Переносність даних

Що це означає

Переносність даних - право суб’єкта отримати персональні дані, які він сам надав контролеру, у структурованому, загальновживаному та машинозчитуваному форматі й передати їх іншому контролеру. GDPR дає це право лише там, де дані обробляють на підставі згоди або договору та автоматизованими засобами.

Це не те саме, що право на доступ: доступ дає копію в читабельному вигляді, переносність - вивантаження, яке прочитає інша система. Це й не право на видалення: після передавання в попереднього контролера не стирається нічого.

До обсягу входять дані, які людина ввела сама, і ті, що система зафіксувала про неї під час користування послугою, наприклад історія замовлень. Не входять похідні дані, які контролер створив власним аналізом, наприклад оцінка платоспроможності чи віднесення клієнта до сегмента.

Як це працює на практиці

Запит розглядає відповідальна особа або призначений працівник, зазвичай протягом місяця від дня отримання; для складного чи повторного запиту строк подовжують ще на два місяці, повідомивши про це заявника. Розгляд безплатний.

У бухгалтерії та на зарплаті право спрацьовує рідко: зарплатні й облікові записи обробляють на виконання обов’язку за законом, а на них переносність не поширюється. Якщо дані обробляє зовнішня фірма, усе йде через договір про обробку: вивантаження готує оброблювач, але відповідає за нього контролер.

Для інтернет-магазину чи онлайн-сервісу розумно мати експорт готовим як функцію системи, а не збирати його вручну за кожного запиту. Клієнтам ми радимо погодити формат, наприклад CSV або JSON, і перевірити, що експорт містить лише дані заявника і надсилається захищеним способом.

На що звернути увагу

Дорога помилка - надіслати замість вибірки цілий файл або сире вивантаження із зарплатної програми, де є й інші люди. Це порушення захисту персональних даних: повідомлення Управління із захисту персональних даних СР протягом 72 годин, звернення до постраждалих і штраф, незіставний з вартістю акуратно підготованого вивантаження.

Ще один ризик - передати дані тому, хто лише видає себе за суб’єкта. Контролер зобов’язаний співмірно перевірити особу заявника; якщо експорт потрапить до шахрая, це порушення захисту персональних даних з усіма обов’язками, що з нього випливають.