Пакет документов для ИТ продукта(Privacy policy, Terms of use, GDPR..)

Подскажите, под какую юрисдикцию планируется функционирование сервиса?

Andrey T 31 мая 2021

СНГ и ЕС в большей степени. Однако в дальнейшем увеличении территории. Это продукт с пользователями из разных локаций. 

Для правильного понимания задачи а также для того чтобы составленные для Вас документы не сыграли с Вами же злую ( т.е. влекущую за собой негативные правовые последствия) шутку, необходимо чтобы Вы указали юрисдикцию Вашей компании или лица, которое планирует осуществление деятельности. В противном случае (как уже написано выше), составленные документы могут являться приговором для Вас или Вашей компании. 

Andrey T 31 мая 2021

Украина

Ок. Тогда никаких GDPR!! НИКАКИХ!!

Есть узкий момент с обработкой ПД пользователей РФ, но это решаемо на тех. уровне. 

Согласно GDPR, если юридическое лицо обрабатывает персональные данные резидента ЕС оно должно соблюдать GDPR. Если выйти на рынок ЕС без правил GDPR, надзорный орган любой европейской страны получит жалобу от пользователя сайта, надзорный орган вынесет штраф (от 2 тыс до 2 млн. евро). Да процедура санкций от надзорного органа ЕС к компаниям Украины не урегулирована, но работать с вами, в ЕС , уже никто не будет. О работе с юр. лицами ЕС можно забыть, подключение европейских платежных систем, сервисов и т.д. тоже можно забыть- БЕЗ СОБЛЮДЕНИЕ GDPR работать не будут!

Совет подходит, если вы будете работать исключительно по СНГ, а рынки ЕС и США вам не интересны! Ну, или вам нужна санкция от надзорного органа ЕС)

Прилагаю пример кейса: Компания, не из ЕС, юрисдикция США, нарушает GDPR, и получает штраф в размере 25 млн. евро.

💶 ШТРАФ €2 500 000: ЭКСТЕРРИТОРИАЛЬНОСТЬ В ДЕЙСТВИИ?

Норвежское управление по защите данных (NO DPA) уведомило Disqus Inc. о своем намерении наложить на компанию административный штраф в размере 2,5 миллиона евро за несоблюдение требований GDPR в отношении подотчетности, законности и прозрачности (accountability, lawfulness, and transparency).

❓ Как это работает?

Disqus - американская компания, предлагающая онлайн платформу для публичных комментариев, которая ранее использовалась рядом норвежских интернет газет.

Disqus собирает и раскрывает сторонним рекламным компаниям персональные данные о субъектах данных в Норвегии через виджет Disqus, подключаемый как модуль комментариев для веб-сайтов.

Данные сначала собирались с помощью файлов cookies, которые Disqus размещал в оборудовании всех посетителей веб-сайтов, на которых запущен виджет Disqus. 

Впоследствии эти файлы cookies собирали персональные данные о пользователях, прежде чем раскрывать их нескольким сторонним рекламным партнерам.

❗️ Ключевые выводы NO DPA в этом случае включают следующее:

📍 Назначение идентификаторов файлов cookies пользователям, отслеживание пользователей на веб-сайтах, а также последующий анализ и обмен данными о поведении в интернете в отношении каждого уникального идентификатора представляют собой «обработку персональных данных» в соответствии с GDPR.

📍 Онлайн отслеживание с использованием файлов cookies и поведенческой рекламы - это действия, которые представляют собой мониторинг поведения в территориальной сфере действия GDPR, тем самым распространяя GDPR на Disqus в соответствии со статьей 3.

📍 Заявленное отсутствие понимания Disqus о том, что GDPR применяется к субъектам данных в Норвегии, означает, что он не выполнил свои обязанности в качестве контролера по соблюдению и возможности продемонстрировать соблюдение GDPR.

📍 В соответствии со своими обязательствами по прозрачности в соответствии с GDPR, Disqus должен был предоставлять информацию субъектам данных не позднее, чем когда началось отслеживание, например, когда субъекты данных открыли веб-сайт.

