Переносимость данных

Что это значит

Переносимость данных - право субъекта получить персональные данные, которые он сам предоставил оператору, в структурированном, общепринятом и машиночитаемом формате и передать их другому оператору. GDPR даёт это право только там, где данные обрабатываются по согласию или по договору и автоматизированными средствами.

Это не то же самое, что право на доступ: доступ даёт копию в читаемом виде, переносимость - выгрузку, которую сможет прочитать другая система. Это и не право на удаление: после передачи у прежнего оператора не стирается ничего.

В объём входят данные, которые человек ввёл сам, и те, что система зафиксировала о нём при пользовании услугой, например история заказов. Не входят производные данные, которые оператор создал собственным анализом, например оценка платёжеспособности или отнесение клиента к сегменту.

Как это работает на практике

Запрос рассматривает ответственное лицо или назначенный сотрудник, как правило в течение месяца со дня получения; при сложном или повторном запросе срок продлевают ещё на два месяца, уведомив об этом заявителя. Рассмотрение бесплатно.

В бухгалтерии и на зарплате право срабатывает редко: зарплатные и учётные записи обрабатывают во исполнение обязанности по закону, а на них переносимость не распространяется. Если данные обрабатывает внешняя фирма, всё идёт через договор об обработке: выгрузку готовит обработчик, но отвечает за неё оператор.

Для интернет-магазина или онлайн-сервиса разумно иметь экспорт готовым как функцию системы, а не собирать его вручную при каждом запросе. Клиентам мы советуем согласовать формат, например CSV или JSON, и проверить, что экспорт содержит только данные заявителя и отправляется защищённым способом.

На что обратить внимание

Дорогая ошибка - отправить вместо выборки целый файл или сырую выгрузку из зарплатной программы, где есть и другие люди. Это нарушение защиты персональных данных: уведомление Управления по защите персональных данных СР в течение 72 часов, сообщение пострадавшим и штраф, несопоставимый со стоимостью аккуратно подготовленной выгрузки.

Ещё один риск - передать данные тому, кто лишь выдаёт себя за субъекта. Оператор обязан соразмерно проверить личность заявителя; если экспорт уйдёт мошеннику, это нарушение защиты персональных данных со всеми вытекающими обязанностями.