Собрали несколько советов для специалистов по защите персональных данных, которые вы и так знаете! Но напоминание лишним не будет😅

1️⃣Следите за изменениями в законодательстве и трендах в области защиты данных. 📚🔍Защита персональных данных является динамичной областью, поэтому важно быть в курсе последних изменений и трендов. Подписывайтесь на рассылки, читайте специализированные блоги и участвуйте в профессиональных сообществах, чтобы быть в курсе всех новостей и обменяться опытом с коллегами.

2️⃣Развивайте навыки коммуникации и обучения. 🗣️📊Работа в сфере защиты персональных данных часто включает взаимодействие с другими сотрудниками и обучение их правилам и процедурам защиты данных. Поэтому важно развивать навыки коммуникации и обучения, чтобы эффективно объяснять сложные концепции и убеждать других в важности соблюдения правил защиты данных.

3️⃣Пройдите обучение на курсе GDPR Data Privacy Professional и получите сертификат, признанный на рынке труда СНГ и ЕС. 📜🏆Наш тренер, Сергей Воронкевич, поделится с вами своим опытом и знаниями, чтобы вы могли успешно применять их на практике.

Не забывайте, что работа в сфере защиты персональных данных требует постоянного обучения и развития. Будьте готовы к постоянным изменениям и стремитесь к совершенствованию своих навыков и знаний.

Коллеги, с каждым месяцем нас становится больше 🥰 Впереди - сентябрь. Месяц, наполненный не только замечательными образовательными возможностями (кстати, у нас нас стартуют сразу 2 курса: GDPR Data Privacy Professional и Коучинг по подготовке к сдаче на международную сертификацию 😎), но и изменениями в нашем Телеграм-канале. О них расскажем чуть позже🤫, а пока хотели бы познакомиться с недавно прибывшими на наш борт и теми, кто здесь давно🚢

Коллеги, будем рады, если вы поделитесь в комментариях, как решили прийти в сферу🙂Кто вдохновлял / наставлял / советовал ?
Что читали / смотрели?💡

На прошлой неделе мы провели опрос и выяснили, что большинство наших подписчиков только начинают свой путь в сфере защиты данных. Поэтому мы решили провести для вас онлайн-вебинар “Профориентация на Data Protection Officer” 🚀

⏰Когда: 11 сентября (понедельник) в 19:00 часов (GMT+3)

Вебинар пройдет в закрытом телеграм-чате. Для участия нужно воспользоваться секретной ссылкой👉 https://t.me/+ezC-jas2Aw1jYzQy

Спикер вебинара Сергей Воронкевич, CIPP/E, CIPM, CIPT, MBA, FIP, расскажет о нюансах профессии, а также поделится, какие hard и soft skills нужны для работы DPO.

Во время вебинара мы проведем онлайн-тестирование, которое поможет определить, какие навыки следует развивать именно вам для достижения успеха в этой области. Вы также сможете узнать больше о тонкостях работы в сфере защиты данных и составить свой карьерный трек, исходя из ваших текущих возможностей и потребностей 💼

Не упустите возможность поучаствовать! Присоединяйтесь к нам 11 сентября в 19:00 👉 https://t.me/+ezC-jas2Aw1jYzQy

It’s ICO calling 📞 #дайджест

ICO опубликовало новое руководство по массовой email рассылке

Руководство затрагивает использование скрытых копий для массовой рассылки, когда адресаты не видят электронных почт друг друга. По данным ICO, ошибка в использовании функции скрытой копии входит в десятку самых распространенных нарушений: с 2019 года их было зафиксировано около тысячи. В использовании механизма легко ошибиться и отправить сообщение обычным способом, когда получатели видят электронные адреса друг друга.

ICO обращает внимание на то, что список адресатов сообщения может раскрыть подробную информацию о человеке. Например, в 2019 году одна из больниц разослала своим пациентам массовые электронные письма о конкурсе. Однако, для отправки рассылки по ошибке использовалась не скрытая копия, а обычный механизм, где все получатели могли видеть электронные почты друг друга. Таким образом была раскрыта информация о том, что получатели являлись пациентами клиники, что является нарушением безопасности данных.

Можно ли использовать скрытые копии для рассылок? ICO разрешает использование функции, однако обращает внимание на характер сообщения. Вы можете использовать скрытые копии, если информация в сообщении не является чувствительной и риск для субъектов данных не значителен. В любом случае следует оценить, не является ли более целесообразным использование других безопасных методов, таких как сервисы для рассылок. ICO приводит примеры альтернатив и лучших практик в руководстве.

