Чем отличается Закон о защите персональных данных (152-ФЗ) от GDPR?

Полезно всем, кто делает бизнес на международном рынке.

GDPR - закон Евросоюза о защите персональных данных (далее - ПД). Постановление применимо не только к странам — участницам ЕС, но также к любому юридическому лицу, обрабатывающему ПД граждан ЕС.

Иными словами, если ваш сайт посещают пользователи из ЕС, вы уже обязаны соответствовать не только российскому 152-ФЗ, но и GDPR.

Чтобы соответствовать и нашим, и вашим, нужно понимать отличия двух законов:

✅ GDPR предусматривает несколько ролей в процессе обработки персональных данных:
Контролер определяет цели и средства обработки ПД. Именно он работает с субъектом, публикует Private Policy.
Процессор — любой оператор пользовательской аналитики, хостинг, облачный сервис, то есть тот, кто непосредственно обрабатывает эти данные.
Между контролером и процессором должно быть соглашение на обработку данных.

152-ФЗ предусматривает только одного оператора ПД. Он может дать поручение на обработку другому оператору ПД, но в любом случае административную ответственность понесет только первый оператор.

✅ Согласно 152-ФЗ согласие на обработку ПД может быть дано в любой позволяющей подтвердить факт его получения форме. GDPR даёт уточнения по согласию, а именно: молчание не является согласием, нужны активные действия по даче согласия. Процесс отзыва согласия должен быть прост, как и его дача (поставить галочку – убрать галочку).

✅ В №152-ФЗ предоставление информации перед обработкой происходит по запросу субъекта данных. GDPR обязывает передать информацию до начала обработки в любом случае.