Профессия прайвасиста

• DPO на башне
• страж контроля рисков и безопасности данных

• Башня комплаенса
• классический privacy-комплаенс: документы, процессы и обязательные меры 152-ФЗ вокруг ПД

• Мост ТЗОД
• технологии защищенной обработки данных дают пользоваться данными без лишнего раскрытия

• Пользователи
• внутренние и внешние пользователи данных, ради которых система и строится

• Остров бережливой обработки
• данных ровно столько, сколько нужно для цели

• Регуляторно-нормативный ров
• закон, подзаконные акты и позиции регуляторов окружают всю систему

Контекст: по доктринальной периодизации мировой комплаенс прошел три ступени: исполнение требований, privacy by design и конкуренция фреймворков. Российская модель ближе к первой: подотчетность через перечень мер ст.18.1 152-ФЗ

Внутренние стороны

• HR
• IT
• Legal
• Compliance

Внешние стороны

• Регуляторы
• Клиенты

• Поставщики
• Субъекты

Объекты работы

• Люди
• Процессы
• Системы

• Сторона
• Что дает ей прайвасист

• Руководство
• снимает неопределенность по требованиям и рискам, служит интерфейсом с регулятором и точкой входа в кризисе

• Бизнес
• переводит требования на язык рабочих правил, снижает затраты на соответствие, выявляет скрытые риски масштабирования

• Смежные функции
• профильный центр компетенций, который снимает с них нагрузку

• Субъекты
• прозрачность обработки и меньший риск нарушения прав

• Регулятор
• самостоятельной ценностью роль не является, но упрощает взаимодействие

Практика: ценность роли выглядит по-разному для каждой стороны, и от этого зависит язык разговора: руководству - риски, бизнесу - затраты и скорость, субъектам - прозрачность

• 1
• Причина роли

инцидент, проверка, рост обращений, рекомендация аудиторов: от причины зависят ожидания

• 2
• Карта сторон

позиция, погруженность в ПД, вес в решениях и удобный канал каждого значимого лица

• 3
• Инвентаризация

документы, неписаные правила, следы процессов, прошлые инциденты, проверки и споры

• 4
• Три слоя требований

закон, лучшие практики и фреймворки ISO и NIST, собственные решения компании

• 5
• Точки интеграции

договоры, выдача доступов, проверки ИБ, архитектурный комитет, коммуникации, отчетность

• 6
• Быстрые победы

аудит сайтов, план реагирования на инциденты, читаемая политика, базовый реестр обработки

Метрика: успех первых месяцев измеряют закрытием наиболее значимых рисков, а не числом охваченных процессов и обученных работников

Позиция роли

Консультирует, а не решает

Привычка - вторая натура

бережное отношение к привычному для нанимателя способу ведения дел

Риск-ориентированный подход

обработка privacy-рисков с учетом риск-аппетита заинтересованных сторон

Не навреди

privacy-риски не снижаются за счет увеличения иных рисков

Активное взаимодействие

обсуждение предложений по обработке рисков с заинтересованными сторонами

Практичность результатов

итоговые материалы ориентированы на применение в операционной деятельности

93%

Консультации

по вопросам защиты данных, у штатных DPO 97%

89%

Уведомления

о конфиденциальности, у штатных DPO 92%

88%

Обучение

защите данных, у штатных DPO 94%

79%

Оценка воздействия

на конфиденциальность и защиту данных

• Задача
• Доля
• Задача
• Доля

• Управление программами приватности
• 79%
• Создание и обновление реестра обработки ПД
• 73%

• Расследование инцидентов утечек
• 78%
• Оценка законных интересов организации
• 73%

• Соглашения об обработке (DPA) и договоры
• 78%
• Ответы на запросы субъектов ПД
• 72%

• Жалобы на нарушения приватности
• 78%
• Надзор за управлением согласиями
• 64%

• Отчетность руководству и аудиторам
• 76%
• Выявление и учет передач ПД в третьи страны
• 64%

• Политика хранения ПД
• 74%
• Оценка рисков поставщиков
• 63%

Для России

Цена формальной роли выросла

ответственный обязателен для любого оператора - юридического лица, а с 11.12.2024 действует ст.272.1 УК и с 30.05.2025 оборотные штрафы по ст.13.11 КоАП

назначение на бумаге перестало быть дешевым решением

размер оборотного штрафа связан с расходами на ИБ, ч.3.4-2 ст.4.1 КоАП

• 1
• Сегментация и специализация

роль делится на треки юриста, инженера, аналитика и менеджера программы. В группах компаний складывается сеть DPO по уровням группы, подгруппы и компании

• 2
• Не только комплаенс, но и дизайн-мышление

требования встраивают в процессы, продукты и системы на стадии замысла: правка замысла стоит обсуждения, а запущенного продукта - его остановки

• 3
• Упор на неюридические навыки

роли нужны три домена знаний: право, бизнес-процессы и устройство информационных систем. Назначение одного кадровика оставляет два домена без покрытия

• 4
• Рост сообщества

в отчет IAPP 2025-26 впервые вошли специалисты по AI governance, 77% из более чем 1600 респондентов из 60 стран имеют сертификат IAPP

Подразделение руководителя приватности

• Функция
• Всего
• США
• ЕС
• Брит.

