152-ФЗ и GDPR
(осторожно много букв)

GDPR - постановление Европейского союза, которое
регулирует процедуру защиты персональных данных. Важно то, что постановление применимо не только к странам — участницам ЕС, но также к ЛЮБОМУ юридическому лицу, обрабатывающему персональные данные лиц ЕС.

Это означает, если ваш сайт посещают пользователи из ЕС, значит вы уже обязаны соответствовать не только нашему 152-ФЗ, но и GDPR.

Чтобы соответствовать и нашим, и вашим, нужно понимать отличия двух законов, вот некоторые из них:

▫️ GDPR предусматривает несколько ролей в процессе обработки персональных данных. Контролер определяет цели и средства обработки персональных данных. Именно он работает с субъектом, публикует Private Policy. Процессор (технический обработчик) — любой оператор пользовательской аналитики, хостинг, облачный сервис и тому подобное, то есть тот, кто непосредственно обрабатывает эти данные. Между контролером и процессором должно быть соглашение на обработку данных. При этом 152-ФЗ предусматривает только одного оператора персональных данных. Он может дать поручение на обработку другому оператору персональных данных, но в любом случае административную ответственность понесет только первый оператор.

▫️ меры, которые в России являются достаточными и адекватными для защиты персональных данных, недостаточны для Европы. Чтобы взаимодействовать с европейскими клиентами, нужно дополнительно получать согласие на обработку и подписывать с контрагентами специальные условия, по которым передаются обязательства по GDPR;

▫️ и главное, GDPR устанавливает определённые методы шифрования персональных данных в ваших IT системах, которые позволяют избежать утечек, при этом в российских компаниях практика шифрования персональных данных отсутсвует.