ПРО приватность | Data Privacy Office

Кто на самом деле владеет персональными данными — и при чём здесь дипфейки? Представьте ситуацию: компания создала гиперреалистичный дипфейк клиента или клон его голоса для рекламной интеграции. Технологию разработала компания, ресурсы потратили она же. Кому в таком случае принадлежат эти данные — компании или клиенту? Логика «я создал — значит, моё» здесь не работает. Согласно первой правовой презумпции, о которой рассказывает Елена Себякина в своей новой научной статье, субъект персональных данных всегда остаётся первоначальным обладателем всех прав на свои данные. 📌 Что это значит для бизнеса?  Сколько бы согласий вам ни подписали и кто бы ни «синтезировал» новые данные (например, ИИ), права на них всё равно возникают напрямую у человека. Это как с ДНК: её невозможно отделить от личности или полностью передать другому. На практике это работает так: 1. Если компания создала голосовой клон пользователя, права на этот клон принадлежат пользователю, а не ей. 2. У компании нет прав на обработку этого «нового» контента, пока человек их не предоставит или бизнес не найдёт другое законное основание. 3. Даже если данные кажутся «продуктом компании», она лишь временно управляет ими, пока субъект это позволяет. 📌 Зачем это знать?  Понимание таких презумпций помогает DPO и бизнесу «предсказывать» позицию регулятора или суда ещё до начала спора. Это снижает неопределённость: вы заранее знаете, где ваши права заканчиваются и начинаются права клиента. Старший консультант Data Privacy Office Елена Себякина 6 лет работала над систематизацией этих правил, чтобы юристы и владельцы продуктов могли трезво оценивать риски при внедрении AI. В краткой практической выжимке своей статьи специально для нашего блога Елена разбирает ещё 4 важные презумпции. Например, почему данные из открытых источников нельзя просто так «парсить» и почему априори считается, что у бизнеса нет оснований для обработки, пока он не докажет обратное. ➡️ Читать полную статью «Как предсказать позицию регулятора: 5 правовых презумпций для DPO» ⬅️

GDPR: 12 материалов для старта в карьере Начинать путь в сфере Data Privacy бывает непросто из-за обилия терминов и сложных правил. Чтобы вы не утонули в море информации, мы собрали 12 статей на базовые темы из нашего блога, которые помогут быстро выстроить фундамент знаний: 1. Что такое GDPR: краткий обзор основ и истории главного закона, который вернул людям контроль над их персональными данными в цифровой реальности. 2. Персональные данные простыми словами: чтобы раз и навсегда разобраться, что именно считается персональными данными по GDPR и почему сюда попадает даже номер автомобиля. 3. Материальная сфера действия: разбираемся, на какие именно виды обработки данных распространяются требования Регламента, а на что они не влияют. 4. Экстерриториальное применение: здесь объясняем, почему правила GDPR иногда должны соблюдать даже те компании, которые находятся далеко за пределами Европы. 5. Контролер и процессор: учимся различать ключевые роли — кто определяет цели обработки данных, а кто просто выполняет инструкции. 6. Какие документы нужны по GDPR: путеводитель по «ядру» документации, которая помогает бизнесу доказать свою подотчетность перед регулятором. 7. Что такое RoPA: инструкция по созданию реестра обработок — «карты данных», с которой начинается любой серьезный комплаенс-проект. 8. Трансграничная передача данных: всё о том, как законно передавать информацию за границу и какие защитные механизмы для этого существуют. 9. Что такое DPIA: пошаговый план оценки рисков для прав пользователей, чтобы предотвратить проблемы еще на этапе планирования продукта. 10. Что такое Privacy by Design: о том, как проектировать системы так, чтобы защита данных была их встроенной частью, а не временной надстройкой. 11. Важность немедленного уведомления: краткая инструкция о том, как и когда сообщать об утечках, чтобы минимизировать ущерб и избежать санкций. 12. 12 самых известных штрафов: реальные примеры ошибок крупных брендов, которые наглядно показывают цену формального отношения к приватности. Сохраняйте эту подборку в закладки, чтобы база знаний всегда была под рукой. И обязательно делитесь постом с коллегой, который тоже только начинает погружаться в GDPR 📩

