GDPR и документы: что закон говорит о загрузке PDF

Вы перетаскиваете счёт в бесплатный онлайн-инструмент, чтобы его уменьшить. На нём имя клиента, адрес, может быть, налоговый номер. Через пять секунд у вас файл поменьше, и вы идёте дальше. Произошло ли только что что-то юридически значимое?

В рамках GDPR — вполне вероятно, да. И большинство людей об этом даже не задумываются, потому что документ выглядел безобидным, а инструмент — бесплатным.

Это не юридическая консультация. Я не ваш адвокат, и у каждой ситуации свои детали. Но общую логику правил стоит понимать, потому что она меняет то, как следует обращаться с документами, содержащими данные других людей.

Что GDPR называет «обработкой»

Люди полагают, что GDPR — это про базы данных и маркетинговые списки. На самом деле определение гораздо шире. Обработка — это практически всё, что вы делаете с персональными данными: их сбор, хранение, чтение, изменение, передача, удаление. Регламент буквально перечисляет «ознакомление» и «использование» как формы обработки.

Так что, когда ваш PDF содержит персональные данные (имени вместе с номером телефона уже достаточно) и вы что-то делаете с этим файлом, вы обрабатываете персональные данные. Сжатие считается. Объединение считается. Конвертация считается.

Само по себе это не проблема. Компании обрабатывают персональные данные целыми днями. Вопрос, который задаёт GDPR, — это как вы это делаете и кто ещё прикасается к данным по пути.

Почему загрузка привлекает «обработчика»

Вот где важна облачная часть. Когда вы загружаете этот счёт во внешний сервис, файл выходит из-под вашего контроля и оказывается на чужих серверах. Эта компания теперь обрабатывает персональные данные от вашего имени. У GDPR для них есть название: обработчик (processor). Вы, тот, кто решил это сделать, — контролёр (controller).

В тот момент, когда появляется обработчик, у контролёра возникают реальные обязанности. Главная из них — статья 28: вам нужен письменный договор с этим обработчиком, который часто называют соглашением об обработке данных (DPA). В нём должно быть прописано, что они могут делать с данными, как они их защищают, когда удаляют и могут ли передавать кому-либо ещё.

Остановитесь и подумайте о том бесплатном PDF-инструменте, которым вы пользовались в прошлом месяце. Подписали ли вы с ними DPA? Прочитали ли, где находятся их серверы? Проверили ли, кто их субобработчики? Почти наверняка нет. Вы загрузили файл с чужими персональными данными в компанию, с которой у вас нет договора. Вот в чём пробел.

Ловушка международной передачи

Всё становится сложнее, когда серверы находятся за пределами ЕС. Отправка персональных данных провайдеру в другой стране — это передача (transfer), и GDPR её ограничивает. Вам нужно действительное правовое основание для этого, например стандартные договорные положения или решение о достаточном уровне защиты для этой страны.

Большинство бесплатных инструментов не сообщают, где они работают. Файл может обрабатываться в дата-центре на другом континенте, проходить через очередь, кэшироваться в хранилище — а вы никак об этом не узнаете. Для личной отпускной фотографии — ничего страшного. Для договора, полного данных клиента, вы тихо совершили международную передачу, которую не можете задокументировать.

Минимизация — принцип, о котором все забывают

В GDPR есть принцип, называемый минимизацией данных. Вы должны обрабатывать только те персональные данные, которые вам действительно нужны, и наименее навязчивым способом. Есть и родственный принцип: думать о приватности при проектировании процесса, а не после.

Примените это к простой задаче вроде сжатия PDF. Нужно ли отправлять договор клиента на сторонний сервер, чтобы сделать его меньше? Нет. Сжатие может произойти на вашей собственной машине. Отправка наружу добавляет обработчика, договор, которого у вас нет, и, возможно, передачу, которую вы не можете обосновать, — и всё ради изменения размера файла. Это противоположность минимизации.

Почему локальная обработка обходит большую часть этого

Вот часть, которая делает всю проблему меньше. Если файл никогда не покидает ваше устройство, его не обрабатывает никакая третья сторона. Нет обработчика — значит, нет договора по статье 28, который нужно добывать. Ничто не пересекает границу, так что нет передачи, которую нужно обосновывать. Вы по-прежнему контролёр, вы по-прежнему должны субъекту данных обычную заботу, но огромный кусок бумажной работы просто не применяется, потому что никто другой не прикасался к данным.

Это и есть идея, лежащая в основе инструментов, которые работают полностью в вашем браузере. Код выполняет работу локально, в памяти вашего компьютера, и ваш PDF остаётся на месте. Именно так мы построили reader.me. Когда вы сжимаете PDF, файл обрабатывается в вашем браузере и никогда не достигает наших серверов. Откройте в браузере DevTools, наблюдайте за вкладкой Network — и вы убедитесь, что ничего с вашим документом наружу не уходит.

Практические шаги для бизнеса и фрилансеров

Несколько привычек, которые держат вас на правильной стороне:

• Считайте любой документ с именами, удостоверениями или контактными данными персональными данными. Счета, договоры, резюме и медицинские формы — всё это подходит.
• Прежде чем что-либо загружать в облачный инструмент, спросите, кто обработчик. Нет DPA, нет ясного ответа о расположении серверов? Не пропускайте через него данные клиентов.
• По умолчанию используйте локальные инструменты для рутинных задач вроде сжатия, объединения или разделения. Если задача может выполняться в браузере, то и обработчика проверять не нужно.
• Ведите краткий учёт того, какие сервисы прикасаются к персональным данным. GDPR и так ожидает, что контролёры это знают.
• Когда вам действительно нужен облачный сервис, выберите тот, что предлагает настоящий DPA и сообщает, где находятся данные.

Правила звучат тяжеловесно, но повседневное решение лёгкое. Большинству задач с PDF сервер вообще не нужен. Оставьте файл на своей машине — и большая часть юридического груза на вас попросту не ляжет.