Ваш клиент прислал анкету по PDPL. Вот какие документы он ожидает

Для многих небольших компаний в ОАЭ первый контакт с PDPL — это не регулятор, а анкета закупок от более крупного клиента. Вопросы различаются, но группируются вокруг небольшого набора документов. Если они готовы заранее, неделя переписки превращается в один день работы.

Вопросы и документ, отвечающий на каждый из них

• «Ведёте ли Вы реестр операций по обработке?» Реестр (ROPA), требуемый статьями 7 и 8: какие данные, для какой цели, на каком правовом основании, кому передаются и как долго хранятся.
• «Предоставьте, пожалуйста, Ваше уведомление о конфиденциальности». Уведомление, написанное для PDPL, с указанием Управления данных ОАЭ (UAE Data Office) и правильных правовых оснований.
• «Кто отвечает за защиту данных?» Назначенный DPO, если его требует статья 10, в противном случае — назначенный ответственный за конфиденциальность.
• «Используете ли Вы субобработчиков? Где хранятся данные?» Ваш список поставщиков и регионов их хостинга, а также договоры, которые их связывают (статья 8).
• «Как бы Вы действовали при утечке персональных данных?» Письменный порядок реагирования на утечки, охватывающий уведомление по статье 9, желательно с подтверждением того, что он отрабатывался на практике.
• «Какие меры безопасности Вы применяете?» MFA, шифрование, управление доступом, резервное копирование, журналирование: технические и организационные меры по статье 20.
• «Как Вы обрабатываете запросы субъектов данных?» Процедура рассмотрения запросов о доступе, исправлении, удалении и возражении (статьи 13–18).

На что на самом деле смотрят проверяющие

Согласованность. Уведомление о конфиденциальности, реестр ROPA и список поставщиков должны рассказывать одну и ту же историю. Уведомление, в котором не упоминается передача данных за рубеж, рядом со списком поставщиков, полным американских SaaS-сервисов, — именно такое противоречие, которое порождает дополнительные вопросы.

Конкретика вместо шаблонных фраз. «Мы серьёзно относимся к безопасности» ничего не даёт. «MFA обязательна для почтовых и административных учётных записей; на ноутбуках используется полное шифрование диска» — вот ответ на вопрос.

Как собрать комплект

Наш комплект по PDPL формирует все эти документы на основе одной анкеты, и они уже согласованы друг с другом, поскольку созданы по одним и тем же ответам: отчёт о несоответствиях, уведомление о конфиденциальности, реестр ROPA, порядок рассмотрения запросов и реагирования на утечки, DPA для поставщиков, DPIA и график сроков хранения.