Приведение деятельности компании в соответствие требованиям нового регламента ЕС по защите персональных данных GDPR (на примере российской медиа-компании)

Наймушин Д.И.

Выпускник группы MBA CSO-29

Школа IT-менеджмента

РАНХиГС при Президенте РФ

Современный мир трудно себе представить без многочисленных каналов передачи информации, без телевидения, радио, сотовой связи и конечно же без сети интернет, которая с каждым годом становится все более значимым средством коммуникации и глобальным банком данных.

Однако важно понимать, что использование благ информационного общества несет в себе и определенные издержки. Одной из таких издержек является «цифровой след», который остается в «сети» при каждом нашем соприкосновении с ней. Это ассоциированная с нами или нашими действиями персональная информация, которая надолго остается в интернете, обрабатывается разными компаниями и алгоритмами, агрегируется, анализируется и используется в коммерческих и иных целях. Вместе с несомненными благами информационного общества мы получаем крайне высокие риски связанные с недобросовестной обработкой персональных данных, в особенности при обработке таких данных в больших объемах. Современная история не раз показывала нам, что даже клиенты больших и уважаемых организаций становятся жертвами утечки персональных данных, несмотря на огромные усилия организаций по защите своих информационных ресурсов

Большое количество инцидентов и осознание масштабов проблемы позволило изменить взгляды мировых элит на вопросы защиты персональных данных. Во многих ведущих странах мира государство включилось в работу по созданию и\или модернизации правовых актов, регулирующих обмен персональными данными.

Безусловно, ключевым нормативным актом для мирового сообщества стал принятый в 2016 году (вступил в силу в мае 2018 года) Регламент ЕС. Именно он послужил толчком для развития законодательства в области Privacy по всему миру и стал основателем новых трендов и тенденций, в т.ч. и на значительное усиление ответственности за нарушения в процессах обработки персональных данных по всему миру.

Так или иначе изменения в законодательстве о защите персональных данных затрагивают любую компанию. Если компания достигла средних размеров и\или ее деятельность связана с систематической обработкой пользовательских данных, то для нее compliance риск нарушения такого законодательства становится весьма актуальным. Подробное исследование вопроса о применимости норм GDPR к каждой конкретной российской компании изложено в основной части дипломной работы. Однако, важно зафиксировать, что если ваша компания обрабатывает персональные данные «европейцев» на постоянной основе, в той или иной степени на нее будут распространяться требования положений Регламента GDPR.

Выполнение норм Регламента позволит избежать огромных штрафов - до $20 млн, или 4% годового оборота компании-нарушителя. Кроме того, на сегодняшний день можно говорить о том, что бережное отношение к персональным данным и исполнение требований GDPR стало базовой линией для европейских компаний, т.к. это позволяет выстраивать более доверительные отношения с клиентами и положительно влияет на репутацию компании. Очевидно, что подобные преимущества будут распространяться и на зарубежные компании, работающие на рынках ЕС.

Объектом исследования для данной дипломной работы выступила одна из крупнейших российских медиа-компаний. Компания работает как на российском рынке, так и для пользователей за пределами РФ ( в т.ч. в ЕС).

Предметом исследования является совокупность явлений, возникающих в организации в процессе трансформации деятельности по обработке персональных данных, в том числе для целей обеспечения постоянного соответствия такой деятельности требованиям GDPR.

Основной целью данной работы является выработка и представление детального Плана для приведения деятельности организации в соответствие требованиям GDPR.

Исходя из вышеописанной цели, можно обозначить следующие задачи дипломной работы:

1. В теоретической части дать характеристику существующих норм по защите персональных данных в ЕС, описать историю развития законодательства в сфере защиты данных, привести примеры толкования норм GDPR регуляторами и экспертными сообществами. Выказать отношение к существующей модели нормативного регулирования и обозначить возможные пути использования законодательства и комментариев для достижения цели данной работы.
2. В методической части в развитие теоретической части описать конкретные разработки, методики и аналитические инструменты, применимые для достижения цели работы.