Как не повторить судьбу Meta: чек-лист по GDPR

В феврале 2023 года Еврокомиссия объявила о расследовании в отношении Meta — компании, которая владеет Facebook и Instagram. Формальный повод — подозрения, что сбор данных пользователей не соответствует GDPR. Это не первая проблема для Meta: годом ранее ирландский регулятор оштрафовал компанию на 1,3 миллиарда долларов за нарушение тех же правил. А в 2018-м был скандал с Cambridge Analytica, после которого вопросы к тому, как Big Tech обращается с личными данными, стали общим местом.

Почему это касается каждого, кто работает с данными

GDPR действует с 2018 года. Он распространяется на любую компанию, которая собирает данные жителей Евросоюза, независимо от того, где находится бизнес. Если у вас есть сайт с формами, приложение с аналитикой или просто список email-адресов клиентов из Европы — эти правила касаются и вас. Расследование против Meta — сигнал: регуляторы больше не смотрят сквозь пальцы на то, как компании объясняют пользователям, зачем собирают их данные.

Что именно исследуют в Meta

Расследование продлится несколько месяцев. В центре — практики сбора данных: насколько прозрачно Meta объясняет, какие данные и зачем собирает, и дает ли пользователям реальный контроль. Ранее компания уже получала штраф 1,3 млрд долларов от Ирландской комиссии по защите данных — регулятора, который курирует европейскую штаб-квартиру Meta. Плюс осадок от Cambridge Analytica, когда данные миллионов людей использовались без их ведома.

Что делать бизнесу, чтобы не попасть в похожую историю

Необязательно ждать, пока регулятор придет к вам. Проще заранее проверить свои процессы. Вот минимальный набор действий.

Проверьте правовые основания для обработки данных. Для каждого вида данных должна быть причина: договор, согласие, законный интерес.
Убедитесь, что политика конфиденциальности написана понятным языком, а не юридическим набором слов. Обычный человек должен понимать, какие данные собираются и зачем.
Настройте механизмы получения согласия. Согласие должно быть добровольным, конкретным и легко отзываемым. Предустановленные галочки — это нарушение.
Внедрите процедуру ответа на запросы пользователей: удаление, исправление, выгрузка данных. На это у вас есть строго ограниченное время.
Оцените риски, если данные утекут. Для этого существует оценка воздействия на защиту данных (DPIA).

Типичные ошибки: чек-лист для быстрой проверки

Даже крупные компании спотыкаются об одни и те же грабли. Вот таблица с частыми нарушениями и тем, как их избежать.

Ошибка	Как избежать
Сбор данных без явного согласия	Добавить отдельный чекбокс, а не предустановленную галочку. Согласие должно быть отдельным от других условий
Непонятная политика конфиденциальности	Писать простым языком, указывать конкретные цели сбора, не прятать детали в приложениях
Хранение данных дольше, чем нужно	Установить сроки удаления, настроить автоматическую очистку
Игнорирование запросов на удаление данных	Настроить процесс обработки запросов от пользователей, назначить ответственного

Пройдитесь по этому списку — и вы уже будете впереди многих. Если какой-то пункт не выполнен, лучше исправить это до того, как вами заинтересуются.

Что будет с Meta и остальными

Результаты расследования будут внимательно отслеживаться. Ожидается, что они повлияют на то, как Google, Amazon и другие гиганты строят свои процессы. Впрочем, для обычного бизнеса важнее не ждать прецедента, а привести свои процессы в порядок заранее.

Вывод

Расследование против Meta — не новость о штрафе, а напоминание о том, что защита данных стала частью юридической гигиены. Разбирательство может длиться месяцами, но готовиться к нему лучше уже сейчас: провести аудит, обновить документы, наладить процессы. Это дешевле, чем платить миллиардные штрафы.

По материалам: startup. Текст переработан редакцией Слогера.