має реальні наслідки для людей, яких закон мав би захищати.

Десятиліття GDPR: один закон, 27 різних правозастосовників

GDPR розроблявся як єдиний, уніфікований звід правил для всіх держав-членів ЄС, але його ніколи не впроваджував один централізований регулятор. Натомість кожна країна має власний національний орган із захисту даних (Data Protection Authority, DPA), який відповідає за розгляд скарг, перевірку компаній та накладення штрафів у межах своїх кордонів. Для справ, що виходять за національні межі, наприклад, для випадків із транснаціональною технологічною компанією, яка працює в усьому блоці, зазвичай призначається «провідний орган», а координація здійснюється через Європейську раду із захисту даних.

На папері така структура дає змогу використовувати місцеву експертизу та доступність, надаючи мешканцям кожної країни регулятора, який розмовляє їхньою мовою та розуміє національний правовий контекст. На практиці, як наголошує аналіз Compliance Week, ця децентралізована модель дає нерівномірні результати. Одні DPA краще фінансуються, є більш наполегливими та діють швидше, ніж інші. Ця нерівномірність означає, що сила ваших захистів за GDPR може залежати, принаймні частково, від того, де зареєстрована компанія, яка обробляє ваші дані, або де ви проживаєте.

Це не нова критика. Правозахисники приватності та науковці-юристи порушували це питання неодноразово протягом багатьох років, і той факт, що його й досі підсвічують через десятиліття після набуття законом чинності, свідчить про те, що його так і не вдалося повністю вирішити. Регламент є настільки сильним, наскільки сильним є його правозастосування, а коли воно суттєво відрізняється від однієї держави-члена до іншої, обіцянку рівного захисту в усьому ЄС стає все важче гарантувати на практиці.

Чому прогалини у правозастосуванні важливі для звичайних користувачів

Непослідовне правозастосування — це не просто абстрактна проблема відповідності для юридичних команд корпорацій. Воно має практичні наслідки тієї ж миті, коли щось іде не так. Згадайте, що відбувається після витоку даних: компанія юридично зобов’язана повідомити постраждалих осіб та регуляторів, але те, наскільки швидко і ретельно за цим повідомленням буде проведена перевірка, і чи вимагатиме відповідальний DPA реальної відповідальності, може різко відрізнятися залежно від країни, яка розглядає справу.

Нещодавній приклад показує, що стоїть на кону, коли захист не спрацьовує. У репортажі про атаку програми-вимагача Stormous на мережу нідерландської церкви було показано, як швидко конфіденційні персональні дані, в цьому випадку пов’язані з релігійною організацією, що діє в Нідерландах, можуть опинитися у відкритому доступі, щойно зловмисники прорвуться в мережу. Подібні інциденти підкреслюють, чому послідовне, добре забезпечене ресурсами правозастосування має значення: коли відбувається витік, сила та швидкість регуляторної реакції часто визначають, чи отримають постраждалі реальні відповіді, чи покращать постраждалі організації свою систему безпеки, і чи будуть майбутні інциденти взагалі стримані.

Коли правозастосування сильне, витоки даних запускають розслідування, штрафи та публічну відповідальність, які підштовхують організації до кращих практик роботи з даними. Коли правозастосування буксує — через брак ресурсів у регуляторів, черги з розгляду справ або різні національні пріоритети, — стримувальний ефект слабшає, і люди залишаються більш уразливими наступного разу, коли щось трапиться.

Що це означає для вас

Якщо ви живете або ведете бізнес у ЄС, GDPR усе ще надає вам значущі права: можливість запросити доступ до своїх даних, вимагати їх видалення та прозорості щодо того, як вони використовуються. Але головний висновок звіту — це корисне нагадування, що ці права не забезпечуються з ідеальною однаковістю, тому варто діяти проактивно, а не припускати, що система завжди вирішить проблеми за вас.

Декілька практичних кроків можуть допомогти закрити розрив між захистом, прописаним у законі, і тим захистом, який ви реально відчуваєте щодня:

  • Здійснюйте свої права за GDPR безпосередньо у відносинах із компаніями, а не чекайте, доки регулятори діятимуть від вашого імені.
  • Звертайте увагу на повідомлення про витоки даних і слідкуйте за їхнім розвитком, оскільки не кожна реакція DPA буде однаково швидкою або ретельною.
  • Використовуйте надійні, унікальні паролі та вмикайте двофакторну автентифікацію, оскільки технічні заходи захисту не залежать від того, регулятор якої країни залучений.
  • Розгляньте інструменти захисту приватності, такі як VPN або зашифровані комунікації, коли працюєте з конфіденційною інформацією, особливо якщо ви не впевнені, наскільки ретельно ваші дані будуть захищені в подальшому.

Підсумок

Через десять років після того, як GDPR став законом, ця рамкова система безсумнівно підняла базовий рівень захисту даних по всій Європі та вплинула на регулювання приватності далеко за межами ЄС. Проте аналіз Compliance Week є своєчасним нагадуванням, що закон є настільки ефективним, наскільки ефективною є його найслабша ланка правозастосування. Доки правозастосування в різних державах-членах не стане більш послідовним, люди й надалі отримуватимуть нерівномірну користь від захисту, який GDPR мав гарантувати. Наразі найнадійніший шлях уперед — поєднувати усвідомлення своїх законних прав із розумними звичками особистої безпеки, замість того, щоб покладатися виключно на регуляторів у подоланні цього розриву.