#materials #clouds

Guidance on the use of cloud, датский ркн

💡Использование: подходы по оценке рисков приватности и ИБ при использовании облачных технологий, выбору поставщиков, заключению DPA, проведению аудитов

#RadioGroot #нучтож

Поговорили с Алексеем Мунтяном про перспективы приватности в России.

А Денис Садовников поделился детальным анализом законодательства по приватности стран Европы и Азии.

#materials #DPIA

DPIA для сервисов MS, обзор🔽

#materials #dpia

Обзор DPIA MS от Олега Блинова

▫️Итог анализа: регулятор (Нидерланды) решил, что риски низкие, за исключением передачи чувствительных данных. Основной риск, который пытались «лечить», это доступ американских властей к данным. В DPIA есть небольшой Data Transfer Impact Assessment.

▫️Остальные риски низкие, потому что предусмотрены контроли. В частности, в документе есть множество ссылок на то, что MS согласился ограничить обработку в рамках договоренностей с правительством Нидерландов. Переговоры длились с 2019. Резюмирую: чтобы пользоваться Microsoft офис / Teams нужно иметь переговорную позицию целой европейской державы и вести переговоры в течение 3+ лет.

▫️Большим плюсом для MS стал функционал Double Key Encryption (возможность шифровать данные своим ключом, который не хранится у MS => MS даже при желании не сможет расшифровать данные).

▫️У MS нет четких data retention schedules и четкого механизма purpose limitation:
-- In reply to this DPIA, Microsoft has explained there is no generalized 18-month retention period for COSMOS. “The majority of data stored in COSMOS is service generated data, subject to varying retention requirements based on business need. We keep system generated logs for the period necessary for the purpose for which logs are generated, guided by principles of data minimization. Many logs are retained for as little as 30 days.“183
-- In sum, contrary to Microsoft’s privacy commitments, it has not yet effectively limited the purposes for the processing of all Diagnostic Data.

▫️Моя любимая тема, разные таксономии рисков для приватности. В DPIA выделены следующие:
-- Inability to exercise rights (including but not limited to privacy rights);
-- inability to access services or opportunities;
-- loss of control over the use of personal data;
-- discrimination;
-- identity theft or fraud;
-- financial loss;
-- reputational damage;
-- physical harm;
-- loss of confidentiality;
-- re-identification of pseudonymised data; or
-- any other significant economic or social disadvantage

▫️Читал внимательно раздел 16.2 с оценкой рисков приватности. Никакой методики классификации рисков на высокие и низкие нет

#news #transfers

Overføring av data til Russland og Ukraina.

Призыв норвежского ркн о пересмотре передачи данных на территории РФ и Украины, Datatilsynet.

💬Источник: Олег Блинов

💡Использование: учесть риски приостановки передачи данных…

#news #152ФЗ #ркн

Установить, что в 2022 году не проводятся плановые контрольные (надзорные) мероприятия, плановые проверки при осуществлении видов государственного контроля (надзора), муниципального контроля, порядок организации и осуществления которых регулируется Федеральным законом "О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации" …

#materials #privacy

Базовый перечень категорий субъектов персональных данных, на RPPA.ru.

💬Источник: Алексей Мунтян.

💡Использование: Перечень состоит из 35 категорий субъектов персональных данных, объединенных в 5 макрокатегорий, и будет применим к большинству организаций. Приведённый перечень категорий субъектов не является исчерпывающим и требует адаптации/дополнения в соответствии спецификой деятельности и её регулирования в отношении отдельно взятой организации.

#events #нучтож

Когда: 17 марта в 10:00 (по мск)
Где: онлайн
Тема: Релокация бизнеса и систем. Шаги, рекомендации, риски и трудности
Спикеры: Илья Шаленков, Ксения Самойлова, Иван Насонов, Филипп Максаков, Марк Гордеев, Кристина Боровикова
Организатор: КПМГ
Язык: русский
Стоимость: бесплатно, только для внутренних экспертов, модерация
Регистрация: здесь

#news #fines

The DPC has today adopted a decision, imposing a fine of €17m on Meta Platforms Ireland Limited.