Disqus, делающий политику приватности компании доступной на своем веб-сайте и в виджете, не соответствовал критериям «легкодоступности» информации, как того требует GDPR.

📍 Disqus не получил согласия субъектов данных до обработки персональных данных, собранных с помощью файлов cookies.

📍 Утверждение Disqus о том, что он не размещал рекламу на норвежских веб-сайтах и не преследовал цели нацеливаться на пользователей в Норвегии, убедительно свидетельствует о том, что отслеживание не было необходимым для достижения цели обработки, поскольку отслеживание не служило какой-либо конкретной цели.

📍 Интересы, права и свободы субъектов данных не были сбалансированы с экономическим интересом Disqus к поведенческому онлайн маркетингу, и поэтому Disqus не мог обеспечить баланс интересов, необходимый для создания использования законного интереса для обработки данных.

🏆  ИТОГИ

Решение NO DPA о наложении штрафа в размере 2,5 миллиона евро является окончательным.

У Disqus есть возможность оставить комментарии к выводам регулятора до 31 мая 2021 года, и DPA примет окончательное решение о штрафных санкциях после того, как рассмотрит комментарии компании.

______________

ℹ️ Источник:

🔹 Advance notification of an administrative fine – Disqus Inc. (https://www.datatilsynet.no/contentassets/8311c84c085b424d8d5c55dd4c9e2a4a/advance-notification-of-an-administrative-fine--disqus-inc.pdf)

Вадим, скажу вам очень мягко! Вы не правы! Никакой ответственности Украинская компания не будет нести перед Европейским регулятором! Просто никакой!!! Это не возможно по определению! Так как Украинская компания действует в соответствии с Украинским законодательством а не ЕС. Никак Европейский регулятор не может воздействовать на резидента Украины. Вы перепутали горячее с твердым. 

В противном случае необходимо соблюдать законодательство всех стран и юрисдикций, чего сделать не возможно. Заказчик ясно сказал что он резидент Украины! Ваш пример с компанией из США так же не корректен, так как эта компания имеет свое представительство на территории ЕС и соответственно является ее резидентом.

Так же не верно утверждение о Европейских платежках, так как Украинский резидент, для осуществления предпринимательской деятельности может работать ТОЛЬКО через уполномоченные банки или платежные сервисы, получившие лицензии!! Работать с сервисами нерезидентами запрещено! 

Для надлежащей работы необходимо в обоих политиках сервиса указывать правоприменение Украины с ее законом о хранении и обработки персональных данных. 

Сергей, не путал горячее с твердым, я указал какие возможные последствия. Я не говорю, что для Украины обязательно нужно писать GDPR, я указываю о том что для ЕС нужно указывать GDPR - видите разницу. Ответственности нести может и не будет, но на рынок ЕС компания не выйдет!!! 

Если вы так хорошо разбираетесь в GDPR - приведите пример, когда можно обрабатывать данные резидентов ЕС  без санкций, как сделал я с ссылкой и первоисточником!

Discus размещена в США, надзорный орган использовал Ст.3. для решения : 

"Онлайн отслеживание с использованием файлов cookies и поведенческой рекламы - это действия, которые представляют собой мониторинг поведения в территориальной сфере действия GDPR, тем самым распространяя GDPR на Disqus в соответствии со статьей 3.

"Заявленное отсутствие понимания Disqus о том, что GDPR применяется к субъектам данных в Норвегии, означает, что он не выполнил свои обязанности в качестве контролера по соблюдению и возможности продемонстрировать соблюдение GDPR." - надзорный орган применил статью о экстерриториальности, если бы у Discus было представительство, то санкция применялась бы без указание ст.3 "Экстерриториальность"GDPR. 

Также на сайте Discus, в термзах нет упоминания о GDPR, есть лишь упоминание о защите данных, и нет ни слова о представительстве. https://help.disqus.com/en/articles/1717102-terms-of-service

Насчет, что я там что-то перепутал -  Заказчик собирается выйти на рынок ЕС, о чем вам прямо написал, как вы будете регулировать этот вопрос? И что вы ответите на вопросы надзорного органа, юридических лиц, физ. лиц ,которые не будут приобретать ИТ продукт, мы гордо соблюдаем законодательство Украины? Просто скажите, да ничего не нужно, там есть узкие моменты?  А примеры или статьи у вас есть? А, то мы с вами говорим, я навожу примеры, а вы просто слова, нет фактов с вашей стороны! 