Читать руководство полностью: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/email-and-security/#isanemail

GDPR на местах

Надзорный орган Норвегии (Datatilsynet) выпустил руководство по мониторингу сотрудников

Очевидно, что гаджеты, которые сотрудники используют в рамках работы, фиксируют огромные объемы информации. Поэтому существует запрет на мониторинг использования девайсов. Datatilsynet разработал разъяснения о том, в каких случаях действует этот запрет и какие существуют исключения из него. Эти рекомендации помогут работодателям оценить, что может быть законным для внедрения на рабочем месте, а что является нарушением.

Читать руководство полностью (на норвежском языке): https://www.datatilsynet.no/personvern-pa-ulike-omrader/personvern-pa-arbeidsplassen/overvaking-av-ansattes-bruk-av-elektronisk-utstyr/

Надзорный орган Швейцарии (FDPIC) подготовил руководство по проведению DPIA

C 1 сентября 2023 г. вступает в силу новая редакция Закона о защите данных (revFADP). В соответствии со ст. 22 и 23 revFADP контролеры будут обязаны проводить DPIA, если обработка влечет высокий риск для прав субъектов данных. В руководстве описывается, что должна включать оценка DPIA, как подробно следует описать обработку и риски. FDPIC приводит примеры рисковых обработок, а также критерии для отнесения их к таковым. В руководстве описывается не только сам процесс оценки и подготовки отчета, но и пошаговый план, как действовать после проведения оценки (необходимость внедрения мер, уведомления надзорного органа).

Кроме разъяснения теории, в руководстве также есть алгоритм предварительной оценки необходимости проведения DPIA и шаблон отчета DPIA

Читать руководство полностью (на английском языке): https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/dsfa.html

❓От чего, на ваш взгляд, зависит подбор правового основания для обработки персональных данных?

Этот вопрос мы часто задаем на нашем курсе GDPR DPP (Data Privacy Professional) - а сегодня зададим и вам.

Наличие правового основания у каждой обработки - это требование принципа законности (ст. 5 (1) а и ст. 6 GDPR). При этом для каждой обработки правовое основание подбирается отдельно - и может быть только одно. Ни больше, ни меньше. Почему правовых оснований не может быть меньше одного (то есть, не быть вовсе), очевидно - это нарушает 💣 принцип законности из ст. 6 GDPR. Однако проблема наличия сразу нескольких правовых оснований не столь очевидна. И впрямь, что плохого, если у нас не одно основание, а сразу два или три? Разве так не надежнее? 🤷‍♀️

⛔️ Увы, нет. Если у одной обработки персональных данных несколько правовых оснований, контролер фактически вводит субъекта персональных данных в заблуждение о том, какие именно права есть у такого субъекта.

Каждому правовому основанию соответствует свой набор прав. Это миф, что GDPR предоставляет субъекту неограниченные права. Представьте, что компания обрабатывает данные о зарплате💰 работника для уплаты налога. Конечно, работнику было бы удобнее, если бы данные можно было удалить, а налог - не платить. Однако такая возможность в GDPR не предусмотрена. Другое дело - согласие ✅ работника на публикацию фотографий с корпоратива (на которых он изображен) в социальных аккаунтах компании. В этом случае можно как отозвать согласие на обработку в будущем, так и попросить удалить уже обрабатываемые данные (фотографии).

Набор прав, соответствующий каждому правовому основанию, уникален 🔥. То есть, взяв любые два (а тем более три) правовых основания, мы неизбежно столкнемся с тем, что одно из прав будет доступно для одного правового основания и недоступно - для другого. Например, если мы укажем "договор" и "легитимный интерес" в качестве правовых оснований для одной и той же обработки, наш клиент (работник, субъект) не поймет, есть ли у него право на переносимость данных (которое "работает" для "договора" и "не работает" для "легитимного интереса") и право возражать против обработки (с которым как раз всё наоборот).

Если правовое основание всегда одно, вопрос его выбора становится ещё актуальнее: подобрать два-три "в принципе подходящих" варианта проще, чем выбрать один-единственный. Этому и многому другому мы учим 👨‍🏫 на курсе GDPR DPP:

- показываем таблицу "Водопад правовых оснований", разработанную Сергеем Воронкевичем, и учим с ней работать. Поверьте, выбирать правовое основание с вопросами из этой таблицы существенно проще;
- объясняем, как проводить оценку легитимного интереса 📊 (если вы сомневаетесь между ним и согласием);
- рассказываем, можно ли включить условие о рассылке (и многих других заманчивых обработках) в договор 📑с клиентом - и не брать на неё согласие;
- поясняем, законодательство каких стран 🇪🇺 следует учитывать, если контролер использует правовые основания "требование закона" и "публичный интерес".

