Защита данных: «Когда вы дали свое согласие?» — вопрос, на который компании должны уметь ответить

Настоящие изменения заключатся не столько в обновлении политик конфиденциальности, сколько в том, чтобы доказать, когда, как и для чего человек дал согласие на использование своих данных. Вступление в силу нового Закона о защите персональных данных может быть отложено на год, если будет одобрен законопроект, который в настоящее время рассматривается в Сенате. Однако, по мнению экспертов в области конфиденциальности и цифровой трансформации, возможная отсрочка не изменяет главную задачу, стоящую перед организациями: доказать, что обработка персональных данных осуществляется на основании действительного, осознанного и поддающегося проверке согласия. Закон № 21.719, модернизирующий чилийскую систему защиты данных, устанавливает новые обязательства для организаций, собирающих и использующих персональные данные. Среди них — возможность для субъектов данных получать доступ к своим данным, исправлять их, запрашивать их удаление, ограничивать их обработку или отзывать ранее данное согласие. Одновременно с этим создается Агентство по защите персональных данных — орган, который будет уполномочен осуществлять надзор и налагать санкции на тех, кто нарушает нормативные требования. Хотя законопроект, направленный на отсрочку вступления закона в силу до декабря 2027 года, все еще находится на рассмотрении, сложившаяся ситуация уже побуждает многие компании пересмотреть подход к управлению информацией о своих клиентах. По мнению Уго Диаса, генерального директора компании Autentikar, одно из главных изменений, вносимых этим законодательством, заключается в том, что согласие перестает быть простой административной процедурой и превращается в обязательство, подтверждение которого должно быть возможно. «В течение многих лет многие организации рассматривали согласие как галочку, которую достаточно было поставить, чтобы продолжить процесс. С принятием этого закона задача меняется: уже недостаточно просто запросить разрешение, необходимо будет доказать, что человек понял, на что он соглашается, для чего будут использоваться его данные и что это согласие было дано добровольно и однозначно. «Изменения не ограничиваются лишь корректировкой юридических текстов или обновлением политик конфиденциальности. Адаптация подразумевает пересмотр внутренних процессов, технологических платформ и механизмов регистрации, чтобы гарантировать возможность восстановления каждого случая получения согласия в случае проверки со стороны надзорных органов или запроса со стороны самого субъекта данных». По мнению специалиста, существует риск интерпретировать возможную отсрочку как возможность отложить принятие решений, требующих месяцев подготовки. «Адаптация — это не просто внесение изменений в документ. Она подразумевает анализ того, какие данные собираются, с какой целью, где эта информация хранится и как организация будет реагировать, когда пользователь захочет воспользоваться своими правами. Эти изменения затрагивают процессы, системы и персонал, поэтому откладывание до последнего момента лишь сужает возможности для их правильного внедрения. Одним из концепций, приобретающих все большее значение, является понятие «поддающегося проверке согласия». То есть способность организации доказать, на что согласился человек, когда он это сделал, на каких условиях и через какой канал. По мнению Диаса, многие компании до сих пор ведут учет, который вряд ли позволит ответить на эти вопросы: «Недостаточно просто иметь базу данных, в которой указано, что пользователь дал согласие. Организация должна иметь возможность восстановить, какую версию текста одобрил этот человек, в какую дату, через какой канал, а также располагать достаточными доказательствами, подтверждающими, что лицо, давшее согласие, действительно являлось владельцем данных. «На практике это означает отказ от широко используемых до сих пор механизмов, таких как общие согласия, групповые разрешения на несколько целей или заранее отмеченные флажки, в пользу более прозрачных и конкретных процессов. Еще одним аспектом, который начинает приобретать все большее значение, является пользовательский опыт. На протяжении многих лет существовало мнение, что соблюдение более строгих нормативных требований повлечет за собой более длительные и сложные процессы. Однако специалисты утверждают, что эти два аспекта могут сосуществовать, если при разработке будет учтен подходящий момент для запроса согласия и будет автоматически фиксироваться доказательная база, сформированная в ходе взаимодействия. «Пользователь не должен сталкиваться с дополнительными шагами только потому, что компания хочет соблюдать нормативные требования. Важно, чтобы за этим пользовательским опытом стоял процесс, способный подтвердить, что именно разрешил человек и на каких условиях. Когда это правильно спроектировано, разница заключается не в количестве кликов, а в качестве сохраняемых доказательств», — объясняет Диас. Независимо от окончательной даты вступления закона в силу, эта дискуссия уже начала менять подход к использованию персональных данных в Чили. Защита информации перестала восприниматься исключительно как юридическая обязанность и превратилась в фактор доверия между организациями и пользователями. В условиях, когда люди все больше осознают ценность своей информации и требуют большей прозрачности в отношении её использования, способность доказать, как было получено согласие, станет столь же важной, как и безопасность хранения этих данных. Возможная отсрочка вступления закона в силу может дать больше времени на его внедрение, но вряд ли изменит