Соответствие GDPR для обработчиков идентификационных данных: Руководство для поставщиков (RU)

Четкое определение ролейРазграничение между контролером данных и обработчиком данных является фундаментальным для распределения обязанностей и обеспечения надлежащей обработки данных в соответствии с GDPR.

Минимизация данных – ключ к успехуСобирайте и обрабатывайте только минимально необходимые персональные данные для указанной цели, снижая риски и демонстрируя соответствие.

Надежные меры безопасностиВнедряйте сильные технические и организационные меры для защиты персональных данных от утечек, несанкционированного доступа и неправомерного использования.

Роль Didit в обеспечении соответствияМодульная, AI-нативная платформа Didit с такими функциями, как Free Core KYC и безопасная обработка данных, разработана для помощи компаниям в достижении и поддержании соответствия GDPR.

Понимание вашей роли: контролер или обработчик

В сложной среде GDPR первым шагом для любого стороннего обработчика идентификационных данных является четкое определение его роли: являетесь ли вы контролером данных или обработчиком данных? Это различие имеет первостепенное значение, поскольку оно определяет ваши обязанности и обязательства. Контролер данных определяет цели и средства обработки персональных данных. Например, компания, регистрирующая нового клиента и решающая, какие идентификационные данные собирать, является контролером. Обработчик данных, с другой стороны, обрабатывает персональные данные только от имени контролера. В качестве поставщика услуг по проверке личности Didit обычно выступает в роли обработчика данных, обрабатывая идентификационные данные в соответствии с инструкциями контролера.

Это уточнение не просто семантическое; оно имеет значительные юридические последствия, особенно в отношении ответственности и штрафов. Обработчики должны соблюдать определенные статьи GDPR (например, статью 28, касающуюся обязательств обработчика) и часто заключать Соглашение об обработке данных (DPA) с контролерами. Это DPA определяет объем, продолжительность и цель обработки, типы задействованных персональных данных, а также обязанности и права обеих сторон. Понимание и формализация этих отношений является основой соответствия GDPR для сторонних обработчиков идентификационных данных.

Минимизация данных и ограничение цели

Два основных принципа GDPR — это минимизация данных и ограничение цели. Для обработчиков идентификационных данных это не просто лучшие практики, а юридические императивы. Минимизация данных диктует, что собираемые персональные данные должны быть адекватными, релевантными и ограниченными тем, что необходимо для целей, для которых они обрабатываются. Это означает сбор только основных сведений, необходимых для проверки личности, оценки возраста или проверок соответствия, таких как AML Screening, и ничего более.

Например, если ваша услуга предназначена исключительно для проверки возраста, продукт Didit Age Estimation разработан для обеспечения конфиденциальной оценки возраста без обязательного длительного хранения полных данных удостоверения личности. Аналогично, для ID Verification должны обрабатываться только данные, необходимые для подтверждения личности и предотвращения мошенничества. Сбор лишних, ненужных данных увеличивает риск и может привести к несоблюдению требований. Внедряйте процессы для выявления и устранения избыточных точек сбора данных. AI-нативная, модульная архитектура Didit позволяет компаниям выбирать только необходимые примитивы идентификации, обеспечивая минимизацию данных по умолчанию.

Ограничение цели означает, что персональные данные должны собираться для определенных, явных и законных целей и не должны далее обрабатываться способом, несовместимым с этими целями. Как обработчик, вы должны гарантировать, что данные, которые вы обрабатываете, используются только для целей, явно указанных контролером данных и задокументированных в DPA. Любое отклонение может привести к серьезным штрафам. Регулярно пересматривайте свои действия по обработке данных, чтобы убедиться, что они соответствуют этим критически важным принципам.