• Юридическая
• 49%
• 58%
• 47%
• 42%

• Регуляторный комплаенс
• 15%
• 13%
• 14%
• 18%

• Информационная безопасность
• 6%
• 8%
• 6%
• 5%

• ИТ
• 6%
• 5%
• 3%
• 6%

• Корпоративная этика
• 4%
• 5%
• 4%
• 4%

• Другое
• 13%
• 7%
• 17%
• 19%

Медианная зарплата 2025, тыс. $

• Направление
• Медиана

• Технические роли AI governance в техсекторе
• 221,0

• Юридические и комплаенс-роли в техсекторе
• 205,0

• Приватность и AI governance вместе
• 169,7

• Только AI governance
• 151,8

• Только приватность
• 123,0

Тренд: у совмещающих приватность и AI governance медиана на 46,7 тыс. $ выше, чем у занятых только приватностью. Опрос 2025 года: более 1600 респондентов из 60 с лишним стран

Ступень 1

Защита данных

завоевать доверие клиента и двигаться в сторону подотчетности

• 1
• управление защитой данных

• 2
• управление ИТ-рисками

• 3
• управление нарушениями безопасности

• 4
• управление заинтересованными сторонами

• 5
• аудит и комплаенс

• 6
• управление данными

Ступень 2

Инновации на основе данных

использовать данные для создания новых или улучшенных товаров и услуг

• 1
• этика данных

• 2
• обмен данными

• 3
• навыки дизайн-мышления

Контраргумент: тезис, что защита данных тормозит инновации, сравнительным опытом не подтверждается: КНР ужесточала режим защиты параллельно с выходом в лидеры разработки ИИ

• Навык
• Суть

• Управление защитой данных
• политики и процедуры защиты ПД по применимому праву и лучшим практикам

• Управление ИТ-рисками
• прогноз и оценка ИТ-рисков для работы и прибыльности, стратегии снижения рисков обработки ПД

• Управление нарушениями безопасности
• выявление инцидентов и утечек, оценка обстоятельств и последствий, меры и коммуникации с заинтересованными лицами

• Управление заинтересованными сторонами
• ожидания и потребности стейкхолдеров с учетом требований и целей организации

• Аудит и комплаенс
• внешний и внутренний мониторинг и контроль, включая информирование о нарушениях и служебные расследования

• Управление данными
• правила обработки ПД на всех этапах жизненного цикла и рекомендации в сложных и неоднозначных контекстах

• Этика данных
• этические принципы при формировании процессов обработки ПД, см. раздел 02

• Обмен данными
• оценка ценности ПД для конкурентного преимущества и целей организации

• Дизайн-мышление
• путь от определения проблемы, исследования и идеи до реализации с вовлечением заинтересованных сторон

Проектирует каждый, кто придумывает действия, чтобы превратить существующую ситуацию в предпочтительную

Герберт Саймон, Науки об искусственном (The Sciences of the Artificial), основа дизайн-мышления

Этика данных

• 1
• WFA, Data Ethics: The Rise of Morality in Technology, июнь 2020

• 2
• этика дает ответ там, где закон оценочен

Бизнес-процессы

• 1
• требования встраивают в процессы, продукты и системы на стадии замысла

• 2
• прайвасист проводит бизнес через варианты, а не запрещает

Архитектор

видение, миссия, ценности и ясность

Планировщик

краткосрочные и долгосрочные планы

Исполнитель

делает так, чтобы все случилось

Дирижер

объединяет усилия людей и открывает возможности

Учитель

наставник и коуч для команд

Хранитель

служит другим прежде себя

Новатор

генерирует идеи и создает условия для инноваций

Эксперт

понимает людей, бизнес и контекст, вплетает культуру и результат

Мыслитель

оценивает, анализирует и мыслит критически

Для офиса приватности: Privacy Program Management

• оценки воздействия и рисков
• управление согласиями

• карта данных
• запросы субъектов

• реагирование на инциденты
• мониторинг законодательства

сканирование сайтов

Для всей компании: Enterprise Privacy Management

• мониторинг активности
• поиск данных

деидентификация и псевдонимизация

корпоративные коммуникации

Инструмент сам обрабатывает ПД

Три вопроса поставщику

где лежат мои данные: поручение по ч.3 ст.6, локализация по ч.5 ст.18, ТПД по ст.12

откуда этот вывод: прослеживаемость до нормы, позиции Роскомнадзора и практики

как я заберу все и уйду: форматы выгрузки, возврат и уничтожение данных

Стоп-фактор: поручение и локализация - стоп-факторы: без них инструмент не проходит отбор при любой сумме баллов. Выбор инструментов подробно разобран в разделе 09

01

Роль обязательна, содержание - нет

ответственный нужен любому оператору - юридическому лицу, но три функции ч.4 ст.22.1 152-ФЗ - минимум, а не потолок

02

Независимость строят практикой

статусных гарантий, как у DPO по GDPR, в 152-ФЗ нет: их компенсируют отчетность первому лицу, метрики и право требовать

03

Консультирует, а не решает

прайвасист проводит бизнес через варианты и риски, решение и риск принимает владелец процесса

04

Междисциплинарность

право, бизнес-процессы и информационные системы плюс неюридические навыки и дизайн-мышление

05

Требования к лицу задают функции

ценза закон не устанавливает, Роскомнадзор отсылает к полномочиям по ч.4 ст.22.1 152-ФЗ (письмо от 03.05.2024 № 08-142784)

06

Метрики доказывают ценность

роль обосновывают закрытые риски и измеримые показатели, а не объем выполненной работы