DPO отвечает – Telegram
DPO отвечает
874 subscribers
10 photos
5 files
45 links
Канал о персональных данных и приватности от команды privacyline.ru.

Актуальные новости, экспертная аналитика, кейсы и тренды для DPO, юристов, специалистов LegalTech и ИБ. Без воды и по существу.

По вопросам: @good_ks
Download Telegram
Channel created
DPO отвечает – это канал про персональные данные и приватность для DPO, юристов, а также специалистов в сфере LegalTech и ИБ.

Что здесь будет?
🔹Новости и тренды - чтобы не пропустить важное
🔹Аналитика и методология для DPO - чтобы знать, как подойти к сложным задачам
🔹Практические кейсы - чтобы делать выводы (и иногда удивляться)

Почему сейчас?
В 2025 году DPO ждут новые вызовы: новые требования, новые составы правонарушений и новые практические задачи. Этот канал поможет разобраться в изменениях и других сложностях регулирования.

Кто мы?
Мы - команда Privacy Tech. За нашими плечами больше десяти лет опыта в юридической практике и реализации проектов в сфере персональных данных. Объединив усилия, мы создали сервис, который автоматизирует ключевые задачи DPO и делает его жизнь проще. Мы знаем, о чем говорим, и будем делиться здесь своим опытом и знаниями.

Подписывайтесь!
Будет интересно 🔥
🔥10👍2🗿2
🎄Праздники закончатся, а задачи у DPO не закончатся никогда

30 мая 2025 года вступают в силу изменения в КоАП, принятые в конце этого года. Они не только впервые вводят специальные штрафы за утечки данных, но и содержат ряд других нововведений. Так, ужесточается ответственность по существующим составам из ст. 13.11 КоАП. Кроме того, большинство административных дел в сфере персональных данных скоро будут рассматривать арбитражные суды.

Редкий оператор найдет в себе силы начать активную подготовку к изменениям до конца года, но хотя бы спланировать действия на начало 2025 года можно уже сейчас.

Подготовили обзор, в котором собрали:
📌 ключевые изменения в КоАП, о которых нужно знать
📌 практические рекомендации по подготовке к ним

Текст обзора доступен по ссылке здеcь.
👍9🔥4🌚2
Порядок возбуждения дел по новым составам КоАП

Сегодня начнем серию разборов отдельных положений свежих изменений в КоАП (подробное описание здесь).

С 30 мая 2025 года Роскомнадзор будет вправе возбуждать дела по новым составам ст. 13.11 КоАП в порядке, установленном ч. 3.5 ст. 28.1 КоАП. Это значит, что Роскомнадзору будет не обязательно проводить внеплановую проверку. Тем не менее, Роскомнадзор не сможет возбудить дело, не получив от оператора данные, подтверждающие факт нарушения.

Какие это могут быть данные?
🔹Информация, указанная в уведомлении об утечке, которое было инициативно направлено оператором (актуально для составов об утечках);
🔹Сведения, направленные в составе ответа на запрос, который Роскомнадзор вправе направить на основании ст. 23 152-ФЗ (актуально для всех новых составов).

То есть, возбудить дело на основании информации об утечке, опубликованной в СМИ или в Telegram-каналах, Роскомнадзор все же не сможет. 🎉

Интересно, насколько часто в таких условиях Роскомнадзор будет прибегать к проведению документарных проверок. С 1 января 2025 года мораторий на проведение внеплановых проверок будет прекращен, и Роскомнадзор сможет инициировать документарные проверки даже без согласования с прокуратурой (для внеплановой выездной проверки согласование все еще потребуется).
👀9👏53😢1
Privacy Tech на Moscow Legal Hackers

23 декабря состоялся митап Moscow Legal Hackers, на котором эксперты из разных компаний поделились опытом автоматизации в сфере privacy.

Мы представили наш сервис PrivacyLine, который позволяет автоматизировать ведение реестра процессов и других параметров обработки персональных данных. Кроме того, мы поделились нашими планами на 2025 год (планируем автоматизировать еще больше задач, которые стоят перед DPO 🔥).

📌 Материалы выступления:
Презентация
Запись на YouTube
Запись на VK Видео

Коллеги из других компаний тоже поделились своими подходами к автоматизации в in-house командах и консалтинге. Записи их выступлений можно посмотреть здесь.
👍146👏5
Может ли DPO отдохнуть на новогодних праздниках?

Надеемся, что да!

В преддверии 2016 года гражданин обратился в банк и попросил предоставить сведения об обработке его данных. Банк сведения не предоставил, после чего гражданин обратился в суд с требованием о выплате компенсации морального вреда. Суд отклонил иск, указав, среди прочего, на незначительную продолжительность пропуска с учетом новогодних праздников — всего 7 дней. 🎄

Сейчас срок ответа на такой запрос исчисляется в рабочих днях, что позволяет ответственному DPO немного расслабиться. При этом надо помнить, что есть ситуации, когда отсчёт срока все еще идёт в календарных днях или даже часах:
🔹 уничтожение данных в ряде случаев (хотя тут можно увеличить срок, если блокировать данные);
🔹 подача уведомления об утечке.

