Компании, для которых DPO обязателен
Если ваша основная деятельность требует регулярного и систематического мониторинга людей в больших масштабах либо обработки особых категорий данных на большом объёме, DPO назначается обязательно (Art. 37 GDPR).
~/danube-gdpr/service-dpo-dpia · SRV-03
DPO как сервис, DPIA и передача данных в третьи страны
Системное управление рисками для компаний, которые обрабатывают данные в значительном объёме, работают с чувствительной информацией или используют международные облачные сервисы: внешний уполномоченный, оценка воздействия и SCC.
> 01 / audience
Для кого подходит
Не каждой компании нужен DPO по закону, но каждая компания, обрабатывающая персональные данные в большом объёме или с высоким риском, выигрывает от системного контроля. Внешний специалист — способ получить его без найма штатного сотрудника.
Медицина, образование, HR-сервисы
Здесь регулярно возникают чувствительные данные и необходимость оценки рисков: здоровье, оценки, резюме и рекомендации.
SaaS и облачные продукты
Клиенты требуют DPA, перечень субпроцессоров и прозрачную политику передач данных; DPO помогает выстроить этот пакет.
Компании с международными сервисами
Использование американских облаков, CRM и аналитики требует проверки механизма передачи: SCC, решение об адекватности или иные гарантии.
> 02 / requirements
Требования и документы
Прежде чем назначить DPO или начать DPIA, нужно понять масштаб обработки и существующие меры. Мы запрашиваем минимально необходимые сведения и подписываем NDA ещё до обмена материалами.
Если DPO назначается, он должен иметь доступ к необходимой информации и не получать указаний по поводу выполнения своих задач. Мы фиксируем этот порядок в договоре, чтобы избежать конфликта интересов.
$ ls ./required-docs
- Описание основных видов деятельности и категорий субъектов данных
- Реестр обработки (Art. 30) или материалы для его подготовки
- Описание новых или рискованных операций: мониторинг, профилирование, видео, биометрия
- Перечень международных поставщиков и их страны, условия обработки и DPA
- Информация об организационных и технических мерах безопасности
- Данные руководителя, ответственного за защиту данных, и контакты для связи с DSB
> 03 / stages
Этапы работы
- 01
Шаг 1
Оценка необходимости
Анализируем, обязателен ли DPO для вашей компании, нужна ли DPIA для отдельных операций и какие передачи данных за пределы ЕС уже происходят.
- 02
Шаг 2
Договор и назначение
Заключаем договор об оказании услуг DPO, определяем график консультаций и каналы связи, а также уведомляем Datenschutzbehörde о контактных данных уполномоченного.
- 03
Шаг 3
DPIA для рискованных операций
Описываем обработку, оцениваем необходимость и соразмерность, выявляем риски для людей и предлагаем меры. В процесс вовлекаем ответственных лиц компании.
- 04
Шаг 4
Передачи в третьи страны
Проверяем, на каком основании данные передаются за границу ЕС: решение об адекватности, SCC или иные гарантии; при необходимости оцениваем риски передачи (TIA).
- 05
Шаг 5
Регулярный контроль
Раз в квартал или по согласованному графику проверяем изменения, консультируем по новым проектам и готовим краткий отчёт для руководства.
// схема этапов: от первичного обсуждения до итогового результата
> 04 / timing
Сроки
Назначение внешнего DPO и первичный анализ обычно занимают несколько недель, включая подписание договора и уведомление надзорного органа. Срок подготовки одной DPIA зависит от сложности обработки: для простых операций это может быть около недели-двух, для сложных систем — дольше. Мы называем ориентиры после изучения материалов и согласовываем график с вашей командой.
// сроки ориентировочные; точный график согласуется письменно после первичного обсуждения
> 05 / mistakes
Типичные ошибки
$ cat common-mistakes.log
5 entries- [WARN] dpo
Назначение «формального» DPO. Руководитель или IT-специалист совмещает роль DPO с задачами, создающими конфликт интересов, и не имеет времени на реальный контроль.
- [WARN] dpia
DPIA после запуска. Оценку воздействия проводят уже после внедрения системы мониторинга или профилирования, когда изменить архитектуру сложно и дорого.
- [WARN] scc
SCC без анализа реальной передачи. Подписывают стандартные условия, но не проверяют, какие данные передаются, кто к ним имеет доступ и какие дополнительные меры нужны.
- [WARN] notify
Забытое уведомление DSB. Контактные данные DPO не сообщены надзорному органу или не обновлены после смены специалиста.
- [WARN] vendors
Нет перечня субпроцессоров. Клиенты спрашивают, кто ещё обрабатывает их данные, а компания не может быстро ответить, потому что реестр поставщиков не ведётся.
> 06 / included
Что входит в работу
Мы выстраиваем взаимодействие так, чтобы DPO был встроенной функцией компании, а не внешним наблюдателем: он участвует в запуске проектов, но не подменяет ответственность руководства.
- Назначение внешнего DPO и уведомление Datenschutzbehörde
- Консультации по запросам руководства и сотрудников в согласованном объёме
- Подготовка и проведение DPIA, а также учёт перечней DSB для обязательных DPIA
- Анализ передач в третьи страны, SCC и оценка рисков передачи (TIA)
- Контроль соблюдения GDPR и внутренних политик
- Обучение сотрудников и ответственных лиц
- Взаимодействие с надзорным органом и субъектами данных
- Краткий отчёт для руководства по итогам периода
> 07 / faq
Частые вопросы по услуге
Может ли внешний DPO заменить штатного?
Да, закон допускает назначение DPO на основании договора об оказании услуг. Важно обеспечить независимость, доступ к информации и отсутствие конфликта интересов; мы фиксируем это в договоре.
Когда проводится DPIA?
Когда обработка может привести к высокому риску для прав и свобод людей: масштабный мониторинг, профилирование, обработка особых категорий данных. Отдельные случаи определяют перечни Datenschutzbehörde.
Можно ли использовать американские облачные сервисы?
Во многих случаях да, но при условии, что передача данных основана на надлежащем механизме: решении об адекватности, SCC или другой гарантии. Мы анализируем конкретную конфигурацию и документируем вывод.
Нужно ли уведомлять DSB о назначении DPO?
Да, контактные данные DPO нужно сообщить надзорному органу. Мы готовим и направляем уведомление и обновляем сведения при смене специалиста.
Обсудим вашу задачу?
Опишите проект в двух-трёх предложениях: мы подскажем объём работ и ориентиры по срокам.
> more / services
Другие услуги
Аудит сайтов и интернет-магазинов
Сканирование cookie и трекеров, проверка форм, чекаута и сторонних скриптов, отчёт с приоритетами исправлений.
подробнееДокументы: политика, Impressum, DPA
Datenschutzerklärung, Impressum, договоры с обработчиками (Art. 28) и реестр обработки (Art. 30) под реальные процессы.
подробнееУтечки, запросы субъектов и работа с DSB
План на 72 часа, запросы субъектов данных и подготовка ответов Datenschutzbehörde.
подробнее