Всего одна неделя до старта коучинга CIPP/E! Друзья, напоминаем, что уже 17 августа начинается наш флагманский курс по подготовке к международной сертификации CIPP/E от IAPP. Если вы планировали подтвердить свою экспертность в области регулирования data privacy в Европе в этом году — сейчас самое время сделать первый шаг. 📌 Почему стоит идти на коучинг?  Наш курс — это не просто сухая теория. За 10 недель обучения под руководством опытного тренера Ксении Лапутько вы: 🔹 Глубоко погрузитесь в контекст европейского законодательства и принципы регулирования. 🔹 Разберете сложные практические аспекты: от трансграничной передачи данных до требований подотчетности. 🔹Отработаете навыки на пробном тестировании, чтобы чувствовать себя уверенно на реальном экзамене. 🔹 Получите доступ к профессиональному комьюнити, где можно обмениваться опытом и обсуждать реальные кейсы. 📌 Специальное напоминание для наших выпускников  Мы знаем, что большинство тех, кто записывается на наши коучинги, уже проходили другие наши программы. Если решите записываться на коучинг, не забывайте использовать преимущества нашей программы лояльности. Ваша скидка привязана к количеству пройденных курсов и применяется автоматически по вашему email: 📎 4% после первого заказа. 📎 12% после второго. 📎 20% — максимальная несгораемая скидка после третьей покупки. Чтобы использовать скидку, вам нужно зарегистрироваться на сайте. Ждем вас на занятиях! Это отличная возможность систематизировать знания и сделать мощный рывок в карьере. Записывайтесь по ссылке и начинайте путь к международной сертифкации уже в следующий понедельник!

Политика приватности: проверьте себя за 30 секунд Ваш документ не обновлялся больше года? Вы внедрили ИИ или сменили аналитические инструменты? Появились новые партнёры? Если хотя бы один ответ «да» — ваша политика, скорее всего, уже не защищает ни вас, ни клиентов. Листайте карточки и проверьте главные «звоночки», которые сигнализируют: пора вносить правки. Также скачивайте наш бесплатный гайд по политике приватности по этой ссылке 📎

Ваш опыт заслуживает международного признания Представьте ситуацию: вы уже не первый год работаете с персональными данными, отлично знаете теорию и успешно решаете сложные задачи в компании. Коллеги приходят к вам за советом, а проекты закрываются вовремя. Но стоит зайти в LinkedIn, как на глаза попадаются профили коллег с заветными аббревиатурами CIPP/E после имени. В этот момент может возникнуть чувство, что, несмотря на реальный багаж знаний, вашей экспертизе не хватает официального подтверждения. Многие профессионалы сталкиваются с этим внутренним барьером — «синдромом самозванца». Кажется, что пока знания не подтверждены международным сертификатом, вы остаетесь лишь локальным специалистом, чей путь к вакансиям в глобальных компаниях или к значительному росту дохода закрыт. Наша программа «Экспертный трек» создана именно для того, чтобы превратить ваш практический опыт в признанный во всем мире статус эксперта. Программа закрывает сразу две важные потребности: 1. Систематизация и фундамент Курс GDPR Data Privacy Professional помогает разложить все имеющиеся знания по полочкам. Вместо разрозненных статей регламента вы получаете четкую систему и визуальные схемы, которые позволяют не просто знать закон, а «чувствовать» его логику. 2. Уверенность на экзамене Коучинг CIPP/E — это прицельная подготовка к международной сертификации IAPP. Мы не просто повторяем теорию, а учим понимать логику европейского регулятора, разбираем «подводные камни» тестов и помогаем справиться со страхом перед экзаменом. В пакет «Экспертный трек» оба курса с выгодой 20%: 🔹 GDPR DPP (Mix-формат): 21 сентября 2026 → 14 октября 2026. Здесь вы закладываете прочную базу и отрабатываете практику на Q&A-сессиях. 🔹 Коучинг CIPP/E (Live-формат): 19 октября 2026 → 23 декабря 2026. Еженедельные встречи, которые доведут вас до регистрации на экзамен и успешной сдачи. Мы обеспечиваем полную поддержку: от проверки домашних заданий до помощи в оформлении заявки на сертификацию. 🌱 Полезный совет: не ждите момента, когда вы «выучите всё». В сфере защиты персональных данных новые правила и решения регуляторов появляются постоянно. Самый быстрый способ вырасти — это получить системную базу и подтвердить её сертификатом, который говорит за вас на любом рынке труда. ➡️ Подробнее о программе ⬅️ Сделайте свою экспертизу видимой для всего мира уже этой осенью!

