До 20 милиона евро санкция при неправомерно боравене с лични данни

На 25 май трябва да влезе в сила нов общоевропейски Регламент за защитата на личните данни. Той ще е задължителен за всеки бизнес, опериращ с лични данни.Всяка фирма ще трябва да има служител, който да отговаря именно за сигурността и защитата на личните данни. 

Регламентът ще наложи съществена промяна в работата на фирми и организации, които оперират с личните данни на европейски граждани – от спазването на редица разпоредби до определянето на значителни санкции за нарушителите. Системата е най-важната промяна в регулирането на неприкосновеността на личните данни от 20 години насам.

Гратисния период приключва, затова информационната кампания е много мащабна. И днес във Варна има такова специализирано обучение по новия Европейски Общ регламент.

Един от лекторите е адвокат Мария Куцарова. Светлана Вълкова разговаря с нея:

През последните 20 години се промени същността на услугите, които се предлагат през Интернет и аудиторията, към която са насочени. Това наложи приемането на Регламент за защита на личните данни, който урежда материята по коренно различен начин.

Кои са най-важните промени?

Най-същественото е, че се променя изцяло досегашният регистрационен режим на работа на администраторите. Досега всеки администратор на лични данни беше задължен да се регистрира в надзорния орган, в България това е Комисията за защита на личните данни. Сега тази регистрация отпада, като цялата отговорност пада върху администраторите – не само да приведат дейността си в съответствие с изискванията на Регламента, но и да създадат такива мерки за сигурност, които да доказват това съответствие.

Санкциите за нарушение на изискванията са драстични – българското законодателство не познава такива – те достигат до 20 милиона евро за всяко едно нарушение или до 4 процента от общия световен оборот за предходната финансова година.

Има ли общи правила как да действат администраторите на лични данни в ЕС?

Има предписани мерки и методи, но те на са изчерпателни, т.е. оставено е на отговорността на администратора да въведе подходящи административни и технически мерки. Препоръчва се например псевдонимизацията, криптиране, техническо осигуряване на поверителността на информацията, защитата срещу случайна загуба при инциденти и др.

Всяко физическо лице, което е пострадало от нарушения, вследствие неправомерно обработване на данни, има право на обезщетение в размер, който също може да бъде драстичен.

Какъв е редът за уведомяване при пробив на защитата?

Той е двустранен. От една страна администраторът е длъжен незабавно, но не по-късно от 72 часа след пробива да уведоми надзорния орган. От друга страна, ако съществува висок риск за правата и свободите на физическите лица, администраторът трябва да ги информира своевременно.

Физическите лица също трябва да познават своите права, които са много подробно регламентирани в документа. Една от новостите, които Регламентът въвежда, е т.нар. „право да бъдеш забравен” или право да искаш от администратора да изтрие личните ти данни.