Согласно ст.13 GDPR, если идет передача в страну с неадекватным уровнем защиты данных (неадекватный - это термин GDPR), то нужно подписывать с юр. лицом такой страны DPA and SCC, как много юр. лиц будет с этим возится?  

 Вы правы, когда говорите о том, что соблюдать законодательство всех стран невозможно. Но комплаенс сделать нужно. 

Прилагаю материалы, почему нужно делать комплаенс с GDPR (почему это нужно делать):

1. https://biz.ligazakon.net/ru/analitycs/193376_est-li-ugdprbudushchee-v-ukraine

2. https://lawyersunion.org.ua/zahyst-personalnyh-danyh-zminy-v-ukrayini-pislya-uhvalennya-gdpr/

Основные постулаты, когда мы выходим на рынок ЕС и США:

1. Ст. 3. GDPR, которая говорит о применении GDPR, то есть если мы обрабатываем данные резидентов ЕС, мы должны соблюдать GDPR.

2. У заказчик рынок услуг ЕС, и ему не нужно соблюдать GDPR, как это возможно?

3. Ни одна компания из ЕС не будет сотрудничать из компанией, которая не соблюдает GDPR, и не важно где она находится. Максимум подпишут ДПА и SCC.

4. Заказчик указал, что будет заходит на рынок ЕС, может это будет представительство, может просто продажа, может другим способом, но данные резидентов ЕС обрабатывать будет, так что нам нужен GDPR.

Также, хотелось бы получить ответ от вас с ссылками на законы, а не просто голословные заявления. Если их нет, то я не вижу смысла продолжать дискусию.

С уважением,

Марценюк Вадим.

Дело в том что заказчик указал на то что он является резидентом Украины. Это факт! И именно от этой информации зависит нужно или не нужно учитывать правила др. юрисдикции, в частности ЕС. Для работы с гражданами ЕС не нужно никаких разрешений-одобрений или соблюдения отдельных правил. Равно как и для граждан др. стран! Украинское лицо работает ИСКЛЮЧИТЕЛЬНО в правовом поле Украины! И ДАЖЕ (!!!) если это лицо захочет соблюдать нормы Европейского права ( в частности GDPR ),это ему никак не поможет так как Украина не имплементировала эти нормы в свое правовое поле. 

Вы  очень широко трактуете формулировку "Выход на рынок ЕС" . С вероятностью 99,9% Заказчик имеет ввиду то, что он как резидент Украины, будет также реализовывать свои товары или услуги для граждан ЕС и СНГ.  Т.е.  принимать оплату от граждан этих стран-объединений. И не более!! В этом случае ему нет необходимости соблюдать нормы GDPR.

Если же подразумевается открытие представительства в ЕС или отдельной компании, тогда соблюдение правил GDPR будет обязательным. НО Заказчик ясно выразился что он является резидентом Украины!

Понятие рынок услуг, пользователи, вывод товаров-услуг на др. рынки и т.д., при сетевой торговле является относительным. Важным и первостепенным является юрисдикция лица!!!! Алиекспресс по Вашему зашел на рынок ЕС?..))

Покупая товар на Алиекспресс или аналогичных сервисах, Вы как гр. Украины не можете применить право Украины, равно как и гр. ЕС не сможет ссылаться на свое Законодательство! Регуляторные власти ЕС не могут выписать штраф этому маркетплейсу!! И Китай, равно как и др. страна не обязана соблюдать правила GDPR!! Однако граждане ЕС в огромных масштабах заказывают там себе товары. 

Другое дело что есть (в некоторых странах) отдельная проблема с трансграничной передачей данных, но этот вопрос решается на тех. уровне.  

По поводу ссылок на законы!.)

В рамках оплачиваемой консультации, без проблем!

