Новый режим ЕС в области защиты данных: каковы перспективы для операторов дата-центров и облачных провайдеров?

11 ноября 2015 г. | Категория: Мир

Процесс изменения европейского закона о защите персональных данных затягивается, если не сказать хуже. Однако наконец установлен срок доработки окончательного текста Единого Закона ЕС о защите персональных данных – до конца 2015 года, а его введение в действие планируется в 2017.

Для дата-центров и провайдеров облачных услуг это означает большие регуляторные изменения, которые вступят в силу чуть более чем через год, и настало время начать работу по приведению своих практик в соответствие с грядущими изменениями.

Действующий закон проводит четкое разграничение между лицом, «контролирующим» и лицом, «обрабатывающим» данные: контролирующее лицо несет всю полноту юридической ответственности, при этом в контексте рынка дата-центров и облака контролирующим лицом всегда является заказчик.

Это значит, что вне рамок контракта с заказчиком ответственность оператора дата-центра или облачного провайдера в отношении персональных данных существенно ограничена, и вопрос соответствия этих контрактов закону – проблема исключительно заказчика.

Но эта ситуация изменится с вступлением с силу новой редакции закона. Впервые лицо, осуществляющее обработку данных, будет нести юридическую ответственность в отношении обрабатываемых данных, а субъекты данных получат право требовать компенсации за несанкционированную обработку напрямую от обрабатывающего лица, то есть, от оператора дата-центра или облака.

Важные обязательства

Самое важное изменение именно в этом: вводится ответственность оператора дата-центра и облачного провайдера, занимающихся переработкой данных, за нарушения и кражу данных. Это представляет значительные риски для операторов, которые привыкли отвечать за вопросы безопасности только перед своими заказчиками, при этом обставляя отношения сложными юридическими конструкциями в договоре, значительно уменьшающими или ограничивающими эту ответственность.

Можно согласиться с читателем, которому эти нововведения покажутся лишь еще одним административным барьером для бизнеса, но, с другой стороны, читатель все же не учитывает некоторых позитивных моментов. Если разобраться, то можно увидеть несколько ярких лучей надежды в надвигающейся туче новой редакции закона.

В частности, это устраняет сложности в выборе права, применимого к тем или иным данным. Одна из проблем действующего закона заключается в том, что к одним и тем же данным может применяться законодательство сразу нескольких государств.

Например, если ваш клиент в Германии, и вы обрабатываете персональные данные для него в дата-центре, находящемся в Великобритании, то к данным могут применяться законы и Германии, и Великобритании, поэтому вы должны в своем контракте с заказчиком учитывать и то, и другое.

Новая редакция закона устраняет это, и применяет унифицированный режим ко всем государствам – членам ЕС. В долгосрочной перспективе это существенно облегчит жизнь.

Действие принципа экстерриториальности

Есть еще более важный аспект – принцип экстерриториальности. Крупные американские провайдеры, имеющие дата-центры в Европе, окажутся в одной лодке со своими европейскими конкурентами. После отмены закона о «безопасной гавани», многие провайдеры из США – даже те, у которых еще нет европейского ЦОДа – задумаются об открытии дата-центров в Европе.

Более того. Последняя опубликованная версия закона дает возможность применения его положений к лицам, контролирующим персональные данные, не имеющим присутствия в Европейском Союзе, но предлагающих товары и услуги гражданам ЕС или отслеживающим характер потребительского поведения его жителей.

Нет сомнений, что в первую очередь это изменение адресовано компаниям типа Facebook или Google, и в том виде, в котором оно нынче опубликовано, вряд ли сильно затронет других операторов за пределами Евросоюза, но тем не менее, от источника в европарламенте стало известно, что законодатели принципиально поддерживают распространение действия закона на всех лиц, занимающихся обработкой данных.

Если это принципиальное соглашение получит развитие в окончательном тексте закона, все провайдеры дата-центров и облачные операторы за пределами ЕС, включая расположенные в США, которыми пользуется клиент дата-центра (даже если этот клиент расположен за пределами ЕС) для предложения товаров и услуг жителям Евросоюза или отслеживания потребительского поведения жителей Евросоюза, будут подпадать под те же требования, что и провайдеры, расположенные в ЕС.

Новый закон не содержит определения, что означает «предложение» товаров и услуг жителям ЕС, вероятно, подразумевая, что факт доступа жителей на веб-сайт сам по себе уже достаточен для этого.

Все это вкупе с отменой принципа «безопасной гавани» может означать, что европейские операторы неожиданно получат существенное конкурентное преимущество на рынке.

Конечно, придется принять ряд административных мер и принять локальные акты и процедуры. Но, несмотря на это, новый закон – это не только бремя, но и возможность, и европейские операторы должны не упустить свой шанс.

Дополнительную информацию можно получить на сайте www.computerweekly.com

Теги: Персональные данные, ЕС