GDPR в силе – что дальше?

Время летит незаметно, и вот уже позади 24 мая – день, когда в ЕС вступили в силу Общие требования к сохранности данных (General Data Protection Regulation - GDPR). Что это поменяло для участников рынка – и профессиональных бухгалтеров в том числе? Что им делать, чтобы обеспечить свое соответствие новым требованиям, ведь в противном случае, как известно, их ждут колоссальные штрафы до €20 млн. или 4% общемирового оборота.

В рамках небольшого восьмиминутного подкаста от медиакомпании Thompson Reuters юрист Аннабель Кей (Annabel Kaye) и владелец аудиторской практики Мэтт Порт (Matt Portte) делятся своими мыслями на этот счет. Запись была сделана на прошедшей недавно конференции Accountex 2018, буквально за один день до ключевой даты.

Комментируя вступление нового закона в силу, Аннабель Кей отдельно отмечает огромный поток связанных с GDPR электронных писем за последний месяц, как со стороны аудиторских, так и прочих компаний. Качество их с позиции соответствия "наилучшим практикам" сильно варьировалось. Она полагает, что если получатели таких писем и так были полностью осведомлены в отношении прежних правил, а отправитель с тех пор ничего не менял, то и требованиям новых правил отправитель будет полностью соответствовать. Если же нет, то придется по-новому обеспечивать "согласованность". Однако не во всех случаях – например, в согласовании нет необходимости, если отправитель пишет с целью получения информации для налоговой отчетности.

Отвечая на вопрос о том, что это значит для маркетинга, Аннабель Кей говорит, что это не самый лучший вариант. Многие их тех, с кем ей удалось поговорить в последнее время, электронными посланиями по теме GDPR весьма раздражены. Лично она не представляет, чтобы кто-либо смог что-либо продать, после того как заспамил почтовый ящик своего клиента, прикрываясь необходимость улучшения сохранности его или ее личных данных.

Что касается будущего GDPR и оптимальной реакции участников рынка, то, по ее мнению, необходимо внимательно следить за изменениями, поскольку требованиям сами по себе очень новые, и еще наверняка будут меняться с течением времени. GDPR она называет процессом – способом работы, а не конечным результатом. Это по сути своей и есть процесс обеспечения сохранности данных, то есть той работы, про которую никогда нельзя будет сказать "Окей, сделано!"

Она рекомендует проводить регулярные пересмотры эффективности систем внутреннего контроля в этом отношении. Это также стоит делать при любом приобретении нового программного обеспечения – безопасно ли оно?

Мэтт Порт в своей роли владельца компании в отрасли профессиональных услуг поделился деталями подготовки к переходу. В этом компании помог основанный на факторах риска подход. Готовиться они начали давно, задолго до "дедлайна": начали с того, что посмотрели, какие данные у них есть сейчас, и какими способами они их получают. Характер работы аудиторской компании подразумевает, что довольно много данных определенно относится к категории личных. Для информационного обмена с клиентами они пользуются безопасными порталами, однако одновременно с ними многие клиенты прибегают к традиционным электронным письмам, и необходимо было провести образовательную работу и убедить их вместо этого пользоваться исключительно порталами.

По мнению Мэтта, эта "образовательная" часть была сама по себе непростой, но времени на нее было предостаточно, потому что к переходу они начали готовиться заранее. На тот момент еще было много несоответствий новым требованиям закона, но, в конце концов, от них удалось избавиться.