Рейтинг самых частых ошибок в Реестре обработок Мы в Data Privacy Office реализовали более 230 проектов для компаний из самых разных сфер. И, к сожалению, часто видим, что компании до сих пор допускают в Реестрах одинаковые критические ошибки, избежать которых очень просто. Мы проанализировали проведенные за последние время аудиты компаний и составили рейтинг самых частых ошибок из реальной практики. Предлагаем ознакомиться с этим списком и желаем не встретить в нем факт о RoPA вашей компании. 🔴 Критические системные ошибки (встречаются почти всегда) 📎 Неполный список целей.  Абсолютный лидер — ошибка встречается в 5 из 5 аудитов. Обычно «за бортом» остаются маркетинговая аналитика, данные кандидатов и логи IT-безопасности. 📎 Отсутствие Реестра процессора.  SaaS и B2B компании часто забывают, что при обработке данных по поручению клиентов нужен отдельный Processor RoPA. 📎 Бессрочное хранение.  Использование формулировок Indefinite или As needed вместо конкретных сроков и триггеров удаления. 📎 Трансграничные передачи «в никуда».  Указание регионов вместо конкретных стран или ссылки на недействующие фреймворки. 🟡 Регулярные ошибки 📎 Сайт-невидимка.  Отсутствие в Реестре данных, собираемых через куки, пиксели и системы аналитики. О том, как этого избежать рассказывали здесь. 📎 Формальные меры безопасности.  Общие фразы типа «Industry standard» вместо описания реальных технических мер. 📎 Размытые категории.  Использование терминов User Data вместо детального списка (email, ID транзакции и т.д.). 🟢 Наиболее редкие организационные неточности 📎 Статичность.  Реестр, который не обновлялся с момента создания и не имеет даты актуализации. 📎 Правовой хаос.  Перечисление всех оснований из статьи 6 GDPR через запятую без привязки к целям. Почему так происходит? Часто это результат шаблонного мышления или отсутствия связи между юристами, IT и маркетингом. О том, как избежать этих ошибок и сделать RoPA реальным инструментом управления рисками, рассказываем в нашей новой статье. ➡️ Читать статью ⬅️

Нужен DPO в новой стране за неделю? Выход на новый рынок — это всегда азарт, смешанный с легкой тревогой. Когда наш клиент решил открыть офис в Сингапуре, он столкнулся с неожиданным требованием местного закона PDPA: назначить ответственного за защиту данных (DPO) нужно было буквально с первого дня работы. Поиск специалиста в штат в этой юрисдикции обычно занимает от 6 до 9 месяцев, а расходы на зарплату могут достигать $220 000 в год. Ждать было нельзя — на кону стояли контракты с крупными заказчиками, которые сразу запрашивали контакты DPO. Ситуация была нестандартной: в Сингапуре DPO должен быть внутренним сотрудником. Мы задействовали нашу международную сеть контактов и всего за пару дней нашли проверенного локального эксперта с опытом работы в сингапурском регуляторе (PDPC). Клиент получил не просто «имя в реестре», а профессионала, который понимает местную специфику и говорит на языках региона. Этот случай вдохновил нас на обновление услуги DPO Outsourcing. Мы поняли, что международным компаниям не нужен формальный «почтовый ящик» для галочки. Вам нужен партнер, который возьмет на себя реальную работу. 📌 Что изменилось в нашем подходе? Мы переработали сервис, сделав его мультиюрисдикционным и прозрачным. Теперь это полноценная внешняя privacy-команда для вашего роста. 🔹 География 20+ юрисдикций. Мы поможем закрыть вопросы комплаенса не только в ЕС, но и в ОАЭ, Казахстане, США и еще в двух десятках стран. Вам больше не нужно искать отдельных подрядчиков в каждом регионе. 🔹 Три понятных уровня поддержки. Мы ввели пакетную структуру: от «Представительства» (для официального присутствия) до «Выделенной команды», которая полностью заменяет внутренний privacy-отдел, берет на себя обучение сотрудников и интеграцию в ваши Task-менеджеры (Jira, Asana). 🔹 Финансовая защита на €2 000 000. Наша профессиональная ответственность застрахована. Это снимает персональные риски с вашего руководства и помогает легко проходить проверки любых контрагентов. 🔹 Запуск за 14 дней. Благодаря собственным IT-разработкам и отлаженным процессам мы запускаем функцию DPO в разы быстрее, чем длится найм в штат. А чтобы вы могли оценить свои риски перед выходом на новый рынок, мы подготовили бесплатный инструмент — интерактивную карту по 32 юрисдикциям. С её помощью вы сможете в один клик проверить, обязан ли ваш бизнес назначать DPO в конкретной стране, какие там штрафы и на что обращает внимание локальный регулятор. Это идеальный первый шаг для планирования вашей международной экспансии. ➡️ Забирайте интерактивную карту и гайд по этой ссылке ⬅️ Мы в Data Privacy Office работаем на 6 континентах и в 50+ юрисдикциях. Наша экспертиза подтверждена международными сертификациями и сотнями реализованных проектов — от небольших стартапов до корпораций. Если вам нужно быстро и эффективно решить вопрос с DPO в новой стране, вы знаете, к кому обратиться 📞

