AEPD: как испанский регулятор находит проблемы там, где их «не должно было быть»

AEPD: как испанский регулятор находит проблемы там, где их «не должно было быть»

AEPD любит не шум, а следы. Если в продукте есть лишний сбор данных, туманная согласияшка или доступ к профилям «для удобства», регулятор обычно смотрит на три вещи: законность основания, минимизацию и прозрачность.

Самые частые косяки:
— форма согласия собрана так, что человек не понимает, на что подписался;
— данные тянут «про запас», а потом никто не может объяснить зачем;
— privacy notice написан для юриста, а не для пользователя;
— удаление и доступ есть на бумаге, но ломаются в процессе.

Отдельный риск — конфликт между маркетингом и privacy. Когда метрики, ретаргетинг и CRM живут своей жизнью, AEPD почти всегда находит лишний круг обработки. И да, «мы так делаем у всех» не является аргументом, даже если звучит как корпоративная мантра.

Проверка перед запуском простая: каждое поле, каждый чекбокс и каждый экспорт данных должны отвечать на вопрос «зачем это нужно именно сейчас». Если ответа нет, AEPD тоже его не увидит. Может, конечно, ни хуя не взлетит — но с compliance обычно так и бывает: красивая презентация без оборота, пока не прилетает проверка.