Глосарій

процес зчитування та обробки даних з інтернет-джерел з метою використання таких даних, зокрема при машинному навчанні, роботі сервісів третіх осіб тощо. Часто блокується вебсайтами на технічному рівні та забороняється у відповідних terms of use. При цьому судова практика щодо реалізації таких заборон не є однозначною.

динамічний стан дотримання компанією чи організацією стану відповідності вимогам Загального регламенту захисту даних. Здійснюється шляхом впровадження та підтримки організаційних та технічних заходів, система яких забезпечує безпеку, правомірність та прозорість обробки персональних даних суб’єктів з можливістю реалізації їх прав.

угода між суб’єктами приватноправових відносин, спрямована на запобігання конкуренції між ними шляхом установлення меж допустимої поведінки та/або обмежень щодо здійснення певної діяльності з метою недопущення конфлікту їхніх економічних чи інших охоронюваних інтересів. Поряд з цим передбачає встановлення конкретної сфери діяльності, щодо якої діє заборона, територіальні та часові межі, а також може встановлювати відповідальність за порушення.

угода між суб’єктами приватноправових відносин, що встановлює права, обов’язки та інші умови, пов’язані зі збереженням певної непублічної інформації у секретності, основною метою якої є захист конфіденційності даних у зв’язку з наданням до них доступу стороні NDA. Об’єктом захисту зазвичай виступає комерційна таємниця, інтелектуальна власність, персональні дані та інша інформація визначена як конфіденційна. Такі угоди можуть бути як односторонніми, коли обов’язок щодо зберігання інформації покладається лише на одну сторону, так і двосторонніми (взаємними).

акт Парламенту і Комісії Європейського Союзу, який встановлює єдині правила для обробки персональних даних у країнах ЄС (і не тільки). Це регламент – тобто акт, що рівний за силою закону кожному з законів країн-членів ЄС; на локальному рівні GDPR може бути доповнений національними законами про захист даних у конкретних секторах або правовідносинах (медицина, захист дітей, телекомунікації, безпека і громадський порядок тощо), але національне законодавство не має суперечити GDPR. Регламент створює додаткові права контролю над своїми даними для людей-субʼєктів даних і накладає додаткові обовʼязки на будь-які організації (та інших людей), які збирають ці дані й обробляють їх за запитом (зокрема некомерційні організації, обʼєднання власників/жителів будинків чи навіть інші фізичні особи). Порушення GDPR напряму слугує підставою для адміністративних штрафів та судових проваджень.

акт Парламенту і Комісії Європейського Союзу, який встановлює єдині правила для обробки персональних даних у країнах ЄС (і не тільки). Це регламент – тобто акт, що рівний за силою закону кожному з законів країн-членів ЄС; на локальному рівні GDPR може бути доповнений національними законами про захист даних у конкретних секторах або правовідносинах (медицина, захист дітей, телекомунікації, безпека і громадський порядок тощо), але національне законодавство не має суперечити GDPR. Регламент створює додаткові права контролю над своїми даними для людей-субʼєктів даних і накладає додаткові обовʼязки на будь-які організації (та інших людей), які збирають ці дані й обробляють їх за запитом (зокрема некомерційні організації, обʼєднання власників/жителів будинків чи навіть інші фізичні особи). Порушення GDPR напряму слугує підставою для адміністративних штрафів та судових проваджень.

одна з шести правових підстав для обробки персональних даних за GDPR. Це інтерес або вигода, які контролер чи третя сторона можуть мати від здійснення конкретної операції з обробки персональних даних. Для того, щоб опиратись на цю правову підставу, інтерес не повинен суперечити законодавству ЄС та країн-членів, повинен бути необхідним та перевищувати інтереси, права і свободи суб’єктів даних.

запит до контролера даних щодо реалізації своїх прав, визначених GDPR. Такими правами є право на доступ, виправлення, видалення персональних даних (відоме як прав на забуття), обмеження обробки, мобільність даних, заперечення проти обробки та право не бути суб’єктом автоматизованого прийняття рішень. Контролер зобов’язаний відповідати та реагувати на запити суб’єктів даних, як правило, протягом місяця.

це концепція, закріплена у статті 25 GDPR, за якою захист персональних даних «вбудовується» у продукт (систему чи послугу) ще на етапі його проєктування та розробки і враховується протягом усього життєвого циклу. Ідея полягає в тому, що питання приватності та захисту персональних даних мають враховуватися при прийнятті рішень щодо того, як продукт буде працювати, які персональні дані та для яких цілей він оброблятиме, хто матиме до них доступ та які заходи використовуватимуться для їх захисту. Тобто на момент запуску продукту захист даних уже має бути невід’ємною частиною його архітектури та функціонування, а не додатковим заходом, який впроваджується постфактум лише для забезпечення відповідності нормативним вимогам.

це концепція, закріплена у статті 25 GDPR, за якою компанія налаштовує продукт (систему чи послугу) так, щоб за замовчуванням оброблялися лише ті персональні дані, які необхідні для конкретної мети. Це стосується не лише того, які саме дані збираються, а й обсягу їх обробки, строку зберігання та доступності для інших осіб. Зокрема, персональні дані не повинні автоматично ставати доступними невизначеному колу осіб без відповідної дії з боку користувача. Отже, користувачу не потрібно самостійно змінювати налаштування чи вчиняти додаткові дії, щоб забезпечити базовий рівень приватності, адже такий рівень уже закладений у стандартні налаштування продукту.