Ваша Cookie Policy врет: как это исправить? Представьте, что вы приходите в ресторан и заказываете веганский салат, а вам приносят стейк, потому что «повару так удобнее». С cookie та же история: если политика обещает приватность, а маркетинговые пиксели срабатывают без спроса — ждите проблем с доверием и регуляторами. Как провести честный аудит? Хорошая политика начинается не с текста, а с технической проверки. Чтобы не допустить ошибку, проверьте все страницы и поддомены в режиме инкогнито в 4 состояниях: 1. До взаимодействия с баннером: проверьте, не грузится ли что-то лишнее до того, как пользователь сделал выбор. 2. После отказа: убедитесь, что работают только «строго необходимые» технологии. 3. После выбора категорий: проверьте, соответствуют ли запущенные скрипты выбранным «галочкам». 4. После согласия: только теперь должен активироваться весь перечень. Технический чекап — это только верхушка айсберга. В полной статье о cookie-policy мы помогаем разобраться в тонкостях, которые часто упускают даже профи: 📎 Рассказываем, почему важно включать в политику не только cookie, но и Local Storage, пиксели и веб-маяки. 📎 Объясняем, почему аналитика и ретаргетинг — это не «строго необходимые» куки, как бы этого ни хотел отдел маркетинга. 📎 Даем готовую схему таблиц и разделов, которые сделают документ прозрачным для пользователя и понятным для разработчика. 📎 Делимся списком из контрольных вопросов, который стоит пройти перед тем, как нажать кнопку «опубликовать». Готовы навести порядок в своих файлах cookie? 👉 Переходите к полной статье, чтобы составить идеальную Cookie Policy и навсегда забыть о типичных ошибках.

А вам точно нужен DPO? GDPR не дает одной цифры, например, 10 000 пользователей, после которой назначение Data Protection Officer становится обязательным. Все зависит от масштаба, характера данных и того, является ли обработка вашей основной деятельностью.…

Когда пришло осознание, что ты — специалист по защите персональных данных? Отвечает наш консультант, Екатерина Гудзенко, CIPP/E: «Когда я сдала экзамен CIPP/E. Я готовилась сама, по учебнику, пробным тестам, гайдлайнам и пересматривала курс GDPR DPP. Понятно, что экзамен не равняется практике, но какую же мощную базу хард скиллов даёт постоянная подготовка и интенсивное изучение и повторение материала в течение нескольких месяцев! А курс [GDPR DPP] дал мне базу по GDPR, поэтому в дополнительных знаниях, которые требуются для сдачи экзамена, было сильно проще разобраться». Эти слова — лучшее подтверждение того, что в data privacy не существует простых путей, но есть фундамент, на котором строится вся карьера. Без системного понимания Регламента любые гайдлайны превращаются в набор разрозненных правил, а с ним — даже подготовка к экзамену дается проще. Если вы хотите научиться мыслить как privacy-специалист, присоединяйтесь к новому потоку курса GDPR Data Privacy Professional, который стартует 21 сентября. GDPR DPP — это первый русскоязычный фундаментальный курс, который разбирает требования Регламента «на атомы» и учит применять их в реальном бизнесе. Мы не занимаемся пересказом теории: наша цель — дать вам инструменты, которые можно использовать в работе на следующий день после лекции. 📌 В курс входит: 🔹 54 урока и 11 тестов для закрепления материала. 🔹 Еженедельные живые Q&A-сессии с Сергеем Воронкевичем для разбора сложных кейсов. 🔹 Практическая работа в группах: вы своими руками создадите Реестр обработок (RoPA), проведете Data Mapping и научитесь строить DPIA. 🔹 Доступ к эксклюзивным материалам: визуальным схемам, чек-листам и шаблонам, которые останутся с вами навсегда. 🔹 Международный сертификат в системе Accredible, который подтверждает ваши знания по GDPR. Тренер курса: Сергей Воронкевич, CIPP/E, CIPM, CIPT, MBA, FIP. Ведущий эксперт, который защитил диссертацию по GDPR и работал с драфтом Регламента. Записывайтесь на курс GDPR DPP, чтобы получить фундаментальные знания для старта карьеры в data privacy всего за 4 недели. ➡️ Записаться на курс ⬅️

