Что обсуждалось на Национальной конференции по GDPR 10 июля — и что это конкретно означает для вашего интернет-магазина

10 июля в Кишиневе состоялась важнейшая конференция, посвященная внедрению Закона 195/2024: «Новая эра защиты данных: Внедрение GDPR», организованная EU4Moldova и НЦЗПД. Более 5 часов обсуждений с участием директора НЦЗПД Виктории Мунтян, представителей Делегации ЕС и Совета Европы, а также Макса Шремса — человека, чьи жалобы привели к отмене двух соглашений о передаче данных между ЕС и США и породили одни из крупнейших штрафов GDPR в истории.

Присутствие Шремса в Кишиневе само по себе является сигналом: Молдова принимает не формальный закон, а входит в экосистему, где соответствие проверяется и наказывается.

Однако конференция, естественно, проходила на уровне принципов и институтов. Мы здесь делаем обратное упражнение: берем каждую панель и переводим ее в конкретные действия, если вы управляете интернет-магазином в Молдове.

Панель: Права субъектов данных → Что делаете вы

Ваши клиенты получают права, которые вы должны уметь соблюдать оперативно, а не только декларативно: доступ к их данным, исправление, удаление («право на забвение»), переносимость, ограничение.

Конкретно для интернет-магазина:

• Установите четкий канал для запросов (выделенный адрес электронной почты достаточен для начала) и внутренний срок ответа — закон не ожидает сложной инфраструктуры, но ожидает ответа.
• Проверьте, можете ли вы фактически удалить клиента из всех систем: платформы магазина, CRM, списка email-рассылки, выставления счетов. Если его данные живут в 4 местах, а вы удаляете только из одного, запрос не будет выполнен.
• Внимание к классической ловушке: данные для выставления счетов подлежат обязательному хранению — удаление по запросу не отменяет бухгалтерских обязательств. Право на забвение не отменяет закон о бухгалтерском учете.

Панель: ОВОД (оценка воздействия на защиту данных) → Что делаете вы

Для большинства небольших магазинов полная ОВОД не является обязательной. Но она становится актуальной, если вы широко используете профилирование для маркетинга, обрабатываете конфиденциальные данные или систематически отслеживаете поведение пользователей.

Конкретно: если вы используете агрессивный ретаргетинг, расширенную сегментацию по поведению или скоринг клиентов — задокументируйте хотя бы простой анализ: какие данные, для каких целей, какие риски, какие меры. Не обязательно, чтобы это был 40-страничный отчет; он должен существовать.

Панель: Информационная безопасность → Что делаете вы

Конкретно, абсолютный минимум:

• HTTPS на всем сайте, а не только при оформлении заказа.
• Доступ к панели администратора с уникальными паролями и двухфакторной аутентификацией — большинство утечек в небольших магазинах начинаются с скомпрометированного пароля, а не со сложной атаки.
• Знаете ли вы, кто (сотрудники, агентства, фрилансеры) имеет доступ к данным клиентов? Составьте список. Удалите доступы, которые больше не имеют смысла.
• У вас есть минимальный план на случай инцидента: кого уведомить, в течение какого времени (правило 72 часов для уведомления органа власти), что сообщить клиентам.

Панель: Роль DPO → Что делаете вы

Не каждому магазину нужен DPO. Обязанность возникает при широкомасштабной обработке или систематическом мониторинге — но даже без формального обязательства кто-то в компании должен быть де-факто ответственным.

Конкретно: решите, кто отвечает за этот вопрос. Если вам нужен DPO, но вы не можете оправдать штатного сотрудника, аутсорсинг является законным и практичным решением. Деталь, которую следует учитывать при рассмотрении предложений на рынке: некоторые из них имеют минимальный срок обязательств в 12 месяцев. Это не юридическое требование — это коммерческий пункт. Вы можете запросить гибкость.

Панель: Сертификация и кодексы поведения → Что делаете вы

Механизмы сертификации только начинают формироваться в Молдове. Конкретно: ничего срочного здесь. Будьте скептичны к «сертификатам соответствия GDPR», продаваемым как гарантии — на данный момент не существует аккредитованной национальной схемы сертификации. Что существует и важно: реальное, доказуемое соответствие.

Панель: Применение, расследования и штрафы → Что делаете вы

Это панель, которая меняет правила игры. В соответствии со старым законом (133/2011) санкции были символическими. Закон 195/2024 вводит штрафы, зависящие от оборота — модель GDPR, где штраф причиняет боль пропорционально бизнесу.

Конкретно:

• Первая волна проверок после 23 августа, скорее всего, будет направлена на то, что видно публично: сайты без функционального баннера согласия, отсутствующие или противоречивые политики, формы, которые собирают данные без информирования. То есть именно то, что видит любой — включая недовольного клиента, который подает жалобу.
• Жалоба стоит ноль и подается онлайн. Орган власти не должен вас искать — достаточно одного раздраженного клиента.
• Рациональный порядок подготовки: сначала то, что публично (сайт, баннер, политики), затем то, что внутри (реестры, процедуры, доступы).

Наше заключение

Конференция подтвердила направление: учреждения готовы, рамки приведены в соответствие с GDPR, и неформальный льготный период заканчивается 23 августа. Чего никто не сказал со сцены — потому что это не их роль — это то, с чего вы начинаете практически, в понедельник утром.

Наш ответ всегда один и тот же: начните с измерения, а не с предположения.

→ Бесплатно отсканируйте свой магазин на GDPRScan.md — узнайте за 60 секунд реальное состояние вашего сайта: согласие, файлы cookie, скрипты, передачи. С конкретными решениями для каждой проблемы, а не просто с диагнозами.

Это не паника, это порядок. Но у порядка есть срок: 23 августа 2026.

---

Rivosmart — соответствие Закону 195/2024 для бизнеса в Молдове: юридическая документация + техническая реализация с измеримыми результатами. Ежемесячная услуга DPO без минимальных обязательств.