Обхват на GDPR: защита на личните данни, а не киберсигурност

GDPR е насочен преди всичко към защитата на личните данни и правата на физическите лица (субектите на данни) по отношение на тези данни. Той урежда начина, по който организациите събират, съхраняват, обработват и споделят лични данни, и предоставя на хората права като право на достъп, коригиране и изтриване. Конкретна разлика е, че GDPR не е общ законодателен акт за киберсигурността — той не налага използването на защитни стени или антивирусен софтуер — макар да изисква подходящи мерки за сигурност с цел защита на личните данни. По същия начин той не е законодателен акт за съдържанието в платформите като Акта за цифровите услуги (DSA), който е съсредоточен върху незаконното съдържание и отговорността на платформите. Затова, ако в изпитен казус се споменават хакерска атака или модериране на съдържание, проверете дали основният въпрос се отнася до неправомерно използване на лични данни, или до нещо друго.

За да избегнете капаните, запомнете три техники за елиминиране на отговори. Първо, ако във въпроса става дума за защита на търговските тайни или интелектуалната собственост на дружество, GDPR не се прилага — това е друга област. Второ, ако казусът включва нарушение на сигурността на данните, GDPR се задейства само ако са засегнати лични данни (например имена, адреси на електронна поща или здравна информация); нарушение на сигурността на анонимизирани или нелични данни е извън неговия обхват. Трето, GDPR се прилага за всяка организация, която обработва лични данни на жители на ЕС, независимо къде е установена организацията — следователно той обхваща и дружество от САЩ, насочващо дейността си към потребители в ЕС. Когато във въпрос видите „лични данни“ и „права на физическите лица“, това е знак, че става дума за GDPR; ако видите „киберсигурност“ или „съдържание в платформите“, потърсете другаде.

Бърз начин да проверите разбирането си: попитайте се: „Основното притеснение тук свързано ли е с нечия лична информация и контрола на лицето върху нея?“ Ако отговорът е „да“, мислете за GDPR. Ако притеснението е свързано със сигурността на системата или с вредно съдържание, мислете за други законодателни актове. Един мнемоничен способ: GDPR = „Give Data Protection Rights“ („Предоставяне на права за защита на данните“) — съсредоточете се върху „лични“ и „права“, а не върху техническите подробности относно сигурността.