Основания обработки данных
Мобильный банкинг означает непрерывную обработку персональных данных, и закон ограничивает эту обработку чёткими основаниями: она допустима, если субъект данных дал согласие на одну или несколько конкретных целей; если обработка необходима для исполнения обязательства по сделке с субъектом или для заключения сделки по его запросу; если она предусмотрена законом; если она необходима для исполнения возложенных законодательством обязанностей оператора; а также в иных предусмотренных законом случаях, включая защиту жизненно важных интересов и значимого публичного интереса. Каждая функция приложения — от создания профиля до анализа транзакций — должна привязываться к этим основаниям, иначе обработка становится безосновательной. Когда основанием является согласие, особенно важно, чтобы оно относилось к конкретным целям, а не пряталось в общей формулировке.
Право потребителя на информацию
Субъект данных вправе потребовать от оператора подтверждения, обрабатываются ли данные о нём, обоснована ли обработка, и получить безвозмездно, в соответствии с запросом, информацию о самих данных, основаниях и целях обработки, источниках сбора и сроке хранения. На экране банковского приложения это право приобретает практическую форму: потребитель должен иметь возможность легко получить эту информацию, а не лишь слышать, что она существует где-то в условиях. Прозрачность здесь не формальность, а фундамент доверия, и то, как учреждение отвечает на информационные запросы, нередко говорит о его комплаенсе больше, чем любой документ о политике.
Технические и организационные меры безопасности
Оператор обязан принять надлежащие технические и организационные меры для обеспечения обработки данных в соответствии с законом и уметь подтвердить это соответствие. Меры должны отвечать возможным и сопутствующим угрозам обработки и включать такие инструменты, как псевдонимизация данных и журнал доступа к данным. В контексте мобильного банкинга это означает, что безопасность — не только вопрос серверов: она охватывает управление доступами, логирование и процессы, ограничивающие неосновательное соприкосновение с данными даже у сотрудников. Выстроенная так архитектура безопасности одновременно служит ожиданиям регулятора и спокойствию клиента.