Разработка документации

Одним из ключевых принципов, прописанных в GDPR, является подотчетность (accountability). Любое выполнение требований GDPR должно подтверждаться разработкой документа или иными действиями.

— Privacy Notice – документ, информирующий субъектов персональных данных, кроме внутреннего персонала, об обработке их персональных данных.

— Cookie Notice- документ, информирующий об обработке cookie (тип cookie, состав данных, который обрабатывается, срок обработки, цель).

— Рекомендации для cookie-баннера

— Staff Privacy Policy – документ, информирующий внутренний персонал (кандидатов на вакантные должности, работников, уволенных работников) об обработке их персональных данных (если GDPR будет применяться к этим процессам)

— Data Subject Requests General Guidance – документ, регламентирующий реализацию прав физических лиц при обработке их персональных данных, внутренний документ гайд для компании и для работников, ответственных за исполнение требований.

— Data Breach Policy – документ, регламентирующий процедуру выявление инцидентов безопасности персональных данных и информирование о них надзорных органов и физических лиц.

— Register of Processing Activities – документ, детально описывающий имеющиеся процессы обработки персональных данных.

Разработка проектов документов позволяет соблюсти большинство требований по GDPR

— Шаблон Data Processing Agreement – для взаимодействия между Контроллером и Процессором.

Дополнительные документы разрабатываем в зависимости от итогов Аудита:

Взаимодействие между Контроллерами

— Подготовка DPA (Data Processing Agreement) под конкретных контрагентов (при необходимости).

— Со-контроллерство. Если в ходе аудита будет выявлено такое взаимодействие, то будет подготовлен Joint Controller Agreement

— Взаимодействие между самостоятельными Контроллерами– Если в ходе аудита будет выявлено такое взаимодействие, то будет подготовлен Data sharing agreement.

Взаимодействие между Контроллеров и Процессором:

Анализ всех процессов обработок ПДн на соответствующие правовые основания, а именно выбор правильного правового основания и его реализация, в том числе:

Правовые основания:

— подготовка форм Согласий на обработку ПДн и правильная реализация Согласий на обработку ПДн по GDPR (если в ходе аудита будет выявлены процессы, в которых основаниями доя обработки будет Согласие)

— анализ легитимного интереса и подготовка Legitimate Interests Assessment – документ, содержащий оценку возможности использования легитимного интереса в качестве законного основания для обработки персональных данных; готовится для каждой цели обработки персональных данных, законным основанием которой является легитимный интерес; (если в ходе аудита будут выявлены процессы, которых основаниями для обработки является легитимный интерес).

Оценка необходимости назначения DPO и пошаговые рекомендации по назначению и уведомлению надзорного органа о таком назначении.

Назначение DPO:

Пошаговые рекомендации по назначению представителя, подготовка Договора оказания услуг представителя.

Назначение Представителя в ЕС (в отношении юридических лиц, зарегистрированных за пределами ЕЭЗ)

Выявление трансграничной передачи, выбор правильного основания для трансграничной передачи (adequate decision, appropriate safeguards, derogations), подготовка TIA (transfer impact assessment) с рекомендациями по применению организационных и технических мер по безопасности в соответствии с последними гайдами EDPB.

Трансграничная передача:

Проверка разрабатываемых продуктов и систем на соответствие требованиям безопасности с учетом принципов Data Privacy by Design и by Default, рекомендации по применение необходимых организационных и технических мер по безопасности в соответствии с требованиями GDPR и последними гайдами EDPB

Безопасность:

Выявление необходимости проведения DPIA. Проведение DPIA в случае необходимости.

DPIA :

GDPR, ePrivacy

По каким требованиям?

При оценке соответствия мы учитываем также локальные требования стран ЕЭЗ:

— Особенности регулирования cookies;

— Особенности регулирования маркетинга;

— Особенности обработки специальных категорий персональных данных;

— Особенности обработки данных работников;

— Особенности обработки, связанных с обработкой в целях архивных, научных, статистических, исторических

— Особенности по назначению DPO;

— Дополнительные требования по проведению обязательных DPIA.