Каждому оператору по стандарту

Представители Роскомнадзора неоднократно озвучивали идею о том, что для разных типов операторов необходимо разработать стандарты обработки персональных данных (например, здесь и здесь). Общая задумка – разработать некие правила, которые определят допустимые параметры обработки данных (какие данные можно собирать, на каком основании, как долго их хранить и т.д.).

Судя по всему, эта инициатива имеет все шансы быть реализованной на практике. В связи с этим хотелось бы высказать несколько соображений.

Какими могут быть «стандарты»

Юридический формат будущих «стандартов» пока неизвестен, поэтому можно представить два основных сценария:

⚫️Устанавливаются обязательные требования к параметрам обработки персональных данных для операторов определенных отраслей.

⚫️Разрабатываются рекомендации, описывающие «одобренные» регулятором подходы к обработке, но не являющиеся обязательными.

На наш взгляд (который совпадает с мнением известных нам DPO), первый сценарий – негативный, а второй – нейтральный или умеренно позитивный (в зависимости от подхода к статусу стандартов и их содержания).

Почему обязательные «стандарты» – это плохо?

Обработка данных пронизывает практически все бизнес-процессы компании: от найма до маркетинга и продаж. Даже внутри одной отрасли, будь то ритейл или фарма, эти процессы существенно отличаются и зависят от масштаба, структуры и иных особенностей компании.

Если собрать представителей десяти компаний одной отрасли и предложить им договориться о единых обязательных для всех требованиях к целям обработки данных, составу собираемых данных и срокам их обработки, то вероятность достижения консенсуса будет стремиться к нулю. Если добавить к ним представителя регулятора, который должен будет одобрить избранные бизнесом подходы, то вероятность успеха окажется еще ниже.

Попробуйте спросить любого бухгалтера о разумных сроках обработки данных бывших работников в системе кадрового учета, а клиентского менеджера – когда можно удалять данные представителя клиента из CRM-системы. Затем сравните их ответы с позициями регулятора по тем же вопросам. Уже здесь станет очевидно, что разработка обязательных правил, которые устроят и рынок, и регулятора, крайне маловероятна.

Любые обязательные «стандарты» неизбежно будут отставать от технологий и бизнес-практик, а значит – мешать развитию соответствующих отраслей.

Поэтому попытка описать допустимые практики работы с персональными данными в виде обязательных правил (помимо уже закрепленных в законе) обречена на провал. Если, конечно, цель не состоит в создании правил, которые невозможно выполнить.

Почему необязательные стандарты – это тоже не всегда хорошо?

Разработка стандартов рекомендательного характера – это достаточно нейтральная инициатива. Но чтобы они принесли реальную пользу отрасли, бизнес должен видеть понятные стимулы к их внедрению.

Самый очевидный стимул – снижение рисков привлечения к ответственности. То есть оператор, внедривший стандарт и подтвердивший это, должен рассматриваться как заведомо выполняющий требования законодательства. Готов ли регулятор придать стандартам такое значение?

Есть и другая проблема: стандарт должен быть реалистичным. Чем он дальше от реальных бизнес-практик, тем ниже вероятность его внедрения. Бизнес не будет внедрять стандарт, снижающий комплаенс-риски, если одновременно понизится эффективность бизнес-процессов, от которых зависит его выживание. Это вновь возвращает нас к проблеме, связанной с очевидной удаленностью позиций регулятора и операторов.

Что вместо стандартов?

Если обязательные стандарты – плохо, а необязательные – хорошо, но не всегда, то какие альтернативы могут повысить эффективность регулирования? Об этом в следующих публикациях.