Юристы научились оценивать риски по объективным параметрам. Опыт «Авито» в работе с пе...
Юристы научились оценивать риски по объективным параметрам. Опыт «Авито» в работе с персональными данными 💡 В «Авито» решили проблему противоречий в заключениях об уровне риска работы с данными. Раньше юристы могли дать разную оценку на одинаковые сценарии. Теперь компания перешла на метод оценки ключевых индикаторов риска. В отличие от традиционных подходов в методологии КИР риск не делят на «вероятность» и «влияние». Обращать внимание нужно именно на индикаторы: они отражают общий уровень риска. Например, оценивать не вероятность того, что могут появиться жалобы от пользователя, а объективные параметры: объем базы данных, специфику/критичность процесса, категорию обрабатываемых данных. 🔍 Команда юристов сформировала перечень юридических рисков, которые влияют на бизнес. Это могут быть уголовная ответственность, административные штрафы и отдельная категория — штрафы за утечки данных. Еще можно учесть такой риск, как приостановка бизнес-процессов. После установили причины возникновения конкретных рисков и зафиксировали набор ключевых индикаторов для каждого риска. В первую очередь следует рассмотреть факторы, которые следуют из законодательства. К примеру, для обработки персональных данных нужно учесть объем обрабатываемых данных, количество субъектов персональных данных, чувствительность персональных данных: относятся ли они к биометрии, к специальным категориям или к данным, которые сделали общедоступными. Нужно оценить адекватность юрисдикции, куда компания передает данные. Система позволяет определять, какую зону риска попадает набор ключевых индикаторов риска. Например, при оценке рисков ключевым аспектом становится не потенциальный штраф, а реальная угроза приостановки бизнес-процессов. Главный индикатор риска для трансграничной передачи — характеристики юрисдикции, куда передают данные. Здесь в первую очередь стоит обратить внимание на критерий «адекватности». А основной риск при хранении персональных данных — штрафы за утечку информации. Их размер напрямую зависит от объема данных, которые компания хранила неправомерно. Мария Кулиева, старший юрист практики защиты данных «Авито», вместе с коллегой рассказали, как стандартизировать работу. В статье — примеры из практики и готовые шаблоны матриц. Подписчикам канала открыли гостевой доступ к материалу на три дня.