В целом суды неохотно принимают оправдания за пропуск разных сроков, установленных законодательством о персональных данных. Вот несколько аргументов, которые не «сработали»:
📌 ключевой сотрудник находился в отпуске, ответить на запрос Роскомнадзора никто не смог (штраф);
📌 юридический отдел был сильно загружен (предупреждение);
📌 значительный объем отправляемой и получаемой корреспонденции (предупреждение).
🎄7🔥5👍41😁1
DPO бинго: подводим итоги года

2024 год был насыщенным и, как всегда, не обошелся без сюрпризов. Настало время вспомнить, что каждый DPO успел сделать в уходящем году. Но давайте честно: большая часть этого списка, скорее всего, будет ждать нас и в следующем.

Поздравляем всех с наступающим Новым годом! И пусть он станет временем профессиональных чудес 🥂🎄
8👍5🎉5🔥4😁4🎄3
Изменения в контроле и надзоре за обработкой персональных данных

28 декабря (прямо под ёлочку 🎄) были приняты изменения в Федеральный закон «О государственном контроле (надзоре) и муниципальном контроле». Большинство поправок уже вступило в силу. Изменений много, поэтому просуммировали ключевые моменты:

🔹 Внеплановая документарная проверка проводится по согласованию с Прокуратурой. Теперь это общее правило, кроме ряда случаев. Ранее мы писали, что у Роскомнадзора есть возможность проводить внеплановые документарные проверки без согласования с Прокуратурой. Теперь этот порядок изменен.

🔹 Утечка данных в Интернет как основание для внеплановой проверки. Подобное правило было закреплено и в постановлении Правительства № 336, но принять решение о проверке мог только руководитель Роскомнадзора или его заместитель. Теперь такого ограничения нет. Требование получить согласование Прокуратуры при этом сохранилось.

🔹 Сужены возможности по назначению внеплановой проверки по жалобе субъекта. Теперь у надзорного органа должны быть сведения об угрозе безопасности государства, угрозе жизни и здоровью граждан и т.п.

🔹 Публичная оценка. После контрольного или профилактического мероприятия оператору может быть присвоена «публичная оценка уровня соблюдения обязательных требований». Если такая оценка будет предусмотрена в Положении о контроле за обработкой персональных данных, то можно будет ожидать что-то похожее на новости на сайтах управлений Роскомнадзора (пример 1, пример 2), но уже с указанием конкретных операторов. Публичная оценка будет учитываться при определении уровня риска оператора.

🔹 Объекты контроля в едином реестре. Перечень объектов контроля должен включаться в единый реестр видов контроля, так что есть шанс, что скоро не придется искать планы проверок на сайте каждого управления Роскомнадзора. Но конкретика будет ясна после внесения изменений в подзаконные акты.

И, наконец, изменились правила проведения профилактических визитов, но это тема для отдельного поста. ✏️
👍1363👀3🗿2
🎙 Контент на выходные: команда Privacy Tech в гостях у Git.Legal

Пока вы планируете, как провести выходные, предлагаем вам интересный контент. Мы не могли упустить возможность поговорить об автоматизации в сфере privacy, поэтому в конце прошлого года заглянули в гости к Ивану Мелихову (Git.Legal) и рассказали о нашем проекте. Благодарим за тёплый приём 🫶.

Мы обсудили:
⚫️Как появилась идея автоматизации функции DPO
⚫️Что из себя представляет сервис PrivacyLine и какие задачи он решает
⚫️Наш подход к сочетанию автоматизации и консалтинга
⚫️Планы на будущее

Смотрите на RuTube или слушайте подкаст в Podster или Я.Музыка

Канал Ивана: Git.Legal
Please open Telegram to view this post
VIEW IN TELEGRAM
👍10🔥106🆒2
✏️ Кейс: удалить не значит уничтожить

Сегодня разбираем достаточно свежее решение суда (декабрь 2023 года), которое напоминает нам о последствиях поручения обработки третьему лицу, сроках реагирования на запросы субъектов, а также о том, как важно понимать различия между уничтожением и удалением.

Обстоятельства дела:

Собственница земельного участка в СНТ «Барсуки» обратилась к председателю СНТ с требованием уничтожить её персональные данные. Она указала, что её ФИО, номер участка и домашний адрес были переданы в ООО «СНТклуб» для бухгалтерского обслуживания без её письменного согласия.

СНТ уведомило ООО о том, что данные собственницы необходимо уничтожить, и ООО подтвердило, что выполнило это. Однако позднее собственница получила на свою электронную почту квитанцию от бухгалтера ООО об оплате за очередной месяц со своими персональными данными.

После этого собственница обратилась с жалобой в Управление Роскомнадзора указав, что несмотря на ее требование, ее персональные данные не были уничтожены. При рассмотрении жалобы Управление запросило у ООО пояснения о том, почему данные не были уничтожены. ООО пояснило, что данные были ошибочно восстановлены из резервной копии базы данных 1С, что привело к их повторному использованию.