Если вы ещё не были на курсе GDPR DPP, то деликатно намекаем: сентябрь - лучшее время для учебы. Ждём вас на ближайшем потоке, который стартует 18 сентября. Пароли-явки, как обычно, у нашего менеджера Антона.

Почему вам стоит задуматься о сертификации CIPP/E? Вот 5 причин, после которых вы точно захотите стать обладателем почетной сертификации.

🔍 Подтверждение экспертизы. Сертификация CIPP/E является международно признанным стандартом в области защиты персональных данных. При успешном прохождении экзамена, вы подтверждаете свою экспертизу и профессионализм в этой области.

🚀 Карьерный рост. Сертификация CIPP/E может значительно повысить ваши шансы на получение престижных должностей в области защиты персональных данных. Работодатели часто ищут специалистов с подтвержденными знаниями и навыками в области приватности.

📚 Глубокое понимание GDPR. Экзамен CIPP/E позволяет углубить свои знания о GDPR и его применении. Вы будете осведомлены о ключевых принципах, требованиях и механизмах соблюдения GDPR.

🌍 Международное признание. Сертификация CIPP/E признана ведущими организациями в области защиты персональных данных. Это дает вам международное признание и доверие со стороны коллег и работодателей.

📈 Профессиональное развитие. Подготовка к экзамену CIPP/E позволяет вам углубить свои знания и навыки в области защиты персональных данных. Вы будете в курсе последних трендов и лучших практик в этой области, что поможет вам стать востребованным специалистом и продвинуться в карьере.

Убедили? Тогда приглашаем присоединиться к нашему “Коучингу по подготовке к сдаче на международную сертификацию”, который пройдет с 7 сентября по 12 ноября.

Систематизировать знания по GDPR и попрактиковаться в решении кейсов возможно под чутким руководством Татьяны Сивухо, CIPP/E, GDPR DPP, Privacy by Design.

Кстати, совсем недавно Татьяна провела вводный урок, где рассказала подробности о том, как проходят занятия, поделилась лайфхаками решения практических заданий и ответила на интересующие вопросы студентов. Получить запись вводного, узнать подробности о коучинге и обсудить условия можно с нашими менеджерами Антоном и Никитой🙌🏻

Успейте воспользоваться возможностью подготовиться и получить сертификацию в этом году 💫

#прайвасикейс💼

Предположим, что есть сервис, который полностью удовлетворяет ваши потребности: удобный интерфейс, классный функционал — приложение, которое вы так давно искали😍

Но у него ужасная Privacy Notice, которая явно была скопирована с похожего сервиса🤨, и вдобавок вы никак не можете найти способ связаться с поддержкой.

🎯 Принцип ограничения целью = четкость формулировок + проверка на совместимость

Один из принципов обработки персональных данных, установленных GDPR - принцип ограничения целью (ст. 5 (1) b GDPR). Этот принцип требует, чтобы персональные данные собирались для конкретных, отчётливых и законных целей и не обрабатывались в последующем несовместимым с этими целями образом. То есть, в принципе ограничения целью можно выделить два компонента:

1️⃣ конкретная, отчётливая (ясная) и законная цель, и
2️⃣ использование данных для совместимых целей.

Сегодня поговорим о первом компоненте и разберемся в требованиях, предъявляемых GDPR к цели обработки персональных данных. Таких требований три: цель должна быть определенной (конкретной), отчетливой (чёткой, ясной) и законной.

Конкретная цель

Данные всегда обрабатываются (в том числе собираются) для какой-то цели. Не на всякий случай, не "чтобы было" или "а вдруг понадобится". Ещё до фактической обработки персональных данных мы должны определить для себя цели, для которых нам нужны данные, а также объем данных, необходимый для достижения этих целей (очевидно, что разные цели могут требовать разного объема персональных данных). Поэтому для начала нужно ответить себе на вопрос: "Для чего мне нужны эти данные? Какую цель они помогают достичь?"

Ясная цель

Как только мы сформулировали цель у себя в голове, пришло время сделать её достоянием общественности. Цель необходимо сформулировать таким образом, чтобы она была отчётливой, ясной ☀️. Ясная цель - это цель, понятная человеку, не имеющему специальных знаний. Причём ясность цели следует оценивать не по тому, понимает ли субъект значения слов, которыми сформулирована цель. Нужно идти глубже: человек должен понимать, что вы будете делать 🛠 с его персональными данными для достижения цели, как именно данные помогают этой цели достичь 🏆. Так, например, "развитие бизнеса и повышение качества обслуживания" - цель неконкретная, хотя все слова носителю языка вполне понятны. А "отправка сообщений о статусе заказа (отгрузка, задержка доставки, доставка в пункт выдачи)" - наоборот, вполне ясная цель.

