Защита персональных данных (GDPR)

«Нас GDPR не касается» — самая частая ошибка латвийского бизнеса. Гражданство клиента ни при чём, размер компании — тоже. Важно другое: где работает компания и где находится человек.

Обработка — это не только CRM: бумажная картотека тоже считается. А персональные данные — любая информация, по которой человека опознают. Дела ведёт Андрей Арнаутов, юрист, магистр права (Mg. iur.): нотариальные услуги, корпоративное направление.

Как проходит работа

1. Вы приносите два списка. Где компания собирает данные — сайт, CRM, рассылка, камера в зале, — и кто их видит со стороны.

2. Юрист разбирает процессы. По каждому находим основание. Обычно часть данных собирается законно, а часть не держится ни на чём.

3. Пишем документы под Вашу обработку. Информирование, политику, договоры с подрядчиками, реестр — то, что нужно Вам, а не весь список.

4. Готовим сценарий утечки. Кто кому звонит в первые часы и кого уведомляем: в момент инцидента придумывать поздно.

5. Остаёмся на связи. Запрос человека, визит инспекции, жалоба — отвечаем от Вашего имени.

Кого GDPR касается в Латвии и при чём здесь гражданство клиента?

Гражданство не значит ничего. Критериев два, и оба — про место.

• Компания работает в Латвии — правила действуют, где бы ни шла обработка.
• Компания вне Союза предлагает товары или услуги людям в Союзе — тоже, даже если человек не платит.
• Компания вне Союза наблюдает за поведением людей в Союзе — действуют в этой части.
• Человек обрабатывает данные для личных нужд — не действуют.
• Попав под правила, компания извне назначает представителя в Союзе.

Своего латвийского закона со своими правилами тут нет — основное задаёт регламент прямого действия.

На каком основании Вы обрабатываете данные и почему согласие — не главное?

Оснований шесть, перечень закрытый — седьмое не придумать. Согласие лишь одно из них, и далеко не самое удобное.

• Согласие — когда обработка не нужна ни для договора, ни по закону.
• Исполнение договора: заказ, доставка, обслуживание, расчёты.
• Юридическая обязанность — обработки требует другой закон.
• Жизненно важные интересы человека.
• Общественные интересы — основание публичного сектора.
• Законный интерес компании, если права человека, особенно ребёнка, не перевешивают.

У согласия своя цена: его нужно уметь доказать, просить отличимо от прочего текста и позволять отозвать так же легко. Добровольность падает, если договор зависит от ненужного согласия.

Особые категории обрабатывать нельзя вообще, пока не сработает изъятие: раса, взгляды, убеждения, профсоюз, генетика, биометрия, здоровье и сексуальная жизнь.

Сначала основание, потом бумага. Соглашение о неразглашении договора с подрядчиком не заменит, а основание лучше закрепить в самой сделке — при составлении договоров.

Какие документы действительно нужны компании, а какие — миф?

Закон требует не бумагу с нужным названием, а исполненную обязанность. Универсальна одна — информирование человека.

• Информирование при сборе данных — всем и сразу; если данные не от самого человека, есть месяц.
• Политика приватности — если это соразмерно Вашей обработке.
• Договор с подрядчиком — письменно, в том числе электронно.
• Реестр обработки — есть изъятие для организаций меньше 250 человек, но у него три исключения.
• Меры безопасности и оценка воздействия — сообразно риску.

Шаблон с чужого сайта почти всегда мимо: в нём чужие цели, сроки и получатели данных.

Что делать, если данные утекли, и почему счёт идёт на 72 часа?

72 часа считают не от утечки, а от момента, когда о ней узнала компания. Это крайний срок, а не время на раздумья.

• Уведомить инспекцию — не позже 72 часов. Опоздали — причины объясняете в уведомлении.
• Уведомлять не нужно, если нарушение вряд ли создаст риск правам людей.
• В уведомлении: характер нарушения, число затронутых людей, последствия и принятые меры.
• Подрядчик обязан сообщить Вам об утечке без промедления.
• Документируют все нарушения — даже те, о которых инспекции не сообщали.

При высоком риске сообщают и человеку — если данные не зашифрованы.

Молчать невыгодно вдвойне. То, как орган узнал о нарушении и сообщила ли компания сама, взвешивают при решении о штрафе.

Кому обязателен специалист по защите данных и обязателен ли экзамен?

Обязанность возникает в трёх случаях, а экзамен закон не требует. Про размер компании и оборот здесь нет ни слова.