Что решил суд:

Суд привлек СНТ к административной ответственности по ч. 5 ст. 13.11 КоАП РФ за несвоевременное выполнение требования субъекта об уничтожении персональных данных. Поскольку СНТ поручило обработку персональных данных ООО, именно СНТ несет ответственность перед собственницей за действия ООО (с учетом ч. 5 ст. 6 Закона о персональных данных).

Суд назначил СНТ наказание в виде предупреждения, поскольку учёл смягчающие обстоятельства (совершение правонарушения впервые, отсутствие вреда и имущественное положение СНТ как некоммерческой организации, которая существует только за счёт членских взносов).

О каких нюансах регулирования нам напоминает это решение:

⚫️Необходимо отличать уничтожение и удаление персональных данных. В судебном решении эти слова используются практически как синонимы, но такой подход некорректен. Напомним, что легальное определение уничтожения предполагает невозможность восстановить персональные данные. Соответственно, при уничтожении персональных данных, их необходимо уничтожать как в основной базе данных, так и в ее резервных копиях.

⚫️Оператор несёт ответственность за обработчика, в том числе в части обеспечения сроков и полноты уничтожения персональных данных. Поэтому при поручении обработки персональных данных важно уделять особое внимание процедуре контроля за прекращением обработки персональных данных обработчиком.

⚫️Для поручения обработки персональных данных третьему лицу оператор должен иметь надлежащее правовое основание. Суд не прокомментировал этот момент прямо, но представитель Роскомнадзора выразил позицию о том, что основанием передачи данных для обработки по поручению могут быть только согласие или прямое указание закона, которых в данном случае не было (между тем, по вопросу о допустимых основаниях поручения обработки есть и другая позиция).
Please open Telegram to view this post
VIEW IN TELEGRAM
👍134🔥4
Отсутствие учёта процессов обработки данных = штраф?

Сегодня разберем дело из судебной практики (июнь 2023 года), которое является достаточно классическим примером привлечения к ответственности за такое нарушение, как неопубликование политики обработки персональных данных. Но помимо этого, это дело напоминает нам о важности такой составляющей комплаенса, как инвентаризация и подготовка реестра процессов обработки персональных данных.

Обстоятельства дела:

Транспортная прокуратура провела проверку в отношении компании, которая вела деятельность по бронированию авиаперевозок. Проверка выявила несколько нарушений: (1) не опубликована политика в отношении обработки данных, (2) не организована обработка обращений субъектов персональных данных, а также (3) не разработаны документы, которые определяют для каждой цели обработки параметры, установленные в п. 2 ч. 1 ст. 18.1 Закона о персональных данных:

⚫️Категории и перечень обрабатываемых персональных данных;
⚫️Категории субъектов, персональные данные которых обрабатываются;
⚫️Способы обработки персональных данных;
⚫️Сроки обработки и хранения персональных данных;
⚫️Порядок уничтожения персональных данных.

Прокуратура потребовала привлечь к административной ответственности по ч. 3 ст. 13.11 КоАП РФ директора общества, которая была назначена ответственной за организацию обработки персональных данных.

Что решил суд:

Суд установил, что материалы проверки транспортной прокуратуры подтверждают нарушение и назначил директору (как должностному лицу) наказание в виде штрафа в минимальном размере, поскольку к моменту рассмотрения дела нарушения уже были устранены.

Чем интересно это решение:

⚫️Это дело — хорошее напоминание о том, что не только Роскомнадзор может составлять протокол об административном правонарушении. Прокуратура тоже может возбуждать дела об административных правонарушениях в сфере персональных данных. Мы изучили немало судебной практики и с уверенностью можем сказать, что прокуратура активно пользуется этим правом.

⚫️Суд при обосновании ответственности директора прямо указал на факт назначения его лицом, ответственным за обработку персональных данных, а также указал на неисполнение обязанности ответственного лица в качестве основания для назначения наказания.

⚫️И прокуратура, и суд назвали в качестве основания назначения наказания не только неопубликование политики, но и отсутствие документов, определяющих параметры обработки персональных данных.

Основой исполнения обязанностей по ч. 2 ст. 18.1 Закона о персональных данных является инвентаризация и документирование процессов обработки персональных данных. Как делать это с помощью реестра процессов обработки и о том, как вести его правильно и удобно, написали отдельную статью (читать ➡️ здесь ⬅️).
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1153🔥3
Privacy Day 🎉

Каждый год 28 января мы наблюдаем рост количества публикаций о важности приватности и защиты данных. Почему? Потому что в этот день, уже 44 года назад, был принят один из ключевых международных документов в области защиты частной жизни — Конвенция № 108.

В этот день мы предлагаем вспомнить не только о защите данных (хотя мы уверены, что вы об этом и не забывали), но и подумать о чаяниях тех, кто стоит на страже этой самой защиты — о DPO. Чего же не хватает DPO?
Please open Telegram to view this post
VIEW IN TELEGRAM
10👏2🎉2