Законная цель

И, наконец, требование законности ⚖️, которое созвучно принципу законности обработки персональных данных (ст. 5 (1) a GDPR), но выходит далеко за его рамки. Принцип законности как таковой находит развитие в ст. 6 GDPR, которая посвящена правовым основаниям. Однако помимо того, что обработка должна иметь правовое основание, цель обработки должна быть законна сама по себе. Если, например, проведение каких-либо медицинских опытов или манипуляций 🧬 запрещено законом государства, в котором происходит обработка, то даже при наличии согласия (то есть, правового основания) обрабатывать персональные данные для проведения таких опытов запрещено. Почему? Потому что закон запрещает такую цель в принципе. Примером может служить сообщение данных о половой принадлежности ребенка 👶 будущей маме в Южной Корее или Китае (там это запрещено законом, мама - и все остальные - узнают пол ребенка только после рождения). Даже если будущие родители дадут своё согласие на такие действия (в том числе на внесение данных в карту или отчет об УЗИ), такая цель незаконна ⛔️ с самого начала.

На следующей неделе мы рассмотрим второй компонент принципа ограничения целью - совместимое использование персональных данных. Но, конечно, на курсе GDPR DPP (Data Privacy Professional) наши студенты вместе с тренерами разбирают этот принцип куда детальнее. Если вы хотите присоединиться к группе, стартующей 18 сентября, то у вас уже есть конкретная, ясная и законная цель 😊 Осталось лишь написать нашим менеджерам Антону и Никите и сделать шаг навстречу этой цели! До встречи на курсе!

#Privacy-гороскоп🔮

☕️🍂Этим прекрасным осенним утром понедельника заварите чашечку кофе и насладитесь предсказаниями нашего Privacy-оракула 🔮на грядущую неделю.

♈️Овен
С наступлением осени овнам хочется, чтобы их просто кто-нибудь крепко обнял и сказал: «Все будет хорошо! Вот тебе шоколадка и выполненные мероприятия по GDPR-комплаенсу».

♉️Телец
Тельцам нужно многое: любовь, признание, забота, уважение, а еще LIA, TIA, DPIA… Слишком много? Но вы этого достойны и способны на гораздо большее!

♊️Близнецы
Меркурий в зените - близнецы на privacy-аудите. Эта неделя идеально подходит для того, чтобы детально погрузиться в процессы обработки персональных данных вашего продукта.

♋️Рак
Неделя хороша, чтобы исключить из жизни все лишнее, то же относится и к privacy-комплаенсу. Вспомните о минимизации, удалите все старые и ненужные данные.

♌️Лев
Львы - настоящие privacy-чемпионы. Ваша энергия зарядит всех коллег вокруг: работа кипит, документы составляются, защитные меры внедряются!

♍️Дева
На небосклоне дев взошла Privacy-звезда , а это значит, что любое начинание в деле защиты персональных данных увенчается успехом. Открывайте свой список задач и приступайте!

♎️Весы
Весы ценят равновесие, поэтому они будут стремиться найти баланс между интересами бизнеса и правами субъектов. Отличное время, чтобы провести оценку рисков.

♏️Скорпион
Скорпионам стоит перестать пытаться все контролировать и немного отпустить ситуацию: все риски не закроешь, соломку везде не постелешь - просто убедитесь, что вы сделали все от вас зависящее.

♐️Стрелец
Благодаря необъятному, как и душа стрельцов, Юпитеру их харизма сейчас на высоте. Самое время провести тренинг по защите персданных своим коллегам.

♑️Козерог
О гиперответственности козерогов слагают легенды. Направьте ее в продуктивное русло: пройдите обучение, освежите знания в технической части защиты данных, пообщайтесь с другими экспертами.

♒️Водолей
Водолеи часто опережают свое время, поэтому могут стать пионерами внедрения новейших технологий защиты данных в своей компании. Полный вперёд!

♓️Рыбы
Кто как не рыбы дорожат своей приватностью: этим фантазерам нужно уединение и пространство для творчества. Но не забудьте показать миру ценность приватности: сейчас прекрасное время, чтобы написать экспертную статью или выступить с докладом на конференции.