Информирование субъектов и прозрачность по KVKK и RGPD: с чего начать с нуля?

Самое большое заблуждение — путать информирование с явным согласием. Уведомление об обработке данных — это не документ с просьбой разрешить, а заявление другой стороне: «я обрабатываю твои данные по таким-то правилам». Поэтому ставить под текстом галочку «прочитал, согласен» юридически неверно, достаточно, чтобы текст был доступен.

Вы написали, что собираете информацию об аллергиях, и это критичный момент. И по KVKK, и по RGPD данные о здоровье и пищевых особенностях считаются особой категорией персональных данных. Чтобы обрабатывать такие данные, одного общего уведомления мало; нужно получить явное согласие, ограничить срок хранения мероприятием и держать их в базе в зашифрованном виде.

Вот что можно сделать уже завтра: под формой заявки на сайте добавьте не галочку согласия, а ссылку вроде «Отправляя форму, вы подтверждаете, что ознакомились с Уведомлением об обработке персональных данных». Пока текст не готов, вы хотя бы начнёте с шага прозрачности в точке контакта.

edit: писал с телефона, извините за опечатки.

Вы храните данные турецких клиентов на серверах во Франции или данные французских клиентов передаются в Турцию? Если есть трансграничная передача данных в уведомлении нужно отдельным разделом указать страны, куда передаются данные и правовые гарантии.

Не доверяйте автоматическим генераторам политик в интернете. Большинство из них — перевод «privacy policy», составленной по американскому праву. Ни французский надзорный орган, ни юротдел вашего корпоративного клиента такие шаблоны не примут. Нужно написать простой, но подогнанный под вашу деятельность текст.

Как юридическое лицо, работающее во Франции, вы в первую очередь обязаны соблюдать RGPD и требования CNIL. Чтобы субъекты данных могли реализовать права на удаление, исправление и получение информации, по закону в уведомлении нужно чётко указать отдельный адрес электронной почты, куда можно направлять такие обращения.

Начиная с нуля, следуйте трём шагам: 1) составьте одностраничную таблицу-инвентаризацию, где собранные данные разложены по целям, 2) на её основе подготовьте многоуровневое уведомление, написанное простым языком, 3) постоянно разместите ссылку на текст под формами и PDF-ками с предложениями.

Да не раздувайте вы это. Корпоративные клиенты обычно просто хотят видеть, относитесь ли вы к этому серьёзно. Определите базовый текст и разумные сроки хранения — и спокойно пройдёте проверку.

Согласен с этим. Ошибка, сделанная на стороне информирование и прозрачность по KVKK, обычно исправима, но дорого.

Нужно идти по порядку. Когда пытаешься изменить всё сразу, ничего не приживается.

вы правы поом в общем автоматический отчет о сканировании и пентест — это не одно и то же.

проверео опытом.

Эта тема в архиве.

Согласен с этим. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Удачи.

Не могли бы вы это пояснить? Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

При принятии решений записывайте и худший сценарий, а не только лучший. Надеюсь, это будет полезно.

краткое резюме для новичков: Больше вссего времени у нас уходило на то что было непонятно, кто принимает решения.

если делаете впервые, начните с малого масштабирование потом но конечно, если ваша ситуация отличается всё меняется.

Здесь описано ровно то, что пережили мы. Чем сложнее отменить решение, тем медленнее его принимайте.

Проверено опытом.

Я тоже об этом думал. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Не стесняйтесь спрашивать, молчание всегда обходится дороже. Если напишете результат здесь, это поможет и другим.

мне тоже интересно.