Мы начинаем серию постов про международные и зарубежные фреймворки для организации обработки персональных данных и приватности.
Сегодня поговорим о Data Protection Audit Framework от британского регулятора ICO. Это один из самых свежих фреймворков — выпущен в октябре 2024 года. В этом посте сделаем общий обзор его содержания, а в одном из следующих — расскажем про конкретные рекомендации, которые показались нам наиболее полезными и интересными.
Что такое фреймворк и чем он полезен для DPO?
Фреймворк — это структурированный набор подходов, который помогает организовать работу над какой-то задачей или проектом. Он строится вокруг конкретных целей или требований (например, законов) и описывает практические шаги по их выполнению.
Простой пример: чтобы обработка данных соответствовала закону, нужно:
1. Определить, зачем и какие данные собираются, выбрать подходящее законное основание.
2. Зафиксировать это документально.
3. Повторять эти шаги перед запуском каждого нового процесса обработки.
Фреймворки обычно помогают наладить процессы и организацию работы, но не разъясняют конкретные законы. Пока в России нет своего фреймворка, можно ориентироваться на проверенные международные и зарубежные подходы.
📄 Из чего состоит Data Protection Audit Framework?
⚫️ Toolkits
ICO предлагает «группы» рекомендаций по отдельным направлениям. Есть самый общий «Accountability», где описаны все основные процессы в работе DPO (учёт, отношения с контрагентами, обработка обращений и т.д.). Если решите познакомиться с фреймворком, мы рекомендуем начать именно с этого раздела. Есть и более узкие toolkits: про обучение сотрудников, передачу данных, искусственный интеллект, утечки и др.
⚫️Trackers
Это большие «чек-листы» в виде Excel-табличек, которые помогают отслеживать реализацию положений фреймворка. На каждый toolkit есть свой трекер. В них выписаны все требования и для каждого можно указать текущий статус его выполнения, какие действия были предприняты, ответственных лиц и другие параметры. Наш регулятор при проверке очень оценил бы, если бы у оператора был похожий трекер, заполненный с учетом утвержденного проверочного листа🙂.
⚫️ Case studies (кейсы)
Фреймворк включает раздел с примерами практической реализации положений фреймворка реальными организациями. Сейчас раздел состоит преимущественно из «историй успеха», где компании благодарят ICO за прекрасный фреймворк с минимумом конкретики. Тем не менее, было бы радостно когда-нибудь увидеть аналогичные отзывы на сайте нашего регулятора.
🎁 Сам фреймворк написан на английском, но мы перевели и адаптировали часть, посвящённую учёту процессов обработки данных (DPO может быть полезно сравнить с ним свои подходы) — смотреть тут.
DPO отвечает | #Фреймворки