Гостья нового интервью – Наталья Алешкова, руководитель юридического отдела крупной международной компании, юрист и член Сообщества профессионалов в области приватности.
С 2020 года Наталья консультирует организации по вопросам обработки и защиты персональных данных, проводит аудиты, разрабатывает документы, сопровождает запросы и проверки Роскомнадзора, проводит корпоративные тренинги и обучает юристов новой специализации.
Среди клиентов Натальи – образовательные проекты, медицинские учреждения, интернет-магазины, производственные компании и представители других отраслей, в которых работа с персональными данными является обязательной частью деятельности.
В интервью поговорили о том, почему наличие политики обработки персональных данных не подтверждает реальное соблюдение закона, какие нарушения чаще всего выявляются во время аудита, где проходит граница между юридической работой и информационной безопасностью и насколько перспективна эта специализация для юристов и адвокатов.
Больше о Наталье Алешковой и её практике:
Путь от корпоративного юриста к специализации на персональных данных
Наталья, сегодня Вы руководите юридическим отделом крупной международной компании и развиваете собственную практику в сфере персональных данных. С чего начинался Ваш профессиональный путь и почему в 2020 году Вы решили сосредоточиться именно на обработке и защите персональных данных (ПД)?
До 2020 года я уже около 10 лет работала юристом в международной компании, выросла с должности юриста до руководителя юридического отдела. Параллельно у меня были клиенты на аутсорсе, я развивала социальные сети, и нужно было выбрать узкую тематику. В 2020 году были внесены существенные изменения в Закон о персональных данных, клиенты стали обращаться за консультациями, и я поняла, что мне нравится данная отрасль. Так начался мой путь в ПД.
Между требованиями закона и реальными процессами бизнеса
Как работа внутри крупной компании повлияла на Ваш подход к консультированию бизнеса? Какие требования законодательства выглядят понятными в теории, но оказываются сложными при внедрении в реальные процессы организации?
Работа научила меня не тормозить бизнес, предлагать множество вариантов, разговаривать на одном языке с другими специалистами.
Яркий пример – принцип минимизации данных и конкретности целей. На практике мы сталкиваемся с тем, как реально работает бизнес. Бизнес старается собрать больше данных, чем нужно, и хранить их без ограничения сроков, особенно в целях маркетинга. Требование локализации данных, уход иностранных компаний, перенос баз данных на территорию РФ – это долгий и дорогой процесс, который ещё требует изменения бизнес-процессов.
Здесь мы постоянно маневрируем между требованиями законодательства и работой бизнеса.
Как отрасль бизнеса влияет на риски при обработке данных
Вы работаете с компаниями из разных отраслей – образовательными проектами, медицинскими учреждениями, интернет-магазинами, производителями. Насколько различаются риски и требования к обработке персональных данных в зависимости от сферы бизнеса?
Принципы и требования к обработке данных едины для всех компаний, а вот риски, так же как и вред субъекту, могут отличаться кардинально. Один из самых рисковых видов деятельности – деятельность медицинских учреждений, так как они обрабатывают специальные категории персональных данных, и раскрытие информации о заболеваниях может существенно навредить субъекту.
Утечки независимо от категорий данных – это всегда репутационный риск.
Почему политики и согласий недостаточно
На сайте Вы отмечаете, что при проведении аудита находите серьёзные ошибки в большинстве компаний. Какие нарушения встречаются чаще всего и почему наличие политики обработки персональных данных и нескольких согласий ещё не означает, что бизнес действительно выполняет требования закона?
Чаще всего у бизнеса нет ответственного лица, которое координировало бы процессы обработки данных, не выстроены процессы, связанные с обработкой данных, бизнес не уделяет должного внимания работе с ПД: не контролируются ни объём данных, ни сроки хранения.
Частые нарушения – отсутствие реализованных технических мер защиты, несоблюдение конфиденциальности при обработке данных, сбор избыточных данных и отсутствие правового основания для хранения и обработки данных. На практике также сталкиваемся с тем, что в компании никто не знает, как реагировать на инциденты, то есть не проводится обучение сотрудников и отработка соответствующих ситуаций.
Типовые документы не заменяют работающую систему
Многие компании и консультирующие их юристы используют типовые документы из интернета. Почему такой подход не защищает оператора персональных данных и как должны быть связаны документы, технические решения и фактические процессы внутри организации?
Чаще всего такие документы не отражают реальные бизнес-процессы в организации. Это юридическая фикция. Такие документы не защищают бизнес, усложняют работу и фактически не снижают риски организации, а увеличивают их, особенно при инцидентах.
Принятые документы и технические меры должны быть направлены на снижение рисков утечек, инцидентов и нарушений прав субъектов, то есть работать в комплексе.
Аудит персональных данных: от сбора до уничтожения
Как проходит полноценный аудит обработки персональных данных? Что именно Вы проверяете и какой результат получает компания, помимо комплекта исправленных или заново подготовленных документов?
Аудит – это не проверка документов, это изучение деятельности компании и её процессов: от сбора данных до момента их уничтожения. Аудит начинается с интервью и сбора информации, чтобы видеть целостную картину процессов обработки данных.
В аудит входит не только составление локальных актов, но и анализ документов, связанных с обработкой данных, например локальных актов, где отражается обработка данных работников, договоров, где есть обработка данных клиентов, подрядчиков, контрагентов.
Наша основная задача – минимизировать риски клиента с минимальным изменением бизнес-процессов, построить комплексную защиту ПД.
Как подготовиться к запросу или проверке Роскомнадзора
Отдельное направление Вашей практики – сопровождение запросов и проверок Роскомнадзора. Какие ошибки совершают компании после получения запроса регулятора и что необходимо сделать заранее, чтобы не устранять нарушения в срочном порядке?
У организации должны быть утверждены локальные акты в отношении обработки персональных данных, должно быть назначено лицо, ответственное за организацию обработки, то есть человек, который знает, какие данные, в каких целях и в какие сроки обрабатываются. Чаще всего у компаний нет порядка и системы работы.
Персональные данные на стыке права и информационной безопасности
Где проходит граница между юридической работой с персональными данными и информационной безопасностью? Может ли юрист самостоятельно выстроить систему защиты или для полноценной работы необходима команда из юристов, IT-специалистов и сотрудников других подразделений?
Конечно, лучше работать в команде. На мой взгляд, закрыть все вопросы по информационной безопасности юрист самостоятельно не сможет, если, конечно, у него нет второго образования в этой области. Для качественного и комплексного оказания услуг в моей команде есть соответствующие специалисты.
Практический курс по персональным данным для юристов
Вы создали авторский курс «Обработка и защита персональных данных» для юристов, которые хотят освоить новую специализацию или расширить перечень услуг. Почему Вы решили развивать образовательное направление и какие практические задачи должен уметь решать выпускник после прохождения курса?
Это получилось случайно, организовать курс предложила моя коллега, у которой есть образовательные проекты для юристов. В этой области недостаточно просто прочитать закон. Когда ты его прочитаешь, тебе будет казаться, что всё понятно и несложно, а на практике возникает огромное количество вопросов, ответы на которые закон не даёт. Именно поэтому я создала максимально практический курс, аналогов которому нет.
Перспективы специализации в сфере персональных данных
Насколько перспективна специализация в сфере персональных данных для юристов и адвокатов сегодня? С чего Вы посоветовали бы начать специалисту, который хочет работать в этой области, но пока не понимает, какие знания, документы и практические навыки ему необходимы?
С развитием информационных технологий и ИИ спрос на специалистов в этой области превышает предложение. Здесь важно иметь навык коммуникации на стыке права, IT и бизнеса.
Можно начать с профильных каналов и обучения. Важно понимать не только нормы, но и разъяснения Роскомнадзора, Минцифры и судебную практику. Юрист должен владеть знаниями относительно работы информационных продуктов, от этого зависит качество его работы.
Наталья, благодарю Вас за содержательное интервью и практический взгляд на работу с персональными данными. Вы показали, почему соблюдение требований законодательства не сводится к подготовке политики и согласий, а требует выстроенных процессов, технических мер и взаимодействия специалистов разных направлений.
Уверена, интервью будет полезно юристам и адвокатам, которые хотят глубже разобраться в законодательстве о персональных данных, освоить новую специализацию или повысить качество сопровождения своих клиентов.