суть нормативно-правового акта, направленного на укрепление доверия к обработке персональных данных и повышение стандартов ответственности тех, кто ими управляет. Вступление в силу нового Закона о защите персональных данных может быть отложено на год, если будет одобрен законопроект, который в настоящее время рассматривается в Сенате. Однако, по мнению экспертов в области конфиденциальности и цифровой трансформации, возможная отсрочка не изменяет главную задачу, стоящую перед организациями: доказать, что обработка персональных данных осуществляется на основании действительного, осознанного и поддающегося проверке согласия. Закон № 21.719, модернизирующий чилийскую систему защиты данных, устанавливает новые обязательства для организаций, собирающих и использующих персональные данные. Среди них — возможность для субъектов данных получать доступ к своим данным, исправлять их, запрашивать их удаление, ограничивать их обработку или отзывать ранее данное согласие. Одновременно с этим создается Агентство по защите персональных данных — орган, который будет уполномочен осуществлять надзор и налагать санкции на тех, кто нарушает нормативные требования. Хотя законопроект, направленный на отсрочку вступления закона в силу до декабря 2027 года, все еще находится на рассмотрении, сложившаяся ситуация уже побуждает многие компании пересмотреть подход к управлению данными своих клиентов. По мнению Уго Диаса, генерального директора компании Autentikar, одно из главных изменений, вносимых этим законодательством, заключается в том, что согласие перестает быть простой административной формальностью и превращается в обязательство, подтверждение которого должно быть возможно. «В течение многих лет многие организации рассматривали согласие как галочку, которую достаточно было поставить, чтобы продолжить процесс. С принятием этого закона задача меняется: уже недостаточно просто запросить разрешение, необходимо будет доказать, что человек понял, на что он соглашается, для чего будут использоваться его данные и что это согласие было дано добровольно и однозначно». «Изменения не ограничиваются корректировкой юридических текстов или обновлением политик конфиденциальности. Адаптация подразумевает пересмотр внутренних процессов, технологических платформ и механизмов регистрации, чтобы гарантировать, что каждое согласие можно будет восстановить в случае проверки или запроса со стороны самого владельца данных. Подробнее По мнению специалиста, существует риск того, что возможная отсрочка будет воспринята как возможность отложить принятие решений, требующих месяцев подготовки. «Адаптация — это не просто внесение изменений в документ. Она подразумевает анализ того, какие данные собираются, с какой целью, где эта информация хранится и как организация будет реагировать, когда пользователь захочет воспользоваться своими правами. Эти изменения затрагивают процессы, системы и персонал, поэтому откладывание до последнего момента лишь сужает возможности для их правильного внедрения». «Одним из концепций, приобретающих все большее значение, является понятие «подтверждаемое согласие». То есть способность организации доказать, на что согласился человек, когда он это сделал, на каких условиях и через какой канал. По мнению Диаса, многие компании до сих пор ведут учет, который вряд ли позволит ответить на эти вопросы: «Недостаточно просто иметь базу данных, указывающую, что пользователь дал согласие. Организация должна иметь возможность восстановить, какую версию текста одобрило данное лицо, в какую дату, через какой канал, а также располагать достаточными доказательствами, подтверждающими, что лицо, давшее согласие, действительно являлось владельцем данных». На практике это означает отказ от широко используемых до сих пор механизмов, таких как общие согласия, групповые разрешения на несколько целей или заранее отмеченные флажки, в пользу более прозрачных и конкретных процессов. Подробнее Еще одним аспектом, который начинает приобретать все большее значение, является пользовательский опыт. На протяжении многих лет существовало мнение, что соблюдение более строгих нормативных требований повлечет за собой более длительные и сложные процессы. Однако специалисты утверждают, что эти два аспекта могут сосуществовать, если при разработке дизайна будет учтен подходящий момент для запроса согласия и автоматически фиксироваться доказательная база, формируемая в ходе взаимодействия. «Пользователь не должен сталкиваться с дополнительными шагами только потому, что компания стремится соблюдать нормативные требования. Важно, чтобы за этим опытом стоял процесс, способный продемонстрировать, что именно разрешил пользователь и на каких условиях. Когда это правильно спроектировано, разница заключается не в количестве кликов, а в качестве регистрируемых доказательств», — объясняет Диас. Независимо от окончательной даты вступления закона в силу, эта дискуссия уже начала менять подход к использованию персональных данных в Чили. Защита информации перестала восприниматься исключительно как юридическая обязанность и превратилась в фактор доверия между организациями и пользователями. В условиях, когда люди всё больше осознают ценность своей информации и требуют большей прозрачности в отношении её использования, способность доказать, как было получено согласие, станет столь же важной, как и безопасность хранения этих данных. Возможная отсрочка вступления нормы в силу может дать больше времени на её внедрение, но вряд ли изменит суть данного регулирования, направленного на укрепление доверия к обработке персональных данных и повышение стандартов ответственности тех, кто ими управляет.