#materials #dpo

Руководство для DPO от CNIL, здесь.

💡Использование: лучшие практики и описание - роли DPO, порядка назначения DPO, исполнения функций

#news #fines

Ирландский совет по гражданским свободам (ICCL) подает в суд на ирландский ркн за неспособность защитить людей от крупнейшего из когда-либо зарегистрированных нарушений данных: системы онлайн-рекламы Google, детали

#materials #risks

Risk management standard от ENISA

💬Источник: Андрей Прозоров

💡Использование: методологии и стандарты по управлению рисками

#rppa

💾Про работу RPPA

▫️сообщество продолжает все проекты по плану на 2022 год
▫️всех участников мы приглашаем в наш семейный закрытый чат ➡️ вступить в чат - пишите @krakozubla
▫️мы временно приостанавливаем активности в Instagram и Facebook

С вниманием и профессиональной поддержкой, RPPA

P.S. Конечно, канал я продолжаю вести, от меня так просто не избавиться😂😜

RPPA.ru | info@rppa.ru | Youtube | LinkedIn

#events #нучтож

Когда: 31 марта в 10:00 (по мск)
Где: в онлайн пространстве
Тема: Импортозамещение 2022
Спикеры: РЭД СОФТ, Мой Офис, Лаборатория Касперского, Positive Technologies, Киберпротект
Организатор: Астрал.Безопасность
Язык: русский
Стоимость: бесплатно
Регистрация: здесь

#news #databreach

Об утечке Яндекс из первых уст, блог Яндекса

#materials #privacy

Dark patterns in social media platform interfaces: How to recognise and avoid them от EDPB

💡Использование: практические рекомендации по оценке соц.сетей на предмет нарушения гдпр

#news #152ФЗ

Некоторые выводы, которые можно сделать после ознакомления с постановлением Девятого арбитражного апелляционного суда от 09.02.2022 № 09АП-87227/2021 по делу № А40-163911/2021 Роскомнадзор vs Аэрофлот

✅ не обязательно прекращать обработку ПД бывших работников в пятилетний срок с момента их увольнения;
✅ хранение документов, в том числе архивное хранение, может осуществляться не только в бумажном, но и в электронном виде;
✅ в законодательстве РФ отсутствует такое понятие, как "документ, переведенный в статус архивного", а установленные приказом Росархива от 20.12.2019 № 236 сроки хранения документов применяются в силу самого факта наличия того или иного документа в перечне документов, утвержденных данных приказом, а не в силу признания документа архивным;
✅ согласие работника на передачу его ПД (ст.88 ТК РФ) обязательно должно соответствовать требованиям ч.4 ст.9 152-ФЗ только в случае обработки специальных категорий ПД или биометрических ПД, а также в случае трансграничной передачи ПД (в неадекватные страны);
✅ работодатель имеет право передавать ПД работника без получения его согласия - в случаях, предусмотренных п.п.2-11 ч.1 ст.6 152-ФЗ;
✅ норма п.5 ч.1 ст.6 152-ФЗ распространяется на трудовые отношения между работником и работодателем (в т.ч. касаемо передачи ПД работника), хотя Роскомнадзор считает иначе - что указанная норма применима исключительно к гражданско-правовым договорам, а основания для обработки ПД в рамках трудовых отношений определены в гл.14 ТК РФ.

💬Источник: Алексей Мунтян

#news #transfers

Privacy Shield 3.0

Intensifying Negotiations on transatlantic Data Privacy Flows: A Joint Press Statement by European Commissioner for Justice Didier Reynders and U.S. Secretary of Commerce Gina Raimondo, здесь

💬Источник: Олег Блинов

​​#dpia #ico