добровільна, конкретна та поінформована згода користувача вебсайту або мобільного застосунку, якою він надає дозвіл на збереження файлів cookie на своєму пристрої та зчитування з них інформації про його поведінку в мережі. Відповідно до вимог законодавства про захист персональних даних (зокрема Загального регламенту про захист даних (GDPR) та Директиви про конфіденційність і електронні засоби зв’язку (ePrivacy Directive), така згода має бути отримана до початку використання будь-яких необов’язкових (наприклад, аналітичних чи маркетингових) файлів cookie на пристрої користувача та може бути відкликана у будь-який момент.

це 45 категорій товарів і послуг, поділених відповідно до Міжнародної класифікації товарів і послуг – МКТП, яка прийнята Ніццькою угодою від 15 червня 1957 року. Відповідно до Ніццької класифікації, класи з 1 по 34 охоплюють товари, а класи з 35 по 45 — послуги.

процес формування параметрів моделі штучного інтелекту (ШІ моделі) внаслідок використання об’єктів, що охороняються авторським правом з метою покращення результатів обробки запитів такою моделлю. Може відбуватися на підставі договорів з відповідними авторами. В деяких випадках – на підставі fair use та fair dealing залежно від юрисдикції та фактичного контексту. Судова практика щодо цього перебуває в процесі формування.

фахівець, який відповідає за дотримання вимог законодавства про захист персональних даних у діяльності контролера або процесора: консультує керівництво та персонал, стежить за належною обробкою даних усередині організації, бере участь в оцінці впливу на захист даних і є контактною особою для органів нагляду та суб’єктів даних. Призначення DPO є обов’язковим для органів державної влади, а також для організацій, чия основна діяльність передбачає регулярний і систематичний моніторинг даних у великих масштабах або обробку спеціальних категорій даних. DPO не обов’язково є штатним співробітником, цю функцію може виконувати й зовнішній фахівець, залучений за договором. Діяльність DPO регулюється статтями 37-39 GDPR.

це документована оцінка того, чи залишатимуться персональні дані належно захищеними після їх передачі до третьої країни. При цьому оцінюється не лише сам механізм передачі, наприклад стандартні договірні положення (SCC), а й законодавство та практика країни призначення, можливість доступу державних органів до даних та обставини конкретної передачі. Якщо стандартних гарантій недостатньо, TIA допомагає визначити, чи потрібні додаткові технічні, організаційні або договірні заходи захисту.

це документована оцінка того, наскільки запланована обробка персональних даних може вплинути на права і свободи людей та чи достатніми є передбачені заходи для запобігання або зменшення відповідних ризиків. DPIA охоплює оцінку характеру, обсягу, контексту та цілей обробки, її необхідності й пропорційності, а також ризиків, які така обробка може створювати для суб’єктів даних. За GDPR така оцінка є обов’язковою для обробки, яка ймовірно створюватиме високий ризик для прав і свобод фізичних осіб, зокрема через використання нових технологій.

це передача від автора чи правовласника програмного забезпечення права використання та/або виключного права дозволяти використання та/або права перешкоджати неправомірному використанню твору, та/або інших майнових прав. Передача майнових авторських прав може бути відчуженням усіх правомочностей автора чи правовласника програмного забезпечення (володіння, користування та розпорядження) або ж наданням лише однієї з них – права користування.

офіційний лист, адресований певній фізичній чи юридичній особі з вимогою припинити порушення договору чи законодавства (зокрема у сфері інтелектуальної власності). Документ містить попередження про ініціювання подальших юридичних процедур щодо захисту прав заявника у разі ігнорування вимоги, а також може мати статус інструмента обов’язкового досудового врегулювання спору відповідно до застосовного законодавства або умов договору.

комплекс заходів в організації, спрямованих на створення та підтримку режиму обробки персональних даних (ПД) відповідно до застосовуваного регулювання (наприклад, GDPR, CCPA, ЗУ «Про захист персональних даних») та кращих практик з метою забезпечення правомірної та безпечної обробки ПД, у тому числі з метою побудови довіри із суб’єктами персональних даних.

договір, що визначає загальні умови співпраці між розробником та замовником програмного забезпечення, за яким розробник за винагороду надає послуги зі створення програмного коду та/або інших елементів програмного забезпечення та передає замовнику відповідні результати і права інтелектуальної власності на них. При цьому конкретний зміст, обсяг та умови виконання окремих робіт чи проєктів погоджуються додатково. Співпраця може здійснюватися за окремими етапами чи проєктами відповідно до технічних завдань, специфікацій, Statement of Work (SOW), замовлень та інших додатків до договору, які конкретизують, зокрема, обсяг і зміст робіт, вимоги до результату, строки їх виконання, вартість та порядок приймання.

угода, що встановлює права і обов’язки сторін щодо обробки персональних даних, а також регулює інші питання, пов’язані з такою обробкою. На практиці найчастіше DPA укладаються між контролером та процесором. За GDPR такий договір повинен містити усі обов’язкові елементи, зазначені в статті 28 GDPR.

двосторонній договір, що укладається між виконавцем та замовником послуг задля фіксації їх ключових якісних, кількісних, інших ключових характеристик та встановлення прав та обов’язків сторін щодо їх забезпечення при співпраці за основною угодою. Передбачає чіткий перелік умов, за яких послуги вважаються наданими на відповідному рівні якості, часто встановлює способи перевірки та забезпечення контролю за наданням послуг, порядок подання запитів замовником, конкретні часові рамки відгуку виконавця та наслідки порушення угоди.