Ваши примеры с ссылками на Европейские нормы права не корректны, в контексте резидентности Заказчика. 

Заказчик не указывал на то что он собирается открывать представительство или новую структуру в ЕС.  

Я написал следующее:

1. Ст.3. GDPR и принцип экстерриториальности, но вы данную статью проигнорировали. Ответ "оно не верно", это не ответ. Мы же юристы, должны опираться на факты, статьи, законодательство

2. Я предоставил кейс по GDPR, ГДЕ У КОМПАНИИ НЕТ ПРЕДСТАВИТЕЛЬСТВА!!! Опять же, вразумительного ответа я не получил от вас.

3. Отлично, что вы привели пример AliExpress, но вы не  прочитали их Политику Конфиденциальности, просто указали сайт. Если бы прочитали, то увидели ,что Али сделал комплаенс со всеми юрисдикциями мира, в том числе и ЕС, РФ, Казахстан и т.д. В Али Политика Конфиденциальности разработана так, что не соблюдает все нормы GDPR, просто нет ссылок на статьи, поскольку Али работает по всему миру. Вот пример  "ПОСЕТИТЕЛИ ИЗ ЕВРОПЕЙСКОГО СОЮЗА " раздел из Политики Конфиденциальности Али, где Али проводит комплаенс с GDPR, хотя юрисдикция Китай. Вот ссылка на политику: https://sell.aliexpress.com/ru/__pc/Zj6CxW2d6V.htm?spm=a2g0o.home.0.0.41c14aa6CeLzGt&_ga=2.75087953.2103717571.1622545898-682940284.1622545898&_gac=1.187371226.1622545898.CjwKCAjwtdeFBhBAEiwAKOIy50eGSUsZxfX_CmuYLr6wEGKo29tS4p_EPoOGiRGODaMkOEvY-Z6lFBoCfrkQAvD_BwE

4. Вы говорите факты и аргументы только за отдельную плату. Ну, это уже совсем не профессионально, вы доказываете свое мнение, неужели не можете привести ни одного кейса, статьи, публикации. Или у вас больше нет аргументов, кроме как просто слов? Я думал, что вы укажите статьи, кейсы, постановления Укр. правительства, которое отменяет предыдущею политику касательно имплементации GDPR, может публикации из известных источников, ну там лига например, примеры своих работ, а вы просто говорите, что я неправ, ну хорошо! Я не буду с вами больше спорить, поскольку вы не предоставили ни одного факта или аргумента. А вести дискуссию просто со словами, да еще когда в ответ платить нужно (это вообще смешно), я ни имею привычки.

Спасибо вам за интересный диспут и до свиданье! Если будут аргументы и факты, пожалуйста, напишите!

С уважением,

Марценюк Вадим

Я не должен предоставлять никаких ссылок! Ибо я нахожусь в Украине и руководствуюсь нормами действующего законодательства УКРАИНЫ! В Украине нет ни одного закона и\или подзаконного акта свидетельствующего о применении правил  GDPR !!! Как же я могу Вам привести ссылки на закон которого ПРОСТО НЕ СУЩЕСТВУЕТ??? Меня не интересует что указано в правилах ЕС по определению!! Они меня не касаются! ЕС не сможет применить ко мне эти правила, если я являюсь РЕЗИДЕНТОМ УКРАИНЫ и осуществляю свою деятельность в соответствии с правом Украины! ЭТО АКСИОМА!!!

Вы берете ссылки на законодательство ЕС и пытаетесь применить его в отношении резидента Украины, что в корне не правильно! 

Заказать товар или услугу может ЛЮБОЙ гр. мира, если сервис позволит это сделать на уровне эквайринга. Соответственно любой гр. США может приобрести этот товар-услугу и как следствие требовать применение правил США а они (на секунду) в разных штатах очень сильно отличаются!

Я НЕ ГУГЛ ЮРИСТ!!! Мне не надо ГУГЛИТЬ!! Мне достаточно разбираться в законодательстве той страны резидентом которой является ЗАКАЗЧИК!! И в этой стране есть четкие правила которые необходимо соблюдать!

