Data Protection Audit Framework от ICO: полезные рекомендации

Немного отвлечёмся от регуляторных новостей (но если хотите, то можно почитать о них здесь и здесь) и вернёмся к «прайваси-рутине».

Некоторое время назад мы делились кратким обзором Data Protection Audit Framework от ICO и адаптированным переводом блока про учёт процессов обработки данных. Сегодня хотим обратить внимание на ещё несколько полезных практик из этого же источника, которые, на наш взгляд, заслуживают внимания отечественных DPO.

⚫️ Формы запросов для субъектов данных

Одна из утомительных важных задач любого DPO – отвечать на различные запросы субъектов. Чтобы упростить этот процесс, многие готовят шаблоны для ответов. ICO рекомендует пойти на шаг дальше и подготовить ещё и формы для самих субъектов: электронные с вариантами запросов, а также шаблоны писем. Такая подготовительная работа не только облегчит жизнь субъектам, но и снизит количество запросов без необходимой информации. Эту информацию, конечно, всегда можно уточнить, но чем короче будет переписка, тем меньше шансов получить от субъекта жалобу в адрес регулятора.

⚫️ Чек-листы и опросники для оценки рисков

Отдельный раздел фреймворка посвящен процедуре DPIA – оценке негативного воздействия планируемой обработки на защиту персональных данных. В российском законодательстве аналогичная процедура прямо не предусмотрена. Тем не менее, её ключевая идея (оценка рисков до запуска процесса) вполне применима. Предварительная оценка процессов обработки позволяет понять: можно ли запускать процесс в принципе, какие риски он несёт, не нарушит ли оператор с его запуском требования законодательства, и какие технические и организационные меры необходимо внедрить заранее.

Если адаптировать рекомендации ICO к российским реалиям, то в контексте оценки процессов DPO может:
– разработать внутренние правила и чек-листы для оценки новых процессов;
– определить, в каких случаях такая оценка обязательна и когда нужно подключать DPO;
– подготовить шаблоны опросников, через которые держатели процессов будут передавать информацию DPO для анализа.

⚫️Документирование несостоявшихся утечек

ICO рекомендует документировать не только случившиеся утечки, но и инциденты, которые могли к ним привести, но в итоге не привели (то есть несостоявшиеся утечки). ICO предлагает фиксировать примерно тот же набор аспектов, который российские операторы указывают в уведомлениях об утечках: причины инцидента, что произошло, какие данные были затронуты, каковы последствия, какие меры были приняты и почему именно такие. Такой анализ, во-первых, помогает выявлять уязвимости и предотвращать реальные риски в будущем, а во-вторых, может стать аргументом в пользу добросовестности оператора, если дело об утечке будет рассматриваться в суде.

⚫️ Всплывающие окна о сборе данных в интерфейсе

ICO предлагает показывать пользователю небольшие всплывающие подсказки в моменты, когда происходит сбор данных, а не только в начале пользовательского пути. Иными словами, периодически информировать пользователя о существе его действий с точки зрения обработки его данных. Как это может быть реализовано? Например, при заполнении профиля могут появляться подсказки, зачем нужно заполнить телефон или e-mail, а при размещении отзыва – напоминание о том, что информация об имени пользователя будет опубликована вместе с отзывом. Это позволяет сделать обработку для субъекта более прозрачной и предсказуемой.

DPO отвечает | #Фреймворки