DPO отвечает

🎙 Контент на выходные: команда Privacy Tech в гостях у Git.Legal

Пока вы планируете, как провести выходные, предлагаем вам интересный контент. Мы не могли упустить возможность поговорить об автоматизации в сфере privacy, поэтому в конце прошлого года заглянули в гости к Ивану Мелихову (Git.Legal) и рассказали о нашем проекте. Благодарим за тёплый приём 🫶.

Мы обсудили:
⚫️Как появилась идея автоматизации функции DPO
⚫️Что из себя представляет сервис PrivacyLine и какие задачи он решает
⚫️Наш подход к сочетанию автоматизации и консалтинга
⚫️Планы на будущее

Смотрите на RuTube или слушайте подкаст в Podster или Я.Музыка

Канал Ивана: Git.Legal

Изменения в контроле и надзоре за обработкой персональных данных

28 декабря (прямо под ёлочку 🎄) были приняты изменения в Федеральный закон «О государственном контроле (надзоре) и муниципальном контроле». Большинство поправок уже вступило в силу. Изменений много, поэтому просуммировали ключевые моменты:

🔹 Внеплановая документарная проверка проводится по согласованию с Прокуратурой. Теперь это общее правило, кроме ряда случаев. Ранее мы писали, что у Роскомнадзора есть возможность проводить внеплановые документарные проверки без согласования с Прокуратурой. Теперь этот порядок изменен.

🔹 Утечка данных в Интернет как основание для внеплановой проверки. Подобное правило было закреплено и в постановлении Правительства № 336, но принять решение о проверке мог только руководитель Роскомнадзора или его заместитель. Теперь такого ограничения нет. Требование получить согласование Прокуратуры при этом сохранилось.

🔹 Сужены возможности по назначению внеплановой проверки по жалобе субъекта. Теперь у надзорного органа должны быть сведения об угрозе безопасности государства, угрозе жизни и здоровью граждан и т.п.

🔹 Публичная оценка. После контрольного или профилактического мероприятия оператору может быть присвоена «публичная оценка уровня соблюдения обязательных требований». Если такая оценка будет предусмотрена в Положении о контроле за обработкой персональных данных, то можно будет ожидать что-то похожее на новости на сайтах управлений Роскомнадзора (пример 1, пример 2), но уже с указанием конкретных операторов. Публичная оценка будет учитываться при определении уровня риска оператора.

🔹 Объекты контроля в едином реестре. Перечень объектов контроля должен включаться в единый реестр видов контроля, так что есть шанс, что скоро не придется искать планы проверок на сайте каждого управления Роскомнадзора. Но конкретика будет ясна после внесения изменений в подзаконные акты.

И, наконец, изменились правила проведения профилактических визитов, но это тема для отдельного поста. ✏️

DPO бинго: подводим итоги года

2024 год был насыщенным и, как всегда, не обошелся без сюрпризов. Настало время вспомнить, что каждый DPO успел сделать в уходящем году. Но давайте честно: большая часть этого списка, скорее всего, будет ждать нас и в следующем.

Поздравляем всех с наступающим Новым годом! И пусть он станет временем профессиональных чудес 🥂🎄

Может ли DPO отдохнуть на новогодних праздниках?

Надеемся, что да!

В преддверии 2016 года гражданин обратился в банк и попросил предоставить сведения об обработке его данных. Банк сведения не предоставил, после чего гражданин обратился в суд с требованием о выплате компенсации морального вреда. Суд отклонил иск, указав, среди прочего, на незначительную продолжительность пропуска с учетом новогодних праздников — всего 7 дней. 🎄

Сейчас срок ответа на такой запрос исчисляется в рабочих днях, что позволяет ответственному DPO немного расслабиться. При этом надо помнить, что есть ситуации, когда отсчёт срока все еще идёт в календарных днях или даже часах:
🔹 уничтожение данных в ряде случаев (хотя тут можно увеличить срок, если блокировать данные);
🔹 подача уведомления об утечке.