Прощай, цифровой феодализм! Кто попал под Data Act? В 2018 GDPR изменил правила игры для персональных данных. Теперь же настало время «умных» вещей и промышленной информации. EU Data Act, который начал применяться с 12 сентября 2025 года, призван покончить с монополией производителей на данные. На кого же с большой вероятностью распространяется этот регламент? Если ваш бизнес связан с рынком ЕС, проверьте, нет ли вас в этом списке: 📁 Производители умных устройств (IoT): от фитнес-браслетов и кофемашин до огромных промышленных станков и тракторов. 📁 Поставщики связанных сервисов: те, кто пишет софт, без которого устройство — просто кусок пластика (например, мобильные приложения для управления умным домом). 📁 Облачные провайдеры (SaaS, PaaS, IaaS): все, кто предоставляет масштабируемые вычислительные ресурсы. 📁 Держатели данных: компании, которые фактически контролируют и собирают информацию с устройств (например, автопроизводитель, хранящий статистику в своем облаке). Важный нюанс: даже если ваш офис находится далеко от Европы, но вы продаете свои товары на европейских маркетплейсах или предлагаете SaaS-решения клиентам в ЕС — закон касается и вас. Есть ли исключения? Да! Законодатели пощадили малый бизнес. Обязанности по передаче данных не касаются компаний, где работает менее 50 сотрудников, а оборот не превышает 50 млн евро. Хотите узнать больше о том, что представляет из себя Data Act, к кому он применяется, какую именно информацию нужно передавать и как подготовить свои API к новым требованиям? Читайте обзор этого регламента на нашем сайте. ➡️ Читать полную статью о Data Act ⬅️ Не уверены, относится ли Data Act конкретно к вашей бизнес-модели? Напишите нашему менеджеру, и он забронирует для вас бесплатную встречу с консультантом. На ней мы поможем разобраться в ролях и понять, нужно ли вам адаптировать вашу систему комплаенса под новые реалии уже сейчас.

А вам точно нужен DPO? GDPR не дает одной цифры, например, 10 000 пользователей, после которой назначение Data Protection Officer становится обязательным. Все зависит от масштаба, характера данных и того, является ли обработка вашей основной деятельностью. Из-за этого у некоторые компании попадают в ловушку: одни тратят тысячи евро на роль, которая им пока не обязательна, а другие — игнорируют требование и получают бан от крупных корпоративных клиентов на этапе проверки (due diligence) или, что еще хуже, проверку от регулятора с риском штрафа до 10 млн евро. Разобраться с этими сложностями поможет вебинар “Do you really need a Data Protection Officer to break into the EU Market?” На нем наша коллега Анастасия Пархимович, CIPP/E, расскажет: 📎 Когда «ну очень надо», а когда «можно подождать»: разберем критерии обязательного назначения DPO в особенности для SaaS и AI-проектов. 📎 Реальные кейсы: как компании решали вопрос с DPO при выходе в ЕС. 📎 Что такое ловушка «конфликта интересов»: почему нельзя просто назначить DPO своего CTO или CEO (и чем это грозит). 📎 Почему DPO — это инструмент продаж: как наличие ответственного по защите данных помогает закрывать сделки с крупным бизнесом. Все участники вебинара получат полезный бонус — чек-лист назначения DPO с примерами, который поможет вам самостоятельно оценить риски. Дата и время: 30 июля, 15:30 CET. Спикер: Анастасия Пархимович, CIPP/E. Формат: коротко и по делу — 30 минут контента + 15 минут ответов на ваши вопросы (которые вы можете оставить уже сейчас в форме регистрации). ➡️ Зарегистрироваться на вебинар ⬅️

CIPP/E за 30 часов? Спойлер: нужно больше. IAPP утверждает, что для подготовки к сертификации достаточно 30 часов, но те, кто успешно сдал экзамен, советуют закладывать в три раза больше. Для практикующего специалиста это превращается в настоящий марафон, где легко потеряться в обилии материалов и упустить важные детали. Чтобы вы не тратили время на хаотичное чтение учебников, мы превратили подготовку в понятный и предсказуемый процесс. Наш чек-лист в Notion — это интерактивная дорожная карта, которую можно скопировать в свой аккаунт и использовать как дневник самоподготовки. Его разработала эксперт Татьяна Сивухо, CIPP/E, CIPP/US, CIPP/C, CIPM, AIGP, чтобы помочь вам сфокусироваться на главном: 📎 Все темы Body of Knowledge в одном месте. 📎 Трекер прогресса с чек-боксами. 📎 Ключевые тезисы и список литературы для глубокой проработки сложных тем. Этот инструмент поможет не попасться на тех самых нюансах, на которых чаще всего ловят на экзамене. Скачивайте бесплатный чек-лист по ссылке и начинайте подготовку системно! 💡