Ваши рекомендации Заказчику могут сыграть с ним злую шутку!!

ИБО!!

Положения Регламента GDPR  предусматривают, что в случае, если компания, которая не имеет резиденции на территории ЕС, но при этом действует в соответствии с Регламентом ( а именно это Вы и предлагаете Заказчику), не назначает представителя на территории ЕС, то такая компания нарушает Регламент и к такой компании могут быть применены штрафные санкции.

ДОБРОВОЛЬНОЕ принятие компанией правил GDPR, влечет за собой не только и не столько правильное составление политик и т.д.  НО и конкретных физических и юридических действий!! Например назначение своего представителя на территории ЕС. Спросите Заказчика, он этого хочет? И сколько это ему будет стоить! Пункт 80 декларативной части GDPR предусматривает, что представителя необходимо назначать четко на основании письменного поручения контроллера или обработчика для возможности совершения действий от имени контроллера или обработчика, в контексте обязательств контроллера или обработчика, согласно Регламенту. 

Вадим! Мы с Вами в Украине!! И Заказчик тоже тут! 

Контраргументы:

1. Вы находитесь в Украине, но Заказчик хочет делать бизнес в другой юрисдикции. Возможно, и нужно будет открыть и новую компанию, зависит от бизнеса Заказчика.

2. То есть, лучше сделать схему по законодательству Украины, пускай она не работает, но дать совет и взять деньги?!

3. Если вы говорите, что не разбираетесь в юрисдикции других стран, международном праве, то на каком основании вы даете совет Заказчику, если у него юрисдикция ЕС?

4. Сначала вы сослались, на Политику AliExpress, не ознакомившись с ней. Вы же так и не дали ответ, почему в ней есть раздел о обработке данных из ЕС.  Вывод: вы оперируете не проверенными фактами, а берете информация из домыслов.

5.  Вы сослались на ст.80 GDPR. Которая указывает следующее: 

"1. Субъект данных вправе поручить некоммерческой организации, органу либо ассоциации, которые были должным образом учреждены в соответствии с правом государства-члена, имеют уставные задачи в публичном интересе, а также действуют в сфере защиты прав и свобод субъектов данных касательно защиты их персональных данных, подавать жалобу от его имени, осуществлять от его имени права, указанные в Статьях 77, 78, и 79, и осуществлять право на получение компенсации, упомянутой в Статье 82, от его имени в случаях, предусмотренных правом государства-члена. 

2. Государства-члены могут предусмотреть, что любая организация, орган либо ассоциация, упомянутая параграфом 1 настоящей Статьи, независимо от поручения субъекта данных, имеет право подавать в указанном государстве-члене жалобу в компетентный в соответствии со Статьей 77 надзорный орган, а также осуществлять права, указанные в Статьях 78 и 79, если она считает, что права субъекта данных, согласно настоящему Регламенту, были нарушены в результате обработки данных. " - Где вы увидели декларативную норму? Снова написали, но не изучили? И к чему такой совет? Без анализа и заведомо неправильный.

6. Вам нужно прочитать ст. 4, где указанно ,что Субъект данных - это физическое лицо! Снова дает совет не изучив мат. часть!

7. И что получит Заказчик, основываясь на ваших советах? Нерабочую схему бизнеса!

8. Технические меры, должны соблюдаются и в Украине. Если мы обрабатываем данные резидентов ЕС, то нам нужно и соблюдать нормы GDPR - ст.3. Технические меры - это в основном предусмотреть порядок в случае утечки ПД, обеспечить меры безопасности ,передачи и хранения ПД.

9. Можете не отвечать! Я кроме испанского стыда, от ваших ответов ничего не испытываю!

Возможно, и нужно будет открыть и новую компанию, зависит от бизнеса Заказчика.

Кто Вам это сказал? Где об этом говорил Заказчик? Возможно заказчик захочет полететь на Марс а возможно и на Юпитер? Возьметесь за постройку ракеты?..)

