Правила защиты персональных данных GDPR

Как показывают появившиеся новости, GDPR не может оставить людей равнодушными и это ли не счастье: суета, деятельность, вопросы, поиск ответов. Не так уж много людей разделят мою радость - для ряда организаций GDPR уже стало проблемой.
Например, сайты популярных газет: Chicago Tribune, The Los Angeles Times и New York Daily News,  - перестали работать из-за несоответствия новым правилам защиты персональных данных.
Как будут работать закон в Европе в отношении репортажной съемки тоже пока не ясно, ведь публиковать фотографии третьих лиц без их разрешения теперь тоже запрещено, а нарушения караются внушительными штрафами и даже тюрьмой.
Напомню, область действия GDPR:

1. операции по обработке персональных данных в контексте присутствия на территории ЕС их оператора или обработчика, независимо от того, производится ли такая обработка на территории ЕС или нет 
2. обработка персональных данных, находящихся на территории ЕС субъектов, которая осуществляется оператором или обработчиком, не имеющим присутствия на территории ЕС, в тех случаях, когда такая деятельность по обработке относится к: 
1. Предложение товаров или услуг находящимся на территории ЕС субъектам персональных данных как на возмездной, так и на безвозмездной основе; 
2. Отслеживание их действий при условии, что таковые осуществляются в пределах ЕС».

Насчет применимости для российских компаний - РКН заявил, что "требования Регламента Европейского союза по защите персональных данных не будут распространяться на российских операторов, осуществляющих деятельности на территории России, поскольку Российская Федерация не является участницей международных договоров с ЕС. На них распространяется действие только российских законов в этой сфере в соответствии с общепринятыми международными принципами обработки персональных данных". Т.е. данное заявление актуально для тех, кто не обрабатывает персональные данные граждан ЕС и никоим образом не присутствует на территории ЕС. Остальных могут ожидать существенных размеров штрафы - от 10 млн евро или 2% мирового годового оборота до 20 млн евро и 4% оборота
соответственно в зависимости от размеров нарушений.

Список регуляторов по GDPR можно посмотреть по этой ссылке.

В дополнение хочу сказать, что для Российских организаций, которые "держат руку на пульсе" и отслеживают Российское законодательство в сфере ИБ требования GDPR не покажутся новыми: требования учитывать правила защиты персональных данных как на этапе эксплуатации системы, так и на этапе планирования, документировать процессы обработки ПДн, проводить оценку рисков и уведомлять об инцидентах надзорные органы - все это уже практикуется финансовыми компаниями и частично организациями в других сферах.

Центр защиты информации "Шартрез" готов предложить свои услуги по направлению GDPR.