GDPR (Регламент ЕС 2016/679) обязывает сайт, который обрабатывает персональные данные жителей Евросоюза, выполнять технические и организационные требования — независимо от того, где размещён сервер. Статья разбирает, что из регламента прямо касается администратора сайта и хостинга: роли, договор обработки, сроки уведомления об утечке и права пользователей. Статья не заменяет консультацию юриста — выводы о конкретном сайте стоит проверять с профильным специалистом.
Роли: контролёр и процессор
Регламент различает контролёра (controller) — того, кто определяет цели и способы обработки персональных данных, и процессора (processor) — того, кто обрабатывает данные по поручению контролёра. Владелец сайта, который собирает данные посетителей через форму или интернет-магазин, обычно выступает контролёром; хостинг-провайдер, на серверах которого эти данные хранятся, обычно выступает процессором.
Разделение ролей важно не формально: регламент напрямую возлагает на контролёра обязанность выбирать процессоров, которые предоставляют достаточные гарантии защиты данных, и подписывать с ними договор обработки, а не просто доверять инфраструктуре.
Договор обработки данных
Статья 28 регламента требует, чтобы отношения между контролёром и процессором закреплялись договором обработки данных (Data Processing Agreement, DPA): в нём описывается, какие данные обрабатываются, с какой целью и на какой срок. Устной договорённости или общих условий обслуживания без отдельного DPA регламент не считает достаточным основанием.
Если на сайте используются сторонние сервисы — аналитика, платёжный провайдер, почтовая рассылка — каждый из них также выступает процессором (или суб-процессором) по отношению к данным посетителей сайта, и договор обработки нужен и с ними, а не только с хостинг-провайдером.
Технические и организационные меры
Статья 32 регламента требует от контролёра и процессора технических и организационных мер, соответствующих риску обработки: шифрования данных, контроля доступа, журналирования событий и способности восстановить доступ к данным после инцидента. Конкретный набор мер регламент не фиксирует жёстко — он должен соответствовать характеру и объёму обрабатываемых данных.
На практике это означает защиту веб-приложения от типовых атак, например через Content Security Policy, и журналирование доступа и изменений на сервере, описанное в статье «Аудит безопасности Linux с auditd»: оба инструмента помогают и предотвратить инцидент, и зафиксировать, что произошло.
Уведомление об утечке данных
Статья 33 регламента обязывает контролёра уведомить надзорный орган об утечке персональных данных не позднее 72 часов с момента, когда о ней стало известно, за исключением случаев, когда утечка не создаёт риска для прав и свобод физических лиц. Если уведомление подано позже 72 часов, регламент требует приложить объяснение причины задержки.
Статья 34 дополнительно требует уведомить самих субъектов данных без неоправданной задержки, если утечка создаёт высокий риск для их прав и свобод — например, скомпрометированы пароли без шифрования. Если процессор (хостинг-провайдер) обнаруживает утечку первым, он обязан уведомить контролёра без неоправданной задержки, а дальнейшее уведомление надзорного органа — обязанность контролёра.
Права субъектов данных и резервные копии
Регламент даёт пользователю несколько прав в отношении его персональных данных: право на доступ к данным, право на их исправление, право на удаление («право на забвение»), право на ограничение обработки, право на перенос данных к другому поставщику и право на возражение против обработки. Контролёр обязан отвечать на такие запросы в разумный срок, установленный регламентом как общее правило в один месяц, с возможностью продления при сложных запросах.
Право на удаление создаёт практическое напряжение с резервным копированием: данные, удалённые из основной базы, обычно продолжают существовать в резервных копиях до истечения срока их хранения. Регламент не требует немедленно перебирать уже созданные резервные копии при каждом запросе на удаление, но требует, чтобы политика хранения резервных копий, описанная, например, в статье «Как создать резервную копию сайта», была известна и соответствовала заявленным срокам хранения данных.
- Договор обработки данных подписан со всеми процессорами, включая хостинг
- Политика хранения резервных копий согласована со сроками хранения персональных данных
- Есть процедура уведомления надзорного органа в течение 72 часов
- Форма на сайте запрашивает только те данные, которые действительно нужны
- Есть процедура обработки запросов пользователей о доступе и удалении данных
| Требование | Статья регламента | Срок/требование |
|---|---|---|
| Уведомление надзорного органа об утечке | статья 33 | не позднее 72 часов |
| Уведомление субъектов данных об утечке | статья 34 | без неоправданной задержки, при высоком риске |
| Ответ на запрос субъекта данных | статья 12 | как правило 1 месяц, с возможностью продления |
| Договор обработки данных | статья 28 | обязателен между контролёром и процессором |
# Минимальный набор полей для внутреннего журнала инцидента (статья 33)
date_detected: ГГГГ-ММ-ДД ЧЧ:ММ
data_categories: <какие данные затронуты>
affected_records_estimate: <оценка числа записей>
notified_authority_at: <дата и время уведомления>
notified_within_72h: yes/noЧастые вопросы
Что делать, если сайт работает только на русском или украинском языке и физически не ориентирован на Евросоюз?
Применимость регламента зависит не от языка интерфейса и не от места размещения сервера, а от того, обрабатывает ли сайт персональные данные жителей Евросоюза — например, через продажу товаров или услуг, доступных для заказа из ЕС, или через слежение за поведением посетителей из ЕС. Точную оценку применимости регламента к конкретному сайту стоит делать с юристом, который разберёт фактическую аудиторию и способ обработки данных, а не по общему описанию.
Какой штраф грозит за нарушение GDPR?
Регламент устанавливает два уровня административных штрафов в статье 83: до 10 млн евро или 2% годового оборота за менее тяжкие нарушения и до 20 млн евро или 4% оборота — за более тяжкие, берётся большая из двух величин. Это верхняя граница из текста регламента, а не прогноз для конкретного случая: фактический размер определяет надзорный орган, и оценивать его должен юрист, а не статья в базе знаний.
Нужна ли хостинг-провайдеру отдельное согласие пользователя на обработку данных?
Нет, основанием для обработки данных хостинг-провайдером как процессором служит договор обработки данных с контролёром (владельцем сайта), а не отдельное согласие конечного посетителя сайта. Согласие посетителя, если оно требуется по закону для конкретной операции — например, для необязательных cookie, — получает и обрабатывает контролёр, а не хостинг-провайдер напрямую.