Вадим, у вас мухи, котлеты в одной тарелке. ))

Предлагайте все это Заказчику! Только не забудьте сослаться на НОРМЫ УКРАИНСКОГО ПРАВА а неправа ЕС, к которому ни Вы ни Заказчик не имеет НИКАКОГО ОТНОШЕНИЯ! 

Вам бы хоть раз в суд сходить и сослаться там на правила GDPR, тогда бы Вы и поняли о чем речь!   

 

1. Возможно, и нужно будет открыть и новую компанию, зависит от бизнеса Заказчика.  - У меня есть соответствующий опыт, сертификаты о построении бизнеса в сфере IT в других юрисдикциях, так, что если возникнет необходимость, я предоставлю консультацию о построении схемы бизнеса для Заказчика. Все зависит от предоставляемых им услуг.  

2. К сожалению, у меня нет инженерного образования, так что ракету построить не могу, увы!))))

3. Скажите, Сергей, а вы можете предоставить ответ по следующему вопросу:

ПОЧЕМУ ВЫ ПРЕДОСТАВЛЯЕТЕ ЗАВЕДОМО НЕВЕРНУЮ ИНФОРМАЦИЮ ЗАКАЗЧИКУ (ссылки на не релевантные вопросу статьи GDPR, на Политику Конфиденциальности (AliExpress))? Желательно без упоминание: "мух", "котлет", "узких мест", "подводных камней", "астрономических тел".

4. Также, интересует вопрос о судах. А вы участвовали в судовом процессе по GDPR? Если это так, то предоставьте информацию, а то снова получается, что вы о чем говорите, а доказательств и нет! Как-то не очень характерно для нашей профессии.

5. В самом начале моего ответа Заказчику, я ответил, что кейсов по Украине нет, есть по другим странам. Также указал риски для его бизнеса, но вы почему-то не эту часть не обратили внимание. Вам важнее было рассказать заказчику об "узких местах" и "подводных камнях". Каждый предоставляет консультацию по мере своих знаний! Заказчик указал, что бизнес в другой юрисдикции, вы же не имея ни знаний, ни опыта (ваши слова), предоставляете консультацию Заказчику и старательно убеждаете его, что ему нужно действовать в юрисдикции Украины, и никак иначе. ЗАЧЕМ?  В чем логика этого действия? 

Если кратко то:

Логика моих действий в том, чтобы уберечь Заказчика от космических советов, космической же глупости! Вот и все!.) Ваше старание объяснить необходимость применение правил GDPR, там где им нет места, можно объяснить по разному, однако оставим это на суд самого Заказчика!.)

На сим прощаюсь, и надеюсь на то что Вы не сочтете за невежество с моей стороны, если я окончу этот диалог без возможности ответов на Ваши следующие комментарии. 

Прощайте. Спор далее бессмысленный. 

GDPR - это общий регламент по защите данных, который распространяется на страны ЕС и Европейской Экономической Зоны, каждая из стран имплементировала данный регламент в свое законодательство. Если вы осуществляет бизнес на территории ЕС или обрабатываете данные резидентов ЕС, а не отдельной страны, то вам нужно разработать документы, согласно GDPR, а не юрисдикции определенной странны. Если вы работаете с одной страной, тогда нужно посмотреть законы и подзаконные, касательно имплементации GDPR.

Никаких штрафных санкций не будет, если вы сделаете документы согласно требованием GDPR на английском языке и разместите их на своем сайте. Более того, если в тексте ваших документов будет конфликт между законодательством страны и GDPR, то превалировать будут нормы GDPR,  а надзорный орган выпишет штраф для вашей компании.

Документы не должны противоречить GDPR, иначе надзорный орган назначит штрафную санкцию (штраф). Ни одно законодательство страны ЕС не противоречит GDPR!

Похоже на спор двух петухов, которые пытаются показать себя перед жирной курицей. Что один херню пишет, что другой. Встретитись два теоретика, а не практика. Бедный заказчик.

Так напиши умное а недешевый высер-понт! Ты же практик? Покажи себя в деле! Или специализируешься по курятникам?  

Сергей, не зачем вы ему отвечаете? Нашли кому отвечать? Не опускайтесь до его уровня.