• Обработку ведёт публичное учреждение — кроме судов, когда они вершат правосудие.
• Основная деятельность — регулярное наблюдение за людьми в широком масштабе.
• Основная деятельность — масштабная обработка особых категорий данных или данных о судимости.

Им может быть работник или человек по договору услуг; контакты публикуют и сообщают инспекции. Указаний по задачам он не получает.

Про экзамен часто путают. В список инспекции попадают только сдавшие, но назначить закон разрешает и человека вне списка. Квалификацию поддерживают обучением: 36 часов за три года, из них 18 по защите данных. Если назначение меняет чьи-то обязанности — это уже трудовые споры.

Что должно быть написано на табличке о видеонаблюдении?

Элементов четыре: наименование контролёра, контакты, цель наблюдения и указание, где взять остальную информацию. Одного слова «видеонаблюдение» мало.

Требования не касаются камеры для личных нужд. Но личной нуждой не считается наблюдение за публичным помещением в широком масштабе. А записи из дорожного движения раскрывать нельзя.

Наблюдение за общедоступной зоной в широком масштабе требует ещё и оценки воздействия — это отдельный документ, а не формальность.

Как проходит проверка Datu valsts inspekcija и сколько длится дело?

Инспекция обычно предупреждает заранее — сообщает цель, время и место. Но отсутствие Вашего представителя проверке не мешает.

• Инспектор приходит с удостоверением, называет предмет проверки и составляет протокол.
• Инспекция вправе получать документы, посещать нежилые помещения и идти в суд.
• Решение — шесть месяцев со дня возбуждения дела, до года при объективных причинах, до двух лет в отдельных случаях.
• Обжалование: сначала директору, затем суд. Жалоба действие акта не приостанавливает.

У человека свои ходы: жалобу подают по месту жительства, работы или нарушения, а молчание органа три месяца открывает путь в суд за компенсацией.

Сколько составляет штраф за нарушение GDPR?

Потолков два, и каждый выражен дважды: суммой в евро и процентом от годового оборота. Применяют ту величину, что больше.

Менее строгий — до 2 процентов оборота: реестр, безопасность, оценка воздействия, договоры. Более строгий — до 4 процентов: принципы обработки, условия согласия, права людей и передача данных за пределы Союза.

Потолок — не тариф. Сумму определяют тяжесть и длительность нарушения, число затронутых людей, умысел, меры по смягчению вреда и готовность сотрудничать. А объём работы юриста зависит от числа Ваших процессов и подрядчиков.

Правовая база в 2026 году

Тему регулируют общеевропейский регламент о защите данных, который применяется с 25 мая 2018 года, и латвийский закон об обработке данных физических лиц, в силе с 5 июля 2018 года. Закон меняли: появились административная ответственность, сроки решений инспекции и согласие ребёнка с тринадцати лет.

Тексты открыты: регламент на EUR-Lex и Fizisko personu datu apstrādes likums. Русской редакции регламента нет.

FAQ: что чаще всего спрашивают о GDPR в Латвии?

Нужен ли GDPR маленькой компании и сайту с одной формой заявки?

Да, порога применения нет. Размер решает одно — реестр обработки: изъятие для компаний меньше 250 человек отпадает, если обработка регулярная.

Нужно ли собирать согласие на обработку у каждого клиента?

Нет. Для исполнения договора работает другое основание. Лишние формы не подстраховывают, а добавляют обязанность — доказывать согласие.

За сколько нужно ответить человеку, который просит свои данные?

В течение месяца с получения запроса. Сложный запрос продлевает срок ещё на два месяца, о чём сообщают в первый. Ответ и копия данных бесплатны.

Что делать с рассылкой, если человек попросил его исключить?

Исключить, без обсуждений. Возражать против прямого маркетинга можно в любой момент, и об этом праве предупреждают не позже первого контакта.

С какого возраста ребёнок может согласиться сам?

В Латвии — с тринадцати лет, за младшего согласие даёт родитель или опекун. Общее европейское правило — шестнадцать.

Обязательна ли сертификация по GDPR?

Нет. Кодекс поведения и сертификация — способ подтвердить соответствие, а не обязанность. Признание документа за границей — апостиль и легализация, знак для продукта — товарный знак.

Начните с двух списков: где Вы собираете данные и кто их видит со стороны. По ним видно, какие основания работают и где риски. Расскажите о Вашей ситуации — предложим следующий шаг.