В целом суды неохотно принимают оправдания за пропуск разных сроков, установленных законодательством о персональных данных. Вот несколько аргументов, которые не «сработали»:
📌 ключевой сотрудник находился в отпуске, ответить на запрос Роскомнадзора никто не смог (штраф);
📌 юридический отдел был сильно загружен (предупреждение);
📌 значительный объем отправляемой и получаемой корреспонденции (предупреждение).

Privacy Tech на Moscow Legal Hackers

23 декабря состоялся митап Moscow Legal Hackers, на котором эксперты из разных компаний поделились опытом автоматизации в сфере privacy.

Мы представили наш сервис PrivacyLine, который позволяет автоматизировать ведение реестра процессов и других параметров обработки персональных данных. Кроме того, мы поделились нашими планами на 2025 год (планируем автоматизировать еще больше задач, которые стоят перед DPO 🔥).

📌 Материалы выступления:
— Презентация
— Запись на YouTube
— Запись на VK Видео

Коллеги из других компаний тоже поделились своими подходами к автоматизации в in-house командах и консалтинге. Записи их выступлений можно посмотреть здесь.

Порядок возбуждения дел по новым составам КоАП

Сегодня начнем серию разборов отдельных положений свежих изменений в КоАП (подробное описание здесь).

С 30 мая 2025 года Роскомнадзор будет вправе возбуждать дела по новым составам ст. 13.11 КоАП в порядке, установленном ч. 3.5 ст. 28.1 КоАП. Это значит, что Роскомнадзору будет не обязательно проводить внеплановую проверку. Тем не менее, Роскомнадзор не сможет возбудить дело, не получив от оператора данные, подтверждающие факт нарушения.

Какие это могут быть данные?
🔹Информация, указанная в уведомлении об утечке, которое было инициативно направлено оператором (актуально для составов об утечках);
🔹Сведения, направленные в составе ответа на запрос, который Роскомнадзор вправе направить на основании ст. 23 152-ФЗ (актуально для всех новых составов).

То есть, возбудить дело на основании информации об утечке, опубликованной в СМИ или в Telegram-каналах, Роскомнадзор все же не сможет. 🎉

Интересно, насколько часто в таких условиях Роскомнадзор будет прибегать к проведению документарных проверок. С 1 января 2025 года мораторий на проведение внеплановых проверок будет прекращен, и Роскомнадзор сможет инициировать документарные проверки даже без согласования с прокуратурой (для внеплановой выездной проверки согласование все еще потребуется).

🎄Праздники закончатся, а задачи у DPO не закончатся никогда

30 мая 2025 года вступают в силу изменения в КоАП, принятые в конце этого года. Они не только впервые вводят специальные штрафы за утечки данных, но и содержат ряд других нововведений. Так, ужесточается ответственность по существующим составам из ст. 13.11 КоАП. Кроме того, большинство административных дел в сфере персональных данных скоро будут рассматривать арбитражные суды.

Редкий оператор найдет в себе силы начать активную подготовку к изменениям до конца года, но хотя бы спланировать действия на начало 2025 года можно уже сейчас.

Подготовили обзор, в котором собрали:
📌 ключевые изменения в КоАП, о которых нужно знать
📌 практические рекомендации по подготовке к ним

Текст обзора доступен по ссылке здеcь.

DPO отвечает – это канал про персональные данные и приватность для DPO, юристов, а также специалистов в сфере LegalTech и ИБ.

Что здесь будет?
🔹Новости и тренды - чтобы не пропустить важное
🔹Аналитика и методология для DPO - чтобы знать, как подойти к сложным задачам
🔹Практические кейсы - чтобы делать выводы (и иногда удивляться)

Почему сейчас?
В 2025 году DPO ждут новые вызовы: новые требования, новые составы правонарушений и новые практические задачи. Этот канал поможет разобраться в изменениях и других сложностях регулирования.

Кто мы?
Мы - команда Privacy Tech. За нашими плечами больше десяти лет опыта в юридической практике и реализации проектов в сфере персональных данных. Объединив усилия, мы создали сервис, который автоматизирует ключевые задачи DPO и делает его жизнь проще. Мы знаем, о чем говорим, и будем делиться здесь своим опытом и знаниями.

Подписывайтесь!
Будет интересно 🔥

Channel created