Защита данных и их качество: что исправить сначала

Законы о защите данных обычно обсуждают как юридическую тему: политики, формулировки согласия, договоры. Но многие их требования можно выполнить, только если компания знает, какие персональные данные у неё есть, где они хранятся и верны ли они. А это уже вопрос качества данных.

В статье показано, где законы о защите данных сталкиваются с обычными проблемами данных и что привести в порядок первым. Основной пример — Общий регламент ЕС о защите данных (GDPR): многие законы в других странах опираются на похожие идеи. Точные правила и сроки в разных странах отличаются. Это общий обзор, а не юридическая консультация: по своему случаю обратитесь к юристу.

GDPR коротко

• Охват. Регламент действует для организаций в ЕС и может распространяться на компании из других стран, которые предлагают товары или услуги людям в ЕС. Поэтому закон может касаться вас, даже если в этой стране нет офиса.
• Сроки. Применяется с 25 мая 2018 года.
• Штрафы. Самые большие достигают 20 млн евро или 4% мирового годового оборота, в зависимости от того, что больше.

Где закон встречается с качеством данных

Неточные данные нужно исправлять

Персональные данные должны быть точными и актуальными, а люди могут попросить исправить ошибки. Для компании, где один и тот же клиент есть в CRM, системе лояльности и биллинге, это непростая правка. Без единой записи о клиенте исправление попадёт в одну систему, а старое значение останется в других.

У запросов людей есть срок

Люди могут запросить доступ к своим данным, их исправление или удаление. По GDPR на ответ обычно есть один месяц, срок можно продлить. Чтобы ответить, нужно найти все записи об одном человеке. Дубли, разные написания имени и телефоны в разных форматах делают такой поиск ненадёжным.

При утечке времени мало

По GDPR об утечке, которая создаёт риск для людей, нужно сообщить надзорному органу в течение 72 часов с момента, когда о ней стало известно. За эти часы надо понять, какие данные затронуты и чьи. Компания без перечня своих данных потратит это время только на попытку ответить на вопрос.

Нужно знать, как обрабатываются данные

Компании обычно обязаны вести реестр операций обработки и оценивать риски обработки с высоким риском. Честно сделать это трудно без происхождения данных: ясной картины, откуда данные приходят и куда уходят. Обычные слепые зоны — отчёты и выгрузки, которые никто не описал.

Согласие должно быть прослеживаемым

Если обработка опирается на согласие, компания должна уметь показать, что оно было дано. Типичный пример — маркетинг. Если статус согласия живёт в одной системе, а список рассылки выгружается из другой, можно незаметно написать людям, которые отказались.

Что исправить сначала

1. Составьте перечень персональных данных

Перечислите, где хранятся персональные данные: основные системы, таблицы, выгрузки, резервные копии и внешние сервисы. Запишите, какие поля хранятся, зачем и как долго. Это основа почти для всего остального.

2. Назначьте ответственных

У каждого набора персональных данных должен быть владелец данных со стороны бизнеса и стюард данных, который следит за ними каждый день. Иначе запрос на исправление или удаление некому передать. Смотрите, чем отличаются эти роли.

3. Наведите порядок в записях о клиентах

Решите, какая система считается источником истины о клиентах и как находить и объединять дубли. Это классическая задача MDM, и польза от неё выходит далеко за рамки требований закона: отчёты и маркетинг тоже становятся точнее.

4. Задайте правила качества для ключевых полей

Телефоны, номера документов, почта, статус согласия и даты требуют понятных форматов и автоматических проверок. Начните с полей, по которым определяют человека. Аудит качества данных покажет, где проблемы.

5. Опишите потоки данных

Опишите, как персональные данные движутся между системами и в каких отчётах и выгрузках они есть. Копии, о которых вы не знаете, нельзя ни исправить, ни удалить.

6. Отрепетируйте процедуры

Возьмите одного тестового человека и попробуйте найти все его данные, исправить их и подготовить ответ. Проведите и учения на случай утечки. Репетиция быстро показывает, где процесс ломается, пока ставки ещё невелики.

Итог

Юридические документы объясняют, что компания обещала делать. Качество данных определяет, сможет ли она это сделать. Перечень данных, ясные ответственные, одна запись о клиенте и автоматические проверки в любой стране заметно упрощают запросы, исправления и реакцию на утечки, а заодно улучшают отчётность.

Мы можем помочь с той частью работы, которая касается данных: смотрите услуги Безопасность данных и Качество данных. Юридическая оценка ваших обязанностей остаётся за вашими юристами.

Источники

• Общий регламент о защите данных (ЕС) 2016/679, EUR-Lex