Защита персональных данных и GDPR для бизнеса

GDPR требует назначить специалиста по защите данных (DPO) государственным учреждениям, организациям, чья основная деятельность связана с масштабным регулярным наблюдением за людьми, и тем, кто в больших масштабах обрабатывает особые категории данных, например данные о здоровье; во всех трёх случаях специалист CloudHosting может взять эту роль на себя как внешний DPO. Регламент не даёт точного определения масштабности, поэтому в пограничных случаях нужна честная оценка того, что и зачем вы реально обрабатываете. Важно понимать: даже если DPO не обязателен, все остальные обязанности по GDPR сохраняются, включая реестры, правовые основания и действия при инцидентах. Наш специалист закрывает оба варианта: берёт обязательную роль на аутсорсинг или ведёт добровольный надзор за соответствием. Если вы не уверены, к какой категории относитесь, опишите нам свою обработку, и мы это оценим.

GDPR допускает штрафы до 20 миллионов EUR или 4% мирового годового оборота за самые серьёзные нарушения, в зависимости от того, какая сумма больше, и специалист CloudHosting держит в порядке реестры и меры защиты, которые орган учитывает при определении суммы. На практике надзорный орган оценивает тяжесть и длительность нарушения, число затронутых людей, вашу готовность сотрудничать и уже принятые меры защиты, поэтому документированная работа по соответствию напрямую влияет на итог. Штраф к тому же не единственное последствие: орган может предписать изменить или остановить конкретную обработку, а само дело становится публичным, что замечают клиенты и партнёры. Для большинства компаний порядок в реестрах, политиках и обучении обходится в разы дешевле даже небольшого разбирательства.

Реестр по статье 30 представляет собой требуемый GDPR перечень ваших операций обработки, и CloudHosting создаёт его во время инвентаризации и поддерживает актуальным в рамках услуги. В нём указано, какие категории персональных данных вы обрабатываете, с какой целью, на каком правовом основании, кто получает данные и как долго вы их храните. GDPR обязывает вести его большинство организаций, а исключения настолько узкие, что полагаться на них редко разумно. Реестр важен по двум причинам: это первый документ, который запрашивает надзорный орган, и на нём строится всё остальное, от политик конфиденциальности до сроков хранения. Реестр полезен только до тех пор, пока отражает реальность, поэтому его нужно обновлять при каждом изменении процесса, системы или подрядчика.

Видеонаблюдение в Латвии считается обработкой персональных данных по GDPR, и CloudHosting готовит нужные для него таблички и документы, на латышском языке там, где этого требует латвийское право. У камер должна быть определённая законная цель, обычно защита имущества или людей, и они не должны охватывать больше, чем эта цель оправдывает: проблемы возникают, когда камера направлена на чужую территорию или на места, где люди рассчитывают на приватность. Зоны наблюдения нужно обозначить табличками с указанием оператора и цели, чтобы посетители понимали, кто и зачем ведёт съёмку. Также требуется задокументировать, как долго хранятся записи, кто и на каком основании имеет к ним доступ, а само наблюдение включить в реестр по статье 30.

Месячная плата CloudHosting за защиту данных фиксирована, и за неё наш специалист работает как ваша постоянная функция защиты данных, а не как разовый консультант. На практике это означает: реестр по статье 30 поддерживается актуальным, каждая новая операция обработки, например новый инструмент, подрядчик или маркетинговая кампания, оценивается до запуска, сотрудники проходят обучение, а при инцидентах специалист сопровождает вас на всех шагах. Там, где закон требует DPO, плата покрывает и эту обязанность, включая роль контактного лица для надзорного органа. Соответствие нельзя оформить один раз и забыть, потому что обработка постоянно меняется, и плата существует именно для того, чтобы закрывать эти изменения. Цену рассчитываем для каждой компании отдельно после оценки объёма обработки.

CloudHosting рассчитывает защиту данных для каждой компании отдельно: разовым проектом на инвентаризацию и документы или фиксированной месячной платой, которая покрывает и обязанности DPO там, где их требует закон. Публичного прайса нет, потому что объём работы зависит от количества операций обработки, систем и подрядчиков и от того, сколько документов у вас уже есть. Чтобы назвать фиксированную сумму, мы сначала смотрим на объём: какие персональные данные вы обрабатываете, с какой целью и где они хранятся. После согласования плата каждый месяц одинаковая, а новые операции обработки мы оцениваем в её рамках, а не выставляем сюрпризом в счёте. Коротко опишите свою организацию, и вы получите расчёт до каких-либо обязательств.

Услуга CloudHosting по защите данных закрывает обязанности по GDPR в отношении персональных данных, которые касаются практически каждой компании, а услуга NIS2 касается кибербезопасности организаций из секторов, перечисленных в директиве. NIS2 спрашивает, устойчива ли инфраструктура, вовремя ли сообщается об инцидентах и внедрены ли технические меры защиты. Защита данных касается реестров, правовых оснований, политик и прав людей, независимо от отрасли и размера. Общая часть у них одна: безопасность. Оба режима ожидают, что вы защищаете данные, которые храните, поэтому работа для одного часто помогает другому. Многим клиентам нужны обе услуги, и вместе с нашим IT-аудитом они дополняют друг друга. Если вы не уверены, какие обязанности относятся к вам, спросите нас.

CloudHosting выстраивает защиту данных в определённом порядке, сначала инвентаризация, затем документы и обучение, и небольшая компания с несколькими процессами получает базовый комплект быстро. Честного универсального срока не существует: время зависит от количества операций обработки и от того, сколько документов у вас уже есть. После инвентаризации согласуем план документов и обучения с понятными сроками, в первую очередь закрывая пробелы с наибольшим риском, например отсутствующие обязательные реестры или тексты согласий. С крупными организациями работаем поэтапно, чтобы не мешать текущей работе. Вы можете ускорить процесс со своей стороны: назначьте одно контактное лицо и соберите действующие договоры и политики до начала работ.

Услуга CloudHosting по защите данных охватывает и частные компании, и государственные учреждения Латвии, а государственные органы GDPR обязывает назначить специалиста по защите данных независимо от размера. При этом специалист должен работать без конфликта интересов, что в небольшом учреждении трудно обеспечить внутренними силами, ведь одни и те же люди обслуживают системы, за которыми нужно надзирать. Внешний DPO решает эту проблему: наш специалист берёт обязанность на себя за фиксированную плату, ведёт необходимые реестры, консультирует руководство и сопровождает общение по вопросам защиты данных. Все документы, для которых латвийское право требует латышский язык, готовим на латышском. Если вы представляете учреждение, напишите нам, и мы согласуем объём и порядок работы.