Зміст

  1. Що таке GDPR-аудит і навіщо він потрібен
  2. Кому потрібен GDPR-аудит
  3. Етапи GDPR-аудиту
  4. Санкції та штрафи
  5. Як часто слід проводити аудит
  6. Поширені запитання

Відтоді як у травні 2018 р. набув чинності Загальний регламент про захист даних (Регламент (ЄС) 2016/679, GDPR), кожна компанія, що обробляє персональні дані фізичних осіб, зобов'язана довести дотримання регламенту. Це так званий принцип підзвітності, закріплений у ст. 5 §2 GDPR.

У Болгарії цей принцип додатково врегульовано Законом про захист персональних даних (ЗЗЛД), суттєво зміненим у 2019 р. Комісія із захисту персональних даних (КЗЛД) є наглядовим органом, уповноваженим проводити перевірки та накладати санкції.

Важливо: GDPR-аудит є основним інструментом, за допомогою якого компанія доводить відповідність перед КЗЛД і наглядовими органами.

Що таке GDPR-аудит і навіщо він потрібен

GDPR-аудит – це незалежна й систематична перевірка, яка оцінює, наскільки організація дотримується вимог Регламенту (ЄС) 2016/679 і національного законодавства. Він охоплює огляд документації, технічних заходів безпеки, організаційних процедур і реальних практик.

Відповідно до ст. 5 §2 GDPR контролер несе відповідальність за дотримання основних принципів і повинен бути спроможним довести свою відповідність. Аудит є основним інструментом для цього.

Судова практика Суд ЄС підтвердив у справі C-60/22, що невиконання вимог щодо документації (ст. 26 і ст. 30 GDPR) може становити порушення принципу підзвітності, якщо розглядати його у зв'язку зі ст. 5 §1 п. «a» GDPR.

Кому потрібен GDPR-аудит

На практиці аудит потрібен кожній компанії, що обробляє персональні дані, – зокрема мікропідприємствам і фізичним особам-підприємцям. Особливо важливий аудит для:

  • Компаній із клієнтами з ЄС – електронна комерція, хмарні платформи (SaaS), мобільні застосунки
  • Компаній, зобов'язаних вести реєстр діяльності з обробки (ст. 30 GDPR)
  • Організацій, що обробляють спеціальні категорії даних – медичні, біометричні, генетичні (ст. 9 GDPR)
  • Компаній, що використовують AI, профілювання або автоматизоване ухвалення рішень

Етапи GDPR-аудиту

1. Картографування персональних даних

Ідентифікація всіх категорій даних – від імен та електронних адрес клієнтів до даних працівників, IP-адрес і файлів cookie. КЗЛД рекомендує цей етап як другий крок у посібнику «Десять практичних кроків для застосування GDPR».

2. Перевірка правової підстави

Для кожної діяльності з обробки має існувати дійсна правова підстава за ст. 6 §1 GDPR: згода, договір, юридичний обов'язок, життєво важливі інтереси, суспільний інтерес або законний інтерес.

3. Перевірка документації

Реєстр ROPA

Реєстр діяльності з обробки (ROPA) за ст. 30 GDPR

Privacy Policy

Політика конфіденційності – відповідно до ст. 13 і ст. 14 GDPR

Договори DPA

Договори з обробниками персональних даних за ст. 28 GDPR.

Оцінки DPIA

Оцінка впливу у разі обробки з високим ризиком.

4. Технічні та організаційні заходи

Відповідно до ст. 32 GDPR перевіряються: шифрування, управління доступом, 2FA, навчання працівників і процедури реагування на інциденти.

5. Перевірка прав суб'єктів даних

Перевіряється, чи має компанія процедури відповіді на запити за ст. 15–21 GDPR у строк одного місяця (ст. 12 §3 GDPR).

6. Перевірка договорів із субпідрядниками

Відповідно до ст. 28 GDPR будь-яка обробка від імені контролера має бути врегульована DPA, який чітко визначає предмет, тривалість, характер і мету обробки.

Санкції та штрафи

Невідповідність GDPR може призвести до серйозних фінансових і репутаційних наслідків.

Менш тяжкі порушення

До 10 млн євро або 2% обороту.

Тяжкі порушення

До 20 млн євро або 4% світового обороту.

Практика КЗЛД

Значні санкції щодо НАП і Банку ДСК.

Репутаційний ризик

Втрата довіри, клієнтів і бізнес-партнерів.

Важливо: У Болгарії КЗЛД наклала значні санкції – 5,1 млн лв. на НАП (Національне агентство з доходів; зменшено ВАС (Вищим адміністративним судом) Рішенням № 8694/2021) і 1 млн лв. на Банк ДСК. У 2024 р. загальний розмір штрафів становить – за орієнтовними даними КЗЛД (див. річний звіт за 2024 р.)

Як часто слід проводити аудит

Добра практика рекомендує проводити його щонайменше раз на рік, а також у разі суттєвих змін – нової ІТ-системи, нового постачальника, нового виду обробки або інциденту. Для об'єктивності аудит бажано доручати зовнішньому фахівцю.

Поширені запитання

Що таке GDPR-аудит?

Систематична перевірка відповідності компанії Регламенту (ЄС) 2016/679 і ЗЗЛД.

Як часто його потрібно проводити?

Рекомендовано щонайменше раз на рік, а також у разі суттєвих змін у діяльності.

Які штрафи передбачено за невідповідність GDPR?

До 20 млн євро або 4% річного світового обороту за ст. 83 GDPR.