Штраф за неправильно выбранное основание обработки в ЕС может достигать 20 млн евро или 4% мирового годового оборота — в зависимости от того, какая сумма выше. В Калифорнии финансовый риск часто складывается иначе: претензии возникают из-за неполного уведомления, некорректного отказа от продажи данных или инцидента с незащищенной персональной информацией.
GDPR против CCPA — не выбор между двумя похожими Privacy Policy. Для SaaS-платформы, агрегатора цен, компании веб-скрапинга или дата-брокера это две разные модели контроля над жизненным циклом данных. Одна требует подтвердить законность обработки до ее начала, другая делает акцент на прозрачности, правах жителя Калифорнии и механизмах отказа от продажи или передачи информации.
Ошибочно копировать европейскую политику конфиденциальности для американского рынка или добавлять к ней несколько калифорнийских формулировок. Такой подход не решает вопрос о ролях сторон в договоре, не описывает фактические потоки информации и не защищает бизнес при запросе субъекта данных либо проверке регулятора.
Чем отличаются европейский и калифорнийский режимы
GDPR применяется к обработке персональных данных лиц, находящихся в Европейской экономической зоне, когда компания предлагает им товары или услуги либо отслеживает их поведение. Регламент может охватывать и бизнес без офиса в ЕС. Например, сервис аналитики, который собирает идентификаторы устройств европейских посетителей и строит профили их поведения, не освобождается от требований только потому, что зарегистрирован за пределами Европы.
CCPA, с учетом поправок CPRA, защищает жителей Калифорнии и распространяется на коммерческие организации, ведущие деятельность в штате и отвечающие установленным критериям. Среди них — порог выручки, который индексируется, обработка персональной информации значительного числа потребителей или домохозяйств, а также получение существенной части выручки от продажи либо передачи таких сведений. Оценка применимости требует сверить актуальные цифры на дату аудита и корпоративную структуру группы компаний.
Главное различие — в юридической логике. GDPR запрещает обработку без основания из статьи 6. Для обычных данных это может быть исполнение договора, законный интерес, согласие, юридическая обязанность или иное основание, прямо указанное в регламенте. Для специальных категорий данных действует отдельный, более строгий режим по статье 9.
CCPA не строится вокруг перечня правовых оснований в европейском смысле. Он требует раскрыть цели сбора и категории информации, дать потребителю предусмотренные законом права, ограничить продажу и передачу данных, а также правильно оформить отношения с подрядчиками. Поэтому согласие, достаточное для одного процесса в ЕС, не заменяет калифорнийское уведомление и кнопку отказа от продажи или передачи там, где она требуется.
Основание обработки против обязанности раскрыть практику
Для европейского проекта вопрос «на каком основании мы собираем эти данные?» должен быть решен до запуска парсера, формы регистрации или интеграции с API. Законный интерес не является универсальным разрешением. Компании необходимо определить цель, проверить необходимость обработки и провести балансировку интересов бизнеса с правами человека. Если сбор контактов ведется для B2B-лидогенерации, отдельно оцениваются источник сведений, разумные ожидания лица, объем профилирования и возможность возражения.
При скрапинге публичных страниц доступность информации не отменяет GDPR. Имя, корпоративный email, идентификатор профиля, IP-адрес или комбинация технических параметров могут быть персональными данными. Кроме privacy-рисков, нужно анализировать условия использования сайта, ограничения API, авторские и смежные права, право на базы данных в ЕС и риск блокировки инфраструктуры при агрессивной частоте запросов.
В Калифорнии акцент смещается на точность уведомлений. Privacy Policy и уведомление при сборе должны соответствовать реальной архитектуре: категориям собираемой информации, целям, срокам хранения, категориям получателей и факту продажи или передачи. Если сервис передает рекламные идентификаторы внешнему партнеру для поведенческой рекламы, правовая квалификация не должна скрываться за общим словом «аналитика».
Права пользователей и операционная нагрузка
GDPR предоставляет субъекту доступ к данным, исправление, удаление, ограничение обработки, переносимость и право возражать. Отдельное значение имеет право не быть объектом решения, основанного исключительно на автоматизированной обработке, когда оно порождает юридические или сопоставимо значимые последствия. Запросы нужно обрабатывать обычно в течение одного месяца, учитывая правила идентификации заявителя и обоснованные исключения.
CCPA предусматривает право знать, удалять, исправлять неточные сведения, ограничивать использование и раскрытие чувствительной персональной информации в установленных случаях, а также отказаться от продажи или передачи данных. Бизнес не вправе дискриминировать потребителя за реализацию прав, хотя закон допускает отдельные программы финансового стимулирования при соблюдении условий.
Для дата-брокера и маркетингового агрегатора критичны не красивые формулировки, а исполнимость процесса. Необходимо знать, в каких системах хранится каждая категория сведений, как она связана с идентификатором заявителя и каким получателям была раскрыта. Если сведения уже проданы по лицензии нескольким клиентам, договорная модель должна содержать запрет на использование вне согласованной цели, порядок удаления и обязанность содействовать при запросах субъектов.
Практически полезно настроить единый реестр обработки, но не сводить GDPR и CCPA к одному шаблону. В нем фиксируют источник данных, территорию лиц, цели, получателей, срок хранения, правовой статус поставщика и технические меры. Затем для ЕС добавляют матрицу правовых оснований и оценку рисков, а для Калифорнии — классификацию продажи, передачи и чувствительной информации.
Договоры с подрядчиками и передача данных
По GDPR отношения контролера и обработчика оформляются договором, отвечающим статье 28. В нем закрепляют предмет и срок обработки, характер и цели операций, категории данных и субъектов, инструкции контролера, конфиденциальность, безопасность, субподрядчиков, помощь с запросами и аудитами, возврат или удаление данных.
DPA нельзя подписывать формально. Если облачный провайдер, подрядчик по обогащению базы или сервис рассылок использует данные для собственных целей, его роль может не соответствовать роли обработчика. Ошибка в квалификации создает риск не только недействующих договорных обещаний, но и незаконного раскрытия информации.
CCPA использует собственные категории участников: поставщик услуг, подрядчик и третья сторона. Чтобы получатель не считался третьей стороной, договор должен включать предусмотренные законом ограничения, включая запрет продавать или передавать информацию, использовать ее вне оговоренных деловых целей и объединять с данными из иных источников в недопустимых случаях. Называть документ DPA можно, но содержание должно отвечать праву Калифорнии, а не только европейскому шаблону.
Трансграничная передача из ЕЭЗ требует самостоятельной проверки. Передача на серверы или подрядчикам за пределами ЕЭЗ может потребовать механизма главы V GDPR, в том числе стандартных договорных положений, а также оценки законодательства страны получателя и дополнительных технических либо организационных мер. Размещение серверов в Европе само по себе не закрывает вопрос, если к данным получает удаленный доступ команда из другой юрисдикции.
Утечка и неправильно собранная база — разные, но связанные риски
При нарушении безопасности GDPR обязывает контролера уведомить надзорный орган без неоправданной задержки и, если возможно, не позднее 72 часов после того, как ему стало известно об инциденте. Когда риск для прав и свобод высок, может потребоваться уведомление самих лиц. Поэтому план реагирования должен включать юридическую квалификацию инцидента, а не только работу инженеров по восстановлению доступа.
В Калифорнии частный иск по CCPA ограничен отдельными инцидентами, связанными с несанкционированным доступом или раскрытием определенной незащищенной персональной информации вследствие нарушения обязанности обеспечивать разумную безопасность. Возможный размер statutory damages составляет от 100 до 750 долларов на потребителя за инцидент либо фактический ущерб, если он выше. Массовая база клиентов превращает даже локальную ошибку доступа в существенный финансовый спор.
Для парсинг-агентства риск возникает раньше утечки. База, собранная без оценки источника, ограничений сайта, состава персональных данных и допустимой цели, может оказаться непригодной для законной продажи или передачи клиенту. Анонимизация должна исключать разумную возможность повторной идентификации, а не ограничиваться удалением столбца с именем. Псевдонимизированные данные обычно остаются персональными данными по GDPR.
Что проверить до выхода на рынки ЕС и Калифорнии
Начните не с шаблона Privacy Policy, а с карты потоков данных. Она должна показать, какие сведения собираются через сайт, API, формы, cookies, импорт от поставщиков и веб-скрапинг; где они хранятся; кто имеет доступ; кому и для чего передаются. Отдельно проверьте, не собирает ли продукт больше, чем действительно необходимо для заявленной функции.
Затем сопоставьте каждый поток с применимым режимом. Для ЕС зафиксируйте основание по статье 6 GDPR, сроки хранения, механизм реализации прав и необходимость оценки воздействия на защиту данных по статье 35, если обработка может создать высокий риск. Для Калифорнии проверьте уведомления, категории получателей, механизм отказа от продажи или передачи, обработку сигналов Global Privacy Control и договоры с сервисными провайдерами.
Наконец, проведите юридическую очистку коммерческих баз до их передачи клиенту. Она включает проверку происхождения данных, прав на извлечение и использование содержимого базы, статуса персональной информации, условий лицензирования, запретов на повторную передачу и процедуры удаления. Это снижает риск, что доход от датасета будет оспорен претензией субъекта, владельца ресурса или контрагента.
Дата-юристы Data Lawyer Agency проводят аудит скрапинга, потоков данных и договорной модели, готовят DPA, Privacy Policy, cookie-документы, лицензионные соглашения и регламенты реагирования на утечки. До запуска продукта или продажи базы разумнее проверить архитектуру и документы, чем устранять последствия после блокировки, требования регулятора или иска.