Внедрение надежных мер безопасности

GDPR обязывает как контролеров, так и обработчиков внедрять соответствующие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску. Для сторонних обработчиков идентификационных данных это особенно важно из-за конфиденциального характера идентификационной информации. Надежные меры безопасности включают:

• Шифрование: Шифрование данных как при передаче, так и при хранении является фундаментальным для защиты персональных данных от несанкционированного доступа.
• Контроль доступа: Внедрите строгий контроль доступа, гарантируя, что только авторизованный персонал может получать доступ к конфиденциальным идентификационным данным, и только при необходимости для выполнения своих обязанностей.
• Регулярные аудиты безопасности: Проводите частые аудиты безопасности и тестирование на проникновение для выявления и устранения уязвимостей в ваших системах.
• Протоколы утечки данных: Имейте четкие, хорошо отработанные процедуры для обнаружения, сообщения и расследования утечек данных, как того требуют статьи 33 и 34 GDPR.
• Управление поставщиками: Если вы используете субпроцессоров, убедитесь, что они также соответствуют стандартам безопасности GDPR. Ваше DPA должно включать положения, касающиеся субобработки.

Didit уделяет первостепенное внимание безопасности на каждом уровне своей платформы. От безопасных конечных точек API до зашифрованного хранения данных и надежных внутренних протоколов, наша инфраструктура создана для защиты конфиденциальных идентификационных данных. Наши возможности пассивного и активного обнаружения живости (Liveness detection) и сопоставления лиц 1:1 (Face Match & Face Search) разработаны с учетом безопасности, защищая от дипфейков и попыток спуфинга, а также обеспечивая целостность процесса верификации.

Прозрачность и права субъектов данных

Прозрачность является краеугольным камнем GDPR. Обработчики данных должны помогать контролерам в выполнении их обязательств в отношении прав субъектов данных. Эти права включают право на доступ, исправление, удаление («право быть забытым»), ограничение обработки, переносимость данных и возражение. Хотя контролер в первую очередь несет ответственность за ответы на запросы субъектов данных, обработчик должен иметь механизмы для эффективного выполнения этих запросов.

Это означает возможность быстро находить, предоставлять, изменять или удалять конкретные персональные данные по указанию контролера. Кроме того, обработчики должны быть прозрачными с контролерами относительно своей деятельности по обработке, особенно в отношении любых субпроцессоров, которых они привлекают. Платформа Didit разработана для предоставления четких аудиторских следов и отчетности, что облегчает контролерам поддержание прозрачности с их пользователями и ответы на запросы субъектов данных. Наша способность генерировать готовые к соблюдению PDF-отчеты для любой сессии верификации, показывающие решения по идентификации, извлеченные данные из документов и детали аудита, является ярким примером этой приверженности прозрачности.

Как Didit помогает

Didit — это AI-нативная, ориентированная на разработчиков платформа для идентификации, разработанная для упрощения соответствия GDPR для компаний, обрабатывающих идентификационные данные. Наша модульная архитектура позволяет вам реализовать только необходимые шаги верификации, по своей сути поддерживая минимизацию данных. Например, наши продукты ID Verification (OCR, MRZ, штрих-коды) и NFC Verification (ePassport/eID) разработаны для безопасного извлечения и обработки только основных данных из документов, удостоверяющих личность, с надежными мерами безопасности, защищающими эту конфиденциальную информацию. Для нужд соответствия, Didit AML Screening & Monitoring гарантирует соблюдение нормативных требований без избыточного сбора данных.

Didit предлагает Free Core KYC, позволяя компаниям внедрять основные процессы проверки личности без первоначальных затрат, делая соответствие доступным. Оркестрованные рабочие процессы и чистые API нашей платформы обеспечивают детальный контроль, необходимый для управления обработкой данных в соответствии с требованиями GDPR. Мы уделяем первостепенное внимание безопасности, защите данных и прозрачности, гарантируя, что, будучи вашим обработчиком идентификационных данных, Didit поможет вам поддерживать строгую позицию соответствия. Наши решения созданы для глобального соответствия по умолчанию, адаптируясь к различным нормативным базам, обеспечивая при этом бесперебойный пользовательский опыт.

Готовы начать?

Хотите увидеть Didit в действии? Получите бесплатную демонстрацию сегодня.

Начните бесплатно проверять личности с бесплатным тарифом Didit.