Защита персональных данных и GDPR для бизнеса

GDPR требует назначить специалиста по защите данных (DPO) в трёх случаях: если вы государственное учреждение, если ваша основная деятельность связана с масштабным регулярным наблюдением за людьми или если вы в больших масштабах обрабатываете особые категории данных, например данные о здоровье. Регламент не даёт точного определения масштабности, поэтому в пограничных случаях нужна честная оценка того, что и зачем вы реально обрабатываете. Важно понимать: даже если DPO не обязателен, все остальные обязанности по GDPR сохраняются, включая реестры, правовые основания и действия при инцидентах. Наш специалист закрывает оба варианта: берёт обязательную роль DPO на аутсорсинг или ведёт добровольный надзор за соответствием. Если вы не уверены, к какой категории относитесь, опишите нам свою обработку, и мы это оценим.

Законные максимумы за самые серьёзные нарушения составляют до 20 миллионов EUR или 4% мирового годового оборота, в зависимости от того, какая сумма больше. На практике надзорный орган оценивает тяжесть и длительность нарушения, число затронутых людей, вашу готовность сотрудничать и уже принятые меры защиты, поэтому документированная работа по соответствию напрямую влияет на итог. Штраф к тому же не единственное последствие: орган может предписать изменить или остановить конкретную обработку, а само дело становится публичным, что замечают клиенты и партнёры. Для большинства компаний расчёт простой: порядок в реестрах, политиках и обучении обходится в разы дешевле даже небольшого разбирательства.

Реестр по статье 30 представляет собой официальный перечень ваших операций обработки: какие категории персональных данных вы обрабатываете, с какой целью, на каком правовом основании, кто получает данные и как долго вы их храните. GDPR обязывает вести его большинство организаций, а исключения настолько узкие, что полагаться на них редко разумно. Реестр важен по двум причинам: это первый документ, который запрашивает надзорный орган, и на нём строится всё остальное, от политик конфиденциальности до сроков хранения. Реестр полезен только до тех пор, пока отражает реальность, поэтому его нужно обновлять при каждом изменении процесса, системы или подрядчика. Мы создаём его во время инвентаризации обработки и поддерживаем актуальным в рамках услуги.

Видеонаблюдение считается обработкой персональных данных, поэтому помимо латвийской специфики действует общая логика GDPR. У камер должна быть определённая законная цель, обычно защита имущества или людей, и они не должны охватывать больше, чем эта цель оправдывает: проблемы возникают, когда камера направлена на чужую территорию или на места, где люди рассчитывают на приватность. Зоны наблюдения нужно обозначить табличками с указанием оператора и цели, чтобы посетители понимали, кто и зачем ведёт съёмку. Также требуется задокументировать, как долго хранятся записи, кто и на каком основании имеет к ним доступ, а само наблюдение включить в реестр по статье 30. Мы выполняем требования по регистрации и табличкам и готовим документы, на латышском языке там, где этого требует латвийское право.

Вы платите фиксированную сумму в месяц, и наш специалист работает как ваша постоянная функция защиты данных, а не как разовый консультант. На практике это означает: реестр по статье 30 поддерживается актуальным, каждая новая операция обработки, например новый инструмент, подрядчик или маркетинговая кампания, оценивается до запуска, сотрудники проходят обучение, а при инцидентах специалист сопровождает вас на всех шагах. Там, где закон требует DPO, плата покрывает и эту обязанность, включая роль контактного лица для надзорного органа. Соответствие нельзя оформить один раз и забыть, потому что обработка постоянно меняется, и плата существует именно для того, чтобы закрывать эти изменения. Цену рассчитываем для каждой компании отдельно после оценки объёма обработки.

Эти услуги отвечают на разные законы с разным охватом. NIS2 касается кибербезопасности критических услуг: устойчива ли инфраструктура, вовремя ли сообщается об инцидентах и внедрены ли технические меры защиты. Она относится только к организациям из секторов, которые охватывает директива. Защита данных касается персональных данных и обязанностей по GDPR: реестры, правовые основания, политики и права людей, и она затрагивает практически каждую компанию независимо от отрасли и размера. Общая часть у них одна: безопасность. Оба режима ожидают, что вы защищаете данные, которые храните, поэтому работа для одного часто помогает другому. Многим клиентам нужны обе услуги, и вместе с нашим IT-аудитом они дополняют друг друга. Если вы не уверены, какие обязанности относятся к вам, спросите нас.

Честного универсального срока не существует: время зависит от количества операций обработки и от того, сколько документов у вас уже есть. Мы всегда начинаем с инвентаризации, потому что всё остальное строится на понимании того, что вы реально обрабатываете. Затем согласуем план документов и обучения с понятными сроками, в первую очередь закрывая пробелы с наибольшим риском, например отсутствующие обязательные реестры или тексты согласий. Небольшая компания с несколькими процессами получает базовый комплект быстро, с крупными организациями работаем поэтапно, чтобы не мешать текущей работе. Вы можете ускорить процесс со своей стороны: назначьте одно контактное лицо и соберите действующие договоры и политики до начала работ.

Да, услуга охватывает и частные компании, и государственные учреждения в Латвии. Государственные органы находятся в особом положении: GDPR обязывает их назначить специалиста по защите данных независимо от размера, при этом специалист должен работать без конфликта интересов, что в небольшом учреждении трудно обеспечить внутренними силами, ведь одни и те же люди обслуживают системы, за которыми нужно надзирать. Внешний DPO решает эту проблему: наш специалист берёт обязанность на себя за фиксированную плату, ведёт необходимые реестры, консультирует руководство и сопровождает общение по вопросам защиты данных. Все документы, для которых латвийское право требует латышский язык, готовим на латышском. Если вы представляете учреждение, напишите нам, и мы согласуем объём и порядок работы.