Шёпотом ПРО ПД

DPO в группе компаний – кого назначать, когда юридических лиц больше, чем физических? Об этом на прошедшем мероприятии ПРО ПД рассказала Дарья Моренко! Ни один из способов исполнения требования по назначению DPO сам по себе не влияет на эффективность соответствующей функции – они соотносятся как форма и содержание концепции Есть как минимум 3 варианта назначения DPO в группе компаний: Первый вариант – свой DPO (работник) внутри каждой компании группы. Такой подход релевантен в случае автономности процессов внутри каждой компании, если нет необходимости обращаться условно в головную компанию группы по privacy-вопросам и, конечно, если позволяют ресурсы Второй вариант – DPO как одна компаний группы, этот подход удобен в случае, если процессы обработки данных, принятия решений в отношении такой обработки консолидированы в одной компании группы, а также когда одна из компаний уже выполняет иную сервисную роль (например, кадрового, финансового, общего юридического сопровождения) Третий вариант – внешний DPO, он привлекается в случае отсутствия собственных компетенций внутри группы компаний или когда это отвечает стратегии корпоративного управления (в т. ч. риск-менеджмента) Не менее важно грамотно оформить позицию DPO в компании, для всех вариантов необходим приказ о назначении — локальный нормативный акт в свободной форме (исключение может быть сделано только для DPO-работника — если должность уже введена в штат компании) и ознакомление назначенного лица с документацией ПРО ПД, в случае DPO-компании из группы и внешнего DPO также важно оформить договор с подробным описанием объема услуг, прав, обязанностей, штрафов и т.п. Очень важно отметить, что при оформлении договора с DPO, как и при оформлении приказа о назначении DPO, неправильно исходить из позиции "больше — лучше", так как каждый пункт может иметь самостоятельные правовые последствия в виде, например, вопросов о наличии / отсутствии лицензии на услуги по защите информации, а также в виде дополнительных рисков для всех участников правоотношений. Также делимся презентацией с ПЕРСОНЕМОМ!

DPA, DTA, something else-A, интерко, соглашения о передаче данных — налоговый кошмар? Немного приоткрыл завесу тайны Дима Костальгин из Taxadvisor на прошедшем в конце марта мероприятии ПРО ПД. Самый главный вопрос – могут ли доначислить за всё, что творит DPO? Спикер разобрал этот вопрос на примере! Возможно, впервые за историю мероприятий по персональным данным... Сама по себе передача персональных данных может быть признана объектом обложения в весьма ограниченном числе кейсов. На этот вывод спикер обратил внимание, поскольку почти всегда будет иметь место некий возмездный договор или некоторые правоотношениями, в рамках которых происходит передача персональных данных. Например, внутри холдинга одна компания оказывает услуги по кадровому учету всем компаниям холдинга. В этом случае облагаться НДС и налогом на прибыль будут именно услуги по кадровому учету, а не передача персональных данных. То есть, в данном случае не будет отдельной услуги по передаче персональных данных. Скорее, иждивение Заказчика, который для выполнения услуг Подрядчиком передает необходимое. Если же в нашем примере кадровые услуги фактически оказываются без договора, то и в этом случае будет идти речь о безвозмездном оказании услуг, и именно это образует объект обложения по НДС. Обнаружение таких фактов налоговыми органами может привести к доначислению НДС, пени и штрафа. Нужно сказать, что определенную сложность будет представлять определение рыночной цены такой услуги. Однако полагаться, что налоговый орган ее не посчитает, не приходится. Услуга по передаче персональных данных может образовать объект обложения, когда сами персональные данные выступают некой самостоятельной ценностью (активом), за который лицо готово уплатить цену. Например, покупка таких данных, в т.ч. обезличенных, для обучения моделей, маркетинговых активностей и так далее... Стало страшно? В целом, как сказал Дмитрий, не должно было... Но забывать о налоговых рисках не надо! Подробнее – в презентации, которую мы прикладываем вместе с ПЕРСОНЕМОМ🔥

"Экосистема – не только про растения" или что делать с персональными данными в группе компаний и ворохе сервисов? На прошедшем недавно втором мероприятии ПРО ПД Борис Покровский ответил на эти вопросы и поделился инсайтами о жизни экосистемного прайвасиста Борис рассказал, как понять, что ты попал в экосистему: Термин "экосистема" является по большей части неюридическим. Упрощенно ее можно определить как набор сервисов, объединенных вокруг одного бренда или одной компании. Юридически значимыми признаками экосистемы, по словам спикера, являются: (1) наличие множества сервисов (каждый со своими процессами) (2) использование множества юридических лиц (иногда в разных странах) (3) наличие единой в рамках экосистемы пользовательской базы (бесшовный переход между сервисами) (4) наличие кросс-сервисных инструментов (интеграция сервисов друг с другом) (5) вирусный эффект у нарушений (риск одного сервиса – риск экосистемы целиком). Из указанных признаков логически и архитектурно следует ряд проблем с организацией обработки данных в экосистеме: (1) Неоднозначность соотношения сервиса и юридического лица (многие юридические лица предоставляют многие сервисы) (2) Сложность формирования и поддержания юридической обвязки потоков данных (3) Отсутствие прозрачности процессов внутри экосистемы для пользователей (4) Сложность картографирования процессов для DPO Эффективными инструментами для решения обозначенных проблем, по мнению спикера, являются: Использование единых окон входа по вопросам ПД (платформы управления согласиями, центры управления данными, общие каналы для направления запросов) Выделение в группе компаний самостоятельного оператора, ответственного за управление пользовательскими данными внутри экосистемы Многослойные и прозрачные практики информирования пользователей об условиях обработки ПД Использование единых политик защиты данных по наиболее высокому стандарту Делимся презентацией спикера с подготовленным специально для него ПЕРСОНЕМОМ!

Чего ждут от DPO? Кого ждут на DPO? — ответил на прошедшем мероприятии Максим Лагутин, со-учредитель PROPD Максим, согласившись с тезисами коллег, отметил, что на рынке есть однозначные лидеры среди специальностей, обладатели которых становятся DPO. Может показаться, что юристов на privacy-рынке больше чем кого-либо еще. Но исследование показывает, что часто ждут не просто юриста, а юриста со знаниями в ИБ или специалиста с бэкграундом в ИБ. Максим поделился одним слайдом ещё не опубликованного исследования рынка privacy-специалистов, на котором в порядке убывания расположены самые частые требования к вакансиям DPO, причём в ТОП-3 входят: — информационная безопасность — защита персональных данных — 152-ФЗ (должен быть на нулевом месте, конечно...) Мы видим, что требования, хоть и имеют общую направленность, крайне разнообразны, а потому двумя основными навыками DPO, по мнению Максима, в первую очередь являются следующие: — управление ожиданиями, чтобы быть с работодателем / клиентом "на одной волне" и понимать, что буквы D, P и O значат для вас одно и то же — выстраивание коммуникации, чтобы сохранить описанное выше состояние взаимопонимания гораздо дольше Продолжайте голосовать за актуальные темы в опросе или предлагайте свои, скоро мы анонсируем следующее мероприятие🔥

Фундаментально о навыках: какими они бывают и почему вообще это важно? — продолжаем рубрику с материалами выступлений со встречи ПРОПД, на очереди — Герман Сабиров Когда я смотрю на вакансии в privacy-сфере и различные аналитические материалы, то ловлю себя на мысли, что у целевой аудитории может сложиться не совсем верное впечатление о DPO, как об идеальном специалисте, который должен уметь практически все. Однако реальность сильно отличается от зачастую ложных представлений работодателей о том, кто им в действительности необходим. В этой связи Герман подчеркнул, что если у эксперта отсутствует ряд компетенций или они развиты в небольшой степени, — не страшно. Главные компетенции (навыки) в сфере privacy, по мнению Германа, производны от основных вызовов – изменчивости законодательства, безграничности privacy-функции, конфликта с приоритетами бизнеса. Таким образом, основными навыками privacy-эксперта, включая DPO, спикер определил: — знание "базы" (основ, истоков, принципов) регулирования; — насмотренность (а куда без нее...); — умение разговаривать с бизнесом (на всех его языках). Далее вас ждет материал еще одного спикера и, возможно, даже несколько статистических инсайтов!

(За)чем живет DPO или Навыки, которые важнее знаний — пока вы голосуете, делимся материалом Кирилла Зюбанова с прошедшей встречи ПРОПД Если я вижу, что у человека есть хотя бы два из этих четырех навыков, вероятность того, что мы сделаем такому человеку оффер, автоматически вырастает выше 90%, потому что специалист, который не боится сомневаться и становиться лучше, не сомневаясь в своей траектории развития, — специалист на вес золота... Кирилл выделил 4 нестандартных качества эксперта в сфере приватности, каждое из которых включает несколько аспектов: — Ориентированный эксперт знает, что такое приватность, знает, чем он хочет заниматься и, что более важно, знает, какую ценность для него несет эта сфера — GAN-эксперт умеет подвергать сомнению и проверке собственные позиции, совершенствуясь в том числе без внешнего стимула — Сытый эксперт не боится больших с точки зрения денег или рисков проектов и обладает высокой насмотренностью или в силу опыта, или в силу развитого креативного мышления — Летающий эксперт не связан положениями одного-единственного закона или неофициальными разъяснениями, умеет мыслить концепциями и находить точки соприкосновения даже там, где на первый взгляд существуют формальные противоречия Ну, и, конечно, в выступлении не обошлось без новых ПЕРСОНЕМОВ... Чуть позже мы поделимся презентациями еще нескольких спикеров, сделаем это славной